Seu filtro de spam não lê seus emails. Ele conta os sinais.

Google bloqueia quase 15 bilhões de mensagens indesejadas por dia, e faz isso sem nada que você reconheceria como leitura. Nenhum modelo está sentado ali sussurrando as palavras do lembrete do seu dentista. Aquela imagem mental — um bisbilhoteiro digital curvado sobre sua caixa de entrada, absorvendo seus segredos — é o medo que a maioria das pessoas carrega, e está apontado para o alvo errado.

Aqui está o que está realmente acontecendo. Quando um email atinge um filtro, o sistema não começa com sua prosa. Começa com o envelope. Quem enviou isso, e o servidor de envio realmente tem permissão para usar esse domínio? Esse é SPF, DKIM e DMARC — três verificações que confirmam se "billing@yourbank.com" veio da infraestrutura do seu banco ou de um servidor alugado no porão de alguém. Um golpista pode copiar um logo perfeitamente e ainda assim falhar no DKIM, e essa única incompatibilidade criptográfica diz ao filtro mais do que qualquer frase no corpo jamais poderia.

Depois vêm os sinais mais baratos. Reputação do remetente: esse endereço IP tem enviado milhões de mensagens idênticas? Análise de links: o botão "clique aqui" aponta para algum lugar que o texto visível não admite? Idade da URL, cadeias de redirecionamento, tipos de anexo. A maioria de um veredito de spam é decidida antes de o modelo pensar seriamente sobre linguagem alguma.

Quando a linguagem entra, não é compreensão — é matemática. Filtros antigos usavam classificadores bayesianos, a abordagem que Paul Graham popularizou em seu ensaio de 2002 "A Plan for Spam", que pontuava mensagens na probabilidade de certas palavras aparecerem em spam versus em correio legítimo. A palavra "Viagra" carregava um número. Sistemas modernos vão além com modelos baseados em transformers que convertem texto em embeddings — listas longas de números que capturam significado sem armazenar o significado como palavras. Para o classificador, seu email não é uma história. É um ponto em espaço de alta dimensionalidade, e a questão é se esse ponto fica perto do cluster rotulado "phishing".

Essa distinção importa, porque "a IA vê minhas palavras" e "a IA converte minhas palavras em um vetor e o compara a um padrão de fraude" não são o mesmo evento de privacidade. Um parece escuta clandestina. O outro é mais próximo a um detector de metais: reage a uma assinatura, não a uma confissão.

Então a pergunta real não é se um modelo toca seu texto. É claro que faz — esse é o trabalho. A pergunta é dupla, e é onde você deveria realmente apontar sua suspeita. Primeiro: retenção. O conteúdo é armazenado, e por quanto tempo? A política da API do OpenAI, por exemplo, afirma que não usa dados de API comercial para treinar seus modelos e os retém por uma janela limitada antes da exclusão. Anthropic publica termos comerciais similares. Essas políticas são a coisa que vale a pena ler, não reassegurações sobre como "privado" um logo parece.

Segundo: onde a inferência acontece. Um filtro executando classificação dentro das próprias paredes do seu provedor é um perfil de risco diferente de texto sendo enviado a um modelo de terceiros que você nunca ouviu falar. "No dispositivo ou no inquilino" versus "enviado para outro lugar" é a bifurcação de privacidade que decide quem poderia, em teoria, jamais ver qualquer coisa.

Isso também é por que o pânico "ele escaneia tudo" se volta contra você. Os sistemas que escaneia tudo são os que o protegem — os classificadores bloqueando a fatura falsa e a página de login que parece ser legítima. A varredura perigosa é a silenciosa: o pixel de rastreamento em um boletim informativo que envia um ping a um servidor no momento em que você o abre, registrando seu IP e a hora em que você o leu. Esse é um verdadeiro bisbilhoteiro, e não é o filtro de spam.

Preocupe-se com retenção. Preocupe-se com destino. O modelo lendo suas palavras em busca de pistas é a menor delas.