Requisitos da UE para sites em 2027: acessibilidade, cookies, IA

Que regras da UE se aplicam ao site de uma empresa: o mapa para 2027

O site de uma empresa da UE, ou com clientes da UE, fica sujeito a vários conjuntos de regras ao mesmo tempo. Não se substituem umas às outras e dizem respeito a partes diferentes do site. Reunimos tudo num só mapa para que perceba o que perguntar ao advogado.

• Acessibilidade. Diretiva (UE) 2019/882, European Accessibility Act: se aplica desde 28 de junho de 2025.
• Dados pessoais. O Regulamento Geral (GDPR): o que coleta, para quê, como o comunica e como o protege.
• Cookies e rastreadores. A diretiva ePrivacy e a prática dos reguladores nacionais: consentimento antes de ativar a análise e a publicidade.
• Inteligência artificial. Regulamento (UE) 2024/1689, EU AI Act: obrigações de transparência para chatbots e conteúdo gerado.
• Dados do prestador e condições para consumidores. Por exemplo, o Impressum para sites dirigidos à Alemanha e à Áustria, e informação sobre as condições de pagamento, devolução e arrependimento.

Este guia é para quem está no Brasil (ou fora da UE) e atende clientes europeus: a LGPD continua valendo para os dados dos clientes brasileiros, e as regras da UE se somam a ela. Importante: não somos advogados e não emitimos pareceres jurídicos. Aqui expomos o que dizem os documentos oficiais e as análises de escritórios de advogados em outubro de 2026, e indicamos onde as fontes divergem. Qualquer decisão sobre o seu site convém combiná-la com um advogado que conheça o seu mercado. Se está começando o caminho com a empresa, comece pelo artigo como abrir uma empresa na Europa, e sobre o site para o banco leia que site o banco e o Stripe exigem para abrir conta.

European Accessibility Act: requisitos de acessibilidade para sites na UE

O Ato da Acessibilidade se aplica desde 28 de junho de 2025. Entre os serviços abrangidos está o comércio eletrônico: serviços prestados à distância, a pedido do consumidor, para celebrar um contrato de consumo. Segundo análises de escritórios de advogados, isto se aplica também a empresas fora da UE, se venderem a consumidores na UE. Os sites que funcionam só para empresas (B2B) e não celebram contratos de consumo normalmente ficam fora do escopo, mas a fronteira depende de como o site está construído.

O que se exige na prática

• A informação e as interfaces precisam ser perceptíveis, utilizáveis, compreensíveis e robustas. A referência para verificação são as normas WCAG e a norma europeia EN 301 549.
• Todo o percurso do cliente: catálogo, descrição do produto, carrinho, pagamento, apoio.
• Uma declaração de acessibilidade publicada e procedimentos que mantenham a conformidade.
• Colaboração com a autoridade de fiscalização nacional quando solicitada.

Exceções

Para as microempresas prestadoras de serviços (menos de 10 funcionários e volume de negócios ou balanço até € 2 milhões) está prevista uma exceção. Mas as análises divergem sobre como ela se aplica ao comércio eletrônico, e os países da UE transpuseram a diretiva para as leis nacionais de modos diferentes. Existe também uma exceção à parte para os casos em que o cumprimento dos requisitos é desproporcionadamente pesado ou altera a essência do serviço. Quem resolve essas questões é um advogado, e não o título de um artigo.

O que fazer, para o desenvolvedor: contraste, legendas nas imagens, estrutura de títulos, formulários com campos legendados, controle por teclado, foco visível, ausência de armadilhas no menu. Isto se prevê melhor na fase de design. O quadro geral das outras mudanças no desenvolvimento descrevemos no artigo tendências de desenvolvimento web em 2027.

