Soberania digital: o que os países já decidiram e o que sobra para a sua empresa

Anton Carniaux dirige a área de assuntos públicos e jurídicos da Microsoft na França. Em 10 de junho de 2025, sentado diante de uma comissão de inquérito do Senado francês e sob juramento, ele ouviu a pergunta que define soberania digital: podia garantir que dados de cidadãos franceses jamais seriam transmitidos ao governo americano? A resposta está na transcrição oficial da sessão: “Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit”. Não, não posso garantir, mas, repito, isso nunca aconteceu.

Carniaux estava descrevendo como a lei americana funciona, e a descrição não depende da boa-fé da empresa dele. Essa distância entre o contrato que você assinou e a lei que alcança quem assinou com você move política pública em três continentes, e já começou a aparecer nas cláusulas dos seus contratos.

O que você vai levar daqui

• O que é soberania digital numa definição que serve tanto para um país quanto para uma empresa de trezentos funcionários
• Por que guardar o dado no Brasil não garante que ele fique fora do alcance de outro governo, e qual dispositivo legal explica isso
• O que Europa, França, Alemanha, China, Índia, Estados Unidos e Brasil já executaram, o que ficou só no anúncio, e por que a Nuvem de Governo brasileira não resolve o que o nome sugere
• As cinco camadas de controle que a sua empresa decide, as duas que ela não decide, e as quatro que dá para fechar na primeira semana sem orçamento novo
• O que já obriga a sua empresa hoje, do Banco Central ao Conselho Federal de Medicina, e quanto custa sair de um fornecedor, com números de processo judicial

Este artigo complementa o e-book gratuito O Mapa do Explorador, que mapeia setores e verticais de tecnologia para quem decide sem estar no time técnico.

O que é soberania digital, sem o verniz de seminário

Soberania digital é a capacidade de decidir sobre a própria infraestrutura digital, os próprios dados e as próprias regras de uso da tecnologia, sem depender da autorização de alguém que não responde a você. A definição vale igual para a União Europeia e para uma indústria de autopeças em Caxias do Sul. Muda a escala, não o mecanismo.

O que confunde é que a palavra soberania carrega bagagem de Estado-nação. Fala-se do tema como assunto de chancelaria, com bandeira e discurso, e o executivo conclui que aquilo está longe dele. Depois o mesmo executivo recebe um aviso de que o fornecedor de virtualização, o software que faz um servidor físico rodar vários sistemas ao mesmo tempo, mudou o modelo de licenciamento, e a conta anual subiu num percentual que ninguém tinha orçado.

Prefiro um critério que funciona nos dois níveis. Soberania se decide em cinco perguntas: a qual lei o dado responde, quem opera a máquina onde ele roda, qual modelo de inteligência artificial o lê, quem na sua casa sabe tocar aquilo e em quanto tempo você troca de fornecedor. Um país responde a essas cinco perguntas com política industrial e regulação. Uma empresa responde com contrato, arquitetura e gente.

O que ficou de fora da lista é ter um modelo de inteligência artificial próprio. A ausência é proposital, e vem dos dois casos que publicaram resultado com número, o indiano e o alemão. O motivo aparece na seção sobre modelos de IA.

Por que nenhum país aceita mais depender de tecnologia que não controla

A frente jurídica. A lei americana conhecida como CLOUD Act, codificada em 18 U.S.C. 2713, determina que o provedor de serviço de comunicação eletrônica ou de computação remota preserve e entregue o conteúdo de comunicações e os registros de clientes que estejam “sob sua posse, custódia ou controle”, e fecha com a expressão que decide a questão: “independentemente de a comunicação, registro ou informação estar localizada dentro ou fora dos Estados Unidos”. O texto é de 2018 e não menciona servidor, endereço nem data center. Ele alcança a empresa que está sob jurisdição americana. Foi por isso que o executivo francês não pôde dar a garantia que os senadores pediram.

A tese contrária existe e é a que os provedores sustentam. A mesma lei, no artigo 2703(h), deixa o provedor pedir a anulação da ordem quando entregar o dado o colocaria em risco de violar a lei de outro país. O detalhe está nas duas condições: o cliente não pode ser pessoa dos Estados Unidos, e o outro país precisa ser um governo estrangeiro qualificado, ou seja, ter assinado acordo executivo com os americanos. Não localizei caso público em que essa válvula tenha sido acionada com sucesso para proteger dado numa estrutura de nuvem soberana.

Quem decide hoje decide sem jurisprudência. Se você trabalha com a leitura forte, precisa de cláusula de notificação e de plano de saída. Se prefere a leitura do provedor, peça a ele por escrito, e não em apresentação comercial.

A frente do fornecimento. Em 19 de novembro de 2025, o Departamento de Comércio dos Estados Unidos autorizou a exportação do equivalente a até 35 mil chips de última geração da NVIDIA para a G42, empresa estatal de tecnologia dos Emirados Árabes Unidos, e o mesmo volume para a HUMAIN, do fundo soberano da Arábia Saudita, com requisitos de segurança e monitoramento contínuo. São dois tetos de 35 mil peças abertos no mesmo dia, volume de quem monta centro de treinamento de porte nacional. E os dois maiores programas de IA soberana do Golfo anunciados até aqui dependem de uma licença emitida por um terceiro país para existir.

A terceira frente é a da concentração. A Synergy Research Group mediu o mercado mundial de infraestrutura de nuvem no segundo trimestre de 2026 e colocou a Amazon em 28%, a Microsoft em 20% e o Google em 15%. Três empresas americanas ficam com 63% de tudo que o mundo gasta com infraestrutura de nuvem. A Synergy é consultoria privada e não abre a metodologia inteira, então leve os pontos percentuais como ordem de grandeza. Os três nomes e a distância deles para o quarto colocado são consenso no setor.

Nenhuma das três frentes é nova, e nenhuma delas nasceu do vocabulário da soberania digital. O que mudou foi elas passarem a produzir fatos com nome, data e consequência, num intervalo curto o bastante para chegar às reuniões de decisão.

O que os países estão de fato fazendo

Sete programas de soberania digital em curso, cada um resolvendo uma camada diferente do mesmo problema. A União Europeia e a França foram pela jurisdição e pela compra pública; a Alemanha foi pela operação, trocando suíte de escritório e agora telefonia. China e Estados Unidos disputam outra coisa, que é quem fornece a camada de modelo ao resto do mundo, e a Índia é o único caso que começou pela infraestrutura que a população usa todo dia. O Brasil fecha a lista porque é onde a frente jurídica, a do fornecimento e a da concentração se cruzam, e onde o preço político de ter construído infraestrutura própria já chegou.

