Modelos de IA com pesos abertos da China conquistam usuários — e mudam a disputa com os EUA

A disputa entre China e Estados Unidos em inteligência artificial já não se resume a descobrir qual laboratório consegue criar o modelo mais poderoso. A questão cada vez mais importante é outra: quem consegue colocar uma IA capaz nas mãos de mais desenvolvedores, empresas e governos, pelo menor custo possível?

DeepSeek, Kimi, da Moonshot AI, e Qwen, da Alibaba, ajudaram a transformar a adoção de modelos com pesos abertos em uma frente central dessa competição. Uma análise de pesquisadores de Stanford concluiu que os modelos chineses desse tipo rapidamente reduziram — e, em algumas áreas, igualaram ou superaram — a diferença de capacidade e adoção em relação aos concorrentes globais. Em setembro de 2025, a família Qwen também ultrapassou a Llama, da Meta, como a família de grandes modelos de linguagem mais baixada no Hugging Face. 18

O resultado é um dilema estratégico para Washington. Restringir modelos chineses pode diminuir a exposição em ambientes sensíveis. Por outro lado, um banimento amplo poderia entregar à China a camada de desenvolvimento aberto e eliminar parte da transparência e do controle local que tornam os modelos auto-hospedados atraentes.

Pesos abertos não são o mesmo que código aberto completo

Um modelo com pesos abertos disponibiliza para download os parâmetros treinados — os valores numéricos que determinam boa parte do comportamento do sistema. Com isso, terceiros podem executar, adaptar ou ajustar o modelo sem depender necessariamente do aplicativo ou da API controlada pelo fornecedor. 33

A liberação dos pesos, porém, não significa que também estejam disponíveis:

• o código original de treinamento;
• os dados usados no treinamento ou sua procedência;
• uma receita reproduzível de treinamento;
• resultados completos de avaliação;
• direitos irrestritos de uso comercial ou redistribuição;
• informações transparentes sobre filtragem, ajustes de segurança e desenvolvimento do modelo.

Por isso, o termo “aberto” precisa ser analisado a cada lançamento. Um modelo pode ser baixável, mas continuar difícil de reproduzir, estar sujeito a uma licença restritiva ou ser opaco quanto aos dados que moldaram seu comportamento. O conceito de IA totalmente de código aberto é mais exigente e envolve acesso relevante ao código, às informações sobre os dados e a outros componentes necessários para estudo e reprodução. 41

A distinção é especialmente importante na comparação entre DeepSeek, Kimi e Qwen. Disponibilidade, licenças e nível de divulgação técnica podem mudar de uma versão para outra, e reportagens públicas podem ficar defasadas em relação ao status mais recente de cada modelo.

A China está competindo por adoção, não apenas por pontuação em benchmarks

Os laboratórios chineses combinaram desempenho competitivo com preços baixos, eficiência e possibilidade de implantação local. Isso oferece a startups, pesquisadores e empresas uma alternativa à dependência total de APIs americanas hospedadas, que podem ser caras. Pesquisas e análises de políticas públicas descrevem um ciclo de retroalimentação: lançamentos baratos atraem usuários; os usuários criam ferramentas e derivados; e o ecossistema acelera novas rodadas de desenvolvimento. 1720

A vantagem não está apenas no número de pessoas que conversam com um chatbot. Cada implantação pode contribuir para:

• modelos ajustados e especializados;
• ferramentas para desenvolvedores e integrações;
• novos benchmarks e relatos de falhas;
• familiaridade com determinada família de modelos;
• dependências comerciais e padrões técnicos.

A análise de Stanford apontou que desenvolvedores chineses responderam por 17,1% dos downloads no Hugging Face entre agosto de 2024 e agosto de 2025, ligeiramente à frente dos desenvolvedores americanos, com 15,8%. 18 Outras reportagens também registraram o aumento do uso de modelos chineses por empresas dos Estados Unidos em busca de custos menores. 31

Se modelos de origem chinesa forem incorporados a softwares, dispositivos, serviços públicos e sistemas industriais em várias partes do mundo, Pequim poderá ganhar influência sobre padrões técnicos, atualizações e cadeias de fornecimento. Isso representa um possível ponto de alavancagem geopolítica — não uma prova de que todo modelo instalado localmente esteja comprometido.

O debate de segurança envolve riscos diferentes

A expressão “risco da IA chinesa” pode abranger pelo menos quatro preocupações distintas. Elas não devem ser tratadas como se fossem a mesma coisa.

