O que é, de fato, uma estrutura de segurança
A estrutura de segurança de um laboratório de IA de fronteira é a própria política publicada pelo laboratório, definindo limiares de capacidade — coisas específicas que um modelo pode ser capaz de fazer — e as salvaguardas ou compromissos organizacionais destinados a serem acionados quando um modelo atinge um deles. A Anthropic chama sua versão de Política de Escalonamento Responsável; a OpenAI, de Estrutura de Preparação; o Google DeepMind, de Estrutura de Segurança de Fronteira; a Meta, de Estrutura de Escalonamento de IA Avançada; a xAI, de Estrutura de Inteligência Artificial de Fronteira; a Microsoft, de Estrutura de Governança de Fronteira. Os nomes diferem; estruturalmente, todas as seis tentam responder à mesma pergunta — como uma empresa sabe quando um modelo é perigoso demais para ser implantado como está, e a que ela está de fato comprometida a fazer a respeito?
Essa pergunta importa porque nenhum regulador externo atualmente define limiares de capacidade vinculantes e específicos por modelo para nenhuma dessas seis empresas (veja lei e fiscalização de IA em 2026). Por ora, esses documentos são a resposta de trabalho real do setor. Também não são o mesmo documento copiado seis vezes: quais riscos cada laboratório rastreia, como um limiar é definido, e — de forma mais consequente — o que acontece quando um é ultrapassado diferem de maneiras que importam.
Uma coisa precisa ser dita antes de a comparação começar, porque molda a leitura de tudo abaixo: toda alegação na tabela é a política declarada pelo próprio laboratório. Nada disso é verificação independente de que o laboratório de fato faz o que diz. Uma seção separada após a tabela, “Alegações versus prática”, cobre as auditorias externas classificadas, as críticas acadêmicas, e as lacunas documentadas entre os compromissos declarados e a conduta real dessas seis empresas — e essa seção, não a tabela, é a mais importante.
Todo detalhe de estrutura abaixo foi checado contra o documento atual publicado pelo próprio laboratório, mais (para a seção "alegações versus prática") os relatórios e artigos independentes nomeados, em setembro de 2026. Números de versão exatos e datas de vigência são dados ao longo do texto para que um leitor que retorne consiga saber se algo mudou. Essas políticas são revisadas com frequência — só a Anthropic publicou nove versões numeradas desde setembro de 2023 — então trate cada linha como um retrato datado, não uma descrição definitiva.
As estruturas, comparadas
| Laboratório (estrutura) | Versão / data atual | Domínios de risco rastreados | Estrutura de limiar / nível | O que acontece quando um limiar é ultrapassado |
|---|---|---|---|---|
| Anthropic — Política de Escalonamento Responsável | v3.4, em vigor desde 8 jul. 2026 | Uplift QBRN não-inédito; uplift QBRN inédito; sabotagem de alto risco; aceleração automatizada de P&D em IA | Tabela de limiar de capacidade/uso; níveis fixos ASL-2/ASL-3/ASL-4 abandonados na reescrita da v3.0 (rótulos ASL legados mantidos apenas para controles já em vigor) | Roteiro público e não vinculante de Segurança de Fronteira, classificado contra o desempenho passado, mais Relatórios de Risco a cada 3–6 meses com revisão externa — sem pausa incondicional |
| OpenAI — Estrutura de Preparação | v2, 15 abr. 2025 | Biológico e Químico, Cibersegurança, Autoaperfeiçoamento de IA (rastreados); Autonomia de longo alcance, Sandbagging, Replicação e Adaptação Autônomas, Subversão de Salvaguardas, Nuclear e Radiológico (categorias de pesquisa, ainda sem critérios completos); Persuasão explicitamente excluída | Dois níveis: Alto e Crítico | Alto: salvaguardas exigidas antes da implantação. Crítico: salvaguardas exigidas durante o desenvolvimento; pode interromper o desenvolvimento por completo. O Grupo Consultivo de Segurança interno recomenda; o CEO ou designado decide; o Comitê de Segurança do conselho supervisiona |
