A encruzilhada da IA: por que Wall Street está dizendo "não" ao ChatGPT e ao Claude?

Autor: Jeff @IOSG

Por que a IA privada é necessária

Em 1º de julho, o CEO da Palantir, Alex Karp, concedeu uma entrevista de 20 minutos à CNBC, que alguns veículos de comunicação descreveram como um "colapso mental". Segundo Karp, as empresas estão pagando um pequeno valor adicional a laboratórios de ponta enquanto veem sua própria propriedade intelectual vazar para fornecedores de modelos. Ele se referiu a esse vazamento como a transferência de alfa, que ocorre no nível arquitetural: cada requisição enviada a um modelo de código fechado chega ao servidor do provedor de serviços em texto não criptografado. Poucos dias antes da exibição do programa, a Palantir havia anunciado uma parceria com a NVIDIA para executar modelos Nemotron de código aberto em ambientes controlados pelo cliente, acompanhada de uma declaração de soberania de IA em nove pontos. Após a exibição do programa na CNBC, as ações da PLTR subiram 8%.

Nos últimos vinte anos, as empresas adotaram softwares em nuvem baseados na confiança em nível de protocolo, e isso funcionou. Cada fornecedor de SaaS visualiza apenas uma fração dos dados corporativos, e a maioria tem pouco incentivo para integrar os dados dos clientes em seus produtos principais. A Salesforce visualiza os canais de vendas, a Workday visualiza o RH, a Jira visualiza as iterações de desenvolvimento e a AWS fornece a base para armazenamento e computação. No entanto, os fluxos de trabalho de IA atuais defendem o upload único de todos os ativos, juntamente com o contexto estruturado que conecta os diversos departamentos, buscando maximizar a produtividade. Deixando a boa vontade de lado, os provedores de serviços upstream agora podem usar esses dados para desenvolver novos recursos, em vez de deixá-los ociosos em servidores.

Ninguém está diminuindo o ritmo; a receita anual da Anthropic atingiu US$ 47 bilhões em maio, um salto significativo em relação aos US$ 9 bilhões no final de 2025, enquanto a OpenAI ultrapassou 900 milhões de usuários ativos semanais em fevereiro. Ambas as empresas concluíram novas rodadas de financiamento nesta primavera, com avaliações próximas a US$ 1 trilhão, e espera-se que realizem IPOs com avaliações ainda maiores. Anos de alegações de violação de privacidade e propriedade intelectual não fizeram com que nenhuma das empresas perdesse o ímpeto.

Algumas empresas já tomaram medidas. Em fevereiro de 2023, menos de três meses após o lançamento do ChatGPT, os principais bancos de Wall Street restringiram seu uso. Em maio de 2023, depois que um engenheiro da Samsung vazou o código-fonte de um chip para o ChatGPT, a empresa proibiu a IA generativa em toda a sua rede. Em resposta, a OpenAI lançou o ChatGPT Enterprise em agosto daquele ano, prometendo não usar dados comerciais para treinamento, juntamente com um protocolo de retenção zero de dados (ZDR), que posteriormente se tornou um requisito padrão para aquisições corporativas.

No entanto, os contratos apenas vinculam as contas da empresa. A IBM descobriu que, até 2025, a IA paralela (funcionários que alimentam ferramentas de IA não autorizadas com dados da empresa por meio de contas pessoais) estava envolvida em um quinto dos incidentes de violação de dados, e o uso intenso de IA paralela adicionava, em média, US$ 670.000 aos custos das violações. Em uma pesquisa de 2025 realizada pela empresa de treinamento em segurança Anagram, quatro funcionários indicaram que estariam dispostos a violar as políticas de uso de IA para concluir tarefas mais rapidamente.

As empresas podem, pelo menos, investir dinheiro para se protegerem, com contratos ZDR e planos de serviço sem treinamento, e, se você for um governo ou cliente da Palantir, existem opções de implantação soberana. No entanto, para usuários comuns como você e eu, a importância da IA voltada para a privacidade permanece em debate até que uma intimação judicial bata à porta.

