O simples aceite dos termos de uso de uma ferramenta de inteligência artificial pode não representar consentimento informado para o uso biométrico de uma selfie. A avaliação é de Elaine Coimbra, diretora de comunicação da AI SAfety Brazil, que também chama atenção para políticas de privacidade longas, genéricas e alteradas com frequência.
A Lei Geral de Proteção de Dados (LGPD) classifica os dados biométricos como sensíveis e exige bases legais mais rigorosas. A Autoridade Nacional de Proteção de Dados (ANPD) também atua no tema, mas a fiscalização enfrenta dificuldades, especialmente quando os aplicativos estão no exterior. Para Elaine, a tecnologia avança mais rápido que a aplicação prática da legislação.
O que pode permanecer após a exclusão
Kenneth Corrêa, professor da FGV e especialista em IA e tecnologias emergentes, explica que o envio de uma foto pode levar o sistema a extrair a geometria facial e criar um molde matemático. Mesmo com a retirada da imagem original, embeddings e modelos treinados com aquele rosto podem continuar em operação.
“Você está alimentando uma infraestrutura biométrica permanente”, afirma Corrêa. Para ele, a exclusão do arquivo no servidor não é suficiente: seria necessário comprovar a eliminação de toda a cadeia de vetores matemáticos e inferências geradas a partir do rosto.
O especialista chama esse rastro de fumaça biométrica. Na avaliação dele, a próxima etapa do mercado de IA será marcada por empresas capazes de auditar e demonstrar, por meios criptográficos, o esquecimento completo dessas informações.
Medidas para reduzir a exposição
Elaine recomenda priorizar ferramentas que processem as imagens no próprio dispositivo, em vez de enviá-las à nuvem. Também orienta a reduzir o compartilhamento de fotos recentes e nítidas do rosto, conferir nas políticas referências a biometria, treinamento de modelos e retenção de dados, além de revogar permissões e excluir contas pouco utilizadas.
O alerta inclui plataformas como WhatsApp, Instagram e TikTok. Segundo Corrêa, imagens podem servir de amostra para clonar identidades, vozes e rostos. Em situações nas quais alguém conhecido pedir dinheiro ou acesso sensível, a orientação é não confiar apenas na voz ou no vídeo: a pessoa deve desligar e telefonar de volta por um meio independente.
Diferenças entre as plataformas
André Magno, estrategista de IA com experiência corporativa em AWS, Microsoft e SAP, afirma que empresas maiores costumam ter políticas detalhadas e passar por auditorias externas regulares. Nesses casos, o vetor facial pode ser separado da imagem original e protegido por uma camada adicional de controle de acesso.
O mesmo padrão, porém, não se aplica a todo o ecossistema. Aplicativos menores de edição de fotos podem processar vetores faciais sem explicar claramente como esses dados são armazenados e protegidos. Para Magno, serviços voltados ao consumidor e operados por empresas com menos recursos e fiscalização externa oferecem maior risco.
A advogada especializada em Direito Digital Mariana Battochio Stuart recomenda revisar periodicamente os consentimentos concedidos às plataformas e revogar os que deixaram de ser necessários. Ela também orienta solicitar a exclusão dos dados quando não houver mais interesse em continuar usando o serviço.
