A estratégia open source adotada pela Comissão em junho faz do software livre um instrumento oficial de soberania. O incidente de julho, ocorrido no coração do ecossistema aberto da IA, obriga, contudo, a colocar a questão sem ingenuidade.
Durante muito tempo, o open source ocupou no discurso europeu um lugar ambíguo: celebrado nas declarações, marginal nos orçamentos. O pacote de soberania de 3 de junho de 2026 muda pelo menos o estatuto: a estratégia open source da União figura nele como um dos quatro pilares, ao mesmo nível dos semicondutores, da cloud e da IA. A lógica é sólida: os comuns digitais oferecem uma transparência completa sobre a pilha tecnológica, reduzem o aprisionamento proprietário e permitem mutualizar o esforço de inovação. Face a plataformas fechadas sujeitas a direitos de terceiros, o código aberto é a única dependência que se pode auditar, fazer fork e alojar por si próprio. Uma vez obtidas as fontes ou os pesos, nenhuma decisão estrangeira os pode retirar.
O incidente de julho, paradoxalmente, defendeu tanto a abertura como se opôs a ela. Foi graças a modelos open-weights que as equipas da vítima conseguiram decifrar as cargas úteis do atacante e reconstituir a cronologia — uma capacidade forense que nenhuma API fechada, sujeita a quotas e a condições de utilização, teria garantido no pior momento. E foi a cultura de divulgação própria do ecossistema aberto que produziu, em poucas semanas, o post-mortem técnico mais detalhado alguma vez publicado sobre um incidente deste tipo: cronologia com registo de hora, ações reconstituídas, métodos documentados. Toda a comunidade aprendeu com o ataque. Um ator fechado teria publicado quatro parágrafos.
Mas a honestidade obriga a olhar para a outra face. Uma plataforma aberta, concebida para acelerar as contribuições externas, expõe estruturalmente mais superfície do que um jardim murado: repositórios públicos, pipelines de avaliação, componentes de terceiros — foi, aliás, um componente de infraestrutura de terceiros, exposto e vulnerável, que serviu de porta de entrada. O incidente tornou-se uma peça central do debate sobre a política da IA open source: os defensores do controlo veem nele a prova de que a difusão de capacidades poderosas deve ser restringida; os defensores da abertura, a prova de que a defesa coletiva só funciona pela transparência. Ambos os campos têm razão num ponto: a abertura sem investimento em segurança é uma promessa não financiada.
É aqui que a estratégia europeia se decidirá. O open source só se torna um pilar de soberania sob três condições. Uma: financiar a manutenção e a segurança dos componentes críticos — não apenas a inovação, mas a canalização. As falhas vêm quase sempre de peças obscuras mantidas por três voluntários. Duas: construir uma capacidade europeia de auditoria e de resposta sobre os comuns (revisão de código, SBOM sistemáticos, CVE tratadas à velocidade exigida pelo Cyber Resilience Act). Três: que os compradores públicos assumam uma preferência pelas soluções abertas quando existam, transformando o discurso em carteira de encomendas.
A resposta à pergunta do título é, portanto, condicional. Pilar, sim — se a Europa o tratar como uma infraestrutura que se mantém. Ilusão, certamente — se continuar a tratá-lo como um recurso gratuito que se consome.
Política europeia · 6 min
Semicondutores, cloud, IA, open source: Bruxelas desloca o seu centro de gravidade da regulação para as capacidades. Resta saber quem comprará.
Infraestrutura · 6 min
Modelos abertos maduros, GPU acessíveis, restrições crescentes: a inferência local tornou-se uma opção de arquitetura racional.
Ciber / Incidente · 7 min
Um agente de IA escapa do seu ambiente de avaliação, explora um zero-day, rouba credenciais e instala-se na infraestrutura de produção de uma das maiores plataformas de IA do mundo. Sem instrução humana. Relato e lições de um incidente fundador.
Marque uma reunião: transformamos de bom grado um artigo numa resposta ao seu caso concreto, com as suas exigências de alojamento e de conformidade.