Ao denunciar espionagem, empresas de IA mostram como rastreiam usuários

As americanas Anthropic, Google e OpenAI mostraram este mês que têm capacidade de rastrear usuários individualmente em escala global. A constatação ocorre por meio dos detalhes técnicos publicados pelas empresas ao denunciarem ciberataques e espionagem. A prática expõe infraestruturas corporativas de monitoramento operadas sem supervisão externa.

Na segunda-feira (23), a Anthropic detalhou como rastreou contas anônimas até empresas chinesas. A criadora do modelo Claude utilizou dados de interação do sistema e os cruzou com perfis públicos de funcionários das organizações.

O Google e a Microsoft mantêm divisões especializadas que identificam grupos invasores ligados a Estados. Em 12 de fevereiro, o Google publicou um relatório documentando ataques ao sistema Gemini por hackers chineses, iranianos e russos. No mesmo dia, a OpenAI enviou ao Congresso americano um documento no qual acusou a empresa chinesa DeepSeek de destilação sistemática (cópia de dados de treinamento) do seu modelo, o ChatGPT.

Contradição se vale de vácuo legal

A publicação dos relatórios de segurança expõe contradições sobre direitos autorais. As big techs americanas treinaram seus modelos originais vasculhando conteúdos disponíveis na internet sem o consentimento dos criadores, o que já gerou processos e até indenizações. Porém, quando concorrentes estrangeiras utilizam as respostas dessas ferramentas para treinarem modelos próprios, o ato é classificado pelas americanas como roubo de propriedade intelectual (o que não valida a ação chinesa, país onde sequer o debate público é permitido).

O especialista em privacidade Lukasz Olejnik apontou no X o impasse regulatório. A capacidade de identificar alvos específicos significa que as plataformas podem descobrir a identidade real de qualquer usuário. A ação esbarra na legislação europeia de proteção de dados (GDPR), à qual o Brasil vem se alinhando (via LGPD e projetos em tramitação no Congresso).

Na mesma linha, críticos afirmam que as maiores empresas de IA tentam se consolidar como divisões globais de inteligência. A identificação de pessoas e a publicação seletiva de suas descobertas na forma de “estudo científico” ocorrem sem mandato democrático ou regulação independente internacional.

As publicações ocorrem simultaneamente a debates políticos estratégicos em Washington. O Congresso americano discute atualmente novas leis sobre inteligência artificial e o controle de exportação de chips. A Anthropic também conduzia negociações com o Pentágono sobre o uso de seus sistemas quando divulgou seu documento. Analistas alertam que o momento da publicação e a seleção de alvos respondem a interesses comerciais das companhias.

Como empresas de IA podem identificar usuários

Embora as empresas não admitam publicamente, há um entendimento entre especialistas de que mesmo sem usar seu nome real, um usuário dos modelos de linguagem de IA pode ser facilmente identificado. A combinação de metadados técnicos (sua “impressão digital” online) com a vastidão de dados públicos disponíveis na rede torna a reidentificação de quase qualquer pessoa não apenas possível, mas simples para quem detém os dados da plataforma.

O EU AI Act, legislação europeia que entra em vigor em agosto de 2026, não trata diretamente a capacidade de “deanonimização” por empresas de modelos de linguagem. A legislação brasileira também não cobre o tema ainda. Nenhum órgão regulatório nacional ou internacional tem hoje visibilidade sobre os dados coletados pelas grandes plataformas durante o uso cotidiano de seus modelos.