Europa: a soberania virou critério de compra pública

O movimento mais concreto da União Europeia foi uma licitação, não a lei que todo mundo esperava desde 2020. Em 17 de abril de 2026 a Comissão Europeia adjudicou contratos de nuvem soberana de até 180 milhões de euros por seis anos a quatro fornecedores europeus. O critério de pontuação é o Cloud Sovereignty Framework, que avalia o fornecedor da dimensão jurídica à ambiental e devolve um selo chamado SEAL, numa escala de 1 a 4 em que 4 é o grau mais alto de independência em relação a tecnologia estrangeira.

Três dos quatro fornecedores ficaram em SEAL 3. O quarto, que revende tecnologia americana licenciada, ficou em SEAL 2, que era a nota mínima aceita para participar da licitação. A Comissão escreveu o critério de soberania, aplicou o critério ao próprio dinheiro, e o ranking saiu exatamente na ordem que a política vinha defendendo em discurso desde 2020.

O caminho anterior travou. O esquema europeu de certificação de nuvem, chamado EUCS, era a aposta desde 2020 e segue parado: a versão pública na página oficial da agência europeia de cibersegurança ainda é a minuta de dezembro de 2020. No documento oficial de perguntas e respostas do pacote de cibersegurança, a Comissão informa que o trabalho “deve ser retomado” e que os aspectos de soberania passarão a ser tratados por outro instrumento.

Esse outro instrumento é o Cloud and AI Development Act, proposta de 3 de junho de 2026. Ele cria quatro níveis de garantia de soberania, o primeiro por autoavaliação e os demais por auditoria de terceiro, e obriga cada Estado-membro a definir qual nível cada atividade pública exige. Entre os riscos que a proposta se propõe a mitigar está a aplicação extraterritorial de leis de terceiros países. Minha leitura é que essa linha é o CLOUD Act por escrito numa proposta legislativa, sem citar o nome.

Duas peças europeias já valem hoje, e alcançam a empresa brasileira por um caminho indireto: o fornecedor global costuma padronizar cláusula e política de saída em escala mundial em vez de manter duas versões do contrato. Não é obrigação sua, é alavanca sua na hora de pedir.

O Data Act é aplicável desde setembro de 2025 e, a partir de 12 de janeiro de 2027, elimina as taxas cobradas para mudar de provedor de nuvem, inclusive a taxa de egresso, o valor que o provedor cobra por gigabyte para você levar os seus próprios dados embora. O Cyber Resilience Act, em vigor desde dezembro de 2024, passa a exigir notificação de vulnerabilidades exploradas ativamente em 11 de setembro de 2026, com as obrigações principais em dezembro de 2027.

França: um ato administrativo que define o que é confiável

A França resolveu por ato administrativo o que a Europa levou cinco anos discutindo. Uma circular de maio de 2023 estabelece que toda oferta comercial de nuvem que manipule dados sensíveis precisa da qualificação SecNumCloud, concedida pela agência nacional de segurança de sistemas de informação. O portal oficial do Estado francês acrescenta a condição que interessa: imunidade a acesso não autorizado por autoridade pública de país terceiro.

A S3NS, empresa francesa controlada pela Thales com o Google Cloud como parceiro tecnológico, obteve a qualificação em dezembro de 2025. A Bleu, sociedade de Orange e Capgemini que revende tecnologia Microsoft, ainda aparece na lista da agência francesa como prestadora em curso de qualificação, e não é a única nessa situação, e ao mesmo tempo já opera comercialmente com clientes grandes do setor de defesa e do setor financeiro. A Bleu se vende como nuvem de confiança antes de ter o selo que define o termo na doutrina do próprio Estado francês.

É o padrão que eu peço para o time olhar antes de assinar: o fornecedor anuncia a conformidade que está buscando como se já tivesse, e cabe a quem compra pedir o número do certificado em vez do anúncio de imprensa.

Alemanha: o caso que publica os dois lados da conta

Em comunicado de 4 de dezembro de 2025, o governo do estado de Schleswig-Holstein informou que quase 80% das estações de trabalho da administração estadual, excluída a administração fiscal, já rodam LibreOffice, e que a troca alcançou todos os ministérios do estado. A migração de e-mail terminou em outubro de 2025, com cerca de 44 mil caixas postais movidas para uma plataforma de código aberto. A economia declarada em licenças passa de 15 milhões de euros por ano, contra 9 milhões de euros de investimento pontual previsto para 2026.

O estado não parou aí. Em 11 de agosto de 2026 anunciou a migração da telefonia para uma solução aberta, com implantação prevista para três a quatro anos. A infraestrutura que sai é da operadora nacional e está contratada desde 1999. Repare no prazo declarado pelo próprio governo: três a quatro anos para trocar o telefone, depois de uma migração de e-mail que se arrastou até outubro de 2025 e é a parte mais simples do conjunto. É o caso que mais serve de referência para uma empresa, porque publica os dois lados da conta e o cronograma real, em anos, em vez de um anúncio.

China: soberania exportada como oferta

A China resolveu a camada jurídica em 2021. O artigo 40 da Lei de Proteção de Informação Pessoal obriga operadores de infraestrutura crítica de informação, e processadores de dados acima do volume que o regulador definir, a armazenar dados pessoais em território chinês, com transferência internacional condicionada a avaliação de segurança.

O movimento recente é de exportação. Em julho de 2025, um plano de ação de governança global de inteligência artificial publicado no site do Ministério das Relações Exteriores defende, com todas as letras, construir comunidades de código aberto transfronteiriças e apoiar países do Sul Global a desenvolver IA conforme suas próprias condições nacionais. Em julho de 2026 esse discurso virou estrutura, com a criação de uma organização mundial de cooperação em IA sediada em Xangai.

Minha leitura é que essa é a jogada geopolítica mais bem desenhada do cenário atual. Enquanto os Estados Unidos vendem acesso condicionado a licença, a China oferece modelo de peso aberto e capacitação. Para um país de renda média que não vai fabricar chips tão cedo, a segunda proposta soa como parceria e a primeira soa como dependência renovável, porque a licença que autoriza a venda pode não ser renovada.

Índia: soberania construída por baixo

A Índia é o contraexemplo mais útil para o Brasil.

O UPI, sistema de pagamento instantâneo indiano que é o equivalente local do Pix, responde por cerca de metade do volume global de pagamentos em tempo real, com 703 bancos participantes contra 21 no lançamento em 2016.

A IndiaAI Mission, aprovada em março de 2024 com dotação equivalente a cerca de 1,2 bilhão de dólares para cinco anos, veio depois. A ordem em que essas três coisas aconteceram é o oposto da ordem que eu ouço nas mesas em que o assunto entra no Brasil. A Índia montou primeiro a infraestrutura pública de uso diário, comprou capacidade de computação depois e só então foi cuidar de modelo.

