Regras de segurança para companheiros de IA em 2026: checklist

Quatro coisas moldam a lei de companheiros de IA em outubro de 2026. A SB 243 da Califórnia e a lei de companheiros de IA de Nova York exigem um protocolo contra automutilação e um aviso de IA. O AI Act da UE exige desde 2 de agosto de 2026 que chatbots digam que são IA. A FTC estuda os chatbots de companhia. Os deveres em comum são curtos: avisar que é uma IA, tratar automutilação, proteger menores, respeitar opt-outs. Isto não é aconselhamento jurídico.

Quais regras para companheiros de IA estão em vigor em outubro de 2026?

Quatro textos legais regulam diretamente companheiros de IA ou chatbots que conversam com pessoas. Cada um tem o seu próprio gatilho, então confira onde moram os seus usuários.

O estudo da FTC não é uma regra, então tem a sua própria seção abaixo. Outros estados e países também estão se movendo; este artigo cobre os textos acima.

Nenhuma dessas leis se importa com o canal. Um companheiro que manda mensagens de um número de WhatsApp está coberto como um que vive dentro de um app.

O que a SB 243 da Califórnia exige?

A SB 243 da Califórnia regula os operadores de plataformas de chatbot de companhia. O governador Newsom a sancionou em 13 de outubro de 2025, e ela virou as seções 22601 a 22605 do Business and Professions Code.

Um chatbot de companhia é um sistema de IA com interface em linguagem natural que dá respostas adaptativas, parecidas com as humanas, e pode atender às necessidades sociais de um usuário. Bots usados só para atendimento ao cliente, operações internas, produtividade ou ajuda técnica ficam de fora, assim como personagens de jogos limitados a assuntos do jogo e assistentes de voz simples. Operador é qualquer pessoa que disponibiliza uma plataforma de chatbot de companhia a um usuário na Califórnia.

Os deveres:

• Aviso de IA. Se uma pessoa razoável puder ser levada a achar que fala com um humano, mostre um aviso claro e visível de que o chatbot é gerado artificialmente e não é humano.
• Protocolo contra automutilação. Não deixe o chatbot interagir com os usuários sem manter um protocolo para prevenir conteúdo sobre ideação suicida, suicídio e automutilação. Ele inclui o encaminhamento a serviços de crise, e você deve publicar os detalhes no seu site.
• Usuários que você sabe serem menores. Informe que estão falando com uma IA, mostre um lembrete de pausa pelo menos a cada três horas por padrão e tome medidas razoáveis para que o chatbot não produza imagens sexualmente explícitas nem diga ao menor para ter conduta sexual.
• Advertência. Avise os usuários, em qualquer formato, que chatbots de companhia podem não ser adequados para alguns menores.
• Relatórios. A partir de 1º de julho de 2027, informe anualmente ao Office of Suicide Prevention quantas notificações de encaminhamento a serviços de crise você enviou no ano anterior e quais são os seus protocolos. Nenhum dado pessoal vai no relatório.

A fiscalização é privada. Uma pessoa com lesão concreta pode pedir na Justiça uma ordem judicial (injunction), o maior valor entre os danos reais e $1.000 por violação, e honorários advocatícios.

O que a lei de companheiros de IA de Nova York exige?

O Article 47 da General Business Law de Nova York, “Artificial Intelligence Companion Models”, veio com o orçamento estadual de 2025, sancionado em 9 de maio de 2025. Ele entrou em vigor no 180º dia depois disso, em 5 de novembro de 2025.

A definição é mais estreita que a da Califórnia. Um companheiro de IA simula uma relação humana, ou parecida com a humana, duradoura por meio de três coisas: guarda informações de interações passadas para personalizar a conversa, faz perguntas espontâneas sobre emoções e mantém um diálogo sobre assuntos pessoais. Atendimento ao cliente, pesquisa, ajuda técnica e ferramentas internas ficam de fora. Uma persona que lembra da semana do seu usuário e pergunta como ele se sente está dentro.

Dois deveres se aplicam:

• Protocolo (seção 1701). É ilegal operar ou oferecer um companheiro de IA sem esforços razoáveis para detectar e tratar ideação suicida e automutilação. Quando o companheiro detecta isso, deve avisar o usuário e encaminhá-lo a um serviço de crise, como a linha 988, uma linha de mensagens de texto para crise ou outro serviço adequado.
• Aviso (seção 1702). No início de qualquer interação, e pelo menos a cada três horas em uma interação contínua, o companheiro deve declarar, verbalmente ou por escrito, que o usuário não está se comunicando com um humano. O aviso de início não precisa passar de uma vez por dia.

O procurador-geral do estado faz a lei valer, com multas civis de até $15.000 por dia.

O que a UE exige de um companheiro de IA?

O AI Act da UE exige que os provedores projetem os sistemas de IA que conversam com pessoas de modo que elas sejam informadas de que estão lidando com uma IA. Isso está no art. 50(1) do Regulamento (UE) 2024/1689. O dever só cai quando é óbvio para uma pessoa razoavelmente bem informada, atenta e prudente. O art. 50(5) diz que a informação deve ser clara e dada, o mais tardar, na primeira interação.