| Google DeepMind — Estrutura de Segurança de Fronteira | v3.1, 17 abr. 2026 | QBRN; Cibernético; Manipulação Nociva (sinalizado como “exploratório e sujeito a mais pesquisa”); P&D de ML e Desalinhamento (fundidos em um domínio na v3.1) | Níveis de Capacidade Crítica (CCLs) mais Níveis de Capacidade Rastreada de piso mais baixo (TCLs, novos na v3.0/3.1); Níveis de Segurança SL1–SL4 usados como vocabulário, não como padrão de conformidade | Um “limiar de alerta” aciona uma avaliação formal de capacidade antes que um CCL seja atingido; atingir um CCL exige um caso de segurança suplementar e aprovação de governança antes da implantação externa (e, especificamente para os CCLs de P&D de ML, também antes da implantação interna de alto risco) |
| Meta — Estrutura de Escalonamento de IA Avançada | v2, 3 fev. 2025 (renomeada de “Estrutura de IA de Fronteira” v1.1; substituída por volta de abr. 2026) | Química e Biológica; Cibersegurança; Perda de Controle (adicionado na v2) | “Nível de uplift em direção a um cenário de ameaça”, não uma escala fixa de níveis | Se o risco crítico não puder ser mitigado: não implantará o modelo externamente nem continuará seu desenvolvimento |
| xAI — Estrutura de Inteligência Artificial de Fronteira (FAIF) | Em vigor desde 30 jun. 2026 (substituiu a Estrutura de Gestão de Risco anterior, atualizada pela última vez em 20 ago. 2025) | QBRN; Cibersegurança Ofensiva; Perda de Controle; Manipulação Nociva | Avaliação de risco sistêmico completa pelo menos anualmente; sem escala fixa de níveis | Linguagem condicional ao longo de todo o texto (“podemos”, “se determinarmos que é justificado”); sem gatilho explícito de interrupção de desenvolvimento comparável ao dos pares |
| Microsoft — Estrutura de Governança de Fronteira | Atualização de fev. 2026 (v1 era fev. 2025) | Armas QBRN; Ciberoperações ofensivas; Autonomia avançada; Perda de controle e Manipulação nociva (adicionado em fev. 2026) | Dois estágios: triagem automatizada de parâmetros de referência de “indicador antecedente” pelo menos a cada 6 meses, escalando para avaliação mais profunda classificada como Baixo/Médio/Alto/Crítico | “Se… identificarmos um risco que não podemos mitigar suficientemente, pausaremos o desenvolvimento e a implantação até o ponto em que as práticas de mitigação evoluam para atender ao risco” — o compromisso de interrupção mais direto entre as seis |
A mudança mais consequente: a Anthropic se afasta de uma pausa incondicional
A RSP da Anthropic tem o histórico público mais longo das seis, e sua mudança estrutural mais recente é o desenvolvimento mais discutido entre estruturas de segurança de fronteira em 2026. A Versão 1.0, publicada em 19 de setembro de 2023, introduziu o sistema de Nível de Segurança em IA (ASL) — ASL-2, ASL-3, ASL-4 — cada um definido por uma lista específica e fixa de controles exigidos, junto de um compromisso rígido: a Anthropic não treinaria além de um limiar sem salvaguardas já comprovadamente adequadas de antemão. As versões 2.0 (outubro de 2024), 2.1 (março de 2025), e 2.2 (maio de 2025) estenderam essa estrutura e adicionaram o limiar QBRN.
A Versão 3.0, em vigor desde 24 de fevereiro de 2026, reescreveu a política. A Anthropic substituiu os níveis ASL fixos por uma tabela de limiar de capacidade/uso, e explicou o raciocínio diretamente em um apêndice — as próprias palavras da empresa sobre por que abandonou listas de controle específicas e itemizadas aparecem abaixo como uma citação registrada. No lugar da antiga pausa rígida, a v3.0 introduziu dois novos instrumentos: um Roteiro de Segurança de Fronteira público e não vinculante, classificado abertamente contra o próprio desempenho passado da Anthropic, e Relatórios de Risco publicados a cada três a seis meses e sujeitos a revisão por pelo menos um revisor externo aprovado e livre de conflitos. O documento da Anthropic é explícito de que essa é uma mudança deliberada de uma postura unilateral e de risco absoluto para uma que é condicional e contingente à concorrência: um apêndice nomeado descreve cenários como “Anthropic na liderança” e “Concorrentes têm medidas de segurança fortes”, sob os quais os próprios compromissos da empresa mudam. As versões 3.1 (2 de abril), 3.2 (29 de abril), 3.3 (26 de maio), e 3.4 (8 de julho de 2026, atual) revisaram detalhes cada uma desde então — mais recentemente estreitando o limiar de P&D automatizada e ampliando a distribuição interna dos Relatórios de Risco — sem restaurar a antiga pausa rígida.