1. Acesso a dados em serviços hospedados

Quando um usuário envia prompts, arquivos ou identificadores para um serviço hospedado na China, essas informações deixam o ambiente do usuário e podem ficar sujeitas à jurisdição do provedor e às leis aplicáveis. Dados de governo, defesa, saúde, infraestrutura crítica e propriedade intelectual empresarial exigem, portanto, uma avaliação formal de risco antes de serem enviados a qualquer serviço externo.

Hospedar o modelo localmente muda essa questão específica sobre o fluxo de dados. Uma infraestrutura configurada corretamente pode manter prompts e documentos dentro da rede da organização. Isso não garante, contudo, que o pacote do modelo, o software de execução ou as ferramentas conectadas sejam seguros.

2. Censura, vieses e comportamento do modelo

O treinamento e o alinhamento de um modelo podem produzir recusas, omissões, enquadramentos políticos ou desinformação. Um relatório do Congresso americano afirmou que o produto hospedado da DeepSeek transferiu dados de americanos para a China e manipulou respostas. Essas são conclusões e alegações de uma investigação parlamentar; não constituem prova de que todo arquivo de pesos baixável contenha código malicioso. 2

O comportamento de um produto hospedado também pode ser diferente do comportamento de um derivado executado localmente. O invólucro do produto, os prompts de sistema, a camada de moderação, as ferramentas de busca e recuperação de informação e o processo de atualização podem alterar as respostas.

3. Backdoors e comprometimento da cadeia de suprimentos

Um pacote de modelo baixado, ou o software ao seu redor, poderia teoricamente conter código inseguro de carregamento, comportamento envenenado ou gatilhos ocultos. Mas a origem nacional de um modelo, por si só, não é evidência de um backdoor. Equipes de segurança precisam verificar procedência, hashes e assinaturas, inspecionar o comportamento de rede, colocar componentes em sandbox e testar toda a pilha de implantação.

4. Os riscos dos modelos fechados

Modelos proprietários fechados também concentram riscos de controle e responsabilização. Em geral, os usuários não conseguem inspecionar seus pesos, dados de treinamento, prompts ocultos, telemetria, filtros ou processo de atualização. APIs centralizadas podem se tornar alvos valiosos de vigilância, indisponibilidade, invasão e mudanças unilaterais de política.

O acesso fechado pode facilitar o monitoramento de abusos, a implementação de mudanças de segurança e a prevenção de redistribuição descontrolada. Isso não torna um modelo automaticamente confiável. Sistemas abertos e fechados envolvem riscos diferentes e formas diferentes de controle.

Por que a hospedagem local é o principal argumento contra um banimento amplo

A auto-hospedagem pode dar à organização mais controle sobre seu modelo de ameaça. Uma equipe de segurança consegue fixar uma versão, verificar artefatos, limitar conexões externas, examinar dependências, colocar o serviço em sandbox, realizar testes de red team e manter prompts sensíveis na infraestrutura interna. O acesso aos pesos também permite que pesquisadores independentes reproduzam falhas e investiguem vieses ou gatilhos ocultos.

Essa transparência é valiosa, mas não equivale automaticamente a segurança. A maioria das organizações não tem condições de auditar completamente o comportamento aprendido por um modelo muito grande. O ajuste fino pode introduzir novas vulnerabilidades, e uma implantação isolada da internet só protege contra a saída de dados se toda a pilha de execução estiver configurada corretamente.

A lição prática é avaliar a implantação, e não apenas o rótulo associado ao modelo. Uma API hospedada na China, uma implantação local auditada e um derivado de terceiros não verificado apresentam perfis de risco diferentes.

A destilação está no centro da controvérsia

Destilação é o processo de treinar um modelo menor ou mais novo, chamado de “aluno”, usando informações de um modelo mais forte, o “professor”.

• Destilação black-box: utiliza respostas observáveis, geralmente obtidas por consultas a uma API. Pode ser legítima quando autorizada, mas a extração em grande escala pode violar termos de serviço, contornar salvaguardas ou copiar comportamento proprietário.
• Destilação white-box: usa informações internas, como pesos, logits ou estados ocultos. Pode transferir capacidades com mais eficiência, mas o acesso a esses elementos normalmente exige autorização; sua obtenção sem permissão levanta preocupações mais diretas de segurança e segredo comercial.

