Até 2026, o debate jurídico sobre deepfake no Brasil girava quase todo em torno de prova: como identificar, como impugnar, de quem é o ônus. A Lei 15.487, sancionada em 6 de agosto de 2026 e publicada no Diário Oficial da União em 7 de agosto, abriu uma segunda frente — o uso de inteligência artificial passou a ser elemento de crime, e não apenas um problema probatório.
Este é um texto técnico sobre um tema duro. Ele trata de crimes sexuais contra crianças e adolescentes, e o trato aqui é o do Direito: o que mudou na lei, o que isso significa na prática profissional e onde ficaram as zonas cinzentas. Sem sensacionalismo, porque o assunto não precisa disso para ser grave.
O que a lei fez, em três movimentos
A Lei 15.487/2026 nasceu do Projeto de Lei 3066/2025 e alterou o Estatuto da Criança e do Adolescente. Segundo as agências oficiais do Senado e da Câmara, três movimentos importam:
1. Um tipo penal para a montagem por IA. Produzir imagem ou vídeo que simule, por montagem ou por inteligência artificial, a participação de criança ou adolescente em conteúdo de violência sexual passou a ter pena de reclusão de 3 a 5 anos, e multa. É a mudança de fundo: a conduta deixa de depender de haver uma vítima registrada em imagem real para ser crime autônomo.
2. O uso de IA como causa de aumento. Nos demais crimes de violência sexual contra crianças e adolescentes, a pena aumenta de um terço a dois terços quando há emprego de inteligência artificial, deepfake, filtros, perfis falsos, mecanismos de anonimização, aplicativos de mensagem, redes sociais, salas de bate-papo ou jogos on-line para simular identidade. A tecnologia deixou de ser circunstância neutra e virou fator de dosimetria.
3. Penas maiores em toda a linha, com hediondez. As penas subiram nos tipos principais — produção e distribuição foram de 4 a 8 para 4 a 10 anos; aquisição e posse, de 1 a 4 para 3 a 6 anos; aliciamento, de 1 a 3 para 3 a 5 anos — e o acesso deliberado a esse material pela internet passou a ser conduta típica autônoma, com 3 a 6 anos. A lei também incluiu diversas dessas condutas no rol dos crimes hediondos e substituiu, no ECA, a expressão "pornografia infantil" por "violência sexual contra criança ou adolescente" — mudança de nomenclatura que a doutrina vinha pedindo há anos.
A lei entrou em vigor com a publicação, sem período de vacância.
A parte processual que quase ninguém está discutindo: a ronda virtual
O ponto que mais deve gerar controvérsia nos próximos meses não é penal, é processual. A lei autorizou a chamada ronda virtual: órgãos de investigação podem percorrer ambientes digitais públicos para identificar e coletar arquivos relacionados a esses crimes e, em situação de flagrante ou risco, requisitar dados cadastrais a provedores sem autorização judicial prévia, comunicando o juízo em até 48 horas.
Ou seja: o controle judicial passa a ser posterior. Para quem atua na defesa, isso desloca a discussão de admissibilidade para um terreno novo — a validade da requisição, o cumprimento efetivo do prazo de comunicação, a delimitação do que é "ambiente digital público" e o que acontece com dados colhidos fora dessas balizas. É matéria de nulidade que ainda não tem jurisprudência, e vai ter.
O que isso muda para quem não é criminalista
Três leituras que atravessam áreas:
Deepfake agora tem duas naturezas jurídicas ao mesmo tempo. Ele continua sendo um problema de prova — o conteúdo fabricado que entra num processo, e que se combate pelos meios que reunimos no guia de deepfake como prova. E passou a ser, em determinado recorte, conduta criminalmente típica em si. Não confunda os dois planos numa mesma peça.
A régua de 2026 se formou por camadas, não por um marco único. Enquanto o marco legal geral da IA segue em tramitação, o que efetivamente vigora hoje é um mosaico: os decretos de 2026 que atualizaram o Marco Civil e trataram da violência digital contra a mulher, o ECA Digital, a atuação fiscalizatória da ANPD e agora esta lei penal. Quem espera "a lei da IA" para começar a se organizar está lendo o cenário errado — o panorama completo está no guia da regulação da IA no Brasil.
A assimetria é evidente e vai gerar debate. Quando a vítima é criança ou adolescente, a resposta é penal e severa. Quando a vítima é um adulto e o conteúdo não é íntimo — um deepfake que destrói reputação, que forja a fala de um sócio, que simula uma confissão —, não há tipo penal próprio: sobram a responsabilidade civil e os tipos clássicos de calúnia, difamação e falsidade. É a lacuna que a doutrina começou a apontar em agosto de 2026 e que provavelmente ocupa a próxima rodada legislativa.
O que o profissional faz com isso na segunda-feira
Se você atua na área da infância ou no criminal, a dosimetria mudou: o emprego de IA é causa de aumento expressa, e a hediondez altera regime e benefícios.
Se você atua em digital ou dados, a ronda virtual é a novidade a acompanhar — é onde o controle judicial posterior vai ser testado.
Se você atua em qualquer outra área, a lição é a de calibragem: a resposta brasileira à IA está vindo em camadas setoriais, e cada camada cria dever novo em um recorte específico. Acompanhar só o marco geral é ficar desatualizado sem perceber.
