Andy Yen, cofundador e CEO da Proton, defende que inteligência artificial e privacidade podem coexistir — mas o Lumo mostra por que essa resposta não pode ser reduzida a um simples “sim”. A política de retenção, a proteção dos chats salvos, o uso das conversas para treinamento, o processamento em GPU e as permissões dadas a um agente são camadas diferentes do problema.
O Lumo foi lançado pela Proton em 23 de julho de 2025 como um assistente de IA com foco em privacidade. A proposta é ambiciosa: oferecer a utilidade de um serviço em nuvem sem tratar cada conversa íntima como matéria-prima para publicidade, perfilização ou treinamento. Só que a arquitetura tem uma nuance importante — e é justamente aí que a discussão fica interessante.
A aposta da Proton em uma IA privada
A Proton surgiu em 2014, associada a cientistas que trabalhavam no CERN, e construiu sua identidade em torno de serviços como Proton Mail, Proton VPN, Proton Drive e Proton Pass. Com o Lumo, a empresa leva essa filosofia para a IA: Andy Yen argumenta que a tecnologia é útil demais para ser simplesmente rejeitada, então a alternativa é tentar construí-la com menos exposição de dados.
A pergunta correta, portanto, não é apenas “o Lumo é privado?”. É: privado em qual etapa? Uma conversa pode não ser armazenada, um chat salvo pode ser criptografado de modo que a Proton diga não conseguir lê-lo, e ainda assim o processamento necessário para gerar uma resposta exigir uma análise específica do caminho percorrido pelos dados.
Essa distinção também responde à questão mais ampla: sim, IA e privacidade podem coexistir em princípio, desde que retenção, treinamento, inferência e permissões sejam tratados como riscos separados — não como um único selo de segurança.
O que a Proton diz sobre os dados do Lumo
A Proton afirma que o Lumo não mantém logs de conversas no lado do servidor e não usa as conversas ou entradas dos usuários para treinar seus modelos. A empresa também descreve outros mecanismos de proteção:
- chats salvos usam criptografia de acesso zero, de modo que a Proton afirma não conseguir lê-los;
- o processamento ocorre nos data centers europeus da Proton;
- a busca na web é opcional e acionada pelo usuário;
- arquivos enviados podem ser analisados sem que um registro seja mantido, segundo a Proton;
- o modo fantasma faz a conversa atual desaparecer depois que a sessão é encerrada, para usuários conectados;
- o serviço usa modelos de código aberto, embora o roteamento dos modelos possa mudar.
Essas promessas formam uma postura de privacidade mais cuidadosa do que simplesmente armazenar todas as conversas por padrão. Mas “não guardar” e “não usar para treinamento” são políticas de tratamento de dados; não significam, sozinhas, que cada etapa do processamento seja criptograficamente inacessível ao provedor.
A interface com GPUs é uma camada diferente
Para responder a uma solicitação, um modelo precisa processar os dados em hardware especializado, normalmente GPUs. É aqui que a proteção de um chat salvo deixa de ser a mesma coisa que a proteção do conteúdo durante a inferência — o momento em que o modelo calcula a resposta.
Em uma entrevista publicada em 18 de agosto de 2026, Yen disse que a infraestrutura para uma proteção criptográfica mais forte do Lumo estava em grande parte construída, mas que ainda faltava a interface com as GPUs. A declaração descrevia a situação naquele momento; não estabelece qual é o estado atual dessa implementação.
O ponto é técnico, mas a consequência é simples: criptografar o histórico depois da conversa não equivale automaticamente a manter o prompt inacessível durante todos os cálculos que produzem a resposta. Para avaliar uma IA privada, você precisa perguntar não só se os dados são armazenados, mas também quem pode acessá-los enquanto o modelo está trabalhando.
O próprio discurso público de Andy Yen segue essa linha mais cuidadosa. A Proton apresenta o Lumo como uma tentativa de reduzir retenção e exposição, enquanto a proteção criptográfica durante a inferência exige uma camada adicional. Uma coisa não substitui a outra.
O limite que nenhuma criptografia resolve
Mesmo a melhor proteção de armazenamento não impede um agente de fazer algo perigoso depois que o usuário lhe concede acesso amplo. Andy Yen destaca esse limite: se um agente puder acessar o dispositivo ou uma conta e tiver autorização para divulgar informações, a criptografia do serviço original não conseguirá impedir necessariamente essa ação.
Esse é um risco diferente do risco de retenção. O problema deixa de ser “o provedor guardou meu prompt?” e passa a ser “o que o agente pode ler, executar ou enviar em meu nome?”. Um agente conectado ao e-mail, aos arquivos e às credenciais tem uma superfície de ação muito maior do que um chatbot que apenas responde a perguntas isoladas.
