Os dados das crianças não deixam de ser dados de crianças quando a IA começa a usá-los.
Isso parece óbvio. Operacionalmente, porém, cria um problema muito mais complexo.
Uma organização pode coletar informações pessoais de crianças por meio de um site, aplicativo, dispositivo conectado, serviço educacional, jogo ou outra experiência digital. Essas informações podem posteriormente ser inseridas em plataformas de análise, data lakes, conjuntos de dados para treinamento de IA, sistemas de geração aumentada por recuperação, copilotos, modelos ou fluxos de trabalho de agentes.
Nesse ponto, duas discussões regulatórias começam a se cruzar.
As normas de privacidade infantil regem como as organizações abrangidas coletam, usam, divulgam, protegem, retêm e excluem informações pessoais de crianças. Os requisitos de IA regem cada vez mais a forma como as organizações desenvolvem, implementam, monitoram e controlam sistemas automatizados e de IA.
As leis não se transformam em um único quadro regulatório. Mas os dados subjacentes podem ficar sujeitos a vários requisitos simultaneamente.
Isso faz dos dados das crianças um ponto de conexão crucial entre privacidade e Governança de IA.
COPPA + IA: Os dados conectam os requisitos
• A COPPA ainda se aplica quando a IA entra no fluxo de trabalho. O uso de IA não elimina as obrigações existentes relativas às informações pessoais de crianças abrangidas pela lei.
• A IA cria novos usos para dados existentes. As informações das crianças podem ficar disponíveis para treinamento, recuperação, inferência, personalização, sugestões, decisões automatizadas ou ações de agentes.
• O consentimento requer contexto de dados. As organizações precisam entender se as informações de crianças são inseridas na IA e se esse uso está de acordo com os requisitos de consentimento e finalidade aplicáveis.
• A retenção de talentos torna-se uma questão de governança da IA. Os dados retidos para experimentação com IA ou desenvolvimento de modelos ainda exigem uma justificativa plausível para permanecerem armazenados.
• O acesso à IA amplia a questão da exposição. Modelos, aplicativos, contas de serviço, copilotos e agentes podem criar caminhos adicionais para o acesso às informações das crianças.
• Um único inventário de dados deve servir de base para múltiplos controles. As equipes de privacidade, segurança, assuntos jurídicos, dados e governança de IA precisam de um entendimento compartilhado sobre os dados das crianças que estão por trás de suas decisões.
Como a COPPA e as regulamentações de IA se inter-relacionam?
A COPPA e as regulamentações de IA se cruzam quando os sistemas de IA coletam, acessam, processam, inferem, retêm, compartilham ou atuam sobre informações pessoais de crianças.
O Lei de Proteção à Privacidade Online de Crianças A Lei COPPA e a Regra COPPA estabelecem proteções em torno das informações pessoais coletadas online de crianças menores de 13 anos por operadores abrangidos pela lei. A Comissão Federal de Comércio revisou a regra. Regra COPPA Reforça os requisitos em áreas como consentimento dos pais, divulgação a terceiros, retenção de dados, eliminação, segurança e determinadas categorias de informações pessoais.
As regulamentações e os requisitos de governança da IA abordam um conjunto diferente de riscos. Dependendo da jurisdição e do caso de uso, podem se concentrar em decisões automatizadas, transparência, governança de dados, gestão de riscos, segurança, responsabilização, supervisão humana ou proteção de menores.
Uma organização pode, portanto, enfrentar uma questão de privacidade infantil e uma questão de governança de IA sobre o mesmo conjunto de dados.
Por exemplo:
- Os dados dessas crianças deveriam ter sido coletados?
- A organização obteve o consentimento necessário?
- Por que a organização ainda o mantém?
- Um modelo de IA pode usá-lo para esse propósito?
- Quais aplicações de IA podem acessá-lo?
- Um fluxo de trabalho de IA revela essa informação a terceiros?
- Um sistema de IA consegue inferir informações adicionais sobre a criança?
- Um agente pode agir com base em informações associadas à criança?