Uma ordem judicial de maio de 2025 obrigou a OpenAI a reter até mesmo os registros de bate-papo dos usuários que haviam sido apagados e, em novembro, um juiz ordenou a transferência de 20 milhões desses registros para os advogados do The New York Times como prova. Em seguida, vieram os casos criminais: os registros do ChatGPT do réu no caso de incêndio criminoso em Palisades foram apresentados como prova, e uma declaração juramentada em um caso de duplo homicídio na Flórida citou as perguntas do suspeito sobre como se desfazer de um corpo. Sam Altman também admitiu, em uma entrevista de julho de 2025, que as conversas do ChatGPT não são protegidas por sigilo profissional e que, em litígios, a OpenAI "pode ser obrigada a entregar" os registros de bate-papo dos usuários.

A questão é que não são apenas os criminosos que precisam de conversas privadas. O arquivamento de conversas entre pessoas e IA, sujeitas a intimações judiciais, representa um aspecto de vigilância do qual a maioria dos usuários não tem conhecimento. Uma pesquisa realizada pela Kolmogorov Law em outubro de 2025 com 1.000 usuários americanos de IA revelou que 50% desconheciam a possibilidade de essas conversas serem alvo de intimações, enquanto dois terços acreditavam que esses chats deveriam receber a mesma proteção que consultas com advogados ou médicos.

Modelos autohospedados ou de código aberto executados em ambientes verificáveis estão rapidamente alcançando os modelos mais avançados, mas os modelos mais robustos ainda estão cerca de quatro meses atrás dos modelos proprietários de ponta em termos de capacidades gerais. Isso coloca empresas e indivíduos envolvidos em tokenmaxxing em uma encruzilhada: sacrificar alguns meses de qualidade do modelo em troca de privacidade ou continuar enviando materiais sensíveis para os servidores da Anthropic, já que os concorrentes estão obtendo vantagens de produtividade dessa forma.

Atualmente, não existem soluções perfeitas no mercado. Um relatório descreve as tentativas de várias partes para reduzir essa lacuna e observa o quão distante está a inteligência de ponta, protegida por privacidade comprovada, de ser disponibilizada para empresas e usuários comuns.

Como a privacidade é alcançada atualmente

A IA para privacidade não é um projeto único, mas todos os mecanismos disponíveis atualmente no mercado abordam o mesmo evento: uma solicitação sai do seu dispositivo, percorre a rede, chega a uma máquina que executa o modelo e, em seguida, retorna uma resposta. A diferença entre os mecanismos reside em onde o texto não criptografado existe ao longo desse caminho, quem pode lê-lo e o que é usado para verificar a privacidade da resposta.

Privacidade em nível de protocolo

Nesse nível, além de você, outras pessoas podem ler sua mensagem em texto simples, e o que acontece em seguida depende inteiramente de uma promessa.

A Retenção Zero Contratual é a solução empresarial. O provedor de serviços sabe quem você é, processa sua solicitação e promete não retê-la, com base em contratos e reputação.

Os proxies anônimos apagam sua identidade, mas não criptografam o que você disse; os provedores de serviço subsequentes ainda lidam com o texto não criptografado de acordo com suas próprias políticas. Os termos variam de acordo com o provedor; por exemplo, a Duck.ai (produto de chatbot da DuckDuckGo) pode negociar acordos de exclusão com fornecedores de modelos, enquanto a Venice presume que os usuários presumirão que o provedor de serviço reterá tudo, mas nenhuma das partes pode verificar isso.

Cada segmento da rota entre máquinas utiliza TLS, que criptografa apenas o tráfego de dados; o destinatário pode ler todas as informações. Os servidores de retransmissão geralmente usam HTTP Oblivious (RFC 9458) para separar esse direito de saber, funcionando como um amigo que passa um bilhete. O amigo sabe quem passou, mas não pode ler o conteúdo; o destinatário pode ler o conteúdo, mas não sabe quem o escreveu. O HTTPS tornou-se um padrão IETF em janeiro de 2024, e muitas empresas agora executam tráfego de produção em servidores de retransmissão HTTPS alugados da Cloudflare e da Fastly.