A governança em torno da própria política se manteve constante ao longo dessas versões: um Diretor de Escalonamento Responsável nomeado, um canal de relato de não conformidade, e uma revisão anual de conformidade processual por terceiros que a própria Anthropic descreve como verificando “conformidade processual, não resultados substantivos” — uma distinção que vale notar, já que significa que a auditoria confirma que o processo foi seguido, não que as decisões resultantes estavam corretas.
A mudança registrou imediatamente como um evento de credibilidade fora da empresa. Chris Painter, Diretor de Política do METR, revisou um rascunho inicial com a permissão da Anthropic e, embora tenha recebido bem a transparência adicional dos Relatórios de Risco, deu aos jornalistas a avaliação direta citada abaixo.
Onde as outras cinco estruturas convergem e divergem
A Estrutura de Governança de Fronteira da Microsoft é o contraste mais direto com a nova postura condicional da Anthropic: seu compromisso de pausa, citado por completo na tabela acima e abaixo, é incondicional em sua aparência, atado apenas à própria avaliação da Microsoft de que um risco não pode ser suficientemente mitigado — sem a ressalva de cenário contingente à concorrência comparável ao Apêndice A da Anthropic.
A Estrutura de Escalonamento de IA Avançada da Meta faz um compromisso igualmente incondicional para seu caso mais estreito: se um modelo atinge o “limiar de risco crítico” da Meta e esse risco não pode ser mitigado, a Meta declara que não implantará o modelo externamente nem continuará seu desenvolvimento. A Meta usa um “nível de uplift em direção a um cenário de ameaça” em vez de uma escala fixa de níveis, mas os domínios subjacentes — risco químico/biológico, cibersegurança, e Perda de Controle (adicionado na v2 da Meta) — acabam sendo mais compartilhados entre laboratórios do que a publicação separada de cada estrutura sugere. A própria Estrutura de Preparação v2 da OpenAI diz abertamente, em uma nota de rodapé, que seus Relatórios de Capacidade e Relatórios de Salvaguardas “correm em paralelo à RSP atualizada da Anthropic” e que seus critérios de limiar “foram informados, em parte, pela recente Estrutura de IA de Fronteira da Meta” — um raro reconhecimento de convergência entre laboratórios em um conjunto de documentos que, de outro modo, parecem escritos isoladamente.
A própria estrutura de dois níveis da OpenAI coloca o portão mais difícil — uma possível interrupção do próprio desenvolvimento — apenas no nível Crítico, e mesmo assim encaminha a decisão por meio de um Grupo Consultivo de Segurança interno cuja recomendação o CEO da OpenAI ou um designado pode anular, com o próprio Comitê de Segurança do conselho (co-liderado por esse mesmo CEO) fornecendo supervisão sobre a anulação. A estrutura foi aplicada na prática em julho de 2026: o System Card do GPT-5.6 da OpenAI designou seus modelos menores e mais rápidos, Sol, Terra, e Luna, como de capacidade Alta tanto em Cibersegurança quanto em risco Biológico e Químico — a primeira vez que modelos menores de uma família receberam essa designação — acionando novos classificadores de ativação, bloqueio de saída em tempo real, e aproximadamente 700.000 horas-GPU de red-teaming automatizado (OpenAI, página de segurança de implantação do GPT-5.6). Esse é o próprio relato da OpenAI sobre sua própria conformidade, não uma auditoria independente.
