O que um regulador encontrou dentro do Replika

Dois anos de processo, em ordem

A primeira linha é o que os usuários sentiram. Numa manhã o app parou de responder, e o motivo não estava no app: estava numa decisão assinada em Roma. Ninguém que conversava com ele todo dia tinha feito nada de errado, e ninguém tinha qualquer alavanca para resolver. É o cenário que descrevemos em outro texto como o serviço que some debaixo dos usuários, e este é o primeiro caso documentado dele na categoria.

A segunda linha quase nenhuma reportagem menciona, e é a mais importante hoje: o bloqueio foi derrubado. Não porque a autoridade tenha mudado de ideia, mas porque a empresa fez o que foi mandada fazer. A checagem de idade que você encontra ao se cadastrar existe porque um regulador exigiu. O Replika funciona na Itália hoje — quem pesquisa se o serviço continua bloqueado está lendo notícia de três anos atrás.

Os quatro apontamentos

Vale a precisão. Uma lista detalhada e verificável de apontamentos contra um produto deste tipo existe exatamente uma vez, e cada item dela é algo que dá para procurar por conta própria no próximo app em que você se cadastrar.

A decisão de 19 de maio de 2025 concluiu que a empresa:

1. não havia identificado base legal para o tratamento de dados. É o ponto mais técnico e o mais pesado: a empresa não sabia dizer em qual das hipóteses previstas se apoiava para manter aqueles dados.
2. tinha uma política de privacidade inadequada em vários aspectos.
3. não havia implementado nenhum mecanismo de verificação de idade — nem no cadastro, nem durante o uso —, embora declarasse excluir menores do seu público.
4. publicava essa política apenas em inglês, sem considerar a língua do país em que o serviço era oferecido.

O terceiro item merece uma pausa. O apontamento não é ter admitido menores. É ter declarado que os excluía sem dispor de nenhum instrumento capaz de fazer isso. A distância entre o que um serviço escreve nos termos e o que o serviço realmente faz é exatamente o que uma autoridade tem meios de medir — e exatamente o que nenhum usuário mede sozinho.

O caso depois foi publicado pelo Comitê Europeu de Proteção de Dados, o que o tirou da prática apenas italiana e o colocou diante de todas as outras autoridades de controle da União.

A investigação que continua aberta

A parte menos citada da decisão de maio de 2025 é que, no mesmo dia, começou outra.

Ela não trata da política nem da idade. Trata do sistema de inteligência artificial generativa em si: a avaliação de riscos, as medidas de proteção de dados nas fases de desenvolvimento e treinamento do modelo, quais dados foram efetivamente usados e se houve anonimização ou pseudonimização.

Traduzindo: o primeiro processo perguntava o que vocês fazem com os dados de quem se cadastra. O segundo pergunta com o que vocês construíram o modelo. Nenhuma empresa desta categoria precisou responder isso em público até agora.

Quantos dos cinco passariam nas mesmas verificações

Dois dos quatro apontamentos não dá para verificar de fora. Se uma empresa tem base legal válida e se a política dela é suficiente são perguntas que exigem processo administrativo, respostas prestadas sob obrigação e dois anos. Não vamos fingir que isso se faz num navegador.

Os outros dois qualquer um verifica, e nós verificamos, nos cinco serviços do nosso comparativo.

Idade. Ou existe alguma coisa entre você e a conta, ou não existe.

Releia essa coluna com o apontamento italiano ao lado. O serviço mais bem equipado do comparativo verifica identidade em dois países, e os serviços que verificam alguma coisa verificam onde um regulador mandou: o Online Safety Act britânico, a comissária australiana de segurança online. Para quem usa do Brasil, nenhum dos cinco faz o que a autoridade italiana exigiu da Luka — e nenhum regulador brasileiro exigiu coisa equivalente desta categoria até agora. A verificação de idade aqui não chega por convicção: chega por ordem, e para na fronteira do país que deu a ordem.

Fica registrada a contradição: o Estatuto da Criança e do Adolescente coloca a maioridade em 18 anos no Brasil como em qualquer outro lugar, e a distância entre essa regra e uma caixinha marcada é a mesma que a autoridade italiana mediu. O que falta não é a norma sobre a idade. É alguém com poder para conferir se ela está sendo cumprida.

A língua. O quarto apontamento se verifica em dez segundos: abra a política de privacidade do serviço que você usa e veja em que língua ela está escrita. Interface traduzida não é a mesma coisa e não deve ser confundida com isso — o GirlfriendGPT publica o site em doze idiomas, lista que lemos nos arquivos de tradução do próprio serviço, e que mostra exatamente quais países a empresa sabe serem o mercado dela. O que foi apontado é o documento que explica o que acontece com os seus dados, não o marketing em volta.

Com quem você está assinando de verdade

Antes das quatro perguntas existe uma de número zero, e é a camada que dá para reconstruir de fora em qualquer serviço, porque as próprias empresas publicam.