Este também é o limite de privacidade alcançável ao acessar modelos de código fechado, devido a um problema matemático. O custo atual do treinamento de modelos de ponta é da ordem de bilhões, e a avaliação desses laboratórios, que chega a quase um trilhão de dólares, baseia-se na exclusividade dos pesos dos modelos. A duração da lacuna de capacidade do modelo determina a duração do prêmio; portanto, os laboratórios protegem os arquivos de pesos como segredos de Estado.

A Meta conduziu esse experimento passivamente. O modelo LLaMA, lançado em fevereiro de 2023, estava inicialmente disponível apenas para pesquisadores, mas, em uma semana, os pesos vazaram para o 4chan em formato de semente. Uma semana depois, o arquivo llama.cpp permitiu que o menor modelo, de 7 bits, fosse executado localmente em um MacBook e, três dias depois, Stanford otimizou um assistente de bate-papo, o Alpaca, com base no mesmo modelo por menos de US$ 600. Esse vazamento reduziu os custos operacionais do Llama à eletricidade, permitindo que qualquer pessoa com o arquivo o executasse em casa. Em julho de 2023, a Meta tornou oficialmente o Llama 2 de código aberto com uma licença comercial que excluía uma cláusula para 700 milhões de usuários ativos mensais. Os pesos foram executados e a versão premium veio em seguida.

Em teoria, laboratórios de ponta poderiam fornecer atestação (prova remota) para inferências em modelos de código fechado, mas a atestação só pode provar qual segmento de código leu a solicitação; não pode provar o que esse código fez com ela. Para determinar se o servidor reteve dados, precisamos auditar o código de serviço e reconstruí-lo a partir do hash relatado pelo hardware. No entanto, uma vez que o código de serviço é entregue, o laboratório também abre mão das técnicas de processamento em lote e de cache que sustentam as margens de lucro, e essas técnicas migrarão para todas as gerações futuras de modelos. A Apple e a Meta podem fornecer prova remota para as pilhas de serviços por trás do iPhone e do WhatsApp porque seus lucros vêm de dispositivos e publicidade, e a divulgação pública do código de serviço não acarreta praticamente nenhum custo.

É por isso que os pesos e o código de serviço dos modelos principais não chegam aos operadores externos. Sem operadores externos, não há atestação de terceiros; sem atestação, a privacidade verificável existe apenas em modelos de código aberto.
 

Privacidade em nível estrutural

Cada mecanismo nesta categoria substitui promessas de confiança por provas de hardware, criptográficas ou físicas, mas cada um incorre em custos diferentes para atualizações de privacidade, principalmente porque só podem executar modelos de código aberto.

TEE (Trusted Execution Environment) A Computação Confidencial executa inferências dentro de um enclave de hardware (uma câmara selada no chip que nem mesmo o operador da máquina pode abrir); o chip assinará uma declaração detalhando qual modelo e segmento de código foram executados.

O prompt só é selado no ponto final. Permanece um processo ao longo do caminho, mediado pelo proxy, que pode ler o texto simples, e somente o protocolo impede que o proxy registre ou vaze o conteúdo do relay.

A criptografia de ponta a ponta (E2EE) isola os servidores legíveis. O dispositivo do usuário criptografa a mensagem com a chave do enclave, e cada etapa intermediária carrega um envelope selado que somente o enclave pode abrir.

A confiança recai sobre o cliente. O código responsável por criptografar o prompt e verificar a atestação também tem a capacidade de revogar essa garantia. Portanto, a criptografia de ponta a ponta verificável requer tanto um enclave comprovado quanto um código de cliente aberto e reproduzível.

Em comparação com a simplicidade do TEE, o custo do E2EE reside na carga de engenharia, que também retarda a integração funcional. O E2EE transforma o proxy em um mensageiro cego, de modo que todas as funções que dependem da leitura de texto simples devem ser reconstruídas em torno da chave do cliente ou apenas internamente dentro do enclave.

A criptografia totalmente homomórfica (FHE, na sigla em inglês) e suas variantes MPC eliminam completamente a necessidade de uma entidade confiável. O servidor realiza cálculos no texto cifrado em um ambiente seguro que ele jamais poderá abrir; a chave está somente em suas mãos. Já a computação multipartidária (MPC) divide o texto em partes secretas distribuídas entre múltiplas partes, obtendo o mesmo efeito a menos que todos os participantes conspirem.

