O design invisível que molda o dano
Considere o papel de um arquiteto no mundo físico. Um arquiteto não é responsável por quem é convidado a entrar em uma casa, o que é uma decisão do proprietário. Tampouco é responsável pela forma como um inquilino usa o espaço. Mas o arquiteto é responsável por projetar uma estrutura que não entrará em colapso, que não prenderá alguém em um incêndio, que não permitirá que ocorram danos devido a uma falha em sua forma física. Os cálculos de suporte de carga devem ser precisos. O telhado não pode ter vazamentos. As paredes devem proteger os ocupantes de danos externos. Essas são obrigações estruturais. Elas não dependem de quem usa o edifício, mas são essenciais para sua capacidade de funcionar com segurança.
Nessa analogia, o equivalente digital do proprietário que instala cartões-chave ou atribui permissões reflete o que definimos em Acesso digital negligenteTM[1] (NDA¹). Esses são controles de camada de acesso, como logins, verificação ou protocolos de autenticação. Eles determinam quem entra e sob quais condições. Mas se o edifício em si não for estruturalmente sólido, se as janelas não funcionarem, se uma sala desabar com o uso normal, se entrar em determinada parte do edifício expuser você a um perigo evitável, então a culpa é do arquiteto, não do usuário ou da política de acesso.
É isso que a Arquitetura Digital Negligente (NDA²) identifica. As plataformas estão sendo construídas com sistemas que sabidamente falham. Se um ambiente digital permite golpes de phishing, permite falsificação de telefone e suprime ativamente a atividade legítima do usuário sem recurso, essas não são simplesmente escolhas de moderação. São falhas de projeto, projetos que refletem um risco previsto. Assim como os fabricantes de automóveis são responsabilizados por liberar conscientemente veículos com sistemas que falham em condições previsíveis, as plataformas digitais devem seguir o mesmo padrão. O dano aqui não é especulativo. É o resultado de escolhas arquitetônicas feitas com pleno conhecimento de suas consequências.
Essa responsabilidade cabe ao gerenciamento do edifício e, nos sistemas digitais, às empresas que projetam e implementam as plataformas que usamos todos os dias.
A Internet moderna é cada vez mais governada não apenas pelo conteúdo, mas pela arquitetura. Cada ação realizada por um usuário é encaminhada por meio de sistemas projetados por corporações de trilhões de dólares, cujos produtos definem a experiência de acesso, expressão e confiança. Esses sistemas não são neutros. Eles são estruturados, dimensionados e monetizados de maneiras que rotineiramente enganam os usuários, suprimem a verdade e convidam ao dano[2]. A teoria da Arquitetura Digital Negligente (NDA²) identifica essas decisões estruturais como um vetor central de danos digitais.
Diferentemente de atos visíveis de moderação ou aplicação de políticas, o NDA² funciona em silêncio. Ele não notifica, explica ou se envolve. Ele simplesmente permite que o dano ocorra por omissão, por atraso, por má orientação e, em seguida, atribui a culpa ao usuário por confiar no sistema que construiu.
Essa teoria se baseia na estrutura fundamental da NDA¹, que analisa como as plataformas permitem que agentes não autorizados interajam com os usuários sob falsa pretensão ou autoridade. Essa teoria centraliza o acesso como o vetor de danos, concentrando-se na decisão de conceder ou negar a entrada e em como o design da plataforma permite a personificação, a manipulação e o alcance não autorizado. Ela introduziu o conceito de pilha digital, uma infraestrutura em camadas em que o dano é criado e reforçado desde o momento da interação.
A NDA² é a arquitetura da contradição: onde a estrutura permite o dano, o silêncio impõe a conformidade e as regras só se aplicam àqueles que as seguem. O dano não é abstrato. Ele é sistêmico. É conhecido. E pode ser evitado.
Não se trata apenas de conteúdo ruim ou de atores ruins. Trata-se de um sistema que permite a persistência de fraudes conhecidas e silencia a experiência[3]. Quando os golpistas têm permissão para falsificar a identidade de uma plataforma e enviar mensagens de phishing sem nenhuma restrição, enquanto a biografia de um especialista verificado é silenciosamente suprimida por usar terminologia precisa sobre abuso sexual e má conduta, a plataforma faz mais do que errar o alvo. Ela codifica o alvo errado. Ela institucionaliza a resposta errada. E operacionaliza o dano sob o pretexto de proteção.