- A organização consegue rastrear e excluir as informações quando necessário?
Essas questões abrangem privacidade, segurança, governança, ciclo de vida, identidade e IA.
Os programas regulatórios podem permanecer separados. Os dados, não.
O que mudou com a COPPA?
A FTC finalizou as alterações ao Regulamento de Proteção da Privacidade Online das Crianças que reforcem a proteção das informações pessoais de crianças, incluindo mudanças relacionadas ao consentimento dos pais, segurança da informação, retenção e exclusão, e a definição de informações pessoais.
Entre outras alterações, a norma revisada exige consentimento parental verificável e separado para certas divulgações de informações pessoais de crianças a terceiros, inclusive para publicidade direcionada. Ela também limita a retenção ao período razoavelmente necessário para a finalidade específica para a qual as informações foram coletadas e exige uma política de retenção de dados por escrito. A definição revisada de informações pessoais também inclui identificadores biométricos que podem permitir o reconhecimento automatizado ou semiautomatizado.
Essas mudanças são importantes para a IA porque os programas de IA podem criar pressão para reter mais dados, combinar conjuntos de dados, desenvolver novas finalidades e tornar as informações acessíveis a sistemas adicionais.
Um conjunto de dados coletado para uma experiência com um produto pode se mostrar valioso posteriormente como dados de treinamento. Interações históricas podem ser úteis para o aprimoramento do modelo. Dados de voz, imagem, comportamento, localização ou identificação podem se tornar entradas para novos recursos de IA.
O valor da IA não elimina a necessidade de justificar a coleta, o uso, a divulgação e a retenção das informações das crianças.
Por que a IA muda o ciclo de vida dos dados das crianças
Os programas tradicionais de privacidade geralmente seguem um ciclo de vida reconhecível: coletar dados, usá-los para fins comerciais, compartilhá-los onde permitido, retê-los enquanto necessário e excluí-los quando a finalidade terminar.
A IA pode dificultar o acompanhamento desse ciclo de vida.
Os dados podem ser movidos para conjuntos de treinamento, repositórios de recursos, bancos de dados vetoriais, registros de solicitações, ambientes de desenvolvimento de modelos, índices RAG, repositórios analíticos ou aplicativos de IA. As equipes podem copiá-los e transformá-los. Os sistemas de IA podem derivar novos contextos a partir deles. Os agentes podem recuperá-los por meio de permissões existentes.
Isso levanta uma importante questão de governança:
Será que a organização conseguirá acompanhar os dados das crianças depois que a IA se tornar mais uma consumidora desses dados?
O ciclo de vida dos dados e da IA para crianças
A IA adiciona novas aplicações sem eliminar as obrigações de privacidade existentes.
Coletar
Que informações pessoais de crianças são inseridas na organização?
Classificar
Quais informações exigem controles de privacidade para crianças?
Usar
O uso pretendido da IA está em conformidade com o consentimento, a finalidade e as políticas vigentes?
Acesso
Quais pessoas, aplicativos, modelos e agentes podem alcançá-lo?
Reter
Será que um propósito documentado ainda justifica mantê-lo?
Excluir
A organização pode remover dados que não pertencem mais ao fluxo de trabalho?
O princípio de controle: Os dados das crianças precisam de governança ao longo de todo o seu ciclo de vida, inclusive quando a IA se torna mais um local onde esses dados são utilizados.
O treinamento de IA não cria uma exceção de retenção ilimitada.
Uma das áreas de convergência mais importantes envolve a retenção.
A versão revisada da regra COPPA limita a retenção de informações pessoais de crianças ao período razoavelmente necessário para cumprir a finalidade específica para a qual a organização as coletou. Os operadores abrangidos pela lei também devem manter uma política de retenção por escrito que aborde a necessidade comercial e o cronograma de exclusão.
Isso é importante quando as organizações acumulam dados históricos para análises futuras, desenvolvimento de modelos, experimentação ou treinamento de IA.
A possibilidade de que uma informação possa se tornar útil para a IA não cria automaticamente um motivo para mantê-la indefinidamente.
