Post sobre «invasão» por empresas de IA soma 205 pontos e 164 comentários no Hacker News

O post de Mortoray «Why aren't AI companies being charged for hacking?» somou 205 pontos e 164 comentários no Hacker News. A pergunta do título é simples. Quem contorna a proteção do servidor de outra pessoa corre o risco de responder criminalmente. Já as empresas cujos bots levam há anos o conteúdo de sites, contrariando as proibições deles, captam investimentos sem sobressaltos. Ressalva: o nosso feed traz apenas o título, o link e as métricas da discussão, por isso não resumimos os argumentos do autor. A seguir, o contexto jurídico e prático da própria pergunta.

Por que a lei contra invasão não se aplica

O principal instrumento americano nesse campo, o Computer Fraud and Abuse Act, de 1986, vem sendo restringido há tempos pela jurisprudência. No caso Van Buren v. United States (2021), a Suprema Corte limitou o conceito de «excesso de acesso autorizado» e adotou, na prática, a lógica do «portão aberto ou fechado». Se a página está disponível para qualquer visitante sem senha, é difícil tratar sua obtenção como invasão. O Nono Circuito confirmou a mesma linha no caso hiQ contra LinkedIn: o scraping de perfis públicos provavelmente não viola o CFAA. Mais tarde, a hiQ perdeu mesmo assim, mas por motivos contratuais, por violar os termos de uso.

Com o robots.txt, a situação é ainda mais frágil. O Robots Exclusion Protocol foi padronizado como RFC 9309 em 2022, mas segue sendo um acordo entre participantes bem-intencionados. O arquivo em si não tem força jurídica. O bot que o ignora quebra a etiqueta, não um artigo de lei.

Onde as disputas realmente acontecem

É revelador que os processos contra empresas de IA se baseiem em outros fundamentos:

• New York Times contra OpenAI e Microsoft (dezembro de 2023): direitos autorais.
• Bartz contra Anthropic: acordo de 1,5 bilhão de dólares em 2025; a acusação envolvia cópias piratas de livros.
• Reddit contra Anthropic (junho de 2025): violação dos termos de uso, não invasão.
• Em agosto de 2025, a Cloudflare acusou a Perplexity de burlar proibições trocando o user-agent. A Perplexity negou.
• Desde julho de 2025, a Cloudflare bloqueia crawlers de IA por padrão em novos domínios e testa o modelo pay-per-crawl.

Os advogados, portanto, evitam o CFAA. Copyright e contratos dão um resultado mais previsível, enquanto a questão de «isso é invasão?» os tribunais ainda não resolvem a favor dos autores das ações. É essa a principal queixa da comunidade: a realidade técnica, em que o site disse «não» de forma explícita e o bot voltou mesmo assim, não coincide com a realidade jurídica.

O que os donos de sites podem fazer agora

Não adianta esperar uma mudança nas leis: a defesa hoje é técnica e documental.

1. Mantenha logs de requisições e separe o comportamento dos bots: frequência, faixas de IP e ASN, divergência entre o user-agent declarado e o tráfego real. 2.

Ative rate limiting e regras de WAF na camada da CDN. Muitos provedores oferecem listas prontas de crawlers de IA conhecidos. 3.

Inclua nos termos de uso a proibição de coleta automatizada de dados. É em violações contratuais que se sustentam os processos bem-sucedidos, como no caso hiQ. 4.

Mantenha o robots.txt atualizado, mas não conte com ele como proteção. Para conteúdo que tem valor comercial, use autenticação ou acesso pago.

5. Guarde provas do contorno das proibições, em particular a troca de cabeçalhos e a rotação de endereços. Se o caso chegar à Justiça, isso será a base da sua posição.

Este material não constitui consultoria jurídica, e a jurisprudência varia conforme a jurisdição. Ainda assim, a discussão no Hacker News mostra que o problema há muito saiu do debate entre blogueiros e é discutido no setor em um nível em que já não pode ser ignorado.