Segunda-feira de manhã, chega uma mensagem na sua fila de suporte. Uma mulher explica que um vídeo dela está circulando na sua plataforma. O ex-companheiro publicou o vídeo, e ela nunca deu sua autorização. Ela envia dois links: o mesmo vídeo foi publicado de novo por outra conta durante o fim de semana.
Você é responsável de compliance, e essa mensagem não é um chamado como os outros. A pergunta já não é só "devo remover o conteúdo?". Ela passa a ser: em quanto tempo você remove, como impede que ele volte e consegue provar tudo isso?
A resposta curta: em 2026, os reguladores definiram um ritmo. No Reino Unido e nos Estados Unidos, a regra agora é remover o conteúdo em até 48 horas após uma denúncia válida. As cópias também precisam ser tratadas. A Ofcom, o regulador britânico, vai além para as plataformas adultas. Desde 30 de setembro de 2026, ela espera uma detecção por impressões digitais (hash matching), ou uma medida igualmente eficaz. A União Europeia segue o mesmo caminho: os Estados-membros devem aplicar uma nova diretiva até junho de 2027.
Por que esse tema virou prioridade neste segundo semestre?
Porque as novas leis e a fiscalização chegaram ao mesmo tempo.
No Reino Unido, a Ofcom lançou em 9 de setembro de 2026 um programa de fiscalização sobre imagens íntimas não consentidas. O alvo principal são os serviços adultos e os aplicativos de mensagens, que ela considera especialmente expostos. As novas medidas dos seus códigos de boas práticas sobre conteúdo ilegal valem desde 30 de setembro. A Ofcom espera que os serviços afetados estejam em conformidade nessa data, ou que ajam para chegar lá pouco depois.
No boletim de outubro de 2026, a Ofcom detalha para quem recomenda o hash matching. Estão incluídos, entre outros, os serviços de alto risco que hospedam principalmente conteúdo pornográfico ou que compartilham e armazenam arquivos. Também estão incluídos os que têm mais de 700 mil usuários ativos por mês no Reino Unido. O Online Safety Act é a lei britânica de segurança online. As multas podem chegar a 18 milhões de libras ou 10% do faturamento global.
Ao mesmo tempo, chegou outra lei britânica: o Crime and Policing Act 2026, promulgado em 29 de abril de 2026. Ele obriga as plataformas a remover uma imagem íntima não consentida em até 48 horas após uma denúncia válida. As plataformas também precisam impedir que esse conteúdo volte, idêntico ou quase idêntico. Segundo o governo, os dirigentes poderão responder criminalmente se não cumprirem uma decisão da Ofcom. Até o fim de 2026, a Ofcom vai consultar o setor para incluir esse dever nos seus códigos, com aplicação prevista para 2027.
A Ofcom investiga o X desde que o Grok, a IA da rede, foi usado para criar imagens sexualizadas de pessoas reais. Em 14 de outubro, a Ofcom levou essa investigação para uma nova fase. Agora ela trata da gestão de conteúdo ilegal e das ferramentas de denúncia. Ou seja, a Ofcom olha para os seus métodos, não só para o resultado.
Nos Estados Unidos, a FTC (Federal Trade Commission, a autoridade de defesa do consumidor) aplica o Take It Down Act desde 19 de maio de 2026. As plataformas que hospedam principalmente conteúdo publicado por usuários precisam oferecer um pedido de remoção claro e fácil de encontrar. Depois, devem remover o conteúdo e suas cópias idênticas conhecidas em até 48 horas. A lei também cobre os deepfakes, isto é, imagens falsificadas ("digital forgeries"). A multa civil pode chegar a 53.088 dólares por infração.
Na União Europeia, o DSA (Digital Services Act, o regulamento europeu de serviços digitais) já está em vigor. O artigo 16 obriga todo provedor de hospedagem a oferecer um mecanismo de denúncia e remoção. Depois, ele deve decidir rápido e explicar a decisão. A diretiva 2024/1385 trata do combate à violência contra as mulheres. O artigo 5 torna crime o compartilhamento não consentido de imagens íntimas ou falsificadas, incluindo deepfakes. Os Estados-membros têm até 14 de junho de 2027 para incluir a regra na legislação nacional.
