O escudo não se decreta

“Nas duas crónicas anteriores tratei de a quem os dados obedecem e de como fazê-los chegar. Ambas supõem uma base de pé: as máquinas que os guardam e as mentes que os lêem. É essa base que hoje está debaixo de ataque, e em duas frentes.”
Há um pressuposto calado nas duas crónicas anteriores desta série. Para saber a quem os dados obedecem, e para os fazer chegar debaixo de fogo, é preciso primeiro que a base se aguente. E essa base tem duas faces: as máquinas que guardam e movem os dados, e a confiança que os torna úteis a quem os lê. As duas estão sob ataque, todos os dias, e contra nenhuma um regulamento é escudo. Um escudo não se decreta. Constrói-se.
A primeira frente é a das máquinas, e já não é hipótese. Em Julho de 2026, as organizações portuguesas enfrentaram em média 2.390 ciberataques por semana, acima da média europeia e da mundial. Um hospital parado por resgate, como aconteceu ao Garcia de Orta em 2022, são cirurgias adiadas e doentes em risco, não um incómodo informático. A inteligência artificial pode baixar o preço do ataque, escrever o engodo, gerar código malicioso, automatizar a campanha, e, ao mesmo tempo, servir a defesa. Está dos dois lados da barricada.
E há dias deu-se o salto que muda a natureza da ameaça. Em Julho, durante quatro dias, uma campanha conduzida por agentes de IA quase autónomos penetrou o governo de Taiwan, chegou à sua agência de segurança nuclear e a empresas de energia, e levou milhares de registos. Não foi obra de uma superpotência no sentido tradicional: a ferramenta foi montada a partir de programas de IA gratuitos e de código aberto, e contornou as travas éticas do modelo com uma mentira simples, a de que fazia um teste de segurança autorizado. Revelou-o a empresa israelita Dream, cujo director de estratégia, que dirigiu operações na Unidade 8200, resumiu sem rodeios: a intrusão permanente passou a ser a hipótese de base de qualquer governo. A atribuição aponta para operadores ligados à China, que não confirma.
Até aqui, a inteligência artificial servia de assistente ao atacante. Aqui atacou sozinha, depois de convencida de que tinha autorização, e é a diferença entre uma arma que precisa de quem a dispare e outra que se dispara a si mesma. Por agora é um caso, não uma capacidade ao alcance de qualquer um. Mas anuncia um mundo em que o custo de atacar poderá desabar, enquanto o de defender não desce. E contra uma máquina que aprende e se adapta em segundos, defenderá quem tiver capacidade a essa velocidade, não quem tiver a papelada em ordem.
Contra isto, a Europa fez o que sabe fazer: legislou. A directiva europeia de cibersegurança NIS2 chegou a Portugal em Abril de 2026, no novo Regime Jurídico da Cibersegurança, que obriga milhares de entidades a registarem-se, a notificar incidentes em horas e responde ao incumprimento com coimas até dez milhões de euros. É um passo real, e era preciso. Mas um regulamento não tapa uma brecha. A defesa efectiva vive onde a lei não chega, na capacidade instalada e nas juntas entre quem se devia coordenar e nem sempre o faz.
E precisa de dono. Uma defesa desta escala pede uma autoridade civil com meios e poder para obrigar, não um selo aposto a relatórios. O candidato natural é o Centro Nacional de Cibersegurança, desde que ganhe estatura e independência e não se confunda o protector com os serviços de informações, como já defendi. O escudo da base é civil; o resto gravita à volta, não no centro.
A segunda frente ataca as mentes, e é a mesma mão. Em 2025, o serviço diplomático europeu alertou para centenas de operações de manipulação da informação, com a Rússia e a China em destaque e uma fatia crescente já a usar inteligência artificial. Moscovo virou o foco para a União, Pequim pinta-a como serva de Washington, e por vezes amplificam-se um ao outro. São guerras que já não se travam só com tanques e drones; travam-se com mentiras e algoritmos. O objectivo não é convencer, é corroer a confiança. E sem confiança nenhum dado, por nosso que seja, vale.
Também aqui a União regula, e também aqui a acusam de regular de mais. O Regulamento dos Serviços Digitais já valeu uma multa de cento e vinte milhões à rede X, que a plataforma contesta em tribunal, e há um esforço europeu de literacia e de vigilância do espaço informativo. Vale a pena defendê-lo, mesmo imperfeito, porque nomeia práticas que a população ainda não aprendeu a ver, e porque amanhã talvez seja preciso intervir com mais dureza. Em Portugal, esta frente está quase desguarnecida. Há um regulador da comunicação social, a ERC, mas com competências limitadas e meios escassos para a desinformação digital. Temos uma porta aberta e ninguém à porta.
As duas frentes são a mesma guerra sobre a base, as máquinas e a confiança, e a mesma inteligência artificial começa a acelerar as duas, a fabricar a intrusão de um lado e a mentira do outro. E em ambas a lição repete-se, a que não me canso de escrever nesta série. O que defende uma sociedade não é o regulamento, é a capacidade no terreno a funcionar quando o ataque chega. A regra nomeia o inimigo. Não o detém.
A Portugal cabe erguer a sua parte da base, e com nomes concretos: uma autoridade civil com estatura nacional e meios para obrigar; capacidade de detecção e resposta a operar à velocidade da máquina, não em horário de expediente; quadros formados em número que se conte, não que se anuncie; e, na frente da informação, alguém à porta, que hoje não está. E encaixá-la na base europeia, na directiva NIS2, na agência europeia de cibersegurança, no arsenal contra a manipulação, porque também aqui a União é uma extensão da nossa soberania, não uma alternativa a ela. Peça indispensável, não ilha. É uma defesa civil antes de ser militar, que protege o hospital, o porto e a empresa do crime e da extorsão, e o cidadão da mentira industrial, com a ciberdefesa das Forças Armadas como peça do conjunto, não o seu centro.
Porque a base não se defende por decreto. A lei aponta o inimigo, não o trava. Soberania, também aqui, não é ter a regra. É construir a base, e sabê-la defender.