Regulamentação das apostas no Brasil: o que o operador precisa saber

O novo marco regulatório das apostas no Brasil

A regulamentação de apostas no Brasil deixou de ser uma promessa e virou realidade operacional. A Lei 14.790/2023, sancionada em dezembro de 2023, estabeleceu as bases legais para o mercado de apostas de quota fixa no país e, a partir de 2025, passou a valer na prática — com licenciamento, fiscalização e um conjunto de obrigações que todo operador precisa cumprir. Com ela, o Brasil saiu de uma zona cinzenta jurídica e passou a ter um framework regulatório claro, criando deveres para os operadores, mas também conferindo segurança jurídica ao setor.

Para quem quer operar uma bet online no Brasil, entender esse marco não é opcional: é o ponto de partida do negócio. Operar sem autorização deixou de ser uma alternativa viável — é hoje um risco jurídico, financeiro e reputacional que pode inviabilizar a empresa. Ao mesmo tempo, quem se estrutura dentro das regras encontra um mercado mais previsível, com acesso a meios de pagamento, publicidade e parcerias que antes eram inacessíveis.

Este guia percorre o que a Lei 14.790 exige de um operador em 2026: como funciona a licença, qual o papel da SPA/MF, quais são as obrigações de KYC, AML e jogo responsável, e o que a plataforma de tecnologia precisa entregar para manter a conformidade no dia a dia. O objetivo não é substituir a assessoria jurídica — indispensável no processo — mas dar ao operador o mapa completo para tomar decisões de negócio e de tecnologia com clareza.

Quem regula o mercado?

A Secretaria de Prêmios e Apostas do Ministério da Fazenda (SPA/MF) é o órgão responsável pela regulação, autorização e fiscalização das apostas no Brasil. Foi a SPA que editou as normas complementares que detalham a Lei 14.790 — desde requisitos técnicos de plataforma até regras de publicidade, jogo responsável e prevenção à lavagem de dinheiro.

Toda operação que aceite apostadores brasileiros precisa estar autorizada pela SPA/MF, independentemente de onde a empresa está sediada. O que define a obrigação de se licenciar não é a localização do servidor ou da holding, mas o público que a operação atende: se há brasileiros apostando, há necessidade de outorga.

Além da SPA, outros órgãos participam do ecossistema regulatório. O COAF (Conselho de Controle de Atividades Financeiras) recebe comunicações de operações suspeitas no âmbito das obrigações de AML. A ANPD (Autoridade Nacional de Proteção de Dados) fiscaliza o tratamento de dados pessoais sob a LGPD. E o Banco Central, ainda que indiretamente, influencia o setor por meio das regras do Pix e da relação entre operadores e instituições de pagamento. Na prática, o operador não responde a um único regulador, e sim a um conjunto de autoridades cujas exigências precisam ser atendidas simultaneamente.

O papel da SPA na fiscalização contínua

A autorização não é um evento único que se resolve uma vez e nunca mais é revisitado. A SPA/MF mantém fiscalização contínua sobre os operadores licenciados, o que significa que a conformidade precisa ser sustentada ao longo de toda a operação. Relatórios periódicos, auditorias, integração com sistemas de monitoramento e capacidade de responder a solicitações do regulador fazem parte da rotina de uma bet regularizada. Uma plataforma que atende aos requisitos no dia da licença, mas não consegue sustentá-los operacionalmente, coloca a outorga em risco.

O que a regulamentação de apostas no Brasil exige para operar

Obter e manter uma licença de apostas no Brasil envolve requisitos societários, financeiros e técnicos. Eles se combinam: não basta ter a empresa constituída se a plataforma não cumpre as exigências técnicas, e não basta ter uma boa plataforma se a estrutura societária não está regularizada. Abaixo, os principais pilares.