A Estrutura de Segurança de Fronteira do Google DeepMind funciona de forma diferente mais uma vez: em vez de uma travessia binária de nível, um “limiar de alerta” é destinado a acionar uma avaliação formal de capacidade antes que um Nível de Capacidade Crítica seja de fato atingido, e atingir um exige um caso de segurança suplementar e aprovação de governança antes da implantação externa — estendido, especificamente para o domínio de P&D de ML, também à implantação interna de alto risco (DeepMind, Estrutura de Segurança de Fronteira v3.1). O exemplo mais claro de um laboratório nomeando os limites de sua própria estrutura em público: o Nível de Segurança 4 recomendado pela DeepMind para modelos que pudessem automatizar completamente o trabalho de uma equipe inteira de pesquisa de IA do Google vem com a nota explícita de que isso “precisa ser assumido pelo campo da IA de fronteira como um todo” — a DeepMind declarando, em seu próprio documento publicado, que os controles de nenhuma empresa isolada são suficientes nesse nível de capacidade.
A FAIF da xAI é comparativamente rasa nessa dimensão. Em seus quatro domínios, a linguagem condicional é quase constante — “podemos”, “se determinarmos que é justificado” — e o documento não contém um compromisso de interrupção de implantação comparável ao nível Crítico da OpenAI ou à linguagem “não implantará” da Meta (xAI, Estrutura de Inteligência Artificial de Fronteira). Ela substituiu uma Estrutura de Gestão de Risco anterior, que já havia sido publicada meses atrás do próprio cronograma declarado pela xAI — um padrão com um histórico documentado, abordado a seguir.
Para um índice mais amplo de políticas publicadas de laboratórios de fronteira além desses seis, o METR mantém uma comparação (METR, “Common Elements of Frontier AI Safety Policies”; índice) cobrindo doze laboratórios. Ele funciona principalmente como um índice estrutural, e não como um placar classificado — para uma comparação classificada, veja a próxima seção.
Alegações versus prática
Tudo acima descreve o que seis empresas dizem que vão fazer. Se de fato o fizeram é uma pergunta diferente, e mais importante, e a evidência disponível é consideravelmente menos lisonjeira do que as próprias estruturas.
A checagem independente mais útil isolada é o SaferAI Frontier Risk Management Tracker, uma classificação genuinamente independente e distinta de qualquer estrutura auto-relatada por um laboratório. Ele classifica doze empresas — não apenas as seis comparadas acima — em quatro dimensões: Identificação de Risco, Análise e Avaliação de Risco, Tratamento de Risco, e Governança de Risco. Em sua atualização de julho de 2026, as pontuações gerais em 100% eram: Anthropic 35% (a mais alta no geral, e a mais forte especificamente em Governança de Risco, com 50%), OpenAI 34%, Microsoft 33%, Meta 33%, G42 24%, Google DeepMind 20%, xAI 18%, Amazon 18%, NVIDIA 16%, Magic 11%, Naver 10%, e Cohere 8% (a mais baixa) (SaferAI Frontier Risk Management Tracker). O próprio parâmetro da SaferAI para o que a melhor prática atual produziria, se toda empresa adotasse a única prática existente mais forte encontrada em qualquer lugar do campo, é citado abaixo — e está longe de 100%. Nenhum laboratório revisado, incluindo o líder, está perto do que a SaferAI considera adequado.
A Estrutura de Preparação da OpenAI foi checada diretamente por acadêmicos externos, em vez de ser aceita ao pé da letra. Coggins, Saeri, Daniell, Ruster, Liu, e Davis aplicam uma estrutura de “affordances” — distinguindo o que um documento de política exige, solicita, incentiva, e apenas permite — e chegam a três descobertas. Primeiro, a Estrutura solicita a avaliação de apenas uma minoria dos subdomínios de risco na taxonomia de 24 subdomínios do MIT AI Risk Repository, e não exige a avaliação de nenhum. Segundo, ela incentiva a implantação de sistemas com capacidade “Média” para dano severo — a própria definição da OpenAI cobre a morte ou lesão grave de milhares de pessoas, ou centenas de bilhões de dólares em dano econômico — citando a própria implantação pela OpenAI de seu modelo o1 apesar da capacidade biológica/química e de persuasão classificada como Média. Terceiro, ela permite que o CEO da OpenAI anule as recomendações de salvaguarda do Grupo Consultivo de Segurança, enquanto esse mesmo CEO co-lidera o comitê do conselho destinado a supervisionar essa discricionariedade — uma constatação de conflito de interesse estrutural, não hipotética.