As organizações devem ser capazes de conectar os dados retidos de crianças à sua finalidade aprovada, política aplicável, propriedade, requisitos de ciclo de vida e uso de IA.
“"Podemos precisar disso para IA mais tarde" não é uma estratégia de ciclo de vida de dados.
O consentimento deve acompanhar os dados na IA.
A IA também complica o consentimento porque o uso previsto no momento da coleta de dados pode ser diferente do uso proposto posteriormente por uma equipe de IA.
De acordo com a COPPA, os operadores abrangidos geralmente precisam de consentimento parental verificável antes de coletar, usar ou divulgar informações pessoais de crianças, a menos que se aplique uma exceção. A regra revisada também exige consentimento separado para certas divulgações a terceiros.
Uma organização precisa, portanto, de mais do que evidências de que o consentimento ocorreu em algum ponto da jornada do cliente.
É necessário contexto suficiente para entender o que o consentimento abrange, a que dados se aplica, como essas informações são usadas e se os fluxos de trabalho de IA posteriores permanecem consistentes com os requisitos aplicáveis.
Isso se torna particularmente importante quando as informações são utilizadas no treinamento de modelos, ajuste fino, RAG (Random Access Group), serviços externos de IA, personalização ou outros fluxos de trabalho secundários.
A abordagem da BigID para Consentimento para IA Conecta a inteligência de consentimento com o uso de dados por IA, para que as equipes de privacidade possam identificar onde as escolhas de consentimento e o processamento por IA podem divergir.
O consentimento não pode reger o uso de dados de IA se a organização perder o contexto de consentimento quando os dados entrarem na IA.
A Age Assurance cria seu próprio problema de governança de dados.
As organizações podem precisar de indicadores relacionados à idade para aplicar medidas de proteção a crianças ou menores de idade. No entanto, determinar a idade em si pode exigir informações pessoais.
Em fevereiro de 2026, a FTC emitiu uma declaração de política de fiscalização abordando certas questões. tecnologias de verificação de idade De acordo com a COPPA, a declaração descreve as condições que envolvem a limitação da finalidade, a exclusão imediata, as salvaguardas de terceiros, a notificação, a segurança e as medidas razoáveis para garantir a precisão das informações coletadas exclusivamente para determinar a idade.
Isso cria um princípio de design importante:
Não transforme a verificação de idade em mais um reservatório desnecessário de dados sensíveis.
As organizações devem compreender quais informações um processo de verificação de idade coleta, por que as coleta, para onde vão, quem pode acessá-las, por quanto tempo permanecem armazenadas e se sistemas de IA ou de análise subsequentes podem reutilizá-las.
A biometria conecta a privacidade infantil e a IA de forma ainda mais direta.
A versão revisada Regra COPPA Amplia a definição de informação pessoal para incluir identificadores biométricos que podem permitir o reconhecimento automatizado ou semiautomatizado de um indivíduo.
Isso pode incluir tecnologias que envolvem características como impressões digitais, impressões de mãos, padrões de retina, padrões de íris, dados genéticos, impressões vocais, padrões de marcha, modelos faciais ou impressões faciais quando usadas para reconhecimento, conforme previsto na Norma.
A inteligência artificial torna as informações biométricas cada vez mais úteis para autenticação, personalização, reconhecimento, segurança, prevenção de fraudes e aplicações relacionadas à idade.
Essa utilidade aumenta a importância de saber onde as informações biométricas existem e se um sistema de IA pode acessá-las.
Para organizações que lidam com informações de crianças, os dados biométricos não devem desaparecer em uma classificação genérica de "conjunto de dados de IA".
A sensibilidade das informações subjacentes deve acompanhar os dados na IA.
A IA pode ampliar quem ou o que pode acessar os dados das crianças.
Os dados das crianças podem já estar sujeitos a controles de acesso humano.
A IA adiciona caminhos de acesso não humanos.
Aplicações, APIs, contas de serviço, identidades de máquinas, copilotos, sistemas RAG, modelos e agentes podem todos fazer parte da cadeia de acesso.