Pessoa jurídica no Brasil

A empresa operadora precisa estar constituída no Brasil como sociedade limitada ou sociedade anônima, com CNPJ ativo e sede nacional. Grupos estrangeiros que já operavam em outros mercados normalmente precisam constituir uma entidade brasileira dedicada à operação local, o que envolve estrutura societária, quadro de sócios e, muitas vezes, requisitos de participação nacional definidos em norma.

Essa exigência tem uma consequência prática importante: o operador passa a estar sob a jurisdição brasileira em termos fiscais, trabalhistas e regulatórios. Contabilidade local, obrigações tributárias e responsabilidade dos administradores deixam de ser abstrações e passam a ser parte do custo e do risco do negócio.

Capacidade econômica e financeira

A regulamentação exige comprovação de solidez financeira. Isso inclui documentação contábil, demonstrativos financeiros e, em alguns casos, garantias específicas estabelecidas em normas complementares da SPA/MF. O objetivo é assegurar que o operador tenha condições de honrar prêmios, saques e obrigações regulatórias, protegendo o apostador de operações subcapitalizadas.

Há também a outorga — a autorização propriamente dita — cujo custo e condições são definidos pela regulamentação. Como os valores e regras específicas podem ser atualizados por normas da SPA, o operador deve confirmá-los junto à assessoria jurídica e às normas vigentes antes de projetar o investimento. O ponto de negócio é claro: entrar no mercado brasileiro regulado é uma decisão de capital, não apenas de tecnologia.

Conformidade técnica da plataforma

A plataforma de apostas precisa atender a requisitos técnicos obrigatórios. São eles que transformam as exigências legais em controles concretos, verificáveis e auditáveis:

• KYC (Know Your Customer): verificação de identidade dos jogadores, incluindo CPF, data de nascimento e reconhecimento facial obrigatório antes da criação da conta.
• AML (Anti-Money Laundering): monitoramento de transações e reporte de atividades suspeitas aos órgãos competentes.
• Jogo Responsável: limites de depósito, autoexclusão, alertas de comportamento de risco e acesso a recursos de ajuda.
• Proteção de dados (LGPD): conformidade com a Lei Geral de Proteção de Dados no tratamento das informações dos apostadores.

Esses quatro blocos não são módulos opcionais que se ativam quando convém. São a espinha dorsal de uma operação regulada, e cada um deles é tratado em detalhe nas seções seguintes.

Integridade das apostas

A plataforma precisa ter mecanismos para prevenir manipulação de resultados, apostas suspeitas e fraudes — tanto por parte dos jogadores quanto de agentes externos. Isso inclui capacidade de detectar padrões anômalos, bloquear contas envolvidas em irregularidades e cooperar com órgãos de integridade esportiva quando houver indícios de manipulação. A integridade das apostas é um dos pontos mais sensíveis do marco regulatório, porque conecta a operação a temas de ordem pública e à credibilidade do próprio esporte.

KYC: identificar quem aposta

O KYC é a primeira barreira de conformidade. Nenhuma operação regulamentada permite que um apostador sequer abra uma conta sem que sua identidade tenha sido verificada. Na prática, isso significa coletar e validar CPF e data de nascimento, realizar reconhecimento facial, e confirmar que o apostador é maior de idade e não está em listas de autoexclusão ou de pessoas impedidas de apostar.

A verificação precisa acontecer antes do cadastro da conta, e não apenas antes do primeiro saque: pela Portaria SPA/MF nº 722/2024, Anexo I, item 10, "a verificação de identidade deve realizar o reconhecimento facial e ser realizada antes que um apostador tenha uma conta cadastrada", e a conta só é ativada depois que idade, validade do CPF e reconhecimento facial forem confirmados. A checagem de titularidade da conta bancária ou chave PIX é que fica para o momento anterior ao primeiro saque. Um bom fluxo de KYC equilibra dois objetivos que puxam em direções opostas: rigor regulatório e experiência do usuário. Verificação lenta ou burocrática demais afasta apostadores legítimos; verificação frouxa demais expõe a operação a fraude e a sanções. Por isso, plataformas maduras trabalham com verificação automatizada, validação de CPF em bases oficiais e checagem de documentos com apoio de tecnologia, reservando a análise manual para os casos de exceção.

