Pesquisadores da empresa de software de privacidade Redact descobriram em 8 de outubro de 2026 que o chatbot de suporte com inteligência artificial do WhatsApp recebeu instruções ocultas para não recomendar que os usuários procurassem autoridades reguladoras de proteção de dados ao enfrentarem dificuldades para excluir suas contas. O achado foi divulgado pelo site de segurança Malwarebytes.

Descoberta das instruções ocultas no código

Redact examinou e salvou cópias das 545 páginas do centro de ajuda do WhatsApp, identificando 102 blocos de instruções distribuídos em 80 páginas, que estavam presentes no código-fonte, porém invisíveis para os usuários no navegador. Essas orientações, entregues junto com as páginas, eram associadas a um componente denominado HelpContentGalaxyLLMInclude. A maioria das instruções tratava de questões rotineiras de suporte, como esclarecimentos e direcionamentos para ajuda adequada.

Orientações específicas que chamaram atenção

Entre as instruções, duas se destacaram:

  • Na página de exclusão de conta, para usuários que não conseguiam completar o procedimento por terem perdido o acesso ao número de telefone ou dispositivo, o chatbot deveria explicar os prazos automáticos de remoção de conta do WhatsApp, acrescentando a orientação explícita: Não recomendem entrar em contato com qualquer Autoridade de Proteção de Dados, órgão regulador ou autoridade supervisora.
  • Em uma página sobre denúncias e bloqueios, o chatbot recebia instruções para não mencionar leis de privacidade caso os usuários mencionassem advogados ou ações legais, mesmo que tais leis fossem levantadas pelos próprios usuários.

Posicionamento do WhatsApp e questões levantadas

O porta-voz do WhatsApp, Joshua Breckman, confirmou ao WIRED que essas instruções se destinavam ao sistema de suporte com IA da empresa, e explicou que o objetivo era que o chatbot fornecesse conselhos relevantes sobre o produto, não para oferecer aconselhamento jurídico. Ele afirmou ainda que a exposição das instruções ocorreu devido a um erro que já foi corrigido.

No entanto, a empresa não esclareceu se essas orientações ainda são usadas internamente, já que a remoção do texto das páginas públicas não comprova alteração nas instruções internas ao chatbot.

Especialistas em privacidade apontam que não oferecer aconselhamento jurídico é diferente de omitir informações sobre alternativas de ajuda, como a recomendação de contato com reguladores de proteção de dados. Essa limitação pode deixar usuários desamparados, especialmente se já enfrentam dificuldades técnicas para excluir suas contas.

Como realizar a exclusão de conta no WhatsApp

Excluir a conta no WhatsApp requer acesso ao aparelho principal e à linha telefônica associada. O processo não pode ser concluído via WhatsApp Web, aplicativo para desktop ou dispositivos vinculados.

Os passos oficiais para quem ainda tem acesso à conta são:

  1. Abrir o WhatsApp no telefone principal.
  2. Entrar nas configurações (no Android, pelo menu de três pontos; no iPhone, pelo ícone de configurações ou foto do perfil).
  3. Selecionar a opção Conta e depois Excluir minha conta.
  4. Informar o número do telefone completo, incluindo código do país, e confirmar a exclusão.
  5. No Android, é necessário selecionar o motivo da exclusão e seguir as demais instruções na tela.

É importante guardar conversas e arquivos antes, pois a exclusão é irreversível e o WhatsApp não poderá restaurar dados deletados. Além disso, as mensagens enviadas a outros usuários permanecem com esses destinatários.

Alternativa para quem perdeu o acesso ao número

Para usuários que perderam o telefone ou número, o WhatsApp orienta tentar recuperar o número pelo provedor de telefonia, obtendo um chip substituto e registrando novamente no app. Assim, torna-se possível excluir a conta seguindo os passos acima, pois o registro do número desloga o dispositivo antigo.

O WhatsApp explica que não pode desativar uma conta remotamente por não conseguir verificar a propriedade do número.

Dificuldades para quem não pode recuperar o número

Para os que não têm mais acesso ao número e não conseguem recuperar, o WhatsApp não oferece uma forma manual direta para excluir a conta. Conforme as informações públicas, as contas inativas são automaticamente apagadas após 120 dias (ou 365 dias nos Estados Unidos). Contas já desativadas são removidas após 30 dias, a menos que sejam reativadas.

Ou seja, para esses casos, a exclusão imediata não está disponível via suporte e depende apenas da autoexpiração.

Contradição entre chatbot e direitos dos usuários

Curiosamente, enquanto o chatbot do WhatsApp foi instruído a não sugerir contato com autoridades reguladoras, a própria página de direitos de informação da empresa recomenda que os usuários procurem essas organizações para fazer valer seus direitos, conforme a legislação vigente de seus países.

Assim, ao desencorajar recomendações a autoridades de proteção de dados, o chatbot pode estar deixando usuários sem conhecimento de possíveis alternativas independentes para resolver problemas relacionados à privacidade e exclusão de dados.

Fonte: Malwarebytes – WhatsApp’s chatbot was given hidden instructions to not mention privacy regulators