Lista de verificação GDPR para sites: elementos obrigatórios

O GDPR se aplica se tratar dados pessoais de pessoas na UE: através de um formulário de pedido, assinatura, conta, pagamento, análise, chat ou vídeo. A dimensão da empresa e o seu país não o afastam, se oferecer bens e serviços a pessoas na UE ou observar o seu comportamento. O mínimo para um site:

• Política de privacidade. Quem é, que dados coleta, para quê, com que fundamento, a quem os transmite, por quanto tempo os guarda, como a pessoa pode exercer os seus direitos. Em linguagem simples.
• Informação no formulário. Junto ao formulário, um link claro para a política e, se for preciso, uma caixa de consentimento separada; não pode vir marcada de antemão.
• Lista de serviços a quem transmite dados. E-mail, CRM, análise, hospedagem, sistema de pagamento. Com eles são necessários contratos de tratamento de dados.
• O mínimo de dados. Não pergunte o que não é preciso para a tarefa.
• Segurança. HTTPS, acesso limitado, backups, proteção dos formulários.
• Canais para pedidos das pessoas. Um endereço de e-mail para questões sobre dados e um processo claro de resposta.

Incluímos esses pontos por padrão nos sites, e os textos das políticas os fazemos como modelos para a jurisdição: a verificação final cabe ao advogado do cliente. Nos países da UE há nuances e nomes próprios: na Alemanha é a Datenschutzerklärung, na Polônia o RODO, na Espanha a LOPDGDD. Não mudam o sentido, mas influenciam as formulações.

Aviso de cookies: o que verificam os reguladores

Os cookies e tecnologias semelhantes (pixels, SDK) exigem o consentimento do visitante se não forem necessários para o funcionamento do site. A prática dos reguladores nos últimos anos se tornou mais rigorosa. O CNIL francês sublinha que recusar cookies precisa ser tão simples como aceitar, e ordenou aos editores que alterassem avisos em que a recusa estava escondida ou desenhada para que o usuário escolhesse «aceitar». A abordagem de países diferentes varia: por exemplo, se é necessário o botão de recusa na primeira camada do aviso. Os reguladores francês e britânico falam dele diretamente; outros, como o espanhol, são mais brandos nas formulações. Por isso, oriente-se pelos requisitos do país a que o site se dirige.

Como é uma boa implementação

• Antes do consentimento não se carregam a análise, a publicidade nem vídeos de terceiros com rastreamento.
• Os botões «aceitar» e «recusar» são iguais no aspecto e ficam lado a lado.
• Há definições detalhadas por categorias e uma lista dos cookies usados.
• A escolha é guardada e fácil de mudar mais tarde.
• O idioma do aviso coincide com o da página.

Se não precisa de rastreadores, a solução mais simples é abrir mão deles e usar uma análise sem cookies. Então o aviso pode ser mínimo. Mas tome a decisão sobre «se é preciso aviso» com um advogado no seu país.

EU AI Act e IA no site: o que já está em vigor

O Regulamento (UE) 2024/1689 foi introduzido por fases. Segundo análises de escritórios de advogados, a data principal é 2 de agosto de 2026: a partir dela passaram a se aplicar as obrigações de transparência do artigo 50º. Se o site tem um assistente de IA ou um chatbot, a pessoa precisa ser informada de que fala com IA, se isso não for óbvio. O conteúdo gerado por IA (imagens, som, vídeo, texto) deve ser sinalizado de forma legível por máquina, e os deepfakes e alguns textos publicados para informar o público devem ser explicitamente marcados. Para sistemas lançados antes de 2 de agosto de 2026, as análises indicam um prazo transitório para a marcação até 2 de dezembro de 2026.

Os requisitos para sistemas de «risco elevado» (por exemplo, no recrutamento ou na avaliação de pessoas) foram, segundo as mesmas análises, adiados pelo «omnibus digital» (segundo as análises, Regulamento (UE) 2026/1744, publicado em julho de 2026) para 2 de dezembro de 2027 para certas categorias e para 2 de agosto de 2028 para as integradas em produtos. No site comum de uma pequena empresa, os sistemas de risco elevado quase não aparecem. Como nos baseamos em análises e não no texto das alterações, confronte as datas atuais no Jornal Oficial e com um advogado.

