Gestão de riscos sistêmicos: o novo papel das plataformas digitais

O cerne da mudança normativa e jurisprudencial que alcançou as plataformas digitais é a passagem de um regime centrado na remoção individual de conteúdo para um modelo orientado à gestão contínua de riscos. O Supremo Tribunal Federal, ao julgar os temas relevantes sobre aplicação do artigo 19 do Marco Civil, e os decretos federais editados em maio de 2026 introduziram deveres de cuidado e obrigações de monitoramento que transformam o critério de imputação da responsabilidade civil.

Contexto

Desde a promulgação do Marco Civil da Internet (Lei 12.965/2014), a responsabilização de provedores de aplicações estava estruturada em torno da existência de ordem judicial específica para remoção de conteúdo, com exceções pontuais (por exemplo, mecanismos extrajudiciais previstos para casos restritos). Essa arquitetura privilegiava a atuação pontual sobre publicações concretas. Nos últimos anos, houve uma inflexão: o STF decidiu, em temas de alta relevância, pela inconstitucionalidade parcial do regime restritivo e estabeleceu disciplina transitória que ampliou a possibilidade de responsabilização fundada em notificações extrajudiciais e em noções de responsabilidade presumida para determinados mecanismos de disseminação. Paralelamente, a ação normativa do Poder Executivo materializou conceitos como "dever de cuidado", "falha sistêmica" e "risco sistêmico", que vêm sendo harmonizados com tendências regulatórias internacionais (Digital Services Act, Online Safety Act).

A controvérsia é central porque desloca o ponto de partida da imputação: não se discute apenas se houve descumprimento de uma ordem, mas se a plataforma dispunha e documentou políticas, processos e controles capazes de mitigarem riscos de circulação massiva de ilícitos. Essa mudança impacta liberdade de expressão, compliance das empresas e o papel das autoridades regulatórias.

O que foi decidido

A orientação consolidada recentemente pelo STF e pelos decretos federais passou a reconhecer duas dimensões da responsabilização. Primeiro, uma presunção relativa de responsabilidade alcança práticas associadas à promoção paga de conteúdo e à difusão inorgânica por meios automatizados, que pode ser elidida mediante prova de diligência adequada. Segundo, e mais inovador, foi afirmado o dever de cuidado quanto a crimes graves quando tais condutas não são episódios isolados, mas sinalizam uma falha sistêmica na prevenção e remediação.

Os decretos instituíram obrigações expressas: plataformas devem monitorar continuamente riscos, identificar e avaliar padrões nocivos, e adotar medidas proporcionais, tecnicamente viáveis e documentadas. A falha sistêmica configura-se quando a empresa não evidencia a existência de medidas de prevenção e remoção compatíveis com o estado da técnica capazes de reduzir a circulação massiva de conteúdos ilícitos. Ao mesmo tempo, o regime veda responsabilização baseada exclusivamente em ocorrência isolada de conteúdo e prevê mecanismos de justificativa quando houver "dúvida razoável" sobre o caráter ilícito de material, em atenção à proteção da livre manifestação.

Em síntese, a imputação não decorre automaticamente da mera presença de conteúdo ilícito: exige-se demonstração de conhecimento — ou de previsibilidade do padrão de risco — e omissão na adoção de medidas proporcionais e documentadas.

Base normativa e precedentes

• Art. 5º, CF/88 — garante a liberdade de expressão e informa a ponderação necessária diante de medidas restritivas.
• Lei 12.965/2014 (Marco Civil da Internet) — regime de responsabilidade dos provedores, notificações e ordens judiciais; base histórica da disciplina.
• Decreto 8.771/2016 (alterado) — regras regulamentares do Marco Civil atualizadas pelos decretos subsequentes.
• Decreto 12.975/2026 — introduz dever específico de cuidado para lista de crimes graves e obrigação contínua de monitoramento, identificação e gestão de riscos sistêmicos.
• Decreto 12.976/2026 — normas análogas voltadas à prevenção e mitigação de violência contra a mulher no ambiente digital.
• Lei 13.709/2018 (LGPD) — referência à accountability e necessidade de documentação de decisões automatizadas e medidas de segurança.
• Jurisprudência recente do STF (Temas 987 e 533) — delineou presunção relativa para anúncios e reconheceu a noção de falha sistêmica em crimes graves.
• Nota Técnica 5/2026/CGTAD/SRE/ANPD — documento público reconhecendo que critérios de consolidação ainda estão em curso.

Impacto prático

• Para advogados de tecnologia e compliance: maior ênfase em políticas internas, provas documentais e auditorias; defesa passa a exigir demonstração de diligência ex ante, com registros de avaliação de risco e mitigação.
• Para plataformas e provedores: obrigação de estruturar programas de gestão de risco proporcionais ao porte, com ciclos periódicos de fiscalização e relatórios técnicos; aumento de custos de conformidade e necessidade de adaptação tecnológica.
• Para titulares de direitos e vítimas: abre caminho para responsabilização quando demonstrada falha estrutural na prevenção de danos; contudo, proteção à liberdade de expressão é preservada pela previsão de "dúvida razoável".
• Para o Judiciário e órgãos de fiscalização: mudança do foco probatório imporá demanda por perícias, padrões técnicos e critérios metodológicos para avaliar medidas tomadas pelas plataformas.

O que observar

• Metodologia e prova: falta ainda definir padrões técnicos detalhados para documentação, auditoria e mitigação; autoridades e reguladores deverão complementar normas para uniformizar a prova da diligência.
• Modulação de efeitos: processos em curso podem demandar discussão sobre aplicação retroativa ou prospectiva das novas obrigações; há risco de decisões discrepantes até consolidação jurisprudencial.
• Recurso e constitucionalidade: temas relativos à limitação da liberdade de expressão e à proporcionalidade das medidas poderão ser objeto de recursos e eventual controle concentrado.
• Diferenciação por porte: o próprio texto regulatório admite proporcionalidade segundo porte econômico e risco — cabe aos operadores do direito demonstrar como implementar critérios objetivos.
• Intersecção com LGPD: políticas de gestão de riscos devem observar princípios da Lei Geral de Proteção de Dados, especialmente quanto à accountability e tratamento automatizado.

Conclusão: o novo marco recombina responsabilidade, técnica e prova. Advogados e empresas precisam migrar da defesa reativa centrada em casos concretos para uma defesa proativa baseada em governança, documentação e avaliações periódicas de risco. Essa transformação exige clarificação normativa adicional e desenvolvimento de critérios técnicos que permitam avaliação homogênea das medidas adotadas pelas plataformas.