O art. 50 vale desde 2 de agosto de 2026. O Digital Omnibus on AI, em vigor desde 27 de julho de 2026, deu aos sistemas já no mercado até 2 de dezembro de 2026, mas só para a marcação legível por máquina de conteúdo gerado do art. 50(2). Ele não mexeu no art. 50(1). Provedor é quem desenvolve um sistema de IA, ou manda desenvolvê-lo, e o coloca no mercado com o próprio nome, então uma marca de companheiro que chama a API de um modelo é, muito provavelmente, a provedora do seu produto. As multas por violação de transparência chegam a 15 milhões de euros ou 3% do faturamento mundial, o que for maior, e para pequenas empresas o menor dos dois.

Uma persona com nome e foto de gente, mandando mensagens de um contato como um amigo, é um caso fraco para a exceção do “óbvio”. Avise.

Duas outras regras europeias já pesam sobre os companheiros:

• Proteção de dados. As conversas com companheiros revelam saúde, sentimentos e vida sexual, que são categorias especiais pelo art. 9 do GDPR e exigem uma exceção, como o consentimento explícito. Em 19 de maio de 2025, a autoridade de proteção de dados da Itália anunciou uma multa de 5 milhões de euros contra a Luka Inc., a empresa por trás da Replika, por não ter identificado uma base legal, ter uma política de privacidade inadequada e não verificar a idade (em fevereiro de 2023).
• Crianças na Itália. A Lei 132/2025, em vigor desde 10 de outubro de 2025, exige o consentimento dos pais para que menores de 14 anos acessem tecnologias de IA. De 14 a 17 anos, o menor pode consentir se a informação fornecida for fácil de achar e de entender.

O que a FTC está investigando?

Em 11 de setembro de 2025, a Federal Trade Commission ordenou que sete empresas prestassem informações sobre os seus produtos de companheiros de IA: Alphabet, Character Technologies, Instagram, Meta Platforms, OpenAI, Snap e xAI. A Comissão votou 3 a 0. As ordens usam a Seção 6(b), que permite estudos amplos sem uma finalidade específica de fiscalização da lei.

As perguntas formam uma lista do que qualquer regulador vai perguntar a quem cria companheiros:

• como você ganha dinheiro com o engajamento
• como você cria e aprova personagens
• como você testa e monitora efeitos negativos, sobretudo em crianças
• como você informa usuários e pais sobre riscos e práticas de dados
• como você faz valer os limites de idade e as suas próprias regras
• como você usa ou compartilha informações pessoais das conversas

Em 19 de outubro de 2026, a página da FTC sobre o estudo mostra as ordens e nenhuma conclusão. Responda a essas perguntas sobre o seu próprio produto agora, por escrito.

Qual é o checklist para quem cria companheiros de IA?

Sete hábitos atendem ao núcleo comum dessas leis. Em cada caso, pegue a regra mais rígida e aplique a todos os usuários.

1. Diga que é uma IA em três lugares. O recado do perfil, a primeira mensagem e um lembrete pelo menos a cada três horas de uma conversa contínua. Na whasp, o perfil (nome de até 25 caracteres, recado de até 139) é definido com PATCH /v1/numbers/{number}, e os lembretes rodam no seu código.
2. Construa o caminho de automutilação antes do lançamento. Detecte no seu pipeline expressões de ideação suicida ou automutilação, saia do papel de personagem, encaminhe para o 988 nos EUA ou para um serviço local nos outros países, e teste com frases reais.
3. Conte e registre. Anote cada encaminhamento a um serviço de crise e cada aviso com o horário. O relatório anual da Califórnia precisa da contagem de encaminhamentos a partir de 1º de julho de 2027, e um registro é a sua prova se alguém processar você.
4. Confira a idade antes de a conversa começar. Pergunte no cadastro, antes de mostrar o link que abre a conversa. Um número de mensagens não verifica idade; o seu cadastro verifica. Aplique as salvaguardas para menores a quem você sabe ter menos de 18 anos, e o consentimento dos pais onde a lei pedir.
5. Mostre a advertência sobre menores, a de que chatbots de companhia podem não ser adequados para alguns menores, na página de cadastro.
6. Publique o seu protocolo no seu site. A Califórnia exige.
7. Respeite opt-outs e pedidos de exclusão. Opt-out e consentimento para agentes de IA trata de STOP, registros e retenção.

Na whasp, o perfil do número carrega o primeiro aviso e todo o resto vive no seu webhook, porque a whasp repassa as mensagens e seus servidores não guardam nenhuma. O seu armazenamento guarda o histórico, então a memória de conversa também é o lugar onde a exclusão acontece. Coloque a frase “sou uma IA” também no seu system prompt, como explica o artigo como escrever prompts para o WhatsApp.

O que fazer agora?

Anote quais regras os seus usuários ativam: Califórnia, Nova York, UE, crianças. Entregue os sete hábitos antes do primeiro usuário. As regras do próprio WhatsApp para IA na Business Platform são outra questão, tratada em seu bot de IA é permitido na API do WhatsApp Business. Para o caminho completo até o lançamento, veja como lançar um companheiro de IA no WhatsApp.

Este artigo descreve os textos das leis em 19 de outubro de 2026. Não é aconselhamento jurídico, e as leis mudam. Peça a um advogado que revise o seu produto antes de lançá-lo ao público.