Raspagem de dados para IA colide com as leis de privacidade
Coleta automatizada que alimenta modelos de IA viola quase todos os princípios de proteção de dados, e reguladores no Brasil e na UE começam a cobrar a conta.
O Conselho da União Europeia estuda retirar do pacote Digital Omnibus o dispositivo que fixaria o "legítimo interesse" como base legal para treinar inteligência artificial com dados pessoais, segundo relatos de abril de 2026. A movimentação contraria parecer conjunto de fevereiro de 2026 do Comitê Europeu de Proteção de Dados (EDPB) e do Supervisor Europeu (EDPS) e mantém em aberto a pergunta central para qualquer empresa que desenvolve ou contrata modelos de IA.
O ponto é estrutural. A coleta automatizada de dados na web — o scraping que abastece os grandes modelos — choca-se com quase todos os princípios da proteção de dados: finalidade, minimização, transparência, consentimento e segurança. É a tese do artigo "The Great Scrape", de Daniel Solove e Woodrow Hartzog, publicado na California Law Review em outubro de 2025.
Para o jurídico e o compliance, a consequência é direta: modelos construídos sobre dados raspados estão assentados em base legal contestada, e essa exposição não desaparece com o tempo.
Clearview e Meta expõem o tamanho do problema
A defesa preferida dos raspadores — "são dados públicos" — já vem sendo testada nos casos mais emblemáticos. A Clearview AI raspou mais de 50 bilhões de imagens de rostos da internet para alimentar um sistema de reconhecimento facial vendido a polícias e governos, e acumula multas em vários países; a autoridade holandesa fixou 30,5 milhões de euros em 2024.
No Reino Unido, o Upper Tribunal confirmou, em outubro de 2025, que a Clearview está sob o alcance do GDPR britânico, reabrindo a discussão sobre a multa de 7,5 milhões de libras do ICO. Persiste, porém, uma lacuna de execução: sem ativos na Europa, a empresa simplesmente ignora as sanções.
A Meta seguiu rota diferente, igualmente contestada. Em maio de 2025 retomou o treinamento de IA com posts públicos de Facebook e Instagram na UE, apoiada em legítimo interesse e em um sistema de oposição (opt-out). A noyb enviou notificação extrajudicial, argumentando que a base legal correta seria o consentimento.
ANPD nega que dado público libere uso por IA
No Brasil, a ANPD enfrentou a mesma lógica do "dado público" por outro flanco. Na Nota Técnica nº 1/2026, de 20 de janeiro de 2026, sobre o sistema Grok, integrado à plataforma X, a autoridade firmou que conteúdo sintético que reproduza pessoa real identificável é dado pessoal — e, quando envolve elementos biométricos, dado pessoal sensível.
O ponto que interessa ao tema: a ANPD considerou que imagens "tornadas manifestamente públicas" pelo titular não autorizam uso incompatível por IA, apontando desvio de finalidade (art. 6º, I) e ausência de base legal para dados sensíveis (art. 11). É o mesmo argumento que sustenta o debate sobre raspagem.
Em recomendação conjunta com MPF e Senacon, e em determinação de 11 de fevereiro de 2026, os órgãos exigiram medidas técnicas imediatas e Relatório de Impacto à Proteção de Dados específico, sob risco de sanções da LGPD, do CDC e do Marco Civil. Para o encarregado, a leitura prática é que finalidade compatível e base legal valem mesmo sobre dado já público.
Diretores entram na linha de tiro pessoal
A reação das autoridades tem deslocado o risco para o nível pessoal — e é isso que a alta gestão precisa registrar. A autoridade holandesa anunciou que investiga a responsabilização pessoal dos diretores da Clearview, sustentando que administradores que sabem da violação, têm poder para detê-la e se omitem podem responder com o próprio patrimônio.
A queixa-crime apresentada pela noyb na Áustria, em outubro de 2025, mira justamente executivos, com base em previsão penal nacional para infrações ao GDPR — o que, se prosperar, abre caminho para medidas que vão além da multa administrativa.
Há ainda a exposição coletiva. A noyb estima danos não materiais na casa de 500 euros por usuário, sobre uma base de centenas de milhões de pessoas na UE. Soma-se o remédio mais severo previsto pelo EDPB: ordenar o apagamento de modelos treinados com dados tratados de forma ilícita, o que transforma a coleta irregular em risco sobre o próprio ativo de IA.
EDPB prepara guia específico de raspagem
O que ainda não virou obrigação formal já está sinalizado. O EDPB declarou que prepara diretrizes dedicadas a web scraping no contexto de IA generativa, somadas a orientações sobre anonimização. No fim de 2024, o board já fixara o teste de três etapas para o legítimo interesse; falta o detalhamento operacional.
No Brasil, a ANPD colocou raspagem e IA entre os temas prioritários do biênio 2026-2027 e mantém, até dezembro de 2026, a fase de testagem do sandbox regulatório de IA, conduzida com apoio da USP. A leitura dos documentos de planejamento da autoridade é hoje o melhor termômetro do que pode virar norma ao longo do ano.
Nos Estados Unidos, a Califórnia discute projeto que retira dados obtidos por "extração automatizada em massa" da exceção de informação pública da CCPA, trazendo o dado raspado de volta ao escopo protegido — modelo que Solove e Hartzog apontam como referência para outros legisladores.
CNIL e holandesa AP divergem sobre o caminho
Não há consenso entre os reguladores, e essa divergência é parte do risco. A CNIL francesa, em orientação de 2025, admitiu que o desenvolvimento de IA com dados acessíveis publicamente pode se apoiar em legítimo interesse, desde que cumpridos os testes de necessidade e proporcionalidade e respeitados sinais de recusa na origem — leitura pragmática, próxima da do ICO britânico.
Na ponta oposta, a autoridade holandesa sustenta que raspar dados com finalidade de lucro dificilmente preenche o teste de legítimo interesse e tende a exigir consentimento prévio. A CNIL rejeita expressamente a tese de que o consentimento seria hierarquicamente superior às demais bases do art. 6 do GDPR.
No meio do caminho, decisões nacionais oscilam: um tribunal alemão entendeu que raspar dado público não é, por si, violação ao GDPR, desde que haja transparência e opção de oposição. O próprio EDPB repete "caso a caso", o que transfere a definição para cada autoridade — e mantém a insegurança para quem opera em escala.
Na data de 30 de junho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