O próprio caso de segurança do Google DeepMind foi auditado externamente — o exemplo mais claro, entre os seis laboratórios, de uma alegação específica e relevante para a segurança sendo checada por revisores externos nomeados e credenciados, em vez do processo interno do laboratório. O argumento interno da DeepMind de que seus modelos carecem da capacidade de “tramar” (scheme) foi revisado por Barrett, Campos Zabala, Fillingham, Siddique, Walpole, Bloomfield, e Papadatos usando uma metodologia formal de garantia. A avaliação deles creditou à DeepMind um engajamento metodológico genuíno e um raciocínio transparente, mas encontrou o que é citado abaixo — uma constatação sobre a distância entre a prática de engenharia e a evidência de fato apresentada, não uma acusação de má-fé.
A xAI fornece o caso mais claro de alegações de uma estrutura sendo diretamente contraditadas por eventos, e isso aconteceu duas vezes. Primeiro, quanto ao processo: o rascunho de estrutura de fevereiro de 2025 da xAI prometeu uma versão finalizada “dentro de três meses” — um prazo de aproximadamente 10 de maio de 2025. O prazo passou sem nenhum reconhecimento da xAI, levando o grupo de vigilância The Midas Project a observar o padrão citado abaixo. A eventual predecessora da FAIF só foi publicada em 20 de agosto de 2025 — mais de três meses de atraso. Segundo, quanto à substância: nesse mesmo dia, a xAI publicou acidentalmente centenas de milhares de conversas de usuários, e Elon Musk reconheceu separadamente que um engenheiro havia baixado todo o repositório de código da empresa — minando diretamente as próprias alegações de segurança escritas naquele mesmo documento. O AI Lab Watch também documentou que o crédito de avaliador terceirizado dado ao UK AI Security Institute foi silenciosamente removido do model card do Grok 4 um dia após a publicação, sem explicação (AI Lab Watch, “xAI’s new safety framework is dreadful”).
Nem toda entrada nesta seção é uma falha documentada. A designação de capacidade Alta do GPT-5.6 da OpenAI, descrita acima, é melhor lida como uma estrutura sendo aplicada em grande parte como escrita — mas continua sendo o autorrelato da própria OpenAI; nenhuma verificação independente das alegações de red-teaming ou de eficácia do classificador por trás dela foi encontrada até o momento desta redação.
Como usar esta página
Toda estrutura nomeada aqui é revisada em seu próprio cronograma, geralmente sem muito aviso público além de uma entrada de changelog. Os números de versão e datas de vigência acima são a forma mais rápida de checar se uma dada linha ainda está atual: a RSP da Anthropic está na v3.4 (8 de julho de 2026), a Estrutura de Preparação da OpenAI está na v2 desde 15 de abril de 2025, sem uma v2.1 até o momento desta redação, a Estrutura de Segurança de Fronteira da DeepMind está na v3.1 (17 de abril de 2026), a Estrutura de Escalonamento de IA Avançada da Meta está na v2 (3 de fevereiro de 2025, já substituída desde então), a FAIF da xAI entrou em vigor em 30 de junho de 2026, e a Estrutura de Governança de Fronteira da Microsoft foi atualizada pela última vez em fevereiro de 2026. Se algum desses números tiver mudado até o momento em que você estiver lendo isto, trate a tabela como desatualizada especificamente nessa linha.
Para saber como os testes de capacidade e os argumentos de caso de segurança por trás dessas estruturas realmente funcionam — e seus próprios limites — veja avaliações de fronteira, casos de segurança, e relato de incidentes. Para um registro cronológico dos incidentes, divulgações, e quase-acidentes do mundo real que essas estruturas são destinadas a prevenir ou capturar, veja a linha do tempo de incidentes de IA.