Nada disso é acusação. É o que os documentos dizem, e a dispersão é o ponto. A Candy AI é uma empresa da União Europeia com número de registro que dá para conferir, ou seja, está dentro das regras europeias por obrigação e não por ordem administrativa. Uma empresa cipriota que estipula lei de Hong Kong oferece outra coisa ao mesmo cliente. Competência não é papelada: é o que decide qual autoridade pode fazer por você o que o Garante fez pelos usuários italianos.

O que a decisão significa para você no Brasil

Nada de forma direta, e bastante de forma indireta.

A decisão italiana vale na Itália. O que ela mostra ao consumidor brasileiro é que o desenho jurídico daqui é do mesmo tipo: a Lei Geral de Proteção de Dados alcança o tratamento de dados de pessoas que estão no Brasil mesmo quando a empresa está fora, exatamente como o regulamento europeu alcançou uma empresa americana. Você tem direito de pedir confirmação do tratamento, cópia dos seus dados e a eliminação deles, e tem direito de peticionar contra o controlador perante a Autoridade Nacional de Proteção de Dados.

O que não temos é um caso brasileiro equivalente. Não encontramos decisão da ANPD sobre um app de companhia com IA — nem bloqueio, nem multa, nem apontamento sobre verificação de idade. Isso não significa que os serviços estejam em ordem aqui: significa que ninguém olhou, que é uma afirmação diferente e mais desconfortável.

Vale comparar os dois caminhos que existem. A Europa chegou a esta categoria pela proteção de dados e se mexeu em 2 de fevereiro de 2023. Os Estados Unidos chegaram pela responsabilidade do fabricante, a partir de uma ação civil protocolada em outubro de 2024 — o que aquela juíza decidiu e por que todo mundo reescreveu as regras de idade depois é uma história à parte. Duas portas diferentes, o mesmo prédio. O Brasil tem a lei de dados do primeiro caminho e o Código de Defesa do Consumidor para o segundo, e não tem ainda uma decisão que use nenhum dos dois contra um app desta categoria.

O que dá para fazer

Mais do que parece, e menos do que você gostaria.

Comprando do Brasil, o prazo que vale para você é o direito de arrependimento de sete dias do Código de Defesa do Consumidor, e não os catorze dias europeus que aparecem nos termos de vários desses serviços. Some a isso os direitos da LGPD sobre os seus dados e a possibilidade de levar o caso à ANPD. Guarde os comprovantes desde o começo: cobrar qualquer uma dessas coisas de uma empresa estrangeira dá trabalho, e o extrato é a sua prova.

O que não dá para fazer é recuperar um texto que já saiu. Nenhum pedido traz de volta uma conversa que agora existe em cópias que você não controla. Por isso a ordem certa é o inverso da que quase todo mundo segue: as verificações abaixo vêm antes do cadastro, não depois do incidente.

Quatro perguntas antes de escrever qualquer coisa pessoal

O processo italiano é útil porque mostra o que uma autoridade considera relevante. Os mesmos itens se conferem sozinho em quinze minutos, nos termos de qualquer serviço.

1. Qual empresa, sob qual lei. Se os termos não nomeiam ninguém, não existe endereço para reclamar nem lei para invocar.
2. O que separa uma idade declarada de uma idade verificada. Caixinha marcada é uma resposta, só não é a que a frase acima dela sugere.
3. Se a política de privacidade existe em português. Se não existe, a empresa decidiu que aqui se lê inglês, ou não se lê.
4. Se apagar a conta apaga o histórico, e como. Não um chamado ao suporte: um procedimento documentado, com resultado declarado.

Acrescente uma quinta que não é sobre dados e acaba sendo: que nome aparece na fatura. Alguns serviços cobram com o nome comercial, outros com o de uma controladora neutra. Nunca é decisivo, e é o detalhe que ninguém menciona até já estar no cartão.

E dois hábitos que custam zero e valem mais que todo o resto: usar um e-mail que não tenha o seu nome, e nunca repetir senha. No momento em que uma dessas empresas tiver um incidente — e mais cedo ou mais tarde uma tem —, essas duas escolhas são as únicas coisas que estiveram sob o seu controle.

O que isso não diz

Não diz qual app é melhor. A decisão italiana trata dos documentos de uma empresa e de uma verificação de idade que não existia, e cinco milhões de euros de multa não são uma nota de avaliação.

Se você está escolhendo agora, nosso ranking das melhores apps de namorada IA de 2026 avalia preço, limites gratuitos, memória e mídia. Nota de segurança ele não dá, e não vai dar: não existe jeito honesto de colocar um número numa coisa que não é verificável de fora. O processo italiano é a demonstração desse limite — foram dois anos e os poderes de uma autoridade para estabelecer fatos que a página de termos não mostrava.

Preços, limites e termos a gente confere na fonte todo mês, e anota o que não conseguiu verificar. Já que o assunto é dado: o que este site coleta sobre você também está escrito, e é bem menos do que tudo que foi descrito acima.