O custo é a velocidade. A criptografia totalmente homomórfica (FHE) realiza nativamente apenas adição e multiplicação, portanto, as etapas não lineares necessárias para a operação do transformador devem ser reconstruídas a um custo elevado. O custo de inferência em texto cifrado é de 10.000 a 100.000 vezes maior que o do texto plano, com cada token em modelos pequenos levando de segundos a minutos, enquanto em condições não criptografadas, leva apenas milissegundos.

Espera-se que chips personalizados para computação criptografada reduzam essa diferença, mas o primeiro protótipo não concluirá sua demonstração até o início de 2026, e as versões comerciais levarão mais alguns anos.

A inferência local elimina diretamente esse caminho. O modelo é executado em seu próprio hardware, sem retransmissão, servidor, provedor de serviços ou requisitos de verificação.

Os custos óbvios são o de despesa e a capacidade do modelo. O gpt-oss-120b obtém uma pontuação cerca de metade da do GLM-5.2 no índice de Análise Artificial, mas seu tamanho é de 65 GB, excedendo a VRAM combinada de duas placas gráficas de jogos topo de linha no mercado. O GLM-5.2 de precisão total só pode ser executado em um nó de data center com 8 placas, custando mais de US$ 300.000 apenas em GPUs.

No entanto, além dessas limitações estruturais, o custo de colocar a inferência em enclaves está diminuindo. Na inferência em placa única, os benchmarks do provedor de serviços em nuvem de enclave Phala mostram que a perda de throughput para o modo enclave do H100 é em média inferior a 7% e é quase zero em modelos grandes, porque o custo principal reside na transferência de dados para o chip, e não no processamento interno. Na inferência em múltiplas placas, a GPU Blackwell de próxima geração da NVIDIA agora suporta criptografia direta do tráfego entre chips, enquanto o H100 mais antigo só consegue o mesmo efeito roteando o tráfego através da CPU host com um sétimo da largura de banda. Os próprios benchmarks da NVIDIA no Blackwell mostram que a perda de throughput para um modelo 397B no modo enclave é inferior a 8%. Com esses avanços, a perda de desempenho na inferência de privacidade deixa de ser uma restrição decisiva.

Na verdade, o próprio enclave praticamente não adiciona custos operacionais extras para o operador. Todos os H100 lançados após 2023 vêm com o modo enclave, e o custo adicional se refere à perda de throughput causada pela criptografia, não a chips extras. Atualmente, o preço do aluguel de SKUs H100 confidenciais no Azure ainda é de US$ 8,90 por hora, enquanto sem o enclave é de US$ 6,98, representando um acréscimo de 27% em relação às instalações de nuvem tradicionais. Por outro lado, operadores como a Phala, especializados em enclaves, estão alugando H100s no modo confidencial a partir de US$ 3,80 por hora, um valor inferior à faixa de preço de US$ 3,99 a US$ 4,29 para os cartões SXM padrão do Lambda. Em soluções de API hospedadas, a NEAR AI oferece endpoints com atestação a US$ 0,15 por milhão de tokens de entrada e US$ 0,55 por saída para gpt-oss-120b, comparável a rotas em texto simples no Amazon Bedrock, Together e Groq. Mesmo para modelos que exigem paralelismo em vários chips, o preço do NEAR AI para o GLM 5.2 é idêntico ao do Fireworks, e no Kimi K2.6, de maior capacidade, as entradas são 15% mais baratas e as saídas 4% mais baratas.

Embora esses novos provedores de inferência de privacidade possam estar sacrificando lucros para conquistar participação de mercado (isso se aplica a qualquer empresa no mercado que busca crescimento), a tendência estrutural é que o custo da privacidade esteja diminuindo tanto para os consumidores quanto para as operadoras.

Como os modelos de código aberto vencem

Apesar da redução na sobrecarga de desempenho, ainda existe uma lacuna visível entre os modelos de ponta e os modelos de código aberto mais avançados. Uma entidade que busca a máxima produtividade ainda precisa confiar que os laboratórios de ponta não irão roubar sua propriedade intelectual.

