França exclui OpenAI de sua nova estratégia de cibersegurança

O ataque à Direção-Geral das Finanças Públicas leva o Estado francês a rever sua estratégia de cibersegurança. Frente às falhas que atingem as administrações e expõem dados sensíveis, o executivo quer reforçar profundamente suas auditorias digitais graças à IA. Uma resposta à altura de uma ameaça que agora ultrapassa apenas os sistemas públicos. As informações furtadas podem alimentar campanhas de engenharia social e mirar diretamente os cidadãos, incluindo os detentores de criptomoedas. Por trás dessa virada, também está em jogo uma questão maior: a soberania digital francesa.

A resposta soberana de Bercy e a escolha exclusiva da IA da Mistral AI

Nesta terça-feira, 18 de agosto de 2026, ao final do Conselho de Ministros em Paris, o governo francês adotou uma virada tecnológica importante para reforçar a resiliência de suas infraestruturas informáticas, enquanto quase 700.000 contribuintes estão ameaçados após um ataque cibernético contra a DGFiP. O ministro do Orçamento, David Amiel, anunciou que o Estado usará ferramentas baseadas em inteligência artificial para identificar e testar proativamente as vulnerabilidades de seus próprios serviços públicos.

Para realizar essa missão delicada de auditoria ofensiva, a França fez a escolha deliberada de afastar os gigantes americanos em favor de atores locais. David Amiel foi particularmente categórico diante da imprensa. Ele declarou que o governo recorrerá a empresas de IA ditas soberanas, “tais como a Mistral”, antes de esclarecer explicitamente: “isso exclui a OpenAI”.

Essa orientação política se insere na continuidade direta do programa “Notre IA” revelado alguns meses antes pelo ministério do Orçamento. Esse plano já visava implantar ferramentas soberanas dentro dos serviços do Estado, notadamente por meio do “Assistente”, um dispositivo concebido pela direção interministerial do digital (DINUM), apoiado no modelo da startup parisiense Mistral AI e hospedado exclusivamente em datacenters certificados SecNumCloud.

Ao confiar a detecção de suas falhas de segurança à Mistral, empresa apoiada pelo fabricante ASML, Paris recusa expor o mapeamento de suas fraquezas informáticas a tecnologias extra-europeias. Essa escolha de engenharia preventiva surge como uma resposta direta ao choque provocado pela infiltração nos servidores da fiscalização, oficializada alguns dias antes.

Para compreender o alcance dessa orientação institucional, três pilares fundamentais estruturam agora a nova doutrina de auditoria do governo :

• O recurso exclusivo às startups locais : o Estado delega a atores franceses como a Mistral AI a auditoria de seus próprios sistemas sem depender de atores americanos ;
• A exclusão firme de modelos terceiros : a decisão exclui formalmente a OpenAI para evitar qualquer transferência de mapeamento de vulnerabilidades para servidores sujeitos a legislações extraterritoriais ;
• A ancoragem em infraestruturas certificadas : a integração apoia-se no programa “Notre IA” e na hospedagem em datacenters com selo SecNumCloud.

Uma grande falha informática na Direção-Geral das Finanças Públicas

O gatilho para essa reorganização governamental reside numa brecha de segurança inédita na Direção-Geral das Finanças Públicas (DGFiP). Revelada na quinta-feira anterior por meio dos dados on-chain pelo ministério da Economia e Finanças, o ataque permitiu que um hacker acessasse a ferramenta de pesquisa de contribuintes comprometendo um acesso VPN interno por meio de credenciais roubadas.

A intrusão, detectada e encerrada no final de junho de 2026, resultou na exfiltração dos arquivos de quase 700.000 pessoas, incluindo nomes, contatos completos, números de acesso fiscal, taxas de retenção na fonte e históricos de correspondência. A situação piorou na segunda-feira quando a diretora-geral da DGFiP, Amélie Verdier, confirmou que suas equipes acabaram de descobrir um segundo vazamento de dados, atualmente em avaliação.

Embora a administração fiscal tenha precisado que senhas e identificadores de acesso não foram roubados, a natureza das informações é particularmente tóxica quando cruzada com o ecossistema financeiro das criptomoedas. O vazamento de endereços físicos e dados fiscais detalhados constitui um terreno ideal para phishing ultra-direcionado e roubo de identidade.

Essa vulnerabilidade ecoa as preocupações expressas mais cedo no ano por Pavel Durov. Em abril de 2026, o fundador do Telegram apontou publicamente para as falhas dos registros públicos, revelando que a França registrou 41 sequestros ou tentativas de extorsão visando detentores de criptomoedas nos primeiros três meses e meio do ano.

Entre ambição de soberania e imperativo de proteção de dados

Além da resposta de emergência dada por Bercy, essa parceria com o ecossistema local levanta questões importantes sobre a gestão futura das infraestruturas críticas europeias. Ao recusar alimentar os modelos americanos com o catálogo de falhas das administrações públicas, a França tenta impor um padrão estrito de confidencialidade sob controle da legislação europeia.

No entanto, esse método de testes automatizados por IA soberana terá que provar sua eficácia diante de modos operacionais humanos muitas vezes baseados na compromissão de identificadores legítimos, uma brecha que a análise algorítmica de código nem sempre consegue fechar. O confronto entre o poder de análise dos grandes modelos de linguagem e a realidade do risco humano promete ser decisivo.

No futuro, a reação francesa pode criar jurisprudência dentro da União Europeia quanto à obrigação de auditar sistemas críticos por meio de inteligências artificiais estritamente confinadas sob soberania jurídica local. Contudo, se a tecnologia da Mistral AI oferece garantias contra o vazamento de informações para atores terceiros, ela não pode apagar retroativamente as centenas de milhares de fichas de contribuintes agora em circulação. Para investidores e detentores de capital, a urgência não reside apenas na segurança técnica de suas carteiras, mas em uma vigilância permanente diante de tentativas de engenharia social, tornadas extremamente eficazes pela exposição involuntária de sua identidade administrativa.