Estados Unidos: soberania como produto de exportação

Os Estados Unidos não estão fora da agenda de soberania. Estão vendendo ela. Em abril de 2026, o governo americano publicou no Federal Register, o diário oficial federal de lá, a chamada de propostas do American AI Exports Program, criado por ordem executiva, que organiza consórcios para exportar a tecnologia americana de IA inteira, do hardware às aplicações setoriais, como um pacote único.

Os Estados Unidos entenderam a demanda por soberania de IA e resolveram atendê-la. O produto se chama soberania e o fornecedor é americano. Não há contradição do ponto de vista de quem vende. Do ponto de vista de quem compra fica a pergunta de quem responde pelo produto quando ele se chama soberania e o fornecedor responde a outro governo.

Brasil: o que é lei e o que é manchete

Não existe marco legal de inteligência artificial no Brasil. O PL 2338/2023 foi aprovado pelo Senado, remetido à Câmara em 17 de março de 2025, e o último status registrado na base de dados abertos da Câmara é Aguardando Parecer. Uma comissão especial ouviu 180 convidados em 31 reuniões e o texto continua sem data de votação em plenário. Quem citar “a lei brasileira de IA” numa reunião está citando um projeto.

O regime tributário de data center virou lei. A MP 1.318, de 17 de setembro de 2025, criou o REDATA com contrapartidas exigentes de energia limpa, de consumo de água e de investimento em pesquisa. A medida provisória caducou em fevereiro de 2026 sem aprovação do Congresso, mas o projeto substituto seguiu tramitando e foi sancionado como a Lei 15.504, de 15 de setembro de 2026.

Escrevi sobre a conta física e econômica desse setor num artigo que abre os números dos data centers brasileiros, e a parte elétrica dessa mesma conta está detalhada no texto em que trato do gargalo que trava a expansão da inteligência artificial.

A Nuvem de Governo é soberana na jurisdição e na operação. Em novembro de 2024 o Ministério da Gestão assinou acordos com Serpro e Dataprev para atender cerca de 250 órgãos. O comunicado da própria Dataprev informa que, para montar essa nuvem, a Dataprev contratou AWS, Huawei e Oracle, e o Serpro contratou essas três mais o Google, com as plataformas instaladas dentro dos data centers das estatais. Na minha avaliação a decisão é defensável em engenharia e em prazo, e chamar o resultado de soberania tecnológica é outra conversa.

Construir infraestrutura soberana já teve preço comercial. Em 4 de junho de 2026, o representante comercial dos Estados Unidos publicou determinação de que práticas brasileiras de comércio digital e de pagamento eletrônico são desarrazoadas. O sistema citado nominalmente no documento é o Pix, por dois motivos: o Banco Central acumula os papéis de regulador e de dono do sistema, e a adoção é obrigatória para instituições com mais de 500 mil contas. Em 15 de julho de 2026 veio a ação final, com tarifa adicional de 25% sobre produtos brasileiros, em vigor desde 22 de julho.

A sequência lida de trás para frente é esta. O Brasil construiu um trilho de pagamento nacional, ele funcionou, e quase seis anos depois a conta apareceu na linha de custo de importação de setores que nada têm a ver com tecnologia. Nenhuma planilha de projeto de nuvem tem uma célula onde esse valor caberia. É por isso que soberania digital chegou à mesa de risco comercial, e risco comercial já tem dono na sua empresa.

Em vigor mesmo, obrigando empresa privada, estão duas normas: a LGPD e a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, editada pela Autoridade Nacional de Proteção de Dados, que regula a transferência internacional de dados.

A resolução admite três caminhos para mandar dado pessoal para fora do país. A cláusula-padrão é um texto que a própria ANPD redigiu e que precisa entrar no contrato sem alteração. A cláusula específica é negociada caso a caso e submetida à agência. As normas corporativas globais são uma política interna que vale para todas as empresas de um mesmo grupo e também passa pelo crivo da ANPD. O prazo para colocar a cláusula-padrão nos contratos se encerrou em agosto de 2025.

A LGPD não impõe armazenamento local ao setor privado. Ela regula o mecanismo da transferência, e não a localização do servidor.

Toda vez que a empresa envia dado pessoal para um serviço hospedado fora do Brasil, e isso inclui a maior parte das ferramentas de inteligência artificial que o time já usa, existe transferência internacional de dados.

Minha leitura é essa, e sei que ela não é pacífica.

Há quem sustente que acesso remoto a servidor no exterior não configura transferência no sentido da norma, e há quem entenda que parte desses fluxos se apoia em outra hipótese da LGPD, sem precisar de cláusula nenhuma. Fora de disputa está o mecanismo: sem decisão de adequação da ANPD sobre o país de destino, alguma das três bases da Resolução 19 precisa estar escrita em algum lugar. Quem nunca olhou tem uma pergunta objetiva para levar ao jurídico, e a resposta ruim é “nunca verificamos”, não “usamos outra base”.

Onde o anúncio não encontrou a execução

A União Europeia anunciou em fevereiro de 2025 a InvestAI, com 20 bilhões de euros destinados às chamadas gigafábricas de inteligência artificial. A manifestação preliminar de interesse recebeu 77 propostas. Em agosto de 2026, nenhuma tinha sido selecionada: a chamada formal seguia prevista e a construção da primeira instalação estava projetada para 2027. Dezoito meses entre o anúncio dos 20 bilhões e uma obra que ainda não começou.

O Gaia-X, consórcio franco-alemão criado em 2019 para montar uma federação europeia de nuvem e o nome mais citado quando o assunto é soberania na Europa, entregou governança, especificação técnica. O que não veio foi adoção no tamanho da expectativa que o projeto criou. Um artigo revisado por pares discute a captura da agenda do projeto por provedores americanos, e mesmo assim ele segue vivo e citado pelo governo alemão como pilar de soberania.

No Brasil, o Plano Brasileiro de Inteligência Artificial anunciou R$ 23,23 bilhões na apresentação do Ministério da Ciência e Tecnologia sobre o PBIA feita na Câmara em agosto de 2025, com 85 ações e 31% delas entregues ou iniciadas naquele momento. O mesmo documento apresenta totais diferentes em slides diferentes. Isso é rotina de plano grande em execução, e ainda assim quem for repetir o número numa apresentação precisa saber disso antes de alguém na plateia saber.

Os três casos apontam para o mesmo lugar. Quanto mais perto da camada física e do capital pesado, maior a distância entre o anúncio e a entrega. Quanto mais perto do software e do processo, menor. Schleswig-Holstein migrou o e-mail inteiro e publicou a economia; a Europa anunciou as gigafábricas e ainda não escolheu o terreno.