O KYC também não termina no cadastro. A regulamentação prevê a possibilidade de reverificação e de atualização cadastral ao longo do relacionamento, especialmente quando há mudança de padrão de comportamento ou sinais de risco. Uma plataforma que trata KYC como um evento único, e não como um processo contínuo, tende a acumular lacunas de conformidade.

AML: prevenção à lavagem de dinheiro

O bloco de AML (prevenção à lavagem de dinheiro) é o que mais aproxima o operador de apostas do mundo das instituições financeiras. A lógica é a mesma: movimentação de recursos exige monitoramento, registro e comunicação de operações suspeitas às autoridades competentes.

Na prática, isso se traduz em três capacidades. Primeiro, monitoramento de transações — depósitos, saques e apostas precisam ser observados em busca de padrões incompatíveis com o perfil do apostador, valores fracionados, movimentações circulares e outros indicadores de risco. Segundo, retenção de registros — todo o histórico financeiro precisa ficar armazenado e disponível para auditoria pelo tempo determinado em norma. Terceiro, comunicação — quando há suspeita fundamentada, o operador deve reportar às autoridades competentes, incluindo o COAF, dentro dos prazos e formatos exigidos.

A tabela abaixo resume como as obrigações de compliance se distribuem entre os grandes blocos regulatórios e o que cada um exige da operação no dia a dia.

Jogo responsável: proteger o apostador

O jogo responsável é o pilar em que a regulamentação de apostas no Brasil mais explicita sua dimensão de proteção ao consumidor. A lógica é que apostar é uma atividade de entretenimento com risco, e cabe ao operador oferecer ferramentas para que o apostador mantenha o controle.

Na plataforma, isso se materializa em recursos concretos. Limites configuráveis de depósito — diário, semanal e mensal — permitem que o próprio apostador estabeleça tetos para sua movimentação. A autoexclusão dá ao jogador a possibilidade de se afastar voluntariamente da plataforma por um período determinado, com a garantia de que o sistema respeitará esse bloqueio. Alertas de comportamento de risco identificam padrões que podem indicar problemas com o jogo, e o acesso a recursos de ajuda conecta o apostador a canais de apoio.

Do ponto de vista regulatório, esses recursos não são diferenciais de marketing: são obrigações. Uma plataforma que não oferece autoexclusão funcional ou que não respeita os limites configurados pelo apostador está em desconformidade, independentemente de quão sofisticado seja o restante da operação. Por isso, o jogo responsável precisa estar integrado ao núcleo da plataforma, e não adicionado como um recurso periférico.

Proteção de dados e LGPD

Toda operação de apostas processa uma quantidade enorme de dados sensíveis: identidade, documentos, informações financeiras e comportamento de apostas. A conformidade com a Lei Geral de Proteção de Dados (LGPD) é, portanto, parte inseparável do compliance regulatório.

Isso significa tratar os dados dos apostadores com base legal adequada, garantir segurança da informação, responder às solicitações dos titulares (acesso, correção, exclusão) e manter governança sobre onde e como os dados são armazenados e compartilhados. A intersecção entre LGPD e as exigências de KYC e AML exige cuidado: a mesma operação precisa reter dados por obrigação regulatória e, ao mesmo tempo, respeitar os princípios de minimização e finalidade da LGPD. Uma plataforma bem estruturada resolve essa tensão com governança clara, e não deixando o operador escolher entre duas obrigações conflitantes.

O que sua plataforma precisa ter

Do ponto de vista técnico, uma operação regulamentada no Brasil exige um conjunto de capacidades que precisam funcionar de forma integrada e auditável. A tabela abaixo reúne os requisitos essenciais que a plataforma escolhida deve entregar.

