A expressão "centro de dados soberano" soa reconfortante em apresentações executivas, mas aintuição por trás dela pode ser enganosa. O local onde os dados são armazenados e processados realmente representa uma exigência regulatória em diversos setores, porém residência e soberania são conceitos distintos, e é exatamente nessa diferença que muitas organizações enfrentam problemas.
Segundo projeções da consultoria Gartner, os investimentos globais em nuvens soberanas alcançarão 80 bilhões de dólares em 2026, representando um crescimento de 35,6 por cento em relação ao ano anterior. Setores diversos estão comprometendo recursos significativos em infraestrutura hospedada dentro de suas próprias fronteiras. Reguladores exigem, equipes de compras pontuam favorably, e ainda assim, de acordo com o Relatório de Ameaças a Dados Thales 2026, apenas 47 por cento dos dados sensíveis na nuvem estão criptografados. Esse índice caiu, e não subiu, nos últimos doze meses.
O investimento em geografia acelera, porém o investimento em controle permanece atrás. E é nessa lacuna que estratégias de soberania tendem a fracassar.
Residência não é soberania
Esses dois termos são frequentemente usados de forma intercambiável, e confundi-los representa um dos problemas mais persistentes na abordagem das organizações à governança de dados.
Residência de dados é uma exigência de localização. Especifica onde os dados devem ser armazenados e processados. Soberania de dados é uma exigência de controle. Determina quem detém autoridade legal e operacional definitiva sobre esses dados: quem pode acessá-los, movê-los, exigir sua divulgação ou alterar quem pode realizar essas ações.
Uma organização pode satisfazer completamente requisitos de residência enquanto falha na soberania. A ilustração mais clara é a Lei Americana de Computação em Nuvem, que concede às autoridades estadounidenses poder para obrigar empresas estadounidenses a produzirem dados armazenados em qualquer lugar do mundo. Uma organização hospedando cargas de trabalho em Frankfurt com um provedor sujeito à jurisdição estadounidense pode ter dados na Europa, mas não possui automaticamente dados sob controle soberano europeu. O servidor é local. A jurisdição não é.
O mesmo princípio se aplica de formas mais sutis em qualquer ambiente operacional complexo. Plataformas de gerenciamento hospedadas externamente, sistemas de identidade controlados por uma matriz estrangeira, processos de suporte que exigem acesso de terceiros a ambientes sensíveis. Cada um introduz uma dependência que fica fora do perímetro de governança da organização.
O teste não são as operações normais
O problema com uma estratégia de soberania que prioriza a localização é que ela tende a parecer adequada na maioria das vezes. As lacunas só se tornam visíveis sob pressão.
Considere uma auditoria regulatória. Auditores não estão interessados em onde a infraestrutura está instalada; querem evidências documentadas de quem acessou sistemas, o que mudou, quando e sob qual autorização. De acordo com o Relatório de Custo de uma Violação de Dados da IBM 2025, 97 por cento das violações relacionadas à inteligência artificial ocorreram em organizações que não possuíam controles de acesso adequados, uma descoberta que aponta diretamente para lacunas de governança, e não de infraestrutura.
A recuperação de incidentes cria um teste semelhante. Organizações restaurando sistemas após um evento cibernético devem não apenas agir rapidamente, mas também manter controles de governança durante todo o processo. Procedimentos de recuperação que contornam controles de acesso estabelecidos ou dependem de intervenção externa restauram operações enquanto enfraquecem a soberania.
Mudança comercial representa um terceiro ponto de pressão que recebe menos atenção. Fornecedores de tecnologia evoluem, modelos de precificação mudam e prioridