A origem esquecida da inteligência artificial: Raspagem da web, anonimização e a soberania capturada dos dados

Em julho de 2026, o Comitê Europeu para a Proteção de Dados — CEPD/EDPB — anunciou novas orientações sobre anonimização, raspagem da web no contexto da inteligência artificial generativa e tratamento de dados pessoais em tecnologias de blockchain. À primeira vista, poderia parecer apenas mais uma atualização técnica no vasto universo regulatório europeu. Não é. O que está em jogo é uma camada mais profunda da inteligência artificial: a origem dos dados que tornam os modelos possíveis.

Durante os últimos anos, boa parte do debate público sobre IA concentrou-se na resposta final. O chatbot respondeu corretamente? A imagem foi bem gerada? O modelo alucinou? A decisão foi automatizada? A ferramenta aumenta produtividade? A regulação deve alcançar o resultado produzido pela máquina?

Essas perguntas são importantes, mas talvez estejam em uma altitude insuficiente para compreender o problema inteiro. A inteligência artificial generativa não começa quando o usuário digita uma pergunta. Começa antes, na coleta, na raspagem da web, na captura massiva de textos, imagens, comentários, perfis, fóruns, páginas, documentos, interações e fragmentos da vida digital.

A resposta gerada é apenas a última camada visível de uma cadeia informacional muito mais extensa. Antes da resposta, houve coleta. Antes do modelo, houve base de dados. Antes da automação, houve extração. Antes da inteligência artificial, houve apropriação, organização e conversão de informação.

É justamente essa camada anterior que as novas orientações do EDPB ajudam a recolocar no centro do debate.

Ao tratar da anonimização, o Comitê lembra que um dado não se torna anônimo simplesmente porque perdeu o nome da pessoa. A questão é mais complexa. Importa saber se alguém pode ser identificado, distinguido, conectado ou inferido a partir do contexto, dos meios disponíveis e da finalidade do tratamento. O documento aponta critérios como ausência de isolamento de registro, ausência de ligação e ausência de inferência para avaliar se os dados podem ser considerados anônimos com segurança.

Essa distinção é decisiva. No ambiente digital, a identificação nem sempre depende de nome, CPF, e-mail ou fotografia. Uma pessoa pode ser identificável por padrões de comportamento, localização, combinações de dados, preferências, inferências ou rastros aparentemente dispersos que, reunidos, recompõem uma identidade.

Por isso, anonimizar não é apenas apagar um campo de cadastro. É romper, de forma efetiva, a possibilidade razoável de isolar, ligar ou inferir a pessoa a partir dos dados tratados. Essa exigência torna-se ainda mais sensível quando se trata de IA generativa, porque grandes modelos são treinados sobre volumes massivos de dados, muitas vezes recolhidos de ambientes nos quais os titulares não imaginavam estar alimentando sistemas de inteligência artificial.

A web, nesse contexto, não pode ser tratada como uma mina sem proprietário, nem como um território juridicamente vazio. A raspagem automatizada da web não é apenas uma técnica neutra de coleta. É uma forma de extração informacional em escala.

E toda extração em escala exige uma pergunta jurídica: extração por quem, para qual finalidade, com qual base legal, sob quais limites e com quais efeitos sobre os titulares dos dados?

O EDPB chama atenção para elementos centrais do RGPD: limitação da finalidade, transparência, minimização, exatidão, base jurídica, validação dos dados antes do uso em treinamento e cuidado especial com categorias sensíveis. O documento também registra que a raspagem da web frequentemente ocorre sem que as pessoas estejam cientes e pode representar riscos significativos à proteção de dados pessoais.

Esses pontos indicam algo maior: a governança da IA não começa na interface. Começa na origem da informação.

Esse talvez seja um dos equívocos mais persistentes do debate contemporâneo. Falamos muito sobre modelos e pouco sobre coleta. Falamos sobre respostas e pouco sobre bases de treinamento. Falamos sobre alucinação e pouco sobre procedência dos dados. Falamos sobre transparência do sistema e pouco sobre a opacidade da cadeia que tornou o sistema possível.

O resultado é uma inversão de foco. A sociedade se encanta ou se assusta com a resposta final da IA, enquanto a etapa mais decisiva talvez já tenha ocorrido silenciosamente: a transformação da vida digital coletiva em infraestrutura privada de treinamento.

Essa é a origem esquecida da inteligência artificial.

E é aqui que a questão deixa de ser apenas proteção de dados. Passa a ser soberania.

Soberania informacional. Soberania cognitiva. Soberania institucional. Soberania sobre as condições pelas quais conhecimento, linguagem, cultura, comportamento e experiência social são convertidos em capacidade computacional.

Quando grandes modelos são treinados sobre dados extraídos em escala global, a pergunta não é apenas se houve violação individual de privacidade. A pergunta também é coletiva: quem controla a infraestrutura que aprendeu a partir da experiência digital de milhões de pessoas?

Essa questão é particularmente relevante para países periféricos ou semiperiféricos. A vida digital de suas populações pode ser capturada, traduzida, processada, modelada e convertida em produtos controlados por empresas estrangeiras. Depois, esses mesmos países passam a consumir ferramentas produzidas com dados que ajudaram a gerar, mas sem controlar os modelos, os pesos, as bases, os servidores, as regras de acesso, os preços ou os critérios de governança.

A cadeia é conhecida. Primeiro, exporta-se matéria-prima. Depois, importa-se produto sofisticado.

Na era da IA, a matéria-prima não é apenas mineral, agrícola ou energética. É também informacional. São dados, textos, imagens, vozes, comportamentos, linguagem, cultura, interações, preferências, rastros e experiências.

A diferença é que essa nova matéria-prima não sai em navios cargueiros. Sai por APIs, crawlers, plataformas, termos de uso, cookies, bases públicas, repositórios, redes sociais e ambientes digitais aparentemente abertos.

O colonialismo informacional não precisa ocupar território físico para operar. Basta extrair padrões. Basta capturar dados. Basta treinar modelos. Basta devolver ao mundo uma infraestrutura cognitiva que poucos países conseguem auditar ou controlar.

É por isso que as orientações do EDPB têm importância maior do que aparentam. Elas mostram que a Europa tenta disputar não apenas o uso da IA, mas a legitimidade da cadeia que alimenta a IA. Isso não significa que o modelo europeu seja perfeito, nem que resolva todos os dilemas. Mas indica uma compreensão institucional relevante: a inteligência artificial generativa não pode ser regulada apenas no momento da resposta, do dano ou da decisão automatizada.

Ela precisa ser interrogada desde a coleta. Desde a raspagem. Desde a anonimização. Desde a base legal. Desde a finalidade. Desde a minimização. Desde a possibilidade de inferência. Desde a origem da informação.

Esse ponto dialoga diretamente com a ideia de soberania capturada.

A soberania não é capturada apenas quando um Estado perde controle sobre suas fronteiras, moedas, leis ou instituições. Ela também é capturada quando a infraestrutura pela qual uma sociedade passa a conhecer, decidir, interpretar e produzir conhecimento é construída a partir de dados extraídos sem controle democrático suficiente.

A IA generativa não apenas responde perguntas. Ela reorganiza o modo como perguntas são formuladas, como informações são sintetizadas, como documentos são compreendidos, como decisões são apoiadas, como conhecimento é apresentado e como relevâncias são hierarquizadas.

Se essa infraestrutura foi treinada com dados cuja origem é opaca, cuja coleta é discutível e cuja governança é concentrada, então a pergunta sobre a IA não pode ser apenas técnica. Ela é política, jurídica e institucional.

A raspagem da web, nesse cenário, deixa de ser um detalhe operacional. Torna-se o primeiro ato da captura. É o momento em que a experiência digital de pessoas, comunidades, trabalhadores, autores, consumidores, crianças, pesquisadores, cidadãos e usuários é transformada em combustível para sistemas que depois poderão influenciar essas mesmas pessoas.

Essa circularidade é decisiva. A sociedade alimenta o modelo. O modelo reorganiza a sociedade. Os dados treinam a IA. A IA passa a mediar o acesso aos dados. As pessoas produzem a linguagem. A linguagem é capturada. Depois, retorna como serviço, assinatura, automação, recomendação, síntese e dependência.

É nesse ponto que proteção de dados, governança de IA e soberania deixam de ser áreas separadas. Elas passam a formar uma mesma arquitetura: a arquitetura da extração informacional, da conversão da vida digital em poder computacional e da influência cognitiva estrutural.

A pergunta correta, portanto, talvez não seja apenas se a IA generativa pode usar dados disponíveis na web. A pergunta mais profunda é: em que condições a experiência digital coletiva pode ser transformada em infraestrutura privada de inteligência artificial?

Essa pergunta incomoda porque atinge o núcleo econômico do setor. Modelos de IA precisam de dados. Muitos dados. Dados diversos, atualizados, linguísticos, culturais, comportamentais e multimodais. A promessa de inteligência artificial universal depende de uma fome permanente por informação.

Mas a existência dessa necessidade técnica não elimina a exigência jurídica de legitimidade. Nem transforma a web em território livre. Nem converte a disponibilidade pública de uma informação em autorização irrestrita para treinamento, inferência, comercialização e reuso em escala.

Há uma diferença entre algo estar acessível e algo poder ser apropriado. Há uma diferença entre publicar e consentir com qualquer finalidade futura. Há uma diferença entre dado visível e dado legitimamente utilizável. Há uma diferença entre anonimização real e anonimização aparente. Há uma diferença entre extração técnica e governança democrática da informação.

É nessa diferença que se decide boa parte do futuro da IA.

Para o Brasil, a questão é ainda mais importante. Não basta perguntar como adotar IA. Não basta perguntar como regular IA. Não basta perguntar como atrair investimentos em IA. É preciso perguntar como proteger a origem dos dados, a soberania informacional, a cultura digital, os direitos fundamentais e a capacidade institucional de fiscalizar cadeias de treinamento.

Se não fizermos essa pergunta, poderemos repetir um padrão conhecido. Participaremos como fonte de dados, como mercado consumidor, como território de implantação e como usuário dependente. Mas não como agente soberano da infraestrutura.

O debate sobre IA generativa precisa, portanto, mudar de altitude.

Não basta olhar para a resposta. É preciso olhar para a origem. Não basta olhar para o modelo. É preciso olhar para a coleta. Não basta discutir transparência na interface. É preciso discutir legitimidade na cadeia de formação. Não basta perguntar se a IA funciona. É preciso perguntar de quem ela aprendeu, sob quais condições e a serviço de quem ela passa a operar.

Talvez essa seja a lição mais importante das novas orientações do EDPB.

A inteligência artificial não começa no prompt. Começa no dado.

E quem controla a origem dos dados controla parte decisiva da arquitetura futura do conhecimento.

No Livro 3, essa é uma chave essencial. A soberania digital não será definida apenas por leis nacionais, plataformas disponíveis ou capacidade de acesso a ferramentas. Ela será definida pela capacidade de controlar as infraestruturas invisíveis que transformam informação em poder.

A raspagem da web é uma dessas infraestruturas. A anonimização é outra. A governança das bases de treinamento é outra. A blockchain, quando usada para registrar, circular ou estruturar dados pessoais, também entra nessa equação.

Tudo converge para a mesma pergunta: quem controla a cadeia pela qual a experiência humana se transforma em inteligência artificial?

Enquanto essa pergunta não for enfrentada, continuaremos discutindo a IA apenas no momento em que ela responde.

Mas talvez a decisão mais importante já tenha sido tomada antes.

No instante silencioso em que a informação foi capturada.

Referência principal

COMITÊ EUROPEU PARA A PROTEÇÃO DE DADOS. O CEPD lança luz sobre a anonimização e a raspagem da Web para a IA generativa e adota a versão final das orientações sobre a cadeia de blocos. EDPB News, 8 jul. 2026.