O problema não é destilar. É fingir que toda destilação é igual

A disputa sobre quem pode aprender com modelos de fronteira mistura uma técnica legítima, restrições contratuais, acusações de fraude e interesses de mercado. Para as empresas, a resposta não está em escolher entre “aberto” e “fechado”, mas em preservar opções sem transformar acesso tecnológico em risco jurídico, operacional ou de segurança.

A mesma palavra apareceu, em menos de uma semana, para descrever três coisas diferentes.

“Destilação” foi usada como nome de uma técnica reconhecida de aprendizado de máquina. Como restrição escrita nos contratos de fornecedores. E como parte de acusações sobre contas falsas, chaves roubadas e acessos ocultos a modelos de inteligência artificial.

Quando tudo recebe o mesmo rótulo, a discussão fica mais barulhenta e menos útil. Esse é o primeiro problema a desmontar.

Em 11 de setembro de 2026, a [TechCrunch relatou](https://techcrunch.com/2026/09/11/y-combinators-garry-tan-wants-u-s-open-weight-ai-labs-to-distill-frontier-models-too/) que Garry Tan, CEO da Y Combinator, defendeu que laboratórios norte-americanos de modelos com pesos abertos pudessem destilar modelos de fronteira dos Estados Unidos. Tan argumentou que o acesso à inteligência treinada sobre dados amplamente disponíveis deveria se aproximar de um bem público, sem deixar de reconhecer que os laboratórios de fronteira precisam de um modelo econômico capaz de financiar a pesquisa.

A posição expressa o interesse de um ecossistema de startups preocupado com concentração e acesso. Não é decisão regulatória, licença automática nem consenso técnico ou jurídico.

Dias antes, a [Anthropic havia publicado](https://www.anthropic.com/threat-intelligence-report-september-2026) um relatório que separa explicitamente destilação legítima de “destilação ilícita”. Segundo a empresa, operações atribuídas a laboratórios sediados na China teriam usado redes de contas falsas, cartões, credenciais e chaves de API roubadas, além de serviços intermediários, para coletar respostas e traços de raciocínio do Claude em escala industrial. As alegações vêm da própria fornecedora, com base em sua telemetria interna, e não foram auditadas independentemente.

Tan não defendeu o uso de credenciais roubadas. Defendeu que laboratórios menores pudessem entrar pela porta da frente.

Essa diferença muda tudo.

Destilar é transferir comportamento, não copiar um arquivo

Na formulação clássica, um modelo maior, o “professor”, produz respostas que orientam o treinamento de um modelo menor, o “aluno”. O objetivo pode ser reduzir custo, memória ou latência. O [trabalho de Geoffrey Hinton, Oriol Vinyals e Jeff Dean publicado em 2015](https://arxiv.org/abs/1503.02531) mostrou como o conhecimento de um conjunto de redes podia ser transferido para uma rede mais simples de implantar.

Em modelos generativos, a mecânica pode incluir a produção de exemplos sintéticos, avaliações, respostas a problemas ou sinais usados em ajuste supervisionado e outras etapas de pós-treinamento. O aluno não recebe necessariamente os pesos, o código ou os dados originais do professor. Aprende a partir do comportamento observado.

Uma empresa pode usar um modelo mais capaz para melhorar um classificador interno com autorização do fornecedor. Um laboratório pode destilar seus próprios modelos. Um provedor pode oferecer a destilação como parte do produto.

Nada disso exige fraude.

O conflito começa quando o aluno pretende competir com o professor, quando o contrato proíbe esse uso ou quando o acesso depende de ocultação, burla de controles e credenciais obtidas indevidamente. A técnica permanece a mesma. O regime de autorização, a finalidade e o modo de acesso mudam.

Três situações que não deveriam caber na mesma caixa

A primeira é a **destilação autorizada**. Ela ocorre quando o dono do modelo permite que suas saídas sejam usadas para treinar outro sistema, seja por licença, contrato específico ou funcionalidade do próprio serviço. Os [termos da DeepSeek atualizados em março de 2026](https://cdn.deepseek.com/policies/en-US/deepseek-terms-of-use.html), por exemplo, dizem que entradas e saídas podem ser aplicadas ao treinamento de outros modelos, inclusive por destilação, desde que o uso seja legal e respeite o restante do acordo.