Existe uma quarta distância que esses três casos não medem: a que separa o que a soberania promete do que ela cobra. Pesquisadores do Banco Mundial citam evidência da OCDE de que exigências gerais de localização de dados podem elevar o custo de hospedagem entre 15% e 55%, com peso maior sobre empresa pequena, que não tem escala para diluir. Do lado europeu, Mario Mariniello, da Bruegel, estima que migrar o setor público da União Europeia para serviços soberanos custaria até 86 bilhões de euros, mais de quatro vezes os 20 bilhões anunciados para as gigafábricas de IA.

Nenhum dos dois números encerra a discussão, e é por isso que eles importam. Soberania digital tem preço, o preço recai de forma desigual entre empresa grande e empresa pequena, e política que não diz quanto custa nem quem paga está pedindo adesão pela fé.

O que muda quando a soberania é de uma empresa

A soberania digital nas empresas começa exatamente onde a política industrial termina. Uma empresa não constrói fábrica de semicondutor, não negocia controle de exportação e não treina do zero um modelo de fronteira, que é como se chamam os maiores modelos de IA do mercado a cada geração. Esse limite é real e não adianta fingir o contrário.

O que sobra ainda é bastante, e cabe em orçamento existente. Um país gasta anos e bilhões para reduzir dependência estrutural. Uma empresa gasta uma rodada de renegociação contratual e um projeto de arquitetura para reduzir dependência operacional. São problemas de tamanho diferente com a mesma pergunta de fundo: o que acontece com a minha operação se quem está do outro lado mudar de ideia?

Antes dos casos: por que um tribunal internacional tem a ver com você

Os três casos abaixo vêm de um tribunal internacional, de multinacionais operando na Rússia e do sistema financeiro brasileiro. Quando levo esses três casos a uma empresa de porte médio, a primeira reação é dizer que nada daquilo é sobre ela.

O mecanismo é o mesmo em situações bem mais comuns. O time de marketing assinou uma ferramenta de IA no cartão corporativo e não sabe que a política de dados dela muda por decisão de uma matriz estrangeira. Quem toca o ERP descobre a nova métrica de licenciamento pelo boleto, sem ninguém ter mexido numa linha de código. E quem responde pelo comercial descobre pelo próprio cliente que o e-mail dele foi cortado, porque o nome caiu numa lista de sanções. O que muda entre esses exemplos e os três casos abaixo é o tamanho da manchete.

Três vezes em que “o fornecedor mudou de ideia” virou fato

A pergunta de o que acontece quando o outro lado muda de ideia parou de ser hipotética. Em 2025, depois de sanções americanas a autoridades do Tribunal Penal Internacional, o procurador-chefe da corte perdeu acesso à conta de e-mail corporativo e passou a usar outro serviço. A Microsoft nega ter havido bloqueio de serviços e afirma ter permanecido em contato com a corte durante todo o processo que resultou na desconexão. Em outubro de 2025 o próprio tribunal confirmou que está migrando da suíte de escritório da Microsoft para uma alternativa de código aberto mantida por uma entidade pública alemã.

E não é preciso ser alvo de sanção para sentir. Em março de 2024, clientes corporativos na Rússia foram notificados do corte de acesso a produtos de nuvem por força de sanções da União Europeia que proíbem o fornecimento de determinados softwares. Empresas que operavam normalmente na segunda-feira estavam fora na quarta, por decisão tomada em outro continente, por motivo que não tinha a ver com nenhuma delas em particular.

O Brasil tem o próprio caso, e ele não veio de geopolítica. Em julho de 2025, um ataque a um único prestador de tecnologia conectado à rede do sistema financeiro desviou centenas de milhões de reais de várias instituições ao mesmo tempo, com um funcionário do fornecedor cooptado por dentro. A resposta do Banco Central foi criar um credenciamento obrigatório para prestador de tecnologia com acesso à rede, exigindo capital social e patrimônio líquido mínimos de R$ 15 milhões, com poder de exigir mais conforme o volume de operações e o perfil de risco.

O diagnóstico está por escrito no Relatório de Estabilidade Financeira do Banco Central, na edição de outubro de 2025: os incidentes revelaram fragilidades “relacionadas a controles essenciais em instituições e seus provedores de serviços”, e grupos criminosos “cooptam colaboradores de IFs [instituições financeiras], IPs [instituições de pagamento] ou de prestadores de serviços contratados”. No Brasil, risco de fornecedor virou exigência escrita de solidez do sistema financeiro antes de virar pauta de conselho de administração.

O caso brasileiro que ainda não existe publicado

Procurei caso de empresa privada brasileira de porte médio que tenha trocado de fornecedor declaradamente por soberania, com custo e prazo publicados, e não encontrei nenhum documentado em fonte verificável. O que existe é material de marketing de provedor nacional. Se você estava esperando o benchmark do concorrente para justificar a sua decisão, ele não existe publicado, e essa própria ausência já diz alguma coisa: no Brasil o assunto entrou pelo governo e pelo setor regulado, e a empresa média vai chegar nele pela via do contrato.

As cinco camadas de soberania digital que a sua empresa de fato decide

Numa reunião de conselho consultivo no ano passado, perguntei quem sabia dizer a qual lei estrangeira o principal fornecedor de tecnologia da empresa respondia no país de origem dele. A pergunta ficou sem resposta na mesa, e não porque as pessoas fossem despreparadas. Ninguém tinha sido encarregado de saber. É esse buraco que as cinco camadas abaixo tentam fechar.

Camada 1, jurisdição: a qual lei o seu dado responde

É a camada que o mercado costuma vender sob o rótulo de soberania de dados, e é onde o mal-entendido custa mais caro. A pergunta que decide é a qual lei o dado responde, e ela não se resolve olhando o endereço do data center. Um dado hospedado em São Paulo, num data center de provedor americano, responde à lei brasileira pela LGPD e permanece alcançável pela lei americana através da matriz. As duas coisas são verdadeiras ao mesmo tempo.

Camada 2, infraestrutura: quem opera a máquina

Aqui entra a distinção entre localizar e controlar. A AWS European Sovereign Cloud entrou em operação comercial em 15 de janeiro de 2026, com investimento anunciado de mais de 7,8 bilhões de euros na Alemanha, uma controladora e três subsidiárias alemãs dirigidas por cidadãos da União Europeia, identidade e faturamento próprios e dados e metadados mantidos na Europa. Quem precisa provar a um regulador que o dado não sai do continente ganha bastante com esse arranjo: cai o risco de acesso rotineiro e cai o risco de interrupção decidida em outro continente. O que não cai é a camada 1.

Camada 3, modelo: qual inteligência artificial lê o seu dado

Consumir o modelo pela API de um fornecedor ou rodar um modelo aberto em infraestrutura sua: essa escolha chega às reuniões com etiqueta de custo. A API é a porta por onde o seu sistema conversa com o dele por programação. O que a escolha decide, na prática, é jurisdição.