Um usuário pode ter acesso legítimo a um conjunto de dados, enquanto um aplicativo de IA operando por meio desse usuário herda o mesmo alcance. Um agente pode receber autoridade delegada. Um sistema RAG pode indexar um repositório contendo informações pessoais de crianças. Uma conta de serviço pode conectar um aplicativo de IA a um banco de dados.
O resultado é uma questão de segurança mais ampla:
Quem ou o que pode acessar os dados das crianças, e esse acesso está de acordo com a finalidade aprovada para a IA?
Governança de Acesso à IA Ajuda a conectar identidades de IA e caminhos de acesso com dados empresariais sensíveis, para que as organizações possam identificar alcances excessivos ou inadequados.
Os dados das crianças podem se tornar dados de IA sem que elas precisem se mudar.
As organizações não devem presumir que as informações das crianças se tornam uma preocupação de governança de IA apenas quando alguém as copia para um conjunto de dados de treinamento.
Sistemas RAG, copilotos e agentes podem trazer IA para repositórios empresariais existentes.
Um documento pode permanecer na mesma plataforma de colaboração. Um registro de cliente pode permanecer no mesmo banco de dados. Uma transcrição de suporte pode permanecer no mesmo aplicativo.
O que muda é que agora um sistema de IA pode recuperar ou agir sobre essa informação.
É por isso que a governança de dados de IA exige visibilidade tanto da movimentação quanto da acessibilidade.
Os dados não precisam ser migrados para a IA para que a IA crie um novo risco de dados.
E quanto às regulamentações de IA que protegem especificamente os menores?
A COPPA não é a única estrutura que as organizações podem precisar considerar.
Os requisitos de IA e segurança digital abordam cada vez mais questões relacionadas a menores, verificação de idade, IA conversacional, tomada de decisão automatizada, transparência e segurança. Os requisitos exatos variam de acordo com a jurisdição, o sistema, a faixa etária e o caso de uso.
Por exemplo, o Colorado promulgou uma Lei de Segurança de Chatbots em 2026 que inclui requisitos relativos à estimativa de idade, divulgações para IA conversacional, ferramentas de privacidade e gerenciamento de contas para menores e salvaguardas para usuários adolescentes. Suas disposições entram em vigor em 1º de janeiro de 2027. O Colorado também revisou sua lei de tomada de decisão automatizada, que cria requisitos em torno de sistemas automatizados usados em decisões importantes e entra em vigor na mesma data.
Fora dos Estados Unidos, as organizações também podem precisar considerar a proteção da privacidade infantil de acordo com leis como o GDPR, juntamente com os requisitos de IA aplicáveis.
A lição prática é não reduzir todas essas leis a uma única lista de verificação.
Mapeie as regulamentações aos dados, ao sistema de IA, à pessoa, à finalidade, à jurisdição e à decisão que elas efetivamente regem.
Comece com os dados das crianças.
Saiba o que você tem antes que a IA crie outro uso para isso.
Veja como a BigID ajuda as organizações a descobrir informações pessoais de crianças, entender o acesso e o compartilhamento, aplicar controles de retenção e exclusão e gerar evidências para a conformidade com a COPPA.
A convergência ocorre na camada de dados.
As equipes de privacidade podem ser responsáveis pela conformidade com a COPPA. As equipes de segurança podem ser responsáveis pela exposição de dados. As equipes de governança de IA podem ser responsáveis pelos riscos de modelos e agentes. As equipes de identidade podem gerenciar o acesso. As equipes de dados podem ser responsáveis pela linhagem e qualidade dos dados. As equipes de produto podem ser responsáveis pela experiência do cliente.
As informações das crianças podem circular por todos esses programas.
Se cada equipe mantiver um inventário, classificação, modelo de propriedade ou compreensão do uso de IA separados, a organização poderá criar lacunas exatamente onde as regulamentações se cruzam.
Uma abordagem mais eficaz começa com a inteligência de dados compartilhada.