A lacuna ainda existe, mas a AIA Labs, sob a direção da Bridgewater e da Thinking Machines, apresentou um caso em 30 de junho: um modelo aberto, ajustado com anotações de especialistas, superou simultaneamente um modelo de ponta tanto em precisão quanto em custo.

No estudo, a equipe otimizou o modelo Qwen3-235B no Tinker (serviço de API de otimização hospedado da Thinking Machines). Primeiro, eles obtiveram anotações do fornecedor, treinaram a primeira rodada com esse lote de dados e, em seguida, enviaram as amostras divergentes de volta para a equipe de investimentos da empresa para reanotação. O treinamento utilizou aprendizado por reforço (GRPO) com três modificações: agrupamento round-robin (cada tarefa se reveza na produção de um lote), perda CISPO (limitando o quanto uma única resposta pode influenciar o modelo) e destilação on-policy (ancoragem no ponto de verificação ótimo atual para garantir que o modelo não aprenda com cópias mais fracas).

Todas as tarefas foram extraídas dos fluxos de trabalho diários de profissionais de investimento: se um artigo de notícias é importante para executivos de investimento de alto escalão, se um documento do banco central sugere futuras alterações nas taxas de juros e por onde começar com frases padronizadas em um documento ou e-mail. A pontuação foi obtida a partir de um conjunto de testes independente, com modelos de ponta atingindo uma média de cerca de 50% em perguntas simples e apenas 78,2% em perguntas de especialistas, abaixo do limite de 80% estabelecido pelos profissionais de investimento. O modelo Qwen, otimizado, alcançou 84,7%, o que, de acordo com o texto original, significa que cometeu 29,8% menos erros do que o modelo otimizado de ponta, com custos de inferência 13,8 vezes menores.

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

Este caso demonstra que modelos de código aberto podem ser vantajosos tanto em precisão quanto em custo, mas o processo de treinamento ainda não é privado. As anotações de especialistas utilizadas no processo são dados proprietários da Bridgewater, que passam pelo serviço de terceiros da Tinker, chegando ao mesmo nível de confiança do protocolo ZDR. O fundo também alugou poder computacional, e todo o treinamento foi executado em máquinas que ele nunca controlou. Os compradores que desejam essa fórmula sem a necessidade de confiança têm poucas opções atualmente. Alugar clusters de GPUs sem infraestrutura torna o processo de treinamento legível para operadores de nuvem. Comprar um cluster resolve o problema de hospedagem de dados, mas os custos disparam.

A solução com atestação acaba de chegar. Em março, a Workshop Labs e a Tinfoil lançaram o Silo, um conjunto de ferramentas de pós-treinamento executado em enclaves Tinfoil em um único nó de 8 placas, com chaves controladas exclusivamente pelo cliente. O artigo afirma que o custo do enclave adiciona 11 minutos a uma sessão de treinamento de duas horas, e que esse conjunto de ferramentas pode acomodar um modelo com um trilhão de parâmetros (Kimi K2 Thinking) congelando os pesos base e treinando apenas pequenos adaptadores sobre eles. O desafio reside no fato de que o aprendizado por reforço exige a movimentação constante de dados entre os componentes, e é justamente nessa movimentação que surgem os custos do enclave.

Menos de um mês após o lançamento do Silo, a Workshop Labs foi adquirida pela Thinking Machines, e todos os componentes necessários para executar o próximo ciclo de aprendizado por reforço no estilo Bridgewater no enclave agora estão sob o controle da mesma empresa.

Privacidade na camada de acionamento

Existe outra questão que transcende todos os mecanismos de inferência privados. Cada um desses mecanismos gerencia o caminho do prompt ao modelo, enquanto cada chamada de ferramenta externa iniciada por um agente abre uma rota que a camada de inferência fundamentalmente não pode acessar. A recente tendência de engenharia de fluxos de trabalho amplifica o problema; cada ferramenta, armazenamento de memória e fonte de dados que circunda o modelo é mais um destino que lê sua parte do fluxo de trabalho em texto simples. Servidores de calendário leem agendamentos, servidores de banco de dados leem consultas. Um agente completamente local ainda precisa enviar termos de busca em texto simples para um mecanismo de busca se quiser algo fora do conjunto de treinamento, já que o servidor não consegue ler texto simples e, portanto, não pode responder a perguntas.

