EUA avançam em normas sobre dados

Atualização 27 de agosto de 2026: A nota incorpora que a prorrogação da responsabilidade limitada para empresas que compartilham informações de cibersegurança com seus pares vence em 30 de setembro de 2026, segundo a Global Finance Magazine. O restante da pauta legislativa sobre privacidade, IA e controles à transferência de tecnologia continua aberto.

Em 20 de agosto de 2026, a Câmara dos Representantes dos Estados Unidos apresentou o projeto H.R. 10118, batizado de No Data Center NDAs Act, para proibir que membros do Congresso assinem certos acordos de confidencialidade ligados a data centers. A proposta foi enviada no mesmo dia ao House Committee on House Administration e segue na etapa Introduced.

O que o No Data Center NDAs Act pretende mudar?

O projeto busca impedir que legisladores federais firmem determinados nondisclosure agreements relacionados a data centers, segundo o título oficial registrado no Congress.gov. O texto legislativo ainda acrescenta a fórmula "e para outros fins", mas o material disponível não traz detalhes adicionais sobre o alcance prático da medida.

Em que contexto surge essa iniciativa?

A apresentação do projeto ocorre em um Congresso que, até agosto de 2026, ainda não aprovou uma lei federal integral de privacidade de dados. Uma análise recente citada pela Legis1 destaca que persiste uma lacuna regulatória em nível federal para a proteção de dados pessoais, inclusive em temas sensíveis como a geolocalização de veículos, apesar de haver várias propostas em tramitação.

Entre elas estão H.R. 8413, voltado à regulação de data brokers e de certos intercâmbios de dados de consumidores; H.R. 6734, que poderia cobrir o acesso, a venda e a troca de dados de veículos, incluindo geolocalização; e H.R. 2110, pensado para facilitar que sobreviventes de violência doméstica desativem tecnologias conectadas em veículos. Todas continuam sem aprovação do Congresso.

Que outros frentes regulatórios seguem abertas em Washington?

O debate federal também continua ativo em inteligência artificial, cibersegurança e controles à transferência de tecnologia. O CDT informou que várias iniciativas para regular chatbots e proteger menores estão em tramitação, entre elas o Youth AI Privacy Act e o GUARD Act, apresentado em dezembro de 2025, ainda sem aprovação nesta sessão.

Em paralelo, o Cybersecurity Information Sharing Act voltou ao centro da discussão legislativa. Segundo a Global Finance Magazine, as empresas que compartilham informações de cibersegurança com seus pares têm até 30 de setembro de 2026 antes de expirar a responsabilidade limitada prevista na lei de 2015. A Legis1 acrescentou que o programa de compartilhamento voluntário de informações sobre ameaças cibernéticas foi estendido apenas até essa data por meio de legislação orçamentária. A Global Finance Magazine também informou que a Câmara incluiu uma extensão em partes da NDAA para 2027, embora esse trecho ainda aguardasse aprovação do Senado no momento do relatório.

A mesma cobertura alertou que, sem nova prorrogação, expiram as proteções de responsabilidade limitada para o compartilhamento voluntário de informações sobre ameaças cibernéticas previstas na lei de 2015.

Como isso impacta empresas e operações fora dos Estados Unidos?

As obrigações de compliance também estão avançando para o plano corporativo e transnacional. Um grupo bipartidário e bicameral de legisladores pediu ao Departamento de Comércio que finalize e fortaleça regras propostas em 2024 para exigir licenças de cidadãos e empresas americanas que ofereçam suporte tecnológico ou técnico a agências de inteligência civis ou militares em 45 países considerados de risco.

A carta legislativa propõe restringir a lista de países confiáveis a governos com histórico sólido em direitos humanos e que não espionem os Estados Unidos. Também pede obrigações de divulgação para contratados de vigilância que atendam a agências de inteligência ou segurança em países não confiáveis antes de receber tecnologia ou assistência americana, além de ampliar os controles sobre reconhecimento facial para outras tecnologias biométricas de vigilância.

Esse endurecimento regulatório já aparece em transações corporativas. Documentação recente enviada à SEC mostra cláusulas em operações de fusões e aquisições de tecnologia que afirmam que as partes não estão sujeitas à Executive Order 14117 nem às normas de implementação em 28 C.F.R. § 202, um sinal de como essas restrições sobre dados sensíveis passam a integrar as verificações de compliance e as declarações contratuais.