Não podemos analisar o que não temos.
A proposta de regulamento da UE relativo à prevenção e luta contra o abuso sexual de crianças — conhecida em toda a Europa como Chat Control da UE, ou formalmente CSAR (COM/2022/209) — exigiria que os prestadores de mensagens examinassem as comunicações privadas para material conhecido de abuso sexual de crianças (CSAM) e introduzissem medidas de atenuação "eficazes e proporcionadas" contra o risco de limpeza.
O uOS rejeita esta proposta em princípio e, mais importante ainda, não pode aplicar-se à nossa arquitectura na prática. Não podemos analisar o que não temos. Esta é toda a situação.
O que a proposta realmente pede
Na sua forma mais contestada, o CSAR exigiria que os prestadores de mensagens — incluindo serviços cifrados de ponta a ponta —:
- Avaliar anualmente o risco de o seu serviço ser utilizado para a distribuição ou aliciamento da CSAM;
- Aplicar medidas de atenuação "eficazes e proporcionadas";
- Executar "ordens de detecção" emitidas por uma autoridade judicial contra utilizadores ou grupos específicos;
- Remover o conteúdo de CSAM relatado;
- Comunicar o conteúdo detectado à EUROPOL ou à aplicação da lei nacional;
- Publicar um relatório anual sobre a transparência.
No seu estado actual — Julho de 2026
Em 9 de julho de 2026, o Parlamento Europeu votou 314 contra e 276 a favor da extensão do Chat Control 1.0 — e passou de qualquer forma. A votação foi em segunda leitura, onde a rejeição do texto exigiu uma maioria absoluta de todos os deputados; os opositores não atingiram esse limiar. Por conseguinte, a verificação sem suspeitas é novamente legal na UE até 2028, no âmbito do quadro voluntário, em serviços como o Gmail, o Messenger, o Snapchat e o Skype.
O regulamento permanente — CSAR, ou "Chat Control 2.0" — ainda está a ser negociado. Cinco rodadas de trílogo não conseguiram produzir um acordo; a quinta entrou em colapso em 29 de junho de 2026 sobre precisamente esta questão de escaneamento sem suspeitas. Prevê-se uma sexta ronda durante a Presidência irlandesa, por volta de Setembro de 2026. A disputa principal não se moveu: varredura de cobertor à discrição da plataforma, versus detecção direcionada ordenada por um juiz.
O restabelecimento da Chat Control 1.0 não resolveu a questão — suprimiu o incentivo do Conselho ao compromisso sobre o texto permanente. É por isso que o argumento abaixo importa mais agora, não menos.
Por que razão a proposta não se aplica à uOS
uOS é construído em torno dos seguintes fatos técnicos:
- Nenhum texto simples nos nossos servidores.Cada mensagem trocada entre usuários uOS é criptografada de ponta a ponta com XChaCha20-Poly1305, com chaves de sessão derivadas via HKDF-SHA256 de um segredo compartilhado trocado através ML-KEM-768 (FIPS 203). Os nossos servidores só retransmitem quadros de cifras.
- Não há chaves privadas nos nossos servidores.A identidade do usuário é gerada do lado do cliente a partir de segredos apenas os controles do usuário, produzindo o ML-DSA-65 keypair assinatura e ML-KEM-768 keypair localmente. As chaves privadas nunca deixam a memória do dispositivo.
- Não existem dados persistentes nos dispositivos de utilizador.Cada sessão do navegador começa a partir de um estado apagado — IndexedDB, localStorage e caches são deliberadamente limpas no boot. Não há nenhum estado do lado do dispositivo para apreender.
- Não há metadados para além do encaminhamento do transporte.Nós registramos apenas o que é necessário para encaminhar o frame WebSocket: user pub, platform id, counter, timestamp. Nós não registramos corpos de mensagens, gráficos de contato ou hashes de conteúdo.
Nenhum componente desta pilha pode ser modificado para realizar a análise de conteúdo sem quebrar a confidencialidade de cada usuário na plataforma. A proposta pede o impossível. Não dizemos isso como desafio — dizemos como um fato arquitetônico.
A nossa posição
- Não implementaremos a análise do lado do cliente.A Carta da UE (artigos 7.o e 8.o) e a Convenção Europeia dos Direitos do Homem (artigo 8.o) protegem as comunicações privadas como um direito fundamental. Qualquer mecanismo técnico que permita a análise de conteúdo antes da criptografia é um backdoor, independentemente de seu propósito declarado.
- Defenderemos o facto arquitectónico no tribunal.Apoiamos os desafios existentes para a CSAR perante o Tribunal de Justiça da União Europeia e os tribunais constitucionais nacionais. Quando uma ordem nos obriga a agir sobre o conteúdo que não podemos ler, nós vamos buscar revisão judicial antes de qualquer cumprimento.
- Publicaremos o que for pedido.Publicaremos um relatório de transparência que enumera as ordens que recebemos das autoridades, as que cumprimos dentro dos limites do que é tecnicamente executável, e as que contestamos.
- Ficaremos na Europa.Não nos deslocaremos para o exterior para evitar este debate. A soberania digital europeia é defendida nas instituições europeias, não de um exílio suíço ou islandês.
- Apoiamos a restrição de qualquer detecção a indivíduos identificados por uma autoridade judicial.Essa é a posição do Parlamento, e é a única versão do CSAR compatível com os direitos fundamentais. Os serviços cuja arquitectura torna a análise tecnicamente impossível devem ser explicitamente isentos, pela construção, e não pela esculpição política.
O que isto significa em linguagem simples
Se um regulador vem ao uOS e diz: "scan your users for CSAM" — respondemos: "não podemos, não temos nada para analisar".
Se o regulador responder: "então deixe a Europa" — respondemos: "ficaremos e contestaremos essa ordem".
Se o regulador responder: "Vamos multar você" — nós respondemos: "vamos pagar a multa, se for legal e proporcional, e continuar a defender nossa posição através de todas as vias legais disponíveis."
Não podemos ser forçados a escanear. Não podemos ser feitos para trás. Só podemos continuar a ser um argumento funcional para a soberania digital.