Na prática, vale evitar que agentes recebam acesso irrestrito a contas, arquivos e chaves de API. Quando uma integração for necessária, o ideal é limitar permissões ao mínimo, separar credenciais e não colocar segredos diretamente no contexto de uma conversa.
IA local reduz a exposição — mas não torna tudo privado
A IA local, executada no próprio computador ou celular, pode reduzir a exposição a provedores externos porque o prompt não precisa viajar até um serviço de nuvem. Yen considera esse caminho uma das opções mais fortes para o futuro, à medida que os dispositivos ganham capacidade e modelos menores ficam mais úteis.
Isso não transforma a IA local em uma bolha invulnerável. A privacidade ainda depende da segurança do dispositivo, da presença de malware, da configuração da rede, da origem dos modelos baixados e dos aplicativos ou agentes conectados ao modelo. Um computador comprometido pode vazar dados mesmo sem um servidor de IA no meio do caminho.
A escolha fica mais clara quando você separa os cenários: para uma pergunta comum, um serviço em nuvem com políticas explícitas de retenção e treinamento pode ser suficiente; para segredos profissionais, credenciais ou documentos extremamente sensíveis, reduzir o que sai do dispositivo é uma medida mais forte.
As camadas que você deve avaliar
| Camada de privacidade | O que a Proton afirma sobre o Lumo | O que isso significa | Consequência prática |
| Retenção de conversas | Não mantém logs de conversas no servidor | A política limita o armazenamento declarado das interações | Ainda é preciso distinguir a política de retenção do processamento momentâneo |
| Chats salvos | Usa criptografia de acesso zero | A Proton afirma não conseguir ler os chats salvos | Protege o conteúdo armazenado, mas não descreve sozinho toda a inferência |
| Treinamento dos modelos | Não usa conversas e entradas dos usuários para treinar os modelos | O conteúdo não deveria ser incorporado ao treinamento, segundo a política publicada | Verifique a regra aplicável ao serviço antes de enviar material sensível |
| Inferência em GPU | Yen disse que a interface para uma proteção criptográfica mais forte ainda era a peça faltante na entrevista | Processar uma resposta é uma etapa diferente de salvar um chat | Não trate criptografia de armazenamento como sinônimo de proteção durante todos os cálculos |
| Permissões de agentes | A criptografia não impede um agente autorizado de divulgar dados | O agente pode agir depois de obter acesso ao dispositivo ou às contas | Limite permissões e mantenha credenciais fora do contexto sempre que possível |
| Processamento local | Pode manter o prompt fora dos servidores de um provedor | A exposição externa diminui, mas a segurança muda para o dispositivo e a rede | Use IA local para dados mais sensíveis quando a estrutura de segurança for adequada |
O que Andy Yen está realmente defendendo
Yen também afirma que a procura por privacidade atravessa divisões políticas. Segundo ele, a Proton percebeu aumentos de interesse associados tanto ao governo de Donald Trump quanto ao de Joe Biden. A leitura dele é que privacidade não depende de uma única agenda partidária: muda o governo, mudam as regras e continua sendo útil controlar quem acessa seus dados.
Esse argumento combina com a trajetória da Proton, mas não elimina a necessidade de examinar cada produto. Confiança institucional, política de retenção, criptografia de chats salvos, processamento em GPU e controle de agentes são peças diferentes. Colocá-las todas sob o rótulo “privacidade” é conveniente — e tecnicamente insuficiente.
O que o leitor deve concluir
O Lumo não precisa ser perfeito para representar uma alternativa mais cuidadosa aos assistentes que retêm conversas ou usam entradas para treinamento. Mas a promessa deve ser lida em camadas, não como uma garantia total.
Antes de enviar um dado sensível a qualquer IA, faça quatro perguntas:
- A conversa será armazenada?
- Ela poderá ser usada para treinar modelos?
- Quem consegue acessar o conteúdo durante a inferência?
- O agente tem permissão para ler ou enviar algo além do necessário?
Se a resposta para alguma delas for vaga, reduza a quantidade de informação enviada. Remova credenciais, nomes e documentos desnecessários. Para material altamente sensível, considere processamento local — sem esquecer que o próprio dispositivo precisa estar protegido.
A visão de Andy Yen é plausível: IA e privacidade podem coexistir. O detalhe decisivo é que privacidade não é uma função única. É uma cadeia. E, nessa cadeia, a proteção do chat salvo é apenas um elo; o processamento em GPU e o poder concedido aos agentes podem mudar completamente o risco.