Estrutura teórica: NDA² em comparação com NDA¹ e namoro negligente
A NDA² se baseia no fundamento estabelecido pela NDA¹, que se alinha à contratação negligente. A NDA¹ concentra-se em quem tem permissão para entrar no sistema, destacando as falhas no ponto de entrada, como atores não verificados ou mal-intencionados que obtêm acesso aos usuários por meio de triagem ou credenciamento inadequados.
A NDA², por outro lado, concentra-se no que o sistema permite depois que a entrada ocorre. Ele traça uma linha direta com o design de produtos defeituosos: o sistema está funcionando, o ponto de acesso foi concedido, mas o que acontece dentro da plataforma é regido por uma arquitetura que previsivelmente permite danos.
Essa teoria também se separa do Namoro Negligente, que é paralelo à supervisão negligente. O Namoro Negligente trata de plataformas que não têm nenhuma estrutura de projeto, nenhum protocolo de segurança, nenhuma estrutura de verificação, nenhum modelo de responsabilidade. A ausência de arquitetura é a arquitetura. No NDA², no entanto, a estrutura está presente, mas foi projetada para falhar em condições previsíveis ou, pior ainda, para ser aplicada seletivamente de forma a enganar os usuários e proteger as plataformas da responsabilidade.
A estratégia jurídica apresentada em Herrick v. Grindr[4] ecoa essa lógica. O autor da ação nesse caso não argumentou que o Grindr publicou conteúdo nocivo; ele argumentou que o design do produto do Grindr permitiu que a personificação, o assédio e a perseguição continuassem após mais de 50 denúncias. O dano não era gerado pelo usuário; era permitido pelo sistema. Embora o caso tenha sido arquivado de acordo com a Seção 230, ele abriu a porta para um novo argumento: que a arquitetura da plataforma, e não apenas o conteúdo, pode ser a fonte de responsabilidade.
A NDA² formaliza e avança esse argumento. Ela afirma:
Essa evolução jurídica, conforme visto em Herrick v. GrindrA NDA², por sua vez, ilustra uma mudança no enquadramento do dano - não como conteúdo, mas como consequência do design do produto. A NDA² se baseia nesse fundamento, mas vai um passo além: ela não afirma apenas que foi permitido que o dano ocorresse. Ela argumenta que o dano foi criado.
Em qualquer outro setor, isso seria classificado como uma falha estrutural.
Existem normas internacionais de segurança estabelecidas para produtos físicos, como a ISO 26262[5] no setor automotivo ou ISO 9001[6] para o gerenciamento da qualidade. Esses sistemas existem não porque a falha é garantida, mas porque ela é previsível. Um carro deve passar em um teste de integridade estrutural antes de ser vendido. Um produto não deve entrar no mercado se suas falhas conhecidas puderem colocar o usuário em perigo. O dano é evitado no nível do projeto, e não apenas respondido após o fato.
Porém, no ambiente digital, esse padrão não existe. As plataformas podem ser implantadas em escala global sem requisitos de segurança arquitetônica. Nenhum órgão de certificação exige prova de solidez estrutural antes do lançamento. E, no entanto, essas plataformas afetam o comportamento, a identidade, a subsistência e a segurança, provavelmente com mais alcance do que qualquer outro produto já vendido.
Essa ausência de supervisão é o que o NDA² expõe. Não se trata apenas da presença de danos, mas da previsibilidade desses danos e da decisão da plataforma de liberar a estrutura mesmo assim.
Assim como a marca CE[7] Se a NDA² garante que um produto atenda aos critérios mínimos de segurança europeus antes de entrar no mercado, os sistemas digitais devem ser submetidos a padrões equivalentes de responsabilidade arquitetônica. A NDA² exige que paremos de tratar as plataformas como contêineres inofensivos e comecemos a reconhecê-las como ambientes projetados em que o silêncio, a supressão e a falsificação não são efeitos colaterais infelizes, mas resultados de um projeto negligente.
Danos arquitetônicos em ação: Como o design codifica o risco
Os danos que essa teoria aborda não são teóricos. Eles ocorrem diariamente em sistemas que afirmam proteger os usuários.
