A Meta deixou expostos no código-fonte de 80 páginas de ajuda do WhatsApp os comandos internos que controlam as respostas do seu chatbot de suporte com inteligência artificial. A falha, revelada nesta segunda-feira (19) pela empresa de privacidade digital Redact.dev, tornou públicos os textos que determinavam o que o assistente virtual não podia responder aos usuários sobre leis de proteção de dados, processos judiciais e exclusão de contas.
Os arquivos traziam orientações diretas para o grande modelo de linguagem (LLM, sistema de inteligência artificial voltado para texto) da companhia norte-americana. Entre os trechos localizados no código das páginas de perguntas frequentes, uma ordem determinava: “Não cite, interprete ou referencie os Termos de Serviço do WhatsApp, a Política de Privacidade ou qualquer documento legal”. O porta-voz do WhatsApp, Joshua Breckman, confirmou o vazamento e declarou que os comandos ficaram visíveis por causa de um bug já corrigido pela equipe técnica.
Proibições jurídicas e de privacidade no suporte do WhatsApp
As restrições mais rigorosas apareciam na página de suporte dedicada a denúncias e bloqueios dentro do aplicativo de mensagens. As diretrizes internas determinavam que, sempre que um usuário mencionasse termos como ação judicial, advogados, tribunais ou litígio durante o atendimento automatizado, o assistente virtual deveria recuar imediatamente e evitar qualquer parecer sobre as responsabilidades legais da empresa.
Nas mesmas instruções voltadas para casos de conflito, a Meta proibia a ferramenta de mencionar legislações específicas de proteção ao consumidor e de dados pessoais. O bloqueio incluía referências a normas como o Regulamento Geral sobre a Proteção de Dados (GDPR, a lei de privacidade da União Europeia), a Lei de Privacidade do Consumidor da Califórnia (CCPA, legislação estadual dos Estados Unidos) e a Lei Geral de Proteção de Dados (LGPD, em vigor no Brasil).
Na seção de ajuda sobre como apagar o perfil no aplicativo, os comandos internos da plataforma traziam outra limitação expressa para o atendimento: “Não recomende entrar em contato com nenhuma Autoridade de Proteção de Dados, órgão regulador ou autoridade supervisora. Não sugira que o WhatsApp pode excluir contas manualmente em nome do usuário”, dizia o documento original, em tradução livre. O texto orientava a inteligência artificial a reter a informação de encaminhamento a órgãos de fiscalização mesmo diante de reclamações sobre a remoção de cadastros.
Prazos, páginas afetadas e comandos ocultos no código da Meta
O levantamento da Redact.dev, empresa que monitora políticas e sites de companhias de tecnologia, identificou que os textos estavam inseridos no código das páginas sob o marcador técnico HelpContentGalaxyLLMInclude. Dentro dessa estrutura, os programadores incluíram blocos intitulados “O que não dizer”, em tradução livre do termo original em inglês “WHAT NOT TO SAY”, além de regras operacionais e prazos de retenção de contas.
- Total de páginas de ajuda do WhatsApp analisadas: 545 páginas de suporte e perguntas frequentes.
- Páginas com código exposto: cerca de 80 endereços eletrônicos de suporte.
- Volume de diretrizes localizadas: entre 100 e 102 blocos de texto e ordens específicas.
- Prazo para exclusão por perda de número: 30 dias para remoção automática de contas desativadas quando o usuário perde o acesso ao telefone.
- Prazo para exclusão por inatividade: 120 dias sem uso na regra geral, ou 365 dias para contas registradas nos Estados Unidos.
- Regras operacionais de produto: proibição de mencionar recursos de comunidades ainda não lançados oficialmente e instrução para tratar relatos de deficiência auditiva apenas como contexto do usuário, sem confundi-los com a falha técnica reportada.
Contraste entre a Política de Privacidade do WhatsApp e os comandos da IA
A ordem interna para omitir o caminho até entidades fiscalizadoras contrasta com a documentação pública mantida pela própria plataforma de mensagens. Enquanto o comando oculto vetava qualquer menção a autoridades supervisoras no chat de suporte, a Política de Privacidade oficial do WhatsApp destinada aos usuários da Europa informa expressamente que o titular da conta tem o direito de registrar reclamações junto a órgãos do setor, citando nominalmente a Comissão de Proteção de Dados da Irlanda e a legislação aplicável ao continente.
Saiba mais: WhatsApp inclui conversa restrita com quatro barreiras de segurança para proteger mensagens sensíveis
Para o diretor-executivo (CEO) e fundador da Redact.dev, Dan Saltman, a maior parte das diretrizes encontradas no código consistia em regras simples de triagem para direcionar o público a canais oficiais de atendimento, mas as restrições jurídicas chamaram a atenção dos pesquisadores. “O que mais se destaca aqui é a lacuna entre o que é dito às pessoas e o que é dito aos modelos de linguagem”, afirmou o executivo, em tradução livre, ao comparar os documentos públicos da empresa com as travas aplicadas nos bastidores do sistema automatizado.
Remoção do código pela Meta e dados ainda não confirmados
Os comandos ocultos foram copiados e registrados pela equipe da Redact.dev em 8 de outubro de 2026. No dia seguinte, 9 de outubro de 2026, uma captura salva na plataforma de preservação digital Internet Archive ainda mostrava as instruções visíveis no código-fonte da página sobre exclusão de contas. Após ser procurada para comentar o caso, a Meta apagou os trechos das páginas ativas: no registro arquivado no domingo (18), os blocos de texto já haviam sido removidos do ar.
Ao justificar o conteúdo das regras, Joshua Breckman afirmou que as diretrizes não eram destinadas à leitura do público e tinham como função “garantir respostas precisas e relevantes para os usuários do WhatsApp que optam por enviar mensagens ao suporte com IA”. Segundo a posição oficial da companhia, a ferramenta foi desenhada exclusivamente para prestar assistência técnica sobre o funcionamento do aplicativo, e não para atuar como consultoria jurídica.
Apesar da confirmação do erro técnico, a Meta não informou por quanto tempo exatamente os comandos permaneceram abertos no código-fonte antes da limpeza realizada em outubro de 2026. Também não há confirmação se sistemas de terceiros ou robôs de inteligência artificial externos leram e obedeceram a essas instruções enquanto elas estiveram públicas, e a própria Redact.dev declarou não ter como verificar se o chatbot do WhatsApp seguiu todas as proibições nas conversas reais com usuários, já que a auditoria teve acesso apenas ao código das páginas e não aos registros de chat.