As soluções convencionais ainda priorizam a camada de protocolo. Empresas como Runlayer e MintMCP usam um gateway central para controlar todo o tráfego de ferramentas, mascarando informações de identificação pessoal (PII) antes que as solicitações sejam enviadas. O gateway também decide quais servidores podem receber tráfego, bloqueando aqueles não verificados, e registra o destino e o conteúdo de cada chamada para referência futura. Mesmo que esses controles sejam auditados por entidades independentes (SOC 2), os servidores de ferramentas ainda precisam ler as consultas em texto simples para responder, e a retenção de cópias depende de suas próprias políticas de retenção, multiplicadas por cada ferramenta no conjunto de dados. Além disso, o próprio gateway é uma parte leitora adicional, dependendo da confiança ao longo do caminho, em vez de verificação.

As soluções de nível estrutural visam essa camada intermediária. Por exemplo, a Phala hospeda diretamente o servidor MCP dentro de um TEE, abrangendo carteiras, execução de código e fontes de dados, permitindo que os usuários verifiquem as declarações de privacidade com uma atestação em vez de confiar no operador. No entanto, as ferramentas hospedadas no TEE ainda precisam enviar consultas em texto simples aos provedores de serviço; o enclave protege apenas o mensageiro, não o destinatário.

Apenas alguns destinos aprenderam a responder sem ler, e mesmo assim, somente para consultas estruturadas. A Apple oferece recuperação de informações privadas para o iPhone, permitindo que os números de chamadas sejam comparados com bancos de dados de chamadas de spam sem expor o número, e a Microsoft usa o mesmo esquema para senhas no navegador Edge. A Criptografia Consultável do MongoDB permite que os clientes criptografem campos antes de enviá-los, possibilitando que o servidor realize verificações de igualdade e de intervalo com base apenas no texto cifrado.

No entanto, para buscas abertas, as melhores respostas hoje ainda dependem da confiança; a busca criptografada verificável ainda não saiu dos laboratórios. O Brave promete retenção zero de dados em seu próprio índice de 40 bilhões de páginas (em vez do do Google), mas ainda se enquadra na camada de protocolo. A Exa construiu um índice neural que incorpora semanticamente as palavras-chave do usuário, correspondendo aos resultados com base na semântica, mas essa etapa de incorporação ainda parte do texto simples nos servidores da Exa. O artigo Tiptoe do MIT, de 2023, alcançou o ranqueamento em 360 milhões de páginas da web sem expor as consultas, mas cada busca consome uma quantidade significativa de poder computacional do servidor, e a qualidade do ranqueamento difere das buscas não criptografadas. O artigo Wally da Apple, de 2024, reduz os custos de comunicação em até 31 vezes, ocultando as consultas reais entre iscas, mas esse cálculo só se torna barato com milhões de consultas simultâneas, uma escala que nenhum sistema de busca privada possui atualmente.

A busca criptografada é viável; simplesmente ainda não atingiu um nível comercialmente rentável em termos de desempenho e preço.

Panorama

A demanda por IA privada está crescendo. A Venice AI ultrapassou recentemente 3,5 milhões de usuários registrados e uma taxa de transferência mensal de 1,3 trilhão de tokens, concluindo posteriormente uma nova rodada de financiamento Série A avaliada em US$ 1 bilhão. A Proton é sua concorrente direta, com seu produto de bate-papo Lumo ultrapassando 10 milhões de usuários em um ano após o lançamento. Em termos de infraestrutura, a Phala atualmente processa de 2 a 3 bilhões de tokens diariamente no OpenRouter. A Duck.ai direciona o gpt-oss-120b e o Gemma para o enclave da Tinfoil, fornecendo privacidade verificável além dos proxies de usuário. Isso sem considerar a auto-hospedagem, que provavelmente é o maior canal para inferência privada, já que os modelos são executados no próprio hardware do usuário, não deixando rastros de uso.

