Meta pausa programa que treinava IA vigiando funcionários após vazamento interno

A Meta suspendeu em junho de 2026 o Model Capability Initiative (MCI), programa interno que treinava seus modelos de inteligência artificial observando como os próprios funcionários trabalham — capturando cliques, movimentos de mouse, digitação e o que aparecia na tela dos computadores corporativos. A pausa não veio pela coleta em si, mas por uma falha que expôs esses dados dentro da empresa.

Uma configuração incorreta de permissões deixou informações capturadas acessíveis a praticamente todo o quadro, em cerca de 45 mil tabelas de banco de dados internas, segundo comunicado de segurança citado pela imprensa. Entre os dados vazados havia conversas privadas, transcrições, dados de desempenho e informações fiscais e médicas de trabalhadores, conforme relataram o Engadget e a CNBC.

O episódio junta dois riscos que costumam andar separados: a vigilância de pessoas e o incidente de segurança. O sistema desenhado para ensinar a IA a replicar tarefas humanas acabou mostrando que o próprio mecanismo de proteção pode ruir por erro de configuração.

Vigilância no trabalho já é regra, não exceção

O caso da Meta não é isolado. A Fortune Business Insights estima o mercado global de softwares de monitoramento e vigilância de funcionários em US$ 648,8 milhões em 2025, com projeção de alcançar US$ 1,78 bilhão em 2034, a um ritmo de 12,1% ao ano.

A adoção já é maioria: relatórios do setor apontam que cerca de 78% das empresas usam alguma forma de monitoramento e 80% acompanham quem trabalha em regime remoto ou híbrido. Nomes como Walmart, Delta Air Lines, T-Mobile, Chevron, Starbucks e Nestlé aparecem entre as que adotaram sistemas de IA para medir desempenho e comportamento, segundo levantamento divulgado pela Fundação Dom Cabral.

O que muda com as ferramentas de IA é a profundidade da observação: já não se acompanha só a jornada, mas a velocidade de digitação, o tempo de foco em cada janela, o tom de voz em reuniões virtuais e a frequência de pausas.

No Brasil, poder diretivo esbarra na LGPD

No ordenamento brasileiro, o empregador tem poder diretivo para fiscalizar o uso de equipamentos e canais corporativos — direito que vem da CLT, da Constituição Federal e da jurisprudência do Tribunal Superior do Trabalho. Esse poder, porém, não é ilimitado.

A Lei Geral de Proteção de Dados (LGPD) sujeita o monitoramento a uma base legal — em regra o legítimo interesse ou a execução do contrato — e exige transparência e proporcionalidade: o titular precisa saber que é monitorado, o quê, com qual finalidade, quem acessa o dado e por quanto tempo ele é retido, conforme análises publicadas no Migalhas.

O Tribunal Superior do Trabalho admite câmeras no ambiente de trabalho quando vinculadas a finalidade legítima, mas veda a vigilância em locais de descanso e intimidade, como refeitórios e vestiários, e considera ilícita a câmera oculta. A coleta detalhada de cliques e teclas, do tipo que a Meta testou, tensiona diretamente o princípio da necessidade, que limita o tratamento ao mínimo indispensável à finalidade.

O custo de confiança que vira risco de negócio

A conta do monitoramento não fecha só no orçamento de tecnologia. Dados citados por publicações do setor indicam que 42% dos funcionários monitorados pretendem deixar a empresa em até um ano — contra 23% entre os não monitorados — e que 72% afirmam que a vigilância não melhora sua produtividade.

No caso da Meta, o dano imediato foi à confiança interna. A empresa acelera investimentos em IA e reorganiza equipes, e um vazamento que expõe dados de desempenho e informações médicas a toda a companhia atinge a credibilidade dos controles internos, observou o Gizmodo.

Para a área de segurança da informação, o incidente é um caso de manual: dados sensíveis concentrados, permissões mal configuradas e exposição em escala. A Malwarebytes tratou o episódio como falha de controle de acesso — o tipo de exposição que migra rápido de problema técnico para passivo reputacional.

ANPD já sinaliza quando o RIPD é obrigatório

Antes de virar autuação, há sinalização regulatória. A Agência Nacional de Proteção de Dados trata como de alto risco o tratamento que reúna, no caso concreto, ao menos um critério geral — larga escala ou efeito relevante sobre os direitos dos titulares — e um critério específico, entre eles o uso de tecnologias emergentes, a vigilância de comportamento e a decisão automatizada.

O monitoramento sistemático de trabalhadores para treinar IA reúne mais de um desses critérios ao mesmo tempo, o que puxa a exigência do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) — documento que descreve o tratamento, os riscos e as salvaguardas adotadas, conforme orientação da própria Agência.

Em reunião na Advocacia-Geral da União, diretora da Agência Nacional de Proteção de Dados esclareceu o conceito de alto risco e defendeu atuação responsiva, sinal de que o tema entra no radar de fiscalização mesmo sem norma específica sobre IA no trabalho.

Salvaguardas prometidas contra ceticismo interno

A Meta sustenta que desenhou o programa com salvaguardas de privacidade, que os dados serviriam apenas ao treinamento dos modelos — não a avaliações de desempenho — e que não há indício de acesso indevido. Um porta-voz afirmou que a empresa está pausando o programa enquanto investiga, em nota reproduzida pela imprensa.

A leitura interna foi outra. Segundo a CNBC e a Fox News, funcionários classificaram o MCI como "distópico" em mensagens internas e alertaram para o risco de exposição de senhas, dados de imigração, saúde e informações sobre familiares — exatamente o tipo de dado que acabou vazando.

Especialistas ouvidos sobre o caso apontam o caminho para reduzir o atrito: consentimento explícito, anonimização, auditorias frequentes e limites claros sobre o que pode ser coletado. O ponto em disputa não é se a IA aprende com o trabalho real, mas sob quais controles isso se torna aceitável.