Quando um especialista verificado tenta publicar uma biografia profissional que inclui uma linguagem precisa sobre abuso sexual e má conduta institucional, e esse conteúdo é silenciosamente suprimido sem aviso prévio, isso não é uma violação de conteúdo, mas o resultado de um sistema criado para aplicar excessivamente a lei sem transparência. O usuário não fez nada de errado. A arquitetura optou por obscurecer em vez de notificar.
Quando esse mesmo usuário recebe uma mensagem de phishing se passando por suporte da plataforma durante a janela exata em que seu conteúdo foi ocultado, o golpe se torna eficaz não porque a mensagem é confiável, mas porque a própria plataforma criou a confusão. O imitador entra no vácuo. O sistema tornou a fraude crível.
Quando um usuário em crise pesquisa por restauração de incêndio, ajuda com chaveiro ou suporte a companhias aéreas e vê call centers fraudulentos na parte superior dos resultados de pesquisa, enquanto empresas legítimas estão enterradas, isso não é um descuido de conteúdo. Trata-se de um design monetizado. O sistema recompensa a receita e a colocação de anúncios em detrimento da validação e da proteção do público.
Esses danos não foram acidentais. Eles puderam persistir por planejamento.
Responsabilidade e a falácia de culpar o usuário
A NDA² não é uma teoria sobre danos que ocorrem somente no momento do abuso. Ela trata das decisões de design sistêmico que tornam o abuso inevitável muito antes de ocorrer qualquer dano direto. É nesse ponto que ela se distancia dos modelos de responsabilidade de plataforma baseados apenas no conteúdo ou nos cronogramas de moderação.
No litígio federal consolidado In re: Uber Technologies, Inc., Passenger Sexual Assault Litigation (Litígio de agressão sexual a passageiros)[8] (MDL No. 3084), mais de 1.600 reclamantes alegam que o projeto da plataforma da Uber não implementou medidas de segurança adequadas, como triagem adequada de motoristas e recursos de emergência no aplicativo, apesar de estarem cientes dos riscos. Da mesma forma, em Litígio derivado da Lyft Inc.[9]Em setembro de 2008, os acionistas acusaram a liderança da Lyft de negligenciar a segurança dos passageiros, levando a um acordo que incluía compromissos para melhorar os protocolos de segurança e reformas de governança. Essas omissões destacam características tipicamente associadas ao Negligent Dating™: uma ausência de estruturas de segurança, estruturas de verificação e proteções ao usuário.
O NDA² avança esse raciocínio. Ela esclarece que, quando a estrutura de uma plataforma é construída de forma a permitir sistematicamente essas falhas, mesmo quando policia ativamente o discurso neutro ou protetor, o próprio projeto se torna a fonte de responsabilidade. A questão não é apenas o que a plataforma deixa de remover, mas o que ela foi projetada para permitir, ignorar ou incentivar.
Embora essas deficiências evidenciem uma falha na construção para a segurança, a NDA² identifica um dano distinto: não é simplesmente a ausência de projeto, mas a presença de escolhas de projeto que permitem abusos previsíveis. A negligência não está apenas na omissão, mas na arquitetura que sistematicamente permite a persistência de golpes repetidos, falsificações, supressões e recursos atrasados ou ausentes. É a própria estrutura do sistema que se torna o mecanismo do dano.
A distinção é simples, mas fundamental: o abuso não começa no ponto de contato. Ele começa com as escolhas de design que tornaram possível esse contato e o silêncio do sistema em torno dele.
Se você construir um telhado com vazamento, saberá que, quando chover, a água entrará na estrutura. Você sabe que ela danificará o teto, deformará o piso, estimulará o mofo e poderá comprometer a integridade de todo o edifício. Isso não é uma surpresa. É um resultado previsível de uma falha de projeto. E, no entanto, no contexto digital, as plataformas argumentam como se a "chuva em si", ou seja, o predador, o abusador, o golpista, a falsificação de identidade, o link de phishing fosse o ônus do usuário, em vez de reconhecer que o sistema foi construído com um telhado com vazamento.
Essa é a principal distinção da NDA². Quando a pilha de tecnologia é construída com vulnerabilidades conhecidas, seja uma comunicação falsificável, sinais de autoridade não autenticados ou sistemas de moderação opacos, o dano resultante não é acidental. Ele foi projetado no design. Culpar o usuário por "se molhar" não é apenas falso, é negligente.