O que sua plataforma precisa saber fazer, na prática?
Esses textos se resumem a quatro capacidades. Se você não consegue demonstrá-las, é nelas que precisa trabalhar.
| Capacidade | A pergunta a fazer | A prova esperada |
|---|---|---|
| Receber | Uma vítima sem conta encontra o formulário em menos de um minuto? | Fluxo documentado, acessível sem login, número de protocolo para cada pedido |
| Decidir rápido | O conteúdo denunciado é removido ou bloqueado em até 48 h? | Horário exato da denúncia, da decisão e da remoção |
| Impedir a volta | Uma cópia idêntica é bloqueada no momento do upload? | Impressão digital adicionada à lista de bloqueio, registro das cópias detectadas |
| Explicar | A pessoa sabe o que foi feito e como contestar? | Resposta explicando a decisão, canal de recurso, estatísticas de prazos |
Muitas plataformas adultas têm um formulário de denúncia pensado para assinantes logados. Só que a pessoa que escreve para você quase nunca tem conta na sua plataforma. A FTC também recomenda dar um número a cada pedido e informar a pessoa sobre o andamento.
Por que o hash matching sozinho não basta?
O hash matching compara a impressão digital de um arquivo com uma lista de conteúdos já reconhecidos como ilegais. Ele é muito eficaz contra a republicação de um vídeo já removido, como o do fim de semana no nosso exemplo. Por isso a Ofcom fez dele a medida de referência.
Mas uma impressão digital só detecta o que já é conhecido. Um conteúdo novo passa na primeira vez. Uma imagem criada por IA a partir da foto de uma pessoa real também passa. A Ofcom reconhece isso e aceita outras medidas igualmente eficazes.
A proteção de verdade acontece antes da publicação. Numa plataforma adulta, a melhor defesa é saber quem aparece no conteúdo e se cada pessoa disse sim. As bandeiras de cartão já exigem isso desde o comunicado Mastercard AN 5196. Essa regra pede a verificação da identidade e da idade do criador e de cada pessoa visível. Ela também pede o arquivamento de um consentimento por escrito e a moderação de cada conteúdo antes da publicação. Por fim, impõe tratar os pedidos de remoção em sete dias úteis. As novas leis reduzem esse prazo para 48 horas no caso de imagens íntimas não consentidas.
E os deepfakes?
É o caso mais difícil: a pessoa retratada nunca foi filmada. Sua verificação de coparticipantes não vai identificá-la, porque ela não está nos seus registros.
O que faríamos no seu lugar:
- Escrever com clareza nos seus Termos de Uso que conteúdos sintéticos são proibidos quando mostram uma pessoa real sem a autorização dela. Deixar claro que publicá-los leva ao banimento.
- Tratar uma denúncia de deepfake como uma denúncia de imagem íntima, com o mesmo prazo de 48 horas. As leis britânica e americana citam expressamente imagens falsificadas ou geradas.
- Cruzar a análise por IA com a verificação de identidade. Um rosto pode não corresponder a nenhum criador ou coparticipante verificado na conta. Nesse caso, alguém da sua equipe deve revisar o conteúdo antes da publicação.
- Fazer o banimento valer. Uma conta encerrada por deepfake que volta dois dias depois com outro e-mail: é isso que você não quer explicar a um regulador. O banimento deve seguir a identidade verificada da pessoa, não a conta.
O que faríamos se fôssemos responsáveis de compliance hoje
Medir antes de prometer. Calcule seus prazos reais dos últimos seis meses: da denúncia à primeira ação, e da denúncia à remoção. Muitas vezes a mediana é boa, mas as denúncias de sexta à noite esperam até segunda. E as 48 horas também correm no fim de semana.
Criar uma fila dedicada. Uma denúncia de imagem não consentida não deve cair na fila geral do suporte. Ela precisa de prioridade, de uma equipe treinada e de plantão. Primeiro passo: ocultar o conteúdo antes mesmo da análise completa.
Ligar remoção e impressão digital. Cada remoção por esse motivo deve adicionar automaticamente a impressão digital do conteúdo à sua lista. Assim, a próxima cópia é bloqueada no upload, em vez de ser denunciada três dias depois.