Um caso de 2025 mostra o mecanismo inteiro. No processo movido pelo New York Times contra a OpenAI, um tribunal americano ordenou à empresa que retivesse indefinidamente o conteúdo de conversas do ChatGPT e das chamadas de API, inclusive as conversas apagadas que a política padrão removeria em 30 dias. A obrigação durou até setembro daquele ano. Ficaram de fora as contas corporativas e educacionais e os clientes com acordo de retenção zero. Ficaram dentro as contas individuais, o acesso por API sem esse acordo e o plano de equipe.

Repare no que separou um grupo do outro. O que decidiu foi a linha do contrato, e não o país do servidor nem a versão do modelo. Quem assinou o plano de equipe supondo estar no regime corporativo ficou meses do lado de dentro de uma ordem judicial estrangeira sem ter como saber.

Você resolve boa parte disso em duas providências, sem abrir projeto. A primeira é descobrir em qual plano a empresa está, porque plano de equipe e plano corporativo têm nomes parecidos e regimes de dados diferentes. A segunda vale para quem consome o modelo por API: perguntar ao fornecedor se o contrato prevê retenção zero, o acordo pelo qual ele não guarda o conteúdo enviado, e em quais chamadas isso se aplica.

Camada 4, operação: quem na sua casa sabe tocar aquilo

É a camada que eu vejo esquecida com mais frequência, e a que dá o susto mais caro, e ela se resolve no RH. Adianta pouco ter um contrato impecável e uma arquitetura portável se a única pessoa que entende o ambiente saiu em janeiro. Retenção, sucessão e mapeamento de quem detém conhecimento crítico são decisões de gestão de pessoas com efeito direto na sua capacidade de trocar de fornecedor.

Quase toda empresa concorda com o parágrafo acima e quase nenhuma tem a lista de nomes por escrito.

O plano nacional dá a medida do mesmo desequilíbrio com números do próprio governo. O documento oficial do plano nacional de IA destina R$ 5,79 bilhões ao eixo de infraestrutura e R$ 1,15 bilhão ao eixo de formação, e a meta declarada de gente para operar aquela infraestrutura é de 50 projetistas de chips e 100 técnicos em infraestrutura de IA até 2028. Cem técnicos para o país inteiro. Comprar capacidade é rápido, formar quem opera é lento, e é a segunda conta que define quando a primeira começa a render.

Camada 5, saída: em quanto tempo você troca

Se a resposta for “nunca testamos”, a soberania das quatro camadas anteriores é declaratória. Os únicos números públicos sobre esse preço vieram de empresas grandes brigando na Justiça, quando já era tarde.

Nada disso pressupõe que você tenha nuvem

Nada disso pressupõe que você tenha nuvem ou data center. As cinco perguntas valem igual para o contrato da suíte de escritório, para o ERP, para o CRM e para a ferramenta de IA que a área comprou no cartão corporativo. Quanto mais o seu software é assinatura e menos é instalação, mais as respostas dependem de contrato e menos de arquitetura. Na prática isso desloca o peso: a camada 5 vira a decisiva e a camada 2 quase some, porque a máquina não é sua e nunca vai ser. A maior parte das empresas brasileiras de porte médio opera exatamente assim, com quase tudo em assinatura de terceiro.

As duas camadas que não são suas

Duas camadas ficam acima dessas cinco e não são suas: a legislação a que o seu fornecedor responde no país dele, e o controle de exportação que determina se ele consegue entregar o hardware para você. Nenhuma cláusula contratual alcança essas duas. Reconhecer isso é o que separa uma política de soberania de um teatro de conformidade.

Quanto custa sair, com números de processo judicial

A conversa sobre soberania digital melhora bastante quando a dependência de fornecedor ganha número. A AT&T declarou em juízo que migrar para fora do VMware custaria entre 40 e 50 milhões de dólares e levaria anos. É dinheiro gasto inteiramente para sair de onde já se estava, sem entregar nenhuma capacidade nova ao negócio.

O caso europeu tem o tamanho certo para uma empresa comum enxergar. A Rijkswaterstaat, agência de infraestrutura do governo holandês, viu o custo anual de VMware subir 85% sob o novo modelo de assinatura, de 2,1 milhões para quase 4 milhões de euros. Ela obteve no Tribunal Distrital de Haia uma decisão que obriga a Broadcom a sustentar a migração por até dois anos, sob multa de 250 mil euros por dia, algo em torno de R$ 1,5 milhão a cada 24 horas pelo câmbio de agosto de 2026. O juiz entendeu que houve violação do dever de cuidado.

O mecanismo que menos chega à pauta de conselho é a mudança de métrica de licenciamento. Em janeiro de 2023 a Oracle passou a licenciar o Java, por funcionário. A lista de preços oficial da empresa define funcionário de forma larga. Entram os integrais, os parciais e os temporários. Entram também os empregados de agentes, contratados, terceirizados e consultores que apoiem a operação interna. E a conta de licenças sai do número total de funcionários, não do número de pessoas que usam o produto. Nada disso exigiu que a empresa cliente mudasse uma linha de código. Mudou o dicionário do contrato.

Do lado regulatório, o diagnóstico já está feito, ainda que fora do Brasil. A autoridade britânica de concorrência concluiu, na investigação do mercado de nuvem encerrada em julho de 2025, que taxas de egresso e barreiras técnicas de interoperabilidade dificultam a troca de provedor. No mesmo documento ela descartou os descontos por compromisso de gasto como problema concorrencial, e essa é a única boa notícia do relatório para quem negocia contrato de nuvem.

Os programas voluntários de saída gratuita existem e têm letra miúda: um dos provedores exige volume mínimo de 100 GB, contato prévio com o suporte e prazo de 60 dias, e outro condiciona o benefício ao encerramento completo da conta. O relatório da CMA traz os nomes; quem for negociar deve ler o anexo em vez de confiar na página de marketing.

Para quem opera no Brasil, nada disso se aplica automaticamente. A cláusula de saída precisa ser negociada, e o melhor modelo de redação disponível é público. O DORA, regulamento europeu de resiliência operacional do setor financeiro, de banco e seguradora a gestora de recursos e instituição de pagamento, determina no artigo 28 que entidades financeiras mantenham estratégias de saída para os serviços de tecnologia que sustentam funções críticas. Em novembro de 2025 as autoridades europeias designaram os primeiros provedores críticos sujeitos a supervisão direta, e a lista inclui AWS, Microsoft, Google, IBM, Oracle e SAP.