Onde a COPPA e a governança de IA se encontram
Requisitos diferentes. Contexto de dados compartilhado.
Dados das crianças
Que informações a organização detém?
Consentimento + Finalidade
Por que a organização pode coletar e usar essa informação?
Identidade + Acesso
Quais humanos e sistemas de IA conseguem alcançá-lo?
Uso de IA
Como a IA recupera, processa, infere ou age com base nesses dados?
Vida útil
A organização deve mesmo assim reter as informações?
Evidências
As equipes podem demonstrar quais controles aplicaram?
Como as organizações devem governar os dados de crianças para IA?
1. Descubra as informações pessoais das crianças
Aumente a visibilidade em ambientes estruturados e não estruturados, em vez de limitar o inventário ao aplicativo onde a organização coletou as informações originalmente.
2. Classifique-o com especificidade suficiente.
Identifique os tipos de informações de crianças envolvidas, incluindo identificadores, identificadores persistentes, geolocalização, imagens, áudio, informações de conta e dados biométricos aplicáveis.
3. Conectar Consentimento e Finalidade
Compreenda por que a organização coletou as informações, quais requisitos de consentimento ou outros se aplicam e se o uso proposto de IA permanece consistente com esses limites.
4. Mapear o acesso humano e de IA
Identificar usuários, grupos, aplicativos, contas de serviço, terceiros, identidades de máquinas, modelos, copilotos e agentes que possam acessar os dados das crianças.
5. Rastrear o uso de IA
Determine se as informações das crianças entram em conjuntos de dados de treinamento, sistemas RAG, repositórios de vetores, prompts, saídas, fluxos de trabalho de desenvolvimento de modelos, análises ou processos de agentes.
6. Minimizar dados
Identificar informações desnecessárias, duplicadas, obsoletas ou retidas em excesso sobre crianças e determinar se a organização ainda tem uma necessidade justificável de retê-las.
7. Aplicar os critérios de retenção e exclusão.
Conecte as regras de retenção aos dados reais e crie fluxos de trabalho para exclusão segura quando as informações não servirem mais à finalidade aprovada.
8. Avaliar o risco da IA
Avalie os sistemas de IA no contexto dos dados sensíveis que utilizam, das políticas aplicáveis, dos indivíduos afetados, do acesso, da finalidade e dos potenciais resultados.
9. Monitorar mudanças
Os sistemas de IA, os conjuntos de dados, o acesso, os fornecedores, os modelos e os objetivos mudam. A governança deve detectar mudanças significativas, em vez de se basear apenas na aprovação original.
10. Preservar as evidências
Manter evidências de descoberta, classificação, contexto de consentimento, governança de acesso, retenção, exclusão, avaliação de risco, remediação e outros controles exigidos pelas obrigações da organização.
Como a BigID ajuda a conectar a conformidade com a COPPA à governança de IA
A BigID aborda a proteção de dados infantis a partir dos dados em si.
A BigID ajuda as organizações a descobrir informações pessoais de crianças em nuvem, SaaS, bancos de dados, aplicativos, arquivos, plataformas de análise e repositórios não estruturados; classificar informações confidenciais; entender o acesso e o compartilhamento com terceiros; identificar dados desnecessários ou retidos em excesso; aplicar políticas de retenção e exclusão; e gerar evidências que comprovem a conformidade com a COPPA.
A BigID também pode conectar dados corporativos com sistemas de IA, identidades, permissões, linhagem, atividades, políticas e riscos, para que as organizações possam entender onde as informações confidenciais se cruzam com a IA.
Isso cria um modelo de controle conectado:
Dados de crianças → Consentimento → Finalidade → Identidade → Acesso → Uso de IA → Retenção → Ação → Evidências
O valor não está em combinar diferentes regulamentações em uma única regra.
O valor reside em proporcionar a diferentes decisões regulatórias e de governança uma compreensão compartilhada dos dados subjacentes.
Conecte os pontos entre dados e IA.
Proteja os dados das crianças onde quer que a IA os leve.