Em nenhum outro setor toleraríamos uma estrutura que falha em condições normais e previsíveis e, em seguida, desculparíamos essa falha como responsabilidade do ocupante. No entanto, na arquitetura digital, as plataformas desviam a responsabilidade por sua própria lógica de projeto, apontando para o clima, o usuário ou o invasor, tudo menos o vazamento que construíram e não conseguiram consertar.
O caminho a seguir: Accountability in the Age of Infrastructure (Responsabilidade na era da infraestrutura)
Não permitimos que edifícios desabem e culpemos as pessoas que estão dentro deles. Não permitimos que veículos com defeitos conhecidos nos freios permaneçam nas ruas. Exigimos que os carros com sistemas eletrônicos e de software estejam em conformidade com protocolos de segurança rigorosos, como o ISO 26262, que exige segurança funcional em ambientes automotivos, garantindo que os defeitos sejam identificados e resolvidos muito antes de o veículo chegar ao motorista.
Não permitimos que brinquedos infantis não passem por testes de segurança. Não toleramos eletrodomésticos que pegam fogo devido a falhas conhecidas na fiação. Em todos os outros setores, a segurança do produto é um pré-requisito, não uma reflexão tardia. E, no entanto, nos sistemas digitais em que a arquitetura rege a identidade, a comunicação e a confiança, não existem proteções equivalentes.
Tendo trabalhado no setor comercial de um órgão de certificação global que audita a conformidade com as normas ISO e CE em vários setores, obtive uma compreensão clara de como a revisão rigorosa e padronizada do design protege os consumidores - um modelo de responsabilidade totalmente ausente na arquitetura digital atual.
Não há equivalente ISO para a segurança da interface. Não há marca CE para o design da plataforma. Não há revisão UL para lógica algorítmica. As plataformas podem ser dimensionadas globalmente, permitir fraudes, suprimir a verdade e colocar os usuários em risco sem uma única revisão estrutural obrigatória antes do lançamento.
E cada parte da estrutura digital é importante. No mundo físico, o desastre do airbag Takata[10] é um lembrete sombrio: um componente defeituoso usado em dezenas de modelos de carros levou ao maior recall automotivo da história, a várias mortes e ao colapso financeiro total da empresa. A falha não estava no carro como um todo, mas em um único sistema incorporado que teve sua falha permitida. Esse é o padrão que aceitamos em outros lugares: cada peça deve passar por um exame minucioso, pois o risco conhecido nunca é neutro.
No setor de tecnologia, entretanto, essas falhas não só não são regulamentadas, como também são frequentemente monetizadas. Modelos de negócios inteiros
também surgiram:
- Lucrar diretamente com o dano (por meio de estruturas de plataforma que recompensam a desinformação, a manipulação ou a fraude), ou
- Cobrar dos usuários para reparar danos à reputação ou remover conteúdo prejudicial que nunca deveria ter sido permitido em primeiro lugar[11].
Um setor inteiro surgiu a partir das falhas previsíveis da arquitetura digital negligente. As empresas são formadas especificamente para lucrar com as consequências dos danos, um indicador claro de que os danos não se originam de uso indevido aleatório, mas de falhas de projeto estrutural.
Esses modelos de negócios dependem da oferta de serviços como proteção da privacidade para dados vazados por meio de sistemas vulneráveis, reparo da reputação após falsificação ou personificação e remoção de conteúdo somente após a ocorrência de exposição prejudicial.
Cada um desses serviços existe porque a arquitetura falhou. Eles não são soluções - são respostas do mercado a falhas conhecidas e evitáveis. E cada um deles é o resultado direto de uma Arquitetura Digital Negligente (NDA²) avaria.
Essas não são proteções. São soluções de pós-venda para falhas arquitetônicas - serviços vendidos de volta para os próprios usuários que o sistema não conseguiu proteger em primeiro lugar.
No entanto, na área de tecnologia, não há nenhuma doutrina jurídica que tenha evoluído para tratar essas falhas como responsabilidade pelo produto, apesar de atender a todos os limites tradicionais: previsibilidade, falha de aviso, projeto defeituoso e dano mensurável.
