Observatório IA + Direito · Nota de conjuntura nº 2
O Brasil criminalizou o deepfake antes de regular a IA
A Lei 15.487/2026 e o art. 241-E do ECA alcançam o conteúdo integralmente sintético
O que mudou
A Lei nº 15.487, de 6 de agosto de 2026, foi publicada no Diário Oficial da União de 7 de agosto e está em vigor desde a publicação, sem vacatio, na forma do seu art. 7º. Ela altera de uma só vez o Estatuto da Criança e do Adolescente, o Código Penal, o Código de Processo Penal, a Lei 8.072/1990 e a Lei 12.850/2013.
Três dispositivos do ECA carregam o eixo de inteligência artificial. O art. 241-C passa a punir com reclusão de 3 a 5 anos e multa quem simula a participação de criança ou adolescente em conteúdo de violência sexual mediante recurso tecnológico que altere imagem ou voz, inclusive inteligência artificial. O art. 241-D, § 2º, I, cria majorante de um terço a dois terços quando o agente usa inteligência artificial, deepfake ou filtros para se passar por criança no aliciamento. E o art. 241-E redefine o próprio conceito de material de violência sexual, para alcançar a representação de criança ou adolescente, na dicção legal, real ou fictício, ainda que produzida, manipulada ou gerada mediante o uso de tecnologias digitais, inclusive inteligência artificial.
As penas subiram. Produzir, vender e divulgar passaram de 4 a 8 para 4 a 10 anos. Adquirir, possuir ou armazenar passaram de 1 a 4 para 3 a 6 anos, e o tipo agora alcança quem apenas acessa ou visualiza por streaming, desde que com finalidade sexual. O art. 4º da lei incluiu no rol de crimes hediondos os arts. 240, 241, 241-A e o caput do art. 241-B, e não incluiu o art. 241-C.
Fora do eixo de inteligência artificial, a lei cria a ronda virtual do art. 190-F do ECA, que autoriza a varredura de ambientes digitais públicos sem autorização judicial prévia, com delimitação negativa expressa em relação à interceptação da Lei 9.296/1996 e à infiltração do art. 190-A, e com submissão à cadeia de custódia do Código de Processo Penal. Dois traços de redação merecem registro. A palavra pornografia não aparece uma única vez no texto, substituída por violência sexual nos dispositivos alterados do ECA. E a Autoridade Nacional de Proteção de Dados não é mencionada em nenhum ponto.
Apreciação
A cobertura parou no art. 241-C, e parou no lugar errado. O dispositivo que muda o problema é o art. 241-E, e ele quase não foi lido. Antes dele havia discussão real sobre o conteúdo gerado do zero, sem criança nenhuma envolvida, porque sem vítima identificável a pergunta sobre o bem jurídico protegido ficava em aberto. A nova definição resolve isso por decisão legislativa e projeta o conteúdo integralmente sintético para dentro dos tipos de produzir, vender, divulgar e armazenar.
Fica uma consequência que a lei não enfrenta. O art. 241-C, justamente o dispositivo do deepfake, ficou fora do rol de hediondos, enquanto os arts. 240, 241, 241-A e o caput do 241-B entraram. Se o conteúdo puramente gerado satisfaz a elementar desses tipos por força do art. 241-E, então a fronteira entre simular a participação de alguém e gerar conteúdo do zero passa a valer anos de pena e um regime prisional inteiro. Essa fronteira não está no texto e vai ter que ser construída em julgamento.
O dado de conjuntura é o que interessa a este observatório. O marco geral de inteligência artificial está parado na Câmara desde março de 2025, e a primeira norma brasileira em vigor a criminalizar deepfake não veio dele, veio do Código Penal e do ECA. Não é a regulação que se esperava, é a que chegou primeiro, e há razão para achar que o movimento se repete. Quando a lei geral não sai, o problema volta fatiado, e em geral pela via mais dura que existe.
Fábio Cabral ORCID 0009-0005-6669-0424