A segunda é o **aprendizado competitivo dentro das regras aplicáveis**. Aqui mora a zona cinzenta. Comparar modelos, estudar seu desempenho, gerar dados auxiliares ou construir um produto adjacente pode ser permitido em um contrato e restrito em outro. Também importa se o sistema resultante é um classificador especializado, uma ferramenta interna ou um modelo geral que compete diretamente com o fornecedor.

Os [termos comerciais da Anthropic](https://www.anthropic.com/legal/commercial-terms) atribuem ao cliente eventuais direitos sobre as saídas, mas proíbem acessar o serviço para construir produto concorrente, treinar modelo concorrente, fazer engenharia reversa ou ajudar terceiros nessas atividades. O [acordo de serviços da OpenAI](https://cdn.openai.com/osa/openai-services-agreement.pdf) também restringe o uso de saídas para desenvolver modelos concorrentes e define exceções específicas, como certos classificadores não distribuídos comercialmente e ajustes realizados dentro dos serviços autorizados.

Ter direito sobre uma saída, portanto, não significa necessariamente ter autorização contratual para qualquer uso dela.

A terceira situação envolve **fraude ou obtenção indevida de acesso**: identidade falsa, chave roubada, cartão fraudulento, proxy para contornar restrição geográfica ou coleta de conversas sem ciência do usuário. A discussão deixa de ser apenas sobre o alcance de uma cláusula. Segurança, privacidade, segredo empresarial e tratamento de dados entram no mesmo incidente.

Chamar as três situações de “roubo de modelo” apaga diferenças importantes. Chamar todas de “aprendizado legítimo” também.

Contrato não encerra a discussão sobre propriedade

Os laboratórios fechados têm um argumento econômico claro. Treinar e operar modelos de fronteira exige capital, infraestrutura, energia, dados, pesquisa e trabalho especializado. Se um concorrente puder reproduzir as capacidades mais valiosas pagando apenas pelas consultas, o retorno do investimento pode diminuir. Restrições contratuais e controles técnicos funcionam, nessa leitura, como parte da proteção do negócio.

Startups e defensores de modelos abertos olham para o outro lado. Se poucos fornecedores controlarem os melhores modelos, a infraestrutura de nuvem e as regras sobre o que clientes podem aprender com as saídas, poderão elevar custos de entrada e determinar quem tem direito de competir. A [OCDE alertou em relatório de 2026](https://www.oecd.org/en/publications/artificial-intelligence-markets_d531d73f-en/full-report.html) para riscos ligados à concentração de capacidade computacional, dados, talento e integração vertical, ao mesmo tempo em que reconheceu que modelos abertos podem reduzir dependência, pressionar preços e estimular inovação cumulativa.

Existe ainda uma objeção jurídica forte ao uso automático dos termos de serviço como resposta definitiva. Em [artigo sobre restrições contratuais em IA](https://arxiv.org/abs/2412.07066), Peter Henderson e Mark Lemley sustentam que a exigibilidade de várias cláusulas pode ser questionável, especialmente quando tenta criar por contrato uma proteção semelhante à propriedade intelectual sobre artefatos que talvez não sejam protegidos daquela forma. É uma tese acadêmica, não uma decisão vinculante, e sua aplicação depende da jurisdição e dos fatos.

Essa cautela vale nos dois sentidos. Dizer que uma cláusula existe não prova que ela prevalecerá em qualquer disputa. Dizer que sua validade é contestada não autoriza descumpri-la.

O contrato é uma camada do problema.

Não é o problema inteiro.

Quando geopolítica entra, a palavra técnica ganha uniforme

Em 8 de setembro, [NSA, FBI e CISA divulgaram um alerta conjunto](https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/nsa-and-others-warn-china-based-ai-companies-are-distilling-us-frontier-ai-mode/) atribuindo a empresas chinesas campanhas de destilação em escala industrial contra modelos norte-americanos. O documento enquadra a atividade também como risco econômico, militar e cibernético.

