Lei de chatbots de IA do Colorado: o que a HB 1263 muda e quando

São duas datas, não uma

A confusão é estrutural, não culpa de ninguém. Leis do Colorado sem cláusula de urgência entram em vigor noventa dias depois do encerramento dos trabalhos legislativos — a janela em que ainda caberia uma petição de referendo pelo artigo V, seção 1(3) da constituição estadual. Na sessão de 2026 essa data caiu em 12 de agosto de 2026, e é a que os rastreadores legislativos colocam na coluna de "vigência".

A própria lei então fixa o início dos deveres substantivos: 1º de janeiro de 2027. O relatório anual à procuradoria-geral vem ainda mais tarde. Portanto, uma manchete dizendo que a lei de chatbots do Colorado já está em vigor é tecnicamente correta e praticamente enganosa. Se você abriu um aplicativo de companhia em Denver esta semana, nada nele precisava estar diferente.

O que a lei realmente exige

A HB 26-1263 regula um serviço de inteligência artificial conversacional: um sistema disponível ao público que simula principalmente a conversa humana por meio de comunicação adaptativa em texto, imagem ou áudio. Aplicativos de companhia e plataformas de chat com personagens estão exatamente dentro dessa definição — a conversa é o produto, não um recurso de apoio acoplado a outra coisa.

Operador é quem desenvolve e disponibiliza esse serviço ao público. A distinção tem efeito real. Uma empresa que embute um widget de chat de terceiros costuma ser cliente de um operador, e não operadora ela mesma, e a responsabilidade é desenhada para recair sobre quem opera o chatbot, não sobre o desenvolvedor do modelo a montante.

Os deveres se dividem em cinco grupos:

• Estimativa de idade. Os operadores devem estimar a idade dos titulares de conta e dos usuários com métodos comercialmente razoáveis ou geralmente aceitos. Repare no verbo: estimar, não verificar.
• Aviso. Todo usuário precisa ser informado de que o serviço é inteligência artificial, e não um ser humano.
• Limites específicos para menores. Quando o operador sabe que o usuário é menor, precisa fornecer avisos específicos, retirar pontos ou recompensas desenhados para aumentar o uso e adotar medidas tecnicamente viáveis contra conteúdo sexual explícito, representações íntimas e dependência emocional simulada. Também precisa parar de responder a solicitações sobre conduta sexual com menores e oferecer ferramentas de privacidade e gestão de conta ao menor ou ao responsável.
• Protocolo de crise. Um protocolo documentado de resposta a expressões de ideação suicida ou automutilação, reportado anualmente à procuradoria-geral.
• Sem se passar por profissional. A saída do sistema não pode ser apresentada como fornecida, endossada ou equivalente aos serviços de um profissional licenciado ou certificado.

A fiscalização corre pela procuradoria-geral do Colorado, e a infração é tratada como prática comercial enganosa sob a Colorado Consumer Protection Act. Os resumos publicados discordam sobre a multa civil por infração, então não citamos um valor aqui; o caminho de fiscalização é a parte relatada de forma consistente.

A cláusula que mais dá pano para manga

"Dependência emocional simulada" é a expressão de maior consequência da lei e também a menos definida. Todo aplicativo de companhia que funciona produz alguma resposta emocional — isso é a categoria, não um defeito dela. A norma não traça uma linha entre um personagem que lembra do seu aniversário e outro projetado para tornar a saída custosa, e a diferença entre os dois está numa intenção de design difícil de ler de fora.

Na prática, o núcleo exigível deve ser a cláusula vizinha, a que proíbe pontos e recompensas que aumentem o uso entre menores, porque sequências diárias, bônus de login e medidores de afeto desbloqueáveis são observáveis de um jeito que o design emocional não é. Já escrevemos que a mecânica de retenção é onde os aplicativos de companhia se afastam discretamente do uso saudável; o Colorado é a primeira lei estadual dos EUA que conhecemos a nomear esse mecanismo diretamente, em vez de tratá-lo como questão de conteúdo.

Onde o Colorado se encaixa na onda de 2026

Ele não é exceção. Um rastreador mantido pela Transparency Coalition registrou catorze medidas de segurança sobre chatbots aprovadas em treze estados durante 2026, e as datas de vigência se concentram à frente, não atrás.

Percorra a coluna de vigência e o padrão salta aos olhos: o ano legislativo de 2026 produziu as leis, e 2027 é quando elas mordem. A data de vigência precoce do Colorado é um artefato de técnica legislativa, não prova de que ele avançou mais rápido no mérito.

O que você vai notar de fato, e quando

Uma pergunta sobre idade que chega mais cedo

Estimativa de idade é um padrão mais fraco do que verificação documental, e vale guardar essa diferença: o Colorado não exige escanear passaporte. Mas operadores que atendem vários estados ao mesmo tempo costumam construir para a exigência mais rígida que enfrentam, então o resultado prático pode ser mais severo do que esta lei sozinha produziria. O cadastro já é o ponto em que aplicativos de companhia mais perdem usuários, um problema que tratamos em atrito de onboarding.

Mecânicas de engajamento sumindo das contas de adolescentes

Sequências e ciclos de recompensa são baratos de remover e fáceis de auditar, então são a primeira coisa a desaparecer quando uma conta é classificada como de menor. A distância entre a experiência adulta e a adolescente tende a aumentar ao longo de 2027, não a diminuir.

Tratamento de crise virando superfície de conformidade

Quando um protocolo documentado passa a ser reportável a uma procuradoria-geral estadual, sua qualidade deixa de ser apenas escolha de produto. A falha a vigiar é o excesso de disparo — um encaminhamento que dispara com a palavra "morrer" dentro de uma cena de batalha de fantasia entrega experiência pior do que outro que lê o contexto, e é justamente o tipo de coisa que se publica quando o prazo aperta.

O que isso não resolve

O Colorado deixa aberta a mesma pergunta que o relatório do Congressional Research Service apontou como a questão central não resolvida: quanta identidade um aplicativo precisa coletar antes de poder decidir o que mostrar a você. A estimativa de idade é um meio-termo deliberado entre isso e não fazer nada, e se ela se sustenta depende inteiramente de como a procuradoria-geral vai ler "comercialmente razoável" quando os deveres começarem.

Para quem está fora dos EUA, os marcos operantes continuam sendo o artigo de transparência do Regulamento de IA da UE e as medidas provisórias da China, ambos já em vigor — lembrete de que o mosaico estadual americano é a mais lenta das três trilhas, não a que abre caminho. Se você prefere agir na própria conta em vez de esperar 2027, nosso checklist de privacidade cobre os ajustes disponíveis hoje.

Perguntas frequentes