Não basta remover retroativamente o conteúdo nocivo. Quando as plataformas são implantadas com pleno conhecimento das vulnerabilidades estruturais, como comunicação falsificável, supressão silenciosa ou aplicação opaca, o dano não é acidental. Ele é projetado. E deve ser tratado como um defeito de projeto, não como uma falha de moderação.
A NDA² exige uma mudança fundamental:
- Da moderação reativa à responsabilidade arquitetônica.
- Da culpabilização dos usuários à certificação de sistemas.
- Da imunidade de plataforma à responsabilidade pelo produto - quando o dano é causado pela própria estrutura que permite que ele prospere.
Os modelos já existem. Códigos de construção. Protocolos de segurança automotiva. Regulamentações de produtos de consumo. Cada um deles foi criado com base na ideia de que é possível evitar danos quando o risco é conhecido. A Internet não deve mais ser a exceção a essa regra.
A estrutura é o dano. E o sistema jurídico deve evoluir não para inventar uma nova doutrina, mas para aplicar a que já temos.
Chamamos isso de responsabilidade pelo produto. Ela existe precisamente para atribuir responsabilidade quando defeitos de projeto causam danos previsíveis. É hora de estender esse padrão para as estruturas digitais que agora governam nossas vidas. Essas plataformas não estão isentas por serem intangíveis. Elas são produtos. São sistemas. E elas estão falhando por design.
Porque a escala não pode ser uma desculpa. O silêncio não pode ser um escudo. E as plataformas não podem ser o único setor que tem permissão para prejudicar o público por design.
A estrutura é o mal. É hora de responsabilizá-la.
Citações e atributos
APA (7ª edição):
Starr, K. (2025). Arquitetura digital negligente: Como o design da plataforma codifica o dano. KStarr Enterprises, LLC. https://www.katherinestarr.com/negligent-digital-architecture/
MLA (9ª edição):
Starr, Katherine. Arquitetura Digital Negligente: Como o design da plataforma codifica o dano. KStarr Enterprises, LLC, 2025. www.katherinestarr.com/negligent-digital-architecture/.
Bluebook (Jurídico):
Katherine Starr, Arquitetura Digital Negligente: Como o design da plataforma codifica o dano, KStarr Enterprises, LLC (2025), https://www.katherinestarr.com/negligent-digital-architecture/.
Consulte também Starr v. Google LLC, Complaint, No. 1:25-cv-01216-RP (W.D. Tex. arquivado em 5 de agosto de 2025), aplicando Negligent Digital Architecture™ como uma causa de ação.
Citações
[1] Starr, K. (2025). Acesso digital negligente: Quando o design da plataforma permite danos. KStarr Enterprises, LLC. https://www.katherinestarr.com/negligent-digital-access/
[2] Pasquale, F. (2015). A Sociedade da Caixa Preta: Os Algoritmos Secretos que Controlam o Dinheiro e a Informação. Harvard University Press.
[3] Citron, D. K. (2014). Crimes de ódio no ciberespaço. Harvard University Press.
[4] Herrick v. Grindr LLC, 765 F. App'x 586 (2d Cir. 2019).
[5] Organização Internacional de Padronização. (2018). ISO 26262: Veículos rodoviários - Segurança funcional. Genebra, Suíça: ISO.
[6] Organização Internacional de Padronização. (2015). ISO 9001: Sistemas de gestão da qualidade - Requisitos. Genebra, Suíça: ISO.
[7] Comissão Europeia. (n.d.). Marcação CE - Avaliação da conformidade. Obtido de https://ec.europa.eu/growth/single-market/ce-marking_en
[8] Uber Technologies, Inc., Litígio de agressão sexual a passageiros (MDL No. 3084, N.D. Cal. 2023)
[9] Lyft Inc. Litígio Derivativo, No. CGC-20-584549 (Cal. Super. Ct., S.F. Cnty., arquivado em 19 de fevereiro de 2020)
[10] Administração Nacional de Segurança do Tráfego Rodoviário (NHTSA). (2023). Recalls de airbags da Takata. Departamento de Transportes dos EUA. https://www.nhtsa.gov/equipment/takata-recall-spotlight
[11] Zuboff, S. (2019). A era do capitalismo de vigilância: A luta por um futuro humano na nova fronteira do poder. Assuntos Públicos.