O governo chinês rejeitou a acusação. Segundo [reportagem da Associated Press](https://apnews.com/article/us-china-ai-models-anthropic-trump-0f6ca61301630134607551b1dab0d632), o Ministério do Comércio classificou as alegações como infundadas, afirmou que a destilação é uma prática comum no setor e acusou os Estados Unidos de tentar preservar um monopólio.

Esse embate não resolve o mérito técnico de cada operação. Mostra que a disputa ultrapassou fornecedores e contratos. Destilação virou também linguagem de política industrial e segurança nacional.

Para uma empresa usuária, esse deslocamento aumenta a incerteza. Um fornecedor pode mudar regiões suportadas, bloquear intermediários ou restringir integrações por pressão regulatória. Uma solução adequada hoje pode carregar dependências que não aparecem no benchmark.

Opcionalidade não se compra com um segundo contrato

A reação mais comum é declarar uma estratégia “multimodelo”. A empresa assina com dois fornecedores e acredita ter eliminado o risco de dependência.

Não eliminou.

Se prompts, avaliações, ferramentas, dados e aprovações foram desenhados para um único modelo, trocar o endpoint não produz portabilidade. Se o intermediário pode reutilizar conversas para treinamento, a diversidade de modelos pode ampliar a exposição. Sem saber quais saídas alimentam modelos internos, a organização não demonstra a origem ou a autorização do próprio ativo.

Opcionalidade tecnológica é uma capacidade operacional. Ela precisa ser construída.

O primeiro passo é manter um inventário de uso: modelo, provedor, intermediário, finalidade, tipo de dado enviado, região, termos aplicáveis e destino das saídas. O segundo é separar os ativos da empresa dos recursos do fornecedor: bases de conhecimento, conjuntos de avaliação, instruções, taxonomias e registros de decisão devem permanecer portáveis sempre que possível.

Depois vem o contrato. Direitos sobre saídas, permissão para gerar dados sintéticos, treinamento de modelos especializados, retenção, auditoria, suspensão, mudança de termos, portabilidade e uso por terceiros precisam ser discutidos antes que o fluxo se torne crítico. Isso exige revisão jurídica adequada a cada jurisdição; não há checklist editorial capaz de substituir essa análise.

Na arquitetura, vale testar alternativas com o mesmo conjunto de avaliações, criar uma camada de adaptação quando ela fizer sentido e definir critérios objetivos de troca: custo, qualidade, latência, privacidade, disponibilidade e risco de continuidade. Nem todo processo precisa rodar em vários modelos ao mesmo tempo. Todo processo crítico deveria saber como sair do modelo atual.

E há uma regra básica de segurança: credenciais não podem circular entre equipes, fornecedores e agregadores sem dono, escopo e rastreabilidade. Chave de API é acesso financeiro, técnico e informacional. Quando ela é reutilizada por um terceiro, a fatura pode ser o menor dos problemas.

O teste que importa para a empresa

A disputa pública tenta responder quem pode aprender com quem. A empresa precisa traduzir isso em perguntas menores e mais concretas:

1. Temos autorização explícita para o uso que fazemos das saídas?

2. O modelo interno é especializado ou pode ser entendido como concorrente do fornecedor?

3. Conseguimos provar de onde vieram os dados de treinamento e quem tinha direito de fornecê-los?

4. Algum intermediário armazena, redireciona ou reaproveita conversas sem que usuários e clientes saibam?

5. Quanto tempo levaríamos para trocar de modelo se acesso, preço, região ou termos mudassem?

6. Que parte da nossa vantagem permanece nossa depois da troca?

Essas perguntas não resolvem a política industrial da IA. Resolvem algo mais próximo: se a estratégia tecnológica cabe nos direitos contratados, nos controles implantados e na dependência suportável.

O caminho não é tratar todo modelo fechado como abuso de poder nem todo projeto aberto como liberdade automática. Também não é chamar qualquer aprendizado de fraude porque ele ameaça uma margem existente.

Inovação precisa de circulação de conhecimento. Investimento precisa de alguma capacidade de captura. Concorrência precisa de entrada possível. E empresas precisam saber que dados, direitos e opções continuarão disponíveis quando o fornecedor mudar a regra.

O X da questão não é se destilar é certo ou errado.

É saber qual destilação foi autorizada, qual competição respeitou as regras e qual operação entrou pela porta dos fundos.