Veja como a BigID conecta informações pessoais de crianças com consentimento, acesso, ciclo de vida, uso de IA, políticas, riscos e remediação para ajudar equipes de privacidade, segurança e governança de IA a transformar requisitos em controles mensuráveis.
Perguntas frequentes sobre a COPPA e a IA
A COPPA se aplica à IA?
A COPPA pode ser aplicada quando um operador abrangido pela regra coleta, usa ou divulga informações pessoais online de crianças menores de 13 anos. O uso de IA nesse ambiente não exime as organizações das obrigações da COPPA. As organizações devem avaliar os dados, o serviço, o uso e as circunstâncias específicas para determinar os requisitos aplicáveis.
Os dados de crianças podem ser usados para treinar IA?
As organizações não devem presumir que a posse de informações pessoais de crianças autoriza automaticamente seu uso para treinamento de IA. É necessário que as organizações avaliem a finalidade original, o consentimento parental aplicável, a divulgação, a retenção, a segurança e outros requisitos legais antes de usar informações de crianças em um fluxo de trabalho de IA.
Como a versão revisada da regra COPPA afeta a retenção de dados de IA?
A versão revisada da regra COPPA limita a retenção de informações pessoais de crianças ao período razoavelmente necessário para cumprir a finalidade específica para a qual as informações foram coletadas e exige que os operadores abrangidos mantenham uma política de retenção por escrito. O potencial valor futuro da IA não elimina, por si só, essas exigências.
A COPPA abrange informações biométricas de crianças?
A versão revisada da Lei de Proteção da Privacidade Online das Crianças (COPPA) amplia a definição de informações pessoais para incluir identificadores biométricos que podem permitir o reconhecimento automatizado ou semiautomatizado de um indivíduo. Organizações que utilizam informações biométricas em sistemas de IA ou relacionados à idade devem verificar se a COPPA e outros requisitos aplicáveis se aplicam a elas.
De que forma a verificação de idade afeta a privacidade das crianças?
Os processos de verificação e confirmação de idade podem coletar informações pessoais para determinar a idade de um usuário. As organizações devem limitar essas informações ao estritamente necessário, protegê-las, restringir sua reutilização, controlar a divulgação a terceiros e excluí-las quando não forem mais necessárias, de acordo com os requisitos aplicáveis.
De que forma os agentes de IA criam riscos adicionais para os dados das crianças?
Os agentes de IA podem combinar acesso a dados com ferramentas e autoridade de ação. Um agente pode recuperar informações de crianças por meio de permissões existentes, enviá-las para outro sistema, modificar registros ou acionar fluxos de trabalho subsequentes. As organizações devem compreender as identidades, permissões, dados, ferramentas, destinos e políticas envolvidas.
A COPPA e as regulamentações de IA são a mesma coisa?
Não. A COPPA estabelece requisitos específicos de privacidade online para crianças nos EUA para os operadores abrangidos. As leis e regulamentações de IA abordam riscos diferentes e variam de acordo com a jurisdição e o caso de uso. Elas podem se sobrepor quando um sistema de IA processa ou age sobre informações pessoais de crianças.
Que controles ajudam as organizações a gerenciar os dados de crianças usados pela IA?
As organizações podem descobrir e classificar informações pessoais de crianças, conectar consentimento e finalidade, mapear o acesso humano e de IA, rastrear o uso de IA, minimizar dados desnecessários, impor retenção e exclusão, avaliar o risco da IA, monitorar mudanças, remediar a exposição e manter evidências de controles.
Como a BigID auxilia na conformidade com a COPPA e na governança de IA?
A BigID ajuda as organizações a descobrir e classificar informações pessoais de crianças, compreender o acesso e o compartilhamento de dados, identificar dados desnecessários e retidos em excesso, dar suporte à retenção e exclusão desses dados e gerar evidências de conformidade. A BigID também conecta dados corporativos a sistemas de IA, identidades, permissões, linhagem, atividades, políticas e riscos para dar suporte à segurança e governança da IA.
Autor