Soberania de modelo de IA, sem a fantasia do modelo de linguagem nacional

Por que modelo nacional não é o gargalo

Em toda mesa sobre o tema de que participei este ano, alguém defendeu que a soberania digital de um país passa por construir um modelo de linguagem próprio. Minha leitura é que ela passa por arquitetura de dado própria, governança nacional e conhecimento local ligado aos modelos que já existem: a lei, a jurisprudência, o registro clínico, o cadastro fiscal e o vocabulário de cada setor, tratados e conectados ao modelo em vez de esperados dentro dele. Adiar o começo até existir um modelo nacional adia o ganho de hoje sem economizar nenhum dos trabalhos de infraestrutura, porque a camada de dado e de governança não vem pronta junto com o modelo.

A soberania que uma empresa consegue comprar hoje se chama cláusula, e o caso da OpenAI contado na camada 3 é a demonstração disso.

A Mistral, em setembro de 2026, é o primeiro caso de mercado que transforma esse argumento em modelo de negócio declarado. O que a empresa vende não é o modelo mais avançado do mercado: inferência rodando na região que o cliente escolhe, hospedagem de modelo aberto de terceiro, inclusive chinês, e capacidade própria na Europa prevista para chegar a 1 gigawatt até 2030, já em operação com mais de 125 empresas em 20 países, Airbus, ASML e HSBC entre elas. Minha leitura é que a Mistral está posicionando deliberadamente um modelo menos avançado como vantagem, e não como limitação técnica; nem o comunicado da empresa nem a cobertura da imprensa usam esses termos.

Para quem avalia se vale apostar nessa camada de oferta, o dado que importa é que o movimento não é isolado. A Microsoft ampliou a parceria com a Mistral em julho para vender o mesmo pacote a setor regulado, e a alemã Aleph Alpha se fundiu com a canadense Cohere em abril, mesma direção de consolidação em torno de soberania, não de desempenho bruto.

Rodar modelo aberto em infraestrutura própria é a alternativa que devolve controle jurisdicional inteiro, e ela tem preço. Uma única máquina de nuvem com placas gráficas de alto desempenho custa, por ano, o suficiente para o valor aparecer no orçamento anual de qualquer área. Não coloco a faixa aqui porque ela varia por região, por contrato e por geração de placa a ponto de nenhuma média servir, e a conta que importa é a sua, com rede, armazenamento e pessoas somados por fora.

Não existe estudo público com metodologia declarada comparando custo total entre hospedagem própria e serviço de terceiro. Quem afirmar que sabe a resposta genérica está vendendo alguma coisa. Escrevi sobre a disputa entre modelos abertos e fechados num texto em que comparo as duas estratégias de mercado, e sobre a corrida de hardware que sustenta essa escolha no artigo em que explico por que um único fabricante deixou de ditar o preço.

A norma brasileira que já cobra explicabilidade, e a brecha dela

No Brasil já existe norma tratando disso, e ela veio do Judiciário. A Resolução CNJ nº 615, de 11 de março de 2025, determina que empresas nacionais ou estrangeiras que prestem serviços de inteligência artificial ao Poder Judiciário, ou operem plataformas com impacto direto no exercício da jurisdição brasileira, devem observar integralmente as decisões judiciais proferidas no Brasil.

A mesma resolução define explicabilidade como a compreensão clara, “sempre que tecnicamente possível”, de como as decisões são tomadas pela IA. Essa ressalva de quatro palavras é a porta por onde o modelo fechado passa.

Se o fornecedor responde que explicar não é tecnicamente possível, na leitura literal o dever se dissolve.

A leitura contrária é que a ressalva não dispensa o dever: ela transfere ao fornecedor o encargo de demonstrar a impossibilidade, e os demais deveres da resolução não têm ressalva nenhuma. Enquanto ninguém fecha essa porta, quem contrata resolve no papel, pedindo a demonstração por escrito em vez da alegação.

Poder abrir o modelo e verificar como ele chega a uma decisão é o que torna a explicabilidade conferível por quem contrata. Sem essa abertura, quem diz se a exigência foi cumprida é o próprio fornecedor, que é também quem alega a impossibilidade técnica. Isso tira a escolha entre modelo aberto e modelo fechado da mesa do time técnico e coloca na mesa de quem assina o contrato.

A norma vale para quem atende o Judiciário, e a lição vale para qualquer contrato que você assine: exigência com ressalva de viabilidade técnica é exigência que o fornecedor decide se cumpre.

A armadilha da palavra “aberto”

Peso aberto quer dizer que o fabricante publicou os parâmetros do modelo para você baixar e rodar onde quiser. Não quer dizer software livre. A licença comunitária do Llama, da Meta, exige licença separada de quem tiver mais de 700 milhões de usuários ativos mensais, obriga a exibir “Built with Llama” de forma visível e determina que todo modelo derivado leve “Llama” no começo do nome. O limiar de usuários não alcança nenhuma empresa brasileira de porte médio; as duas outras obrigações alcançam qualquer uma que distribua um modelo ajustado. Quem escolhe modelo por soberania lê a licença antes de comemorar.

O que já é obrigação, e não escolha

O piso que vale para qualquer empresa brasileira

Duas normas já obrigam qualquer empresa brasileira hoje, e formam o piso legal de soberania digital daqui: a LGPD e a Resolução CD/ANPD nº 19, para qualquer transferência internacional de dados pessoais.

O andar de cima: três setores com regra própria

Acima dessas duas há um andar de regras setoriais que já exigem localização ou jurisdição de dados, cada uma no seu recorte, e que raramente aparece no debate brasileiro sobre soberania.

Sistema financeiro. A Resolução CMN nº 4.893, de 2021 condiciona a contratação de processamento e armazenamento de dados no exterior à existência de convênio de troca de informações entre o Banco Central e a autoridade supervisora do país de destino. Sem convênio, a instituição precisa pedir autorização com no mínimo 60 dias de antecedência. Um banco brasileiro não escolhe país de hospedagem por preço.

Governo federal. A Portaria SGD/MGI nº 5.950, de 2023 determina que os dados tratados em nuvem sejam armazenados em data centers em território brasileiro, e admite tratamento fora apenas quando existe cópia de segurança atualizada guardada aqui.

Saúde. A Resolução CFM nº 2.314, de 2022 exige que empresas de telemedicina, plataformas de comunicação e arquivamento de dados tenham sede em território brasileiro. O que a norma exige é sede jurídica no Brasil, e ela nada diz sobre onde ficam as máquinas. Uma plataforma de telemedicina pode atender ao CFM com todos os servidores no exterior, desde que a empresa esteja constituída aqui, o que não a livra das regras de guarda de prontuário nem da LGPD, e é aí que a discussão de fato acontece. É a ilustração brasileira mais limpa de que jurisdição e infraestrutura são camadas separadas.

Se a sua empresa está em qualquer um desses três recortes, a pergunta da camada 1 já tem resposta obrigatória em algum contrato que alguém assinou.