No entanto, na onda mais ampla da IA convencional, a IA voltada para a privacidade ocupa apenas uma pequena parcela, e essa lacuna só será preenchida quando laboratórios de ponta atenderem intencionalmente a essa demanda. Em maio, o Google processou 320 trilhões de tokens em todos os seus produtos, o que significa que a capacidade de processamento mensal do Venice é aproximadamente equivalente a 18 minutos do Google. Em novembro passado, o Google lançou o Private AI Compute (PAC), executando alguns recursos baseados no Gemini em enclaves TPU selados e isolados da própria empresa, com o design auditado independentemente pelo NCC Group. Contudo, o problema é que o PAC abrange apenas alguns recursos do Pixel, como recomendações personalizadas e resumos de áudio, e não os aplicativos Gemini usados por centenas de milhões de pessoas. O Google está disposto a entregar os designs aos auditores porque esses recursos são monetizados por meio de dispositivos e publicidade, e não pela venda de tokens.

As soluções hospedadas atuais também são imperfeitas. Usuários que buscam a máxima privacidade por meio de criptografia de ponta a ponta (E2EE) precisam esperar que novos recursos sejam reconstruídos em locais que os provedores de serviços não podem ler. Os sistemas de segurança privados ainda dependem de protocolos na camada de serviço. O treinamento pós-instalação com preço acessível ainda exige a confiança em fornecedores terceirizados para obter os melhores resultados de otimização. A hospedagem própria elimina completamente todos os provedores de serviços, mas executar os modelos de código aberto mais robustos localmente pode custar mais do que o prédio que os abriga.

Apesar das falhas, a IA privada tornou-se uma opção real e acessível, e as lacunas restantes estão diminuindo. Para consumidores comuns, chats privados de modelo aberto no Lumo e no Venice, com a promessa de não registro de logs, são gratuitos, enquanto assinaturas do Venice ou do Tinfoil, por US$ 18 a US$ 20, encapsulam os mesmos chats em enclaves, não mais caras do que uma assinatura do ChatGPT. Para fluxos de trabalho corporativos, endpoints com atestação agora são ainda mais baratos do que rotas em texto simples. Endpoints como a API E2EE da NEAR agora podem trazer contexto criptografado para enclaves, com memória, uploads de arquivos e instruções personalizadas operando sobre E2EE atualmente. Quanto ao pós-treinamento com atestação, o Vera Rubin NVL72 da NVIDIA, que será lançado em breve, estenderá a computação confidencial dos nós de 8 placas da Blackwell para racks de 72 placas, tornando os loops de RL de ponta mais viáveis sem expor a propriedade intelectual.

No entanto, a captura de valor crucial reside além desses níveis de compressão de preços. A privacidade é praticamente gratuita onde já existe, mas ainda não abrange os fluxos de trabalho de agentes convencionais. Operadores focados no aluguel e venda de enclaves detêm uma vantagem competitiva significativa em chips padrão, não uma barreira de entrada, enquanto gateways de camada de protocolo competem com middleware tradicional. O território defensável é a metade deste relatório que permanece sem solução: loops de treinamento bloqueados em enclaves, chamadas de ferramentas seladas de ponta a ponta e índices de busca de termos invisíveis. Quem primeiro conseguir implementar um desses recursos venderá algo que não pode ser transformado em commodity por nenhuma guerra de preços. O capital que busca IA voltada para privacidade deve estar investindo nas lacunas, não nessa vantagem competitiva.

Então, confiar ou verificar? Para tarefas que exigem muita execução e agentes, escolha confiar, porque cada chamada de ferramenta inerentemente entrega texto não criptografado a destinos que enclaves não podem proteger, e modelos de ponta justificam seu preço nesses processos. Já para o pensamento estratégico que diferencia uma empresa de seus concorrentes, escolha verificar. Estratégia, planejamento e julgamentos refinados por anos de experiência profissional representam precisamente esse diferencial competitivo. O caminho a seguir é aprimorar modelos de código aberto com esses insights proprietários dentro dos limites do controle da empresa. Nos domínios onde reside o diferencial de uma empresa, modelos abertos ajustados por especialistas já superaram simultaneamente os de ponta em precisão e custo, e a infraestrutura para construí-los em ambientes de privacidade está surgindo gradualmente.