OpenAI e Anthropic acusaram empresas chinesas, incluindo a DeepSeek, de usar respostas de modelos em seus próprios treinamentos. A Comissão de Revisão Econômica e de Segurança EUA–China descreveu alegações envolvendo contas fraudulentas, serviços de proxy e extração coordenada, enquanto a Reuters relatou a acusação da OpenAI de que a DeepSeek tentava “pegar carona” nas capacidades desenvolvidas pelos modelos de fronteira americanos. Essas afirmações continuam sendo alegações, e não conclusões definitivas de um tribunal ou de outro processo adjudicatório. 35

O desafio regulatório é que a extração black-box pode se parecer com um uso legítimo de alto volume, enquanto sua comprovação pública pode exigir a divulgação de evidências investigativas sensíveis. A resposta não deve ser considerar toda forma de destilação ilegal: quando autorizada, ela é um método técnico padrão.

O que isso significa para o Vale do Silício e Washington

Os lançamentos chineses de pesos abertos pressionam o modelo de negócios americano baseado em APIs proprietárias e caras. As empresas dos Estados Unidos precisam decidir se manter os pesos fechados protege uma vantagem tecnológica — ou se permite que concorrentes chineses e de outros países conquistem desenvolvedores, integrações e distribuição global.

A liderança da Qwen em downloads sobre a Llama é um sinal concreto de que a disputa pelos modelos abertos importa. 18 Ao mesmo tempo, as evidências disponíveis não estabelecem uma resposta específica e atual da Nvidia ou da Meta ao DeepSeek V4 Pro ou ao Kimi K3. Alegações sobre a reação de cada empresa precisam ser vinculadas a declarações primárias e datadas, e não inferidas da mudança mais ampla do mercado.

Washington aumentou o escrutínio. Comissões da Câmara dos Representantes anunciaram uma investigação conjunta sobre os riscos à segurança nacional e à cibersegurança associados à adoção de modelos desenvolvidos na China, incluindo sistemas baratos com pesos abertos e acesso por API de empresas como DeepSeek, Alibaba e Moonshot AI. 14

Também foram divulgadas discussões sobre possíveis restrições, mas as evidências fornecidas não demonstram que os Estados Unidos tenham adotado um banimento comercial amplo dos modelos chineses com pesos abertos. 912

Opções de política além de “banir tudo” ou “não fazer nada”

Uma estrutura mais direcionada poderia combinar várias medidas:

1. Controlar usos de alto risco. Exigir autorização ou proibir modelos não avaliados em defesa, inteligência, infraestrutura crítica, sistemas governamentais sensíveis e outros ambientes que lidem com dados de alto impacto.
2. Estabelecer requisitos de implantação segura. Exigir registros de procedência, pacotes assinados, listas de materiais de software, testes independentes, resultados de red team e opções de isolamento de rede para implantações sensíveis.
3. Diferenciar serviços hospedados de pesos locais. Uma API hospedada na China cria um risco de acesso a dados diferente daquele de um artefato hospedado localmente e auditado de forma independente.
4. Combater a extração não autorizada. Melhorar a verificação de contas, o monitoramento de volume de consultas, a detecção de abusos, as técnicas de procedência e a aplicação contratual sem definir toda destilação como roubo.
5. Adotar controles direcionados de exportação e investimento. Concentrar medidas em chips avançados, equipamentos de fabricação, acesso à computação em nuvem e entidades comprovadamente ligadas a usos militares ou de inteligência, reconhecendo que restrições amplas podem acelerar a criação de substitutos domésticos na China.
6. Construir um ecossistema americano e aliado de modelos abertos. Investir em modelos seguros e bem documentados, avaliações multilíngues, inferência eficiente e ferramentas de implantação. Uma alternativa competitiva enfrenta mais diretamente a estratégia chinesa de adoção do que simplesmente limitar a escolha dos usuários. 10

O ponto principal

Os modelos chineses com pesos abertos estão remodelando a corrida por IA porque tornam sistemas capazes mais baratos de adotar, mais fáceis de personalizar e mais difíceis de conter depois de liberados. Sua importância estratégica depende tanto da escala do ecossistema quanto da qualidade dos modelos.

As preocupações de segurança são sérias, especialmente no caso de serviços hospedados, dados sensíveis, integridade da cadeia de suprimentos e alegações de destilação não autorizada. Mas a nacionalidade não revela, sozinha, se uma implantação é segura — e modelos fechados americanos também não são isentos de riscos apenas porque seus pesos não estão disponíveis.

A resposta mais defensável, portanto, é baseada em risco: proteger a cadeia de suprimentos, restringir usos sensíveis, investigar evidências concretas de roubo de modelos e construir um ecossistema americano e aliado de modelos abertos capaz de competir tanto em distribuição quanto em desempenho.