Conta de IA sem e-mail: o argumento que falha com equipes

Uma conta de IA sem e-mail é vendida como privacidade. Para uma empresa, ela elimina o endereço para um aviso de incidente, a recuperação da conta e o jeito de retomar o acesso de quem sai. Também esconde menos do que o discurso sugere. A Drael é o exemplo mais claro que conhecemos, e não operaríamos uma equipe em cima dela.

Dados coletados em 9 e 10 de novembro de 2026 na página de privacidade, na documentação da conta e na home da Drael, e nos preços da NotHoly. Não criamos conta na Drael.

#O que é a conta sem e-mail da Drael

A página de privacidade da Drael descreve assim: "An account is a name you choose, a code, and a key derived from your name and password that only exists to recover the code." A conta é um nome que você escolhe, um código e uma chave derivada do nome e da senha, que só existe para recuperar o código. A home transforma isso em um dos três números de destaque, nenhum dado pessoal, e em uma promessa: "No email is asked, so there is nothing here to leak or to sell." (nenhum e-mail é pedido, então não há nada aqui para vazar ou vender).

A história de recuperação é uma frase nos termos: "if you lose both, your history cannot be recovered by anyone, us included." Perdeu os dois, ninguém recupera o histórico, nem eles. Não existe link de redefinição, porque não há para onde mandá-lo.

#O que esse modelo de conta ainda expõe

Sem e-mail não quer dizer que ninguém vê nada. A mesma página de privacidade lista quem vê.

Quem	O que vê, nas palavras da Drael
A CDN na frente do site	"sees your address and the traffic passing through it" (vê o seu endereço e o tráfego que passa por ela)
O processador de cartão	Recebe o seu endereço de rede "for its own fraud checks" (para as checagens de fraude dele)
O provedor de pagamento	"sees the payment and whatever you give it to pay" (vê o pagamento e o que você fornecer para pagar)
O servidor da Drael, durante o uso	"holds your key in memory, because the model has to read the conversation" (guarda a sua chave em memória, porque o modelo precisa ler a conversa)
O monitoramento da Drael	Rota, tempo, erros "and the account's internal id" (e o id interno da conta)
O serviço de consulta de vazamentos	"the identifier you asked about" (o identificador que você consultou)
Os sites que você manda buscar	"a request from our server" (uma requisição do servidor deles)

A promessa de criptografia vem com o próprio limite: "it protects what is stored, not a conversation while it is happening." Ela protege o que está armazenado, e não uma conversa em andamento. A conta não tem e-mail, portanto, e mesmo assim o operador lida com os seus prompts em claro enquanto você trabalha, existe um rastro de pagamento e o livro contábil sobrevive à exclusão "because accounting records have to be kept" (porque registros contábeis precisam ser mantidos).

A troca também corre em um só sentido. A Drael não sabe nada sobre você, e você não sabe nada sobre a Drael: os termos dela não informam empresa, endereço nem lei aplicável. Achamos que um cliente anônimo comprando de um vendedor anônimo abriu mão de mais do que ganhou.

#O que quebra quando a conta é de uma empresa

Tudo o que uma equipe de segurança faz com a conta de um fornecedor pressupõe uma identidade por trás dela.

Necessidade	Com uma conta sem e-mail na Drael
Aviso de incidente ou de vazamento	Não há endereço para onde enviar
Recuperação depois de perder a credencial	Nenhuma; perdeu o código e a senha, o histórico se foi
Offboarding de um prestador	Sem organização nem papéis na documentação pública; a pessoa fica com a conta
Prova de quem rodou o quê	Um apelido que o usuário escolheu
Faturamento para uma empresa	Uma referência de pagamento; o vendedor não tem nome
Aumentar a equipe	Quatro respostas simultâneas por conta; a documentação sugere "separate accounts" (contas separadas)

O NIST SP 800-115 espera que os dados de teste sejam coletados, armazenados e destruídos sob regras documentadas, assinadas pela gestão e pelo líder do teste. Uma conta que pertence a quem estiver com um código na mão não cabe em regras assim.

#Por que as equipes de segurança já combatem isso

Contas de IA sem gestão são o problema que as equipes de segurança tentam eliminar. O Verizon DBIR 2026 relata que 45% dos funcionários usam IA regularmente em dispositivos corporativos e que 67% dos usuários em dispositivos corporativos usam contas não corporativas. O relatório de 2026 da Netskope conta 223 violações de política de dados com GenAI por organização por mês, com código-fonte como o tipo de dado mais comum, em 42%.

Uma conta sem e-mail só pode ser uma conta pessoal. A empresa não consegue reivindicá-la, monitorá-la nem encerrá-la. Na Stack Overflow Developer Survey 2026, 13,0% dos respondentes (n=13.857) citam privacidade ou segurança como motivo para evitar IA, e uma ferramenta que tira a organização da conta não responde a essa preocupação.

#Quatro perguntas antes de uma equipe adotar

Pergunte quem recebe o aviso de vazamento. Pergunte como o acesso é revogado quando alguém sai. Pergunte a que pessoa jurídica você está pagando. Pergunte o que acontece com o trabalho se uma pessoa perder uma senha. Na Drael, as respostas que as páginas públicas dão são, nessa ordem: ninguém, não é revogado, não se sabe, e o trabalho se perde.

#O que a NotHoly faz

A NotHoly exige e-mail, e não prometemos anonimato. Em troca, o console tem organizações, papéis, workspaces, chaves com limite e log de auditoria, e os termos nomeiam a empresa com quem você está lidando. O conteúdo da API não é gravado, só metadados; o histórico do chat fica salvo a menos que você escolha um chat efêmero. Uma equipe consegue remover um membro e ficar com o trabalho.

Se a sua exigência é que o fornecedor não conheça o seu e-mail, a NotHoly não atende.

#Para quem cada um serve

Uma conta sem e-mail serve a uma pessoa que quer ficar desconhecida para o vendedor e não carrega nada de que mais alguém dependa. Não serve a equipe nenhuma: não há endereço para aviso de incidente, não há recuperação e não há como tirar o acesso de quem sai. A NotHoly exige e-mail e não promete anonimato; em troca, a equipe tem organizações, papéis, chaves com limite e log de auditoria, e consegue remover um membro e ficar com o trabalho.

#Perguntas frequentes

#Existe IA sem cadastro e sem e-mail?

Existe. A Drael abre conta com um nome, uma senha e um código, e permite três sessões grátis por endereço em 24 horas.

#Uma conta de IA anônima é anônima de verdade?

Não. Na Drael, a CDN vê o seu endereço, o provedor de pagamento vê o pagamento e o servidor guarda a sua chave em memória enquanto você usa.

#O que acontece se eu perder a senha e o código da Drael?

Os termos dizem que o histórico "cannot be recovered by anyone, us included" (não pode ser recuperado por ninguém, nem por eles).

#Uma empresa pode usar uma conta de IA sem e-mail?

Pode pagar por uma. Não consegue administrá-la, receber avisos por ela nem retomá-la de um funcionário.

#A NotHoly funciona sem e-mail?

Não. O e-mail é obrigatório.

#Veredito

"Sem e-mail" é um slogan voltado a um indivíduo que quer continuar desconhecido do vendedor. Cumpre isso em parte, e tira todos os controles de que uma equipe precisa. Na Drael, vem junto com um vendedor tão anônimo quanto o comprador. Para trabalho com cliente, escolha a conta que você consegue administrar: o checklist completo está em por que profissionais não rodam engajamentos na Drael, e os preços da NotHoly começam em US$ 5.