O que fazer no site: sinalize o bot como IA na primeira mensagem, indique como entrar em contato com uma pessoa, não publique imagens geradas de pessoas como «clientes reais» e mantenha uma lista interna das ferramentas de IA que usa. Sobre o custo e o funcionamento dos bots escrevemos no artigo quanto custa um chatbot ou assistente de IA para empresas, e sobre como o site pode aparecer nas respostas dos serviços de IA, no artigo como aparecer nas respostas do ChatGPT: GEO em vez de SEO.

Impressum, dados da empresa e condições para consumidores

Para sites dirigidos à Alemanha e à Áustria é preciso o Impressum (menção legal): os dados do prestador do site, acessíveis sem esforço excessivo. A nota da IHK Ostwestfalen remete para o § 5 DDG. Normalmente o Impressum inclui o nome e a forma jurídica, o endereço, o meio de contato (e-mail e um segundo canal), os dados de registro e, se aplicável, o número de IVA e a pessoa responsável. A composição depende da atividade, por isso é verificada por um advogado.

Se vende a consumidores, o site deve ter condições claras: preços com impostos, formas de pagamento e de entrega, prazo e modo de devolução, informação sobre o direito do consumidor a desistir do contrato, contatos para reclamações. Não é uma «formalidade bonita»: é aqui que os bancos e os sistemas de pagamento olham, e os erros levam a disputas e multas. Sobre o que o banco verifica escrevemos no artigo que site o banco e o Stripe exigem para abrir conta. Para um site novo com páginas legais para a jurisdição serve o «Site em 24 horas» por US$ 659, e para um site com blog e dois idiomas, o «Site empresarial» por US$ 2.790.

Um conselho prático: monte o «dossiê do site», um só documento com a lista de páginas, formulários, serviços a que se transmitem dados, cookies usados e ferramentas de IA, a data da última verificação e o nome do responsável. Esse dossiê economiza tempo ao advogado, ajuda a responder depressa a um pedido do banco ou do regulador e mostra que leva os requisitos a sério. Deve se atualizar a cada alteração relevante do site: um novo formulário, um novo serviço de análise, um novo widget. As infrações surgem muitas vezes não na criação do site, mas mais tarde, quando alguém acrescentou um script de que se esqueceu de falar ao advogado.

Lista de verificação: o site cumpre os requisitos da UE

Assinale os pontos que tem cumpridos. A lista é um instrumento de autoverificação, e não um parecer jurídico nem um certificado de conformidade. Se parte dos pontos ficar por assinalar, é motivo para falar com o advogado e o desenvolvedor.

Como a elaboramos: tomamos os pontos que decorrem dos documentos e da prática dos reguladores acima referidos. Os pesos refletem a influência de cada ponto no risco. Para a verificação bancária há uma lista à parte no artigo sobre o banco e o Stripe.

O que escolher na sua situação

• Se vende a consumidores na UE. Comece pela acessibilidade e pelas condições de compra, depois cookies e políticas. É o que mais vezes verificam tanto os clientes como os bancos.
• Se o seu site é só um cartão de visita e um formulário de pedido. Bastam a política, um formulário correto e um aviso cuidado; a acessibilidade convém prevê-la na mesma.
• Se o site tem um chat de IA. Assinale-o como IA e dê um canal para falar com uma pessoa.
• Se o site é antigo. Encomende uma auditoria: a auditoria SEO por US$ 539 mostra a base técnica, e a acessibilidade e os pontos jurídicos se verificam à parte com um advogado.
• Se está escolhendo quem fará o site. Leia como escolher uma agência web sem se enganar: pergunte como o fornecedor prevê a acessibilidade e a privacidade.
• Se quer perceber se todo o projeto está pronto. Faça o quiz «Está pronto para desenvolver o seu produto?»: dá uma análise personalizada e um desconto no desenvolvimento, com um código promocional que lhe chega por e-mail (não vale para o «Site em 24 horas»).

As regras e interpretações mudam, por isso verifique o estado atual na data da decisão. Os requisitos para clientes no seu país esclareça-os com um advogado; não emitimos pareceres jurídicos.