X

As conversas com o Grok não têm criptografia de ponta a ponta e ficam guardadas em um formato que a empresa consegue ler.

As perguntas frequentes da SpaceXAI dizem que um número limitado de funcionários autorizados pode revisar as conversas com o Grok (para melhorar os modelos, investigar uso indevido e cumprir obrigações legais).

O chat criptografado do X (XChat) guarda as chaves privadas dos usuários nos servidores do X, criptografadas por um PIN de quatro dígitos, e pesquisadores de segurança e criptógrafos desaconselham confiar nele até que passe por uma auditoria independente.

O X é uma rede social financiada por publicidade, e sua dona, a SpaceXAI, também treina e opera a IA Grok usando as publicações públicas e os dados de engajamento dos usuários do X.

A edição de imagens do Grok foi amplamente usada para criar imagens sexualizadas de pessoas reais, incluindo mulheres e, em alguns casos, crianças, a partir das fotos delas, o que levou a investigações da Comissão Europeia e da Ofcom, do Reino Unido.

Em meados de janeiro de 2026, o X disse que tinha impedido o Grok, no X, de editar imagens de pessoas reais para colocá-las em roupas reveladoras, e que bloqueou geograficamente esse tipo de geração onde ela é ilegal. Segundo relatos, o app e o site independentes do Grok não estavam cobertos no início. As duas investigações ainda estavam abertas na última verificação.

A Forbes descobriu que mais de 370.000 conversas do Grok compartilhadas com o botão "compartilhar" tinham sido indexadas pelo Google e por outros buscadores; os usuários não foram avisados com clareza de que compartilhar as tornava publicamente pesquisáveis.

Uma falha na API do Twitter, corrigida em janeiro de 2022, permitiu que invasores ligassem endereços de e-mail e números de telefone a contas; o Twitter confirmou que dados de 5,4 milhões de contas foram reunidos dessa forma. Em janeiro de 2023, uma lista com endereços de e-mail de mais de 200 milhões de usuários foi publicada na internet, e pesquisadores a relacionaram à mesma falha, embora o Twitter tenha dito que não encontrou indícios de que os dados viessem da exploração de seus sistemas.

A Data Protection Commission da Irlanda abriu em dezembro de 2022 uma investigação sobre os conjuntos de dados de 5,4 milhões de usuários.

O Twitter corrigiu a falha da API em janeiro de 2022, mas os dados raspados já tinham sido coletados.

O Twitter concordou em pagar uma multa civil de 150 milhões de dólares para encerrar acusações da FTC e do Departamento de Justiça de que usou números de telefone e endereços de e-mail que as pessoas tinham fornecido para a segurança da conta para direcionar anúncios a elas.

Segundo a FTC, a prática durou de 2013 a 2019 e afetou mais de 140 milhões de usuários. O acordo foi uma ordem homologada pela Justiça e apresentada pelo Departamento de Justiça em nome da FTC; o Twitter não admitiu irregularidade.

O X coleta suas publicações, suas mensagens diretas (incluindo o conteúdo, no caso das não criptografadas), suas interações e dados do dispositivo; a SpaceXAI coleta seus pedidos ao Grok, os arquivos enviados e as informações da conta, e usa as publicações públicas e os dados de engajamento do X. As empresas podem compartilhar dados entre si como afiliadas.

O Grok oferece um modo de chat privado, cujas conversas não são usadas para treinamento e são apagadas em até 30 dias, e uma configuração "Improve the model" para recusar o treinamento.

Em 2024, o X ativou por padrão uma configuração que lhe permitia usar as publicações públicas das pessoas para treinar o Grok. A Data Protection Commission da Irlanda levou o X ao Tribunal Superior, e o X concordou em parar de tratar, para o treinamento do Grok, as publicações de usuários da UE/EEE coletadas entre 7 de maio e 1º de agosto de 2024; o regulador abriu em abril de 2025 uma investigação formal sobre a prática com base no GDPR.

Você pode baixar um arquivo com seus dados do X e desativar sua conta.

O X publica relatórios de transparência, inclusive sobre pedidos de governos, embora os tenha interrompido depois de 2022, antes de divulgar um relatório global em 2024.

Como empresa dos EUA, o X pode ser obrigado pela lei americana, incluindo o CLOUD Act, a entregar os dados que detém, onde quer que estejam armazenados.