O que obriga hoje e o que ainda é projeto, num quadro só

Antes da tabela, o atalho: se a sua empresa é privada, não é banco, não é do setor de saúde, não vende para o governo federal e não opera na Europa, duas linhas valem para você e as outras nove são contexto. As duas são a LGPD e a Resolução ANPD nº 19.

A coluna de situação é a que decide. Quase tudo que já obriga uma empresa brasileira estava em vigor antes de a palavra soberania entrar na pauta. As duas exceções recentes deste artigo, a Resolução CNJ nº 615 e o credenciamento do Banco Central, não nasceram do debate de soberania: nasceram de um processo e de um assalto.

Esse mapa incomoda, e incomoda pelo motivo certo: ele mostra que a clareza regulatória não vem antes da decisão. O que protege a sua empresa em 2026 está no contrato que você assina com o fornecedor, e ninguém vai negociá-lo por você. Vale a mesma lógica que descrevo no artigo sobre quem responde quando o modelo de IA erra: a obrigação chega depois, a exposição chega antes.

Onde começar amanhã

Cinco ações de custo baixo, na ordem em que dão retorno. Quatro fecham uma camada cada, a quinta atravessa todas, e a camada 2 fica de fora pelo motivo que explico no fim da seção.

Ação 1, camada 1, jurisdição: faça o teste de jurisdição em uma linha

Liste os cinco sistemas mais críticos da operação e, para cada um, responda a qual lei a empresa fornecedora responde no país de origem dela. Não a qual lei o dado responde aqui, e sim a qual lei a matriz responde lá. Se ninguém na empresa souber responder numa tarde, você acabou de encontrar o seu maior risco de soberania, e ele não é um problema de tecnologia.

A resposta não está no site do fornecedor, está com o gerente de conta dele. Três perguntas por e-mail resolvem, e o envelope importa tanto quanto as perguntas:

Assunto: Levantamento de jurisdição de fornecedores, resposta até [data]
Prezado(a) [nome],
Estamos mapeando a jurisdição dos nossos fornecedores de tecnologia para atender à nossa política interna de gestão de risco e à Resolução CD/ANPD nº 19/2024, sobre transferência internacional de dados. Peço as respostas por escrito, por e-mail mesmo, até [data].
1. Qual é a entidade jurídica que assina o nosso contrato e em que país ela está constituída?
2. Essa entidade, ou a controladora dela, está sujeita a alguma lei de acesso a dados com alcance extraterritorial, como o CLOUD Act americano? Em caso afirmativo, quais salvaguardas contratuais vocês oferecem?
3. Em que hipóteses vocês entregariam dados nossos a uma autoridade estrangeira, e em quais delas vocês nos notificariam antes?
Obrigado,
[nome]

A pergunta 2 está redigida para o fornecedor poder responder sim sem se acusar de nada, porque estar sujeito ao CLOUD Act é fato jurídico e não falha da empresa. O fornecedor que responde por escrito, ainda que a resposta seja ruim, acabou de te dar documento. Quem desconversa por telefone e não põe nada no papel já respondeu.

E se a resposta for “sim, estamos sujeitos ao CLOUD Act”, que é a resposta provável de qualquer fornecedor de matriz americana, ela não é motivo para trocar de fornecedor. É o ponto de partida da conversa seguinte, que tem três itens: se o contrato prevê notificação prévia à sua empresa quando houver ordem judicial estrangeira, se prevê algum compromisso de contestar a ordem, e qual é o prazo de transição caso você decida sair. A resposta que acende o alerta não é “sim”, é “nunca recebemos essa pergunta”. Guarde as respostas num arquivo só, com data, porque são elas que sustentam a conversa da ação 5.

Ação 2, camada 3, modelo: descubra em qual plano de IA a empresa está

Leva quinze minutos e resolve o caso que abriu a camada 3. Pergunte ao financeiro qual assinatura está sendo paga em cada ferramenta de IA que o time usa, e compare com a página de termos do fornecedor. Plano individual, plano de equipe e plano corporativo têm nomes parecidos e regimes de dados diferentes, e a diferença entre eles decidiu quem ficou dentro e quem ficou fora de uma ordem judicial americana. Se houver uso por API, pergunte também se o contrato prevê retenção zero.

Ação 3, camada 4, operação: descubra quem é a pessoa única

Peça o nome de quem sabe operar cada um dos cinco sistemas listados na ação 1. Onde aparecer um nome só, você achou um risco de soberania que se resolve com plano de sucessão e documentação, não com contrato novo.

Ação 4, camada 5, saída: cronometre a saída e leia a cláusula

Escolha o segundo sistema mais crítico, nunca o primeiro, porque no primeiro a resposta vem contaminada pelo medo de mexer e você quer um número, não uma defesa. Peça ao time uma estimativa de prazo e custo para migrar. O número vai sair errado, e mesmo errado ele muda a próxima renegociação, porque você passa a saber quanto vale o seu poder de barganha. Em paralelo, procure a cláusula de saída dos três maiores contratos de tecnologia. Ela costuma estar no capítulo de rescisão ou num anexo chamado plano de transição, de reversão ou de devolução de dados, e em muitos contratos de assinatura ela simplesmente não existe.

Se não existir, essa é a redação a incluir na próxima renovação, com o artigo 28 do DORA de modelo público. Em português e sem juridiquês, o miolo cabe em três compromissos que o jurídico depois lapida:

Ao término do contrato, por qualquer motivo, a CONTRATADA prestará serviços de transição por até 12 meses, nas mesmas condições comerciais vigentes.
A CONTRATADA entregará a totalidade dos dados da CONTRATANTE em formato aberto e documentado, sem custo adicional de extração ou de tráfego de saída, entendendo-se como formato aberto e documentado aquele legível por software de outro fornecedor sem engenharia reversa, como CSV, JSON, XML ou SQL padrão, acompanhado do dicionário de dados correspondente.
A CONTRATADA manterá atualizada, durante toda a vigência, a documentação técnica necessária para que a operação possa ser assumida por terceiro.

Doze meses é o prazo que eu peço em contrato de sistema central e seis em ferramenta menor. Não é padrão de mercado, é onde eu começo a negociação. Isso não é minuta pronta e não dispensa advogado. Serve para a reunião com o fornecedor começar num lugar melhor, discutindo prazo e formato em vez de discutindo se cabe falar do assunto.

O fornecedor vai negociar os três, e você precisa entrar na sala sabendo qual deles não abre mão. O inegociável é o segundo, a entrega dos dados em formato aberto e sem custo de saída, porque sem ele os outros dois não valem nada: de que adianta um ano de transição se no fim você recebe um arquivo que só o software dele abre. O prazo dá para ceder de doze para seis meses; a documentação técnica dá para reduzir ao essencial da operação.

