Privacidade por padrão: como pensamos dados em produtos de IA

É comum tratar privacidade como uma camada que se adiciona no fim: uma política escrita depois do produto pronto, um botão de exclusão de conta, um banner de cookies. Em produtos que processam informação sensível, isso não funciona. As decisões que mais importam são tomadas muito antes.

Quatro perguntas antes do código

Toda funcionalidade que toca dados de usuários passa por quatro perguntas:

1. Precisamos mesmo desse dado? O dado mais seguro é o que nunca foi coletado.
2. Por quanto tempo? Retenção tem prazo definido, e o prazo padrão é o menor possível.
3. Onde ele é processado? Saber exatamente quais serviços tocam o dado — e poder explicar isso a quem pergunta.
4. Quem consegue ver? Acesso mínimo por padrão, inclusive para a nossa própria equipe.

Um exemplo concreto: este site

O próprio site da Devx segue essas regras. A medição de audiência não usa cookies e não grava endereço IP. Cada visita gera um identificador derivado de dados técnicos da requisição combinados com um segredo que muda todos os dias — o suficiente para contar visitantes únicos num dia, insuficiente para seguir alguém ao longo do tempo.

O resultado é que sabemos quantas pessoas visitaram uma página e quantas clicaram em um produto, mas não sabemos quem são. Para o que precisamos decidir, é exatamente o bastante.

E em produtos de IA

Modelos de linguagem criam uma tentação nova: enviar tudo para um serviço externo porque é mais fácil. Nos nossos produtos, a pergunta "onde isso é processado?" vale também para modelos. Quando o uso de um serviço externo fizer sentido, isso será documentado — e quando não fizer, construímos a alternativa.