Por quase uma década, o artigo 19 da Lei 12.965/2014 (Marco Civil da Internet) estruturou a responsabilidade das plataformas digitais em torno do conteúdo individual: em regra, o provedor de aplicações somente respondia civilmente se descumprisse ordem judicial específica de remoção. O julgamento dos Temas 987 e 533 pelo Supremo Tribunal Federal (STF), em junho de 2025, e os Decretos 12.975 e 12.976, de 20 de maio de 2026, acrescentaram outra camada a esse modelo: a gestão de riscos sistêmicos.
A nova arquitetura incorpora conceitos ainda abertos (como “dever de cuidado”, “falha sistêmica”, “risco sistêmico” e “dúvida razoável”) e desloca o foco da imputação. A responsabilidade sistêmica não deve decorrer da mera existência de conteúdo ilícito, mas da demonstração de que o provedor conhecia ou deveria conhecer um padrão relevante de risco e deixou de adotar medidas proporcionais, tecnicamente viáveis e documentadas.
Sem essa calibragem, é possível que a norma seja esvaziada ou até convertida em responsabilidade objetiva disfarçada. A Nota Técnica 5/2026/CGTAD/SRE/ANPD, elaborada no contexto da Tomada de Subsídios sobre o Marco Civil, reconhece que a consolidação desses critérios ainda está em curso.
Do artigo 19 à responsabilização em duas camadas
O Marco Civil instituiu regime próprio para conteúdos de terceiros: o artigo 19 exigia ordem judicial específica, enquanto o artigo 21 admitia notificação extrajudicial para divulgação não autorizada de nudez ou ato sexual privado. Nos Temas 987 e 533, o STF reconheceu a inconstitucionalidade parcial e progressiva do artigo 19 e estabeleceu disciplina transitória até nova lei.
A notificação extrajudicial passou, como regra, a fundamentar a responsabilização por um conjunto mais amplo de ilícitos, embora a ordem judicial tenha sido preservada para hipóteses como crimes contra a honra e determinados serviços protegidos pelo sigilo das comunicações.
Duas construções do STF são especialmente relevantes. A primeira é a presunção relativa de responsabilidade por anúncios, impulsionamentos pagos e disseminação inorgânica por redes artificiais, afastável pela demonstração de diligência. A segunda é o dever de cuidado quanto a crimes graves, cuja violação não decorre de uma publicação isolada, mas de falha sistêmica caracterizada pela ausência de medidas adequadas de prevenção ou remoção. Os decretos de maio de 2026 desenvolveram essa segunda dimensão.
Da responsabilização por conteúdo à gestão de riscos
O Decreto 12.975/2026 alterou o Decreto 8.771/2016 para incorporar os novos conceitos ao regime do Marco Civil. O artigo 16-B prevê dever específico de cuidado quanto a um rol de crimes graves; o artigo 16-C estabelece dever contínuo de monitorar, identificar, avaliar e gerir riscos sistêmicos. O Decreto 12.976/2026 adota estrutura semelhante para a violência contra mulheres no ambiente digital.
A falha sistêmica, por sua vez, é o núcleo do modelo. Configura-se quando o provedor não comprova medidas adequadas de prevenção ou remoção capazes, conforme o estado da técnica, de oferecer elevados níveis de segurança e inibir a circulação massiva de conteúdos ilícitos.
O próprio Decreto ressalva, porém, que um conteúdo isolado não basta para caracterizá-la e veda responsabilização fundada exclusivamente em publicações individualmente consideradas. O objeto da análise passa a ser a diligência e a estrutura de gestão do provedor.
A dúvida razoável, prevista no artigo 16-G, protege a liberdade de expressão. Após análise diligente e fundamentada, o provedor pode manter conteúdo cujo caráter criminoso permaneça incerto, considerando a gravidade, o contexto e finalidades informativas, educativas, críticas, satíricas ou de paródia, além de comunicar suas razões ao notificante. Trata-se de juízo motivado e proporcional, não de autorização para inação.
Já o risco sistêmico é objeto de dever permanente de gestão dos riscos criados ou potencializados pelo serviço. Em aproximação com o Digital Services Act europeu e o Online Safety Act britânico, o modelo adota avaliação de riscos, proporcionalidade e fiscalização especializada, mas ainda não define metodologia detalhada de documentação, auditoria e mitigação.
Da remoção individual à conduta documentada
Pode-se dizer que a mudança é sobretudo probatória. No artigo 19, perguntava-se se uma ordem judicial específica havia sido descumprida. No regime sistêmico, examina-se um padrão de conduta, no qual o questionamento é: diante de riscos conhecidos ou previsíveis, o provedor adotou medidas proporcionais e tecnicamente adequadas? O conteúdo individual deixa de ser, portanto, a causa da responsabilidade e passa a funcionar, quando muito, como suposto indício de falha na gestão.
Esse deslocamento produz três possíveis consequências. A primeira é a maior relevância da documentação: registrar as medidas adotadas, o momento de sua implementação e as razões que as fundamentaram passa a integrar o dever de diligência e aproxima esse regime da lógica de accountability prevista na LGPD. Segundo, a fiscalização deve ser agregada e periódica, não voltada a casos isolados. Terceiro, as obrigações devem ser proporcionais: o artigo 16-P admite diferenciação segundo porte econômico, interferência na circulação de conteúdos, estado da técnica e riscos do serviço.
A regulamentação também deverá conter o incentivo à remoção defensiva. Se conservar conteúdo juridicamente duvidoso gerar risco regulatório maior do que removê-lo, a tendência será retirar publicações em excesso. A definição de falha sistêmica e dúvida razoável, portanto, determinará o equilíbrio entre prevenção de danos e liberdade de expressão.
Os desafios regulatórios da ANPD
Os artigos 19-A do Decreto 8.771/2016 e 14 do Decreto 12.976/2026 atribuem à ANPD competências de regulação, fiscalização e apuração de infrações. Segundo a agência, os decretos são autoaplicáveis e estão em vigor desde 20 de julho de 2026; a regulamentação deverá detalhá-los, e não condicionar sua eficácia.
Nesse sentido, o desafio da ANPD não será criar novos deveres, mas converter conceitos jurídicos abertos em critérios previsíveis, sem eliminar a análise proporcional e baseada em risco. A segurança jurídica do novo modelo dependerá de parâmetros capazes de distinguir a presença inevitável de conteúdos ilícitos de uma falha efetiva e demonstrável na gestão da plataforma.