Preparar seu dossiê. Um dia, a Ofcom, a Arcom (o regulador digital francês) ou seu PSP vai fazer perguntas. O PSP é o prestador que permite que você receba pagamentos com cartão. Nesse momento, você precisa entregar em poucos minutos seu procedimento escrito, suas estatísticas de prazos e exemplos anonimizados. Inclua a prova de que as pessoas visíveis nos conteúdos em questão tinham dado sua autorização. As sanções de 2026 mostraram: responder mal a um pedido de informação já é uma infração.
Falar com seu PSP antes que ele fale com você. Para um credenciador, um caso mal conduzido ameaça sua reputação e seu status junto às bandeiras de cartão. Mostre a ele seu procedimento e seus prazos sem esperar: seu dossiê sai fortalecido.
Como a Pleenk Approve pode ajudar você
A Pleenk Approve atua antes da publicação e nas provas. O coração da Pleenk é uma identidade digital única. O criador e cada coparticipante são verificados com prova de vida, antes da publicação. A identidade deles é criptografada pela Pleenk e guardada em um wallet único (uma carteira de identidade digital): sua plataforma recebe uma prova, nunca o documento de identidade. Os consentimentos e eventuais banimentos ficam vinculados a esse wallet. Assim, um banimento segue a pessoa, não a conta. A Pleenk também gerencia o direito de retirada do consentimento e mede o tempo que você leva para remover um conteúdo quando um consentimento é retirado. Sua moderação continua sendo sua: a Pleenk se conecta à sua ferramenta de moderação por IA e guarda a prova de que os controles foram feitos. A Pleenk não substitui nem seu procedimento de remoção nem sua ferramenta de comparação de impressões digitais (hash matching). Você está revisando seu procedimento de denúncia e remoção antes das consultas da Ofcom? Escreva para contact@pleenk.com.
Este artigo tem caráter apenas informativo e não constitui aconselhamento jurídico. Os textos citados mudam, e a aplicação deles depende do seu serviço e dos seus mercados. Valide suas escolhas com seu advogado.
Fontes
- Ofcom – Programa de fiscalização sobre imagens íntimas não consentidas (9 de setembro de 2026): https://www.ofcom.org.uk/online-safety/illegal-and-harmful-content/Enforcement-programme-into-measures-being-taken-by-services-to-prevent-users-from-encountering-or-sharing-non-consensual-intimate-imagery-NCII
- Ofcom – Online Safety industry bulletin, outubro de 2026 (15 de outubro de 2026): https://www.ofcom.org.uk/online-safety/protecting-children/online-safety-industry-bulletin-october-2026
- GOV.UK – Crime and Policing Act 2026: ficha sobre abuso de imagens íntimas (29 de setembro de 2026): https://www.gov.uk/government/publications/crime-and-policing-act-2026-factsheets/crime-and-policing-act-2026-intimate-image-abuse-factsheet
- Kingsley Napley – Deepfakes e o Crime and Policing Act 2026 (maio de 2026): https://www.kingsleynapley.co.uk/our-insights/articles/deepfakes-to-deletion-orders-tackling-technology-enabled-sexual-offending-in-the-crime-and-policing-act-2026/
- BusinessDay / Reuters – A Ofcom e a gestão de conteúdo ilegal pelo X (14 de outubro de 2026): https://www.businessday.co.za/world/2026-10-14-concerns-persist-over-xs-handling-of-illegal-content-uk-media-regulator/
- FTC – Take It Down Act enforcement starts now (maio de 2026): https://www.ftc.gov/business-guidance/blog/2026/05/take-it-down-act-enforcement-starts-now-what-know-about-ftc-tida
- FTC – Complying With the Take It Down Act: https://www.ftc.gov/business-guidance/resources/complying-take-it-down-act
- EUR-Lex – Regulamento (UE) 2022/2065 (Digital Services Act): https://eur-lex.europa.eu/eli/reg/2022/2065/oj
- EUR-Lex – Diretiva (UE) 2024/1385 relativa ao combate à violência contra as mulheres: https://eur-lex.europa.eu/eli/dir/2024/1385/oj
- Age Verification Providers Association – Exigências da Mastercard para comerciantes de conteúdo adulto: https://avpassociation.com/thought-leadership/mastercard-specialty-merchant-requirements-drive-age-verification/