Um fornecedor que se recusa a assinar qualquer versão disso está te informando o preço da sua saída sem precisar calculá-lo. Registre a recusa por escrito e leve o registro para a análise de risco, porque a partir daí a dependência virou decisão consciente da empresa, e não descuido.

Ação 5, atravessando as cinco: nomeie um responsável

Soberania digital não tem dono natural no organograma: tecnologia acha que é do jurídico, jurídico acha que é de compras, compras acha que é de tecnologia. Enquanto for de todos, é de ninguém. Se você não tem autoridade para criar esse papel, leve as respostas da ação 1 para quem tem, porque uma planilha com cinco fornecedores e a jurisdição de cada um costuma resolver essa conversa mais rápido que qualquer apresentação.

A camada 2 fica de fora, e o motivo

Sobra a camada 2, infraestrutura, e ela sobra de propósito. Trocar quem opera a máquina é projeto de orçamento e de ano, não de semana, e as cinco ações acima existem justamente para você chegar nessa decisão com número na mão em vez de chegar por susto.

Depois da primeira semana

A soberania digital da empresa vira rotina de manutenção e cabe num trimestre: manter atualizada a lista dos sistemas críticos com o nome de quem opera cada um, guardar as respostas dos fornecedores sobre jurisdição num lugar só, acompanhar quais contratos vencem nos próximos doze meses e levar isso uma vez por trimestre a quem responde por risco na empresa. Cargo novo não precisa. Dono precisa.

Quem consegue responder em quanto tempo troca de fornecedor já tem mais soberania digital do que a maioria dos países que anunciaram bilhões neste ano.

E se a sua pergunta for mais imediata, sobre como montar um ambiente de trabalho com IA em que você controla o contexto e sabe onde os seus dados param, abri o sistema que uso, com custos e limitações.

Comunidade no WhatsApp: regulação, risco, cibersegurança e gestão de times com IA saem todo dia no grupo Governança e Gestão, sempre com a fonte. Veja como entrar no grupo.

Perguntas frequentes

O que é soberania digital?

É a capacidade de decidir sobre a infraestrutura, os dados e as regras de uso da tecnologia sem precisar da autorização de quem não responde a você. Serve igual para um país e para uma empresa de trezentos funcionários, e se resolve sempre nas mesmas cinco perguntas: a qual lei o dado responde, quem opera a máquina onde ele roda, qual modelo de inteligência artificial o lê, quem na sua casa sabe tocar aquilo e em quanto tempo você troca de fornecedor.

Guardar os dados no Brasil garante que eles não serão acessados por outro governo?

Não garante. O CLOUD Act, no dispositivo 18 U.S.C. 2713, alcança o provedor sob jurisdição dos Estados Unidos e vale para o dado, esteja ele dentro ou fora do território americano. Quem responde pela ordem é a empresa que a recebe, e não a máquina onde o dado está. A mesma lei deixa o provedor pedir a anulação da ordem quando entregá-lo violaria a lei de outro país, com duas condições: o cliente não pode ser pessoa dos Estados Unidos, e o outro país precisa ter acordo executivo com os americanos. Perguntado sobre isso no Senado francês em junho de 2025, o diretor jurídico da Microsoft França respondeu que não podia dar essa garantia.

Nuvem soberana de provedor americano resolve o problema?

Resolve uma parte, e não a menor delas. A AWS European Sovereign Cloud opera desde janeiro de 2026 com uma controladora e três subsidiárias alemãs dirigidas por cidadãos da União Europeia, identidade e faturamento separados das demais regiões, e dados e metadados mantidos na Europa. Isso reduz risco de acesso rotineiro e risco operacional. O que nenhuma dessas ofertas elimina é a hipótese de a empresa-mãe ser alcançada por lei do país de origem dela, risco que a própria Comissão Europeia listou entre os que pretende mitigar na proposta de junho de 2026 para nuvem e IA.

Ter soberania digital significa construir um modelo de inteligência artificial próprio?

Modelo é a camada mais visível e uma das menos determinantes. Quem tem arquitetura de dado própria, governança nacional e gente capaz de operar a infraestrutura consegue plugar o modelo disponível hoje e trocar quando o mercado virar. Quem tem modelo próprio sem dado organizado e sem equipe para operar continua dependente, só que de outro jeito. A Índia construiu o sistema de pagamento instantâneo antes de discutir capacidade de computação, e ganhou soberania por baixo, na camada em que o país já tinha volume e controle.

O Brasil já tem uma lei de inteligência artificial?

Em agosto de 2026, não. O PL 2338/2023 saiu aprovado do Senado e chegou à Câmara dos Deputados em março de 2025, onde o status registrado é Aguardando Parecer. Uma comissão especial ouviu 180 convidados em 31 reuniões e o texto segue sem votação em plenário. O que já obriga empresa privada no Brasil são duas normas em vigor: a LGPD e a Resolução CD/ANPD nº 19, de agosto de 2024, que regula a transferência internacional de dados pessoais e cujo prazo de adequação das cláusulas-padrão terminou em agosto de 2025.

Quanto custa trocar de fornecedor de nuvem ou de infraestrutura?

Os números públicos vêm de disputas judiciais, porque as empresas raramente divulgam esse cálculo. A AT&T declarou em juízo que migrar para fora do VMware custaria entre 40 e 50 milhões de dólares e levaria anos. Na Europa, o Data Act acaba com as taxas cobradas para mudar de provedor de nuvem, inclusive a taxa de saída dos dados, em janeiro de 2027. No Brasil não existe regra equivalente, então quem quiser esse direito precisa escrevê-lo no contrato antes de assinar.

Soberania digital não é apenas protecionismo com outro nome?

Parte da agenda é política industrial declarada, e fingir o contrário não ajuda ninguém a decidir. A conta existe e é desigual: pesquisadores do Banco Mundial citam evidência da OCDE de que localização obrigatória de dados pode elevar o custo de hospedagem entre 15% e 55%, com peso maior sobre empresa pequena. Proteção de mercado pergunta de onde vem o fornecedor. Soberania pergunta o que acontece com a operação se aquele fornecedor sair. Quem sabe em quanto tempo e a que custo troca de provedor tem soberania mesmo comprando de estrangeiro, e quem compra nacional sem cláusula de saída apenas trocou o endereço da dependência.

Edney “InterNey” Souza atua com tecnologia desde 1990 como professor, palestrante e conselheiro consultivo em tecnologia, IA, dados e inovação. Participou da criação de sete startups ao longo da carreira. Leciona na ESPM, Insper, USP, PUCRS e IBGC. É autor de vários e-books gratuitos sobre tecnologia, marketing, liderança e inovação, reunidos numa página só.