O ponto central é que esses requisitos não podem ser vistos isoladamente. Um sistema de KYC que não conversa com o registro de transações, ou um módulo de jogo responsável que não bloqueia efetivamente o apostador autoexcluído, gera lacunas de conformidade. A plataforma precisa tratar compliance como um sistema coeso, em que cada controle reforça os demais e todos alimentam os relatórios que a SPA pode solicitar.

Compliance por design, não como remendo

A diferença entre uma operação sustentável e uma operação frágil está em quando o compliance entra na arquitetura. Plataformas que nasceram antes da regulamentação frequentemente tratam KYC, AML e jogo responsável como camadas adicionadas depois — o que gera inconsistências, custos de manutenção e pontos cegos. Plataformas construídas para o mercado regulado incorporam esses controles no núcleo, de modo que a conformidade é a configuração padrão, não uma exceção que precisa ser ativada e monitorada manualmente.

Apostas esportivas vs. cassino

A Lei 14.790/2023 regulamentou o mercado de apostas de quota fixa, categoria que abrange tanto as apostas esportivas quanto os jogos online operados sob a mesma modalidade. Jogos de cassino online (slots, roleta, cartas, crash games) integram esse universo regulado, e a SPA/MF vem detalhando as regras aplicáveis a cada tipo de produto por meio de normas complementares.

Para operadores que querem oferecer cassino além do sportsbook, é fundamental acompanhar as atualizações regulatórias e garantir que a plataforma escolhida se adapte rapidamente às novas exigências. Um catálogo que combina esportes e cassino amplia o público e a receita, mas também amplia a superfície de compliance: cada tipo de jogo tem suas particularidades de integridade, provedores e certificação. A flexibilidade da plataforma para incorporar novos produtos sem retrabalho de conformidade é, aqui, um fator decisivo de escolha.

Operadores estrangeiros no mercado brasileiro

Plataformas que operam no exterior e aceitam jogadores brasileiros sem autorização da SPA/MF estão sujeitas a bloqueio pelos provedores de acesso à internet, restrições bancárias e outras sanções previstas em lei. O fechamento do acesso a meios de pagamento — em especial o Pix — é particularmente severo, porque corta a operação de sua principal via de depósitos e saques no Brasil.

A tendência é de maior fiscalização e fechamento do mercado para operadores não licenciados ao longo de 2026. Para grupos estrangeiros, a mensagem regulatória é direta: a única forma sustentável de atender o público brasileiro é constituindo entidade nacional e obtendo a outorga. A alternativa — operar na informalidade — deixou de ser uma zona cinzenta tolerada e passou a ser uma atividade sujeita a sanções concretas.

Por onde começar

O processo de obtenção de licença é burocrático e requer assessoria jurídica especializada. Mas a decisão tecnológica — que plataforma usar — pode e deve ser tomada em paralelo, porque a maturidade da plataforma em compliance influencia diretamente a viabilidade e o prazo de entrada no mercado.

Uma plataforma whitelabel preparada para compliance regulatório já entrega os módulos de KYC, AML e jogo responsável nativamente, sem que o operador precise desenvolvê-los do zero. Isso muda a equação do projeto: em vez de gastar meses construindo e certificando controles de conformidade, o operador parte de uma base que já foi pensada para o mercado regulado e concentra seu esforço no que diferencia o negócio — marca, oferta, aquisição e retenção.

A Nodrus inclui controle de KYC, aprovação de saques, monitoramento de risco e relatórios de conformidade no painel administrativo, configuráveis sem equipe técnica própria. Como plataforma whitelabel, a Nodrus opera com deploy técnico em até 4 horas, com os controles de compliance integrados desde o início da operação.

Vale reforçar: nenhuma plataforma substitui a licença. A tecnologia entrega os controles que a regulamentação exige, mas a outorga da SPA/MF, a constituição da pessoa jurídica e a comprovação de capacidade financeira continuam sendo responsabilidade do operador, com apoio de assessoria especializada. O papel da plataforma é garantir que, quando a licença sair, a operação esteja tecnicamente pronta para cumprir tudo o que foi prometido ao regulador.