A premissa de que a Europa define o teto regulatório nos mercados digitais está sendo silenciosamente desmantelada. Não por oposição política. Por arquitetura legislativa.
A premissa de que a Europa define o teto regulatório nos mercados digitais está sendo silenciosamente desmantelada. Não por oposição política. Por arquitetura legislativa.
Na proteção de menores, as diretrizes preliminares da Comissão colocam a categorização biométrica baseada em idade fora do nível de alto risco. O raciocínio é internamente coerente. Não é mais representativo de onde o consenso vinculante está se formando.
O Age Appropriate Design Code do Reino Unido não classifica tecnologias para então atribuir proteções. Parte do sujeito: o usuário é uma criança, e a arquitetura deve refletir isso incondicionalmente. Rótulos de risco são irrelevantes para a análise. A obrigação os precede.
O Online Safety Amendment da Austrália impôs exclusão categórica de menores de dezesseis anos das plataformas de mídias sociais. Não um requisito de configuração. Não uma medida de proteção de dados. Uma intervenção estrutural no nível do próprio acesso.
O ECA Digital do Brasil, em vigor desde março de 2026, proíbe o perfilamento comportamental de menores a partir de quaisquer dados, incluindo dados coletados durante a verificação de idade, e se aplica a qualquer serviço com probabilidade de ser acessado por crianças no país, independentemente de onde esse serviço esteja incorporado ou de como é classificado no exterior.
Não estão sozinhos. Do regime de enforcement da ARCOM na França à legislação avançada de verificação de idade do Canadá e à legislação de nível estadual nos Estados Unidos, a direção é a mesma. Os detalhes variam. A premissa não.
Essa premissa é estrutural: um menor em um ambiente digital é um sujeito vulnerável, e o ônus da proteção recai sobre o serviço incondicionalmente, antes de qualquer classificação de risco. Ela produz uma arquitetura regulatória fundamentalmente diferente. Uma que não espera por um rótulo antes de exigir um padrão.
Para organizações que ainda tratam a classificação europeia como o teto operacional em avaliações de risco e design de produto: o teto não está em Bruxelas. E está subindo.
The assumption that Europe sets the regulatory ceiling on digital markets is being quietly dismantled. Not by political opposition. By legislative architecture.
On the protection of minors, the Commission's draft guidelines place age-based biometric categorisation outside the high-risk tier. The reasoning is internally coherent. It is also no longer representative of where the binding consensus is forming.
The UK's Age Appropriate Design Code does not classify technologies and then assign protections. It starts from the subject: the user is a child, and the architecture must reflect that unconditionally. Risk labels are irrelevant to the analysis. The obligation precedes them.
Australia's Online Safety Amendment imposed categorical exclusion of under-sixteens from social media platforms. Not a configuration requirement. Not a data protection measure. A structural intervention at the level of access itself.
Brazil's Children's Digital Statute, in force since March 2026, prohibits behavioural profiling of minors from any data, including data gathered during age verification, and applies to every service likely to be accessed by children in the country regardless of where that service is incorporated or how it is classified abroad.
They are not alone. From France's ARCOM enforcement regime to Canada's advancing age-assurance legislation, and across state-level legislation in the United States, the direction is the same. The specifics vary. The premise does not.
That premise is structural: a minor in a digital environment is a vulnerable subject, and the burden of protection falls on the service unconditionally, before any risk classification is performed. It produces a fundamentally different regulatory architecture. One that does not wait for a label before requiring a standard.
For organisations still treating European classification as the operative ceiling in risk assessments and product design: the ceiling is not in Brussels. And it is still rising.
La premisa de que Europa establece el techo regulatorio en los mercados digitales está siendo silenciosamente desmantelada. No por oposición política. Por arquitectura legislativa.
En la protección de menores, las directrices preliminares de la Comisión sitúan la categorización biométrica basada en la edad fuera del nivel de alto riesgo. El razonamiento es internamente coherente. Pero ya no es representativo de dónde se está formando el consenso vinculante.
El Código de Diseño Apropiado para la Edad del Reino Unido no clasifica tecnologías para luego asignar protecciones. Parte del sujeto: el usuario es un niño, y la arquitectura debe reflejarlo incondicionalmente. Las etiquetas de riesgo son irrelevantes para el análisis. La obligación las precede.
La Enmienda de Seguridad en Línea de Australia impuso la exclusión categórica de los menores de dieciséis años de las plataformas de redes sociales. El Estatuto Digital del Niño de Brasil, en vigor desde marzo de 2026, prohíbe la elaboración de perfiles conductuales de menores a partir de cualquier dato, incluidos los recopilados durante la verificación de edad.
La premisa es estructural: un menor en un entorno digital es un sujeto vulnerable, y la carga de protección recae sobre el servicio incondicionalmente, antes de que se realice cualquier clasificación de riesgo.
Para las organizaciones que aún tratan la clasificación europea como el techo operativo en las evaluaciones de riesgo: el techo no está en Bruselas. Y sigue subiendo.
La premessa che l'Europa definisca il soffitto regolatorio nei mercati digitali viene silenziosamente smantellata. Non per opposizione politica. Per architettura legislativa.
Sulla protezione dei minori, le linee guida preliminari della Commissione collocano la categorizzazione biometrica basata sull'età al di fuori del livello ad alto rischio. Il ragionamento è internamente coerente. Ma non è più rappresentativo di dove si sta formando il consenso vincolante.
L'Age Appropriate Design Code del Regno Unito non classifica le tecnologie per poi assegnare protezioni. Parte dal soggetto: l'utente è un bambino, e l'architettura deve rifletterlo incondizionatamente. Le etichette di rischio sono irrilevanti per l'analisi. L'obbligo le precede.
Lo Statuto Digitale dell'Infanzia del Brasile, in vigore dal marzo 2026, vieta la profilazione comportamentale dei minori a partire da qualsiasi dato, compresi i dati raccolti durante la verifica dell'età, e si applica a qualsiasi servizio che probabilmente sarà accessibile ai bambini nel paese.
La premessa è strutturale: un minore in un ambiente digitale è un soggetto vulnerabile, e l'onere della protezione ricade sul servizio incondizionatamente, prima che venga eseguita qualsiasi classificazione del rischio.
Per le organizzazioni che ancora trattano la classificazione europea come il soffitto operativo nelle valutazioni del rischio: il soffitto non è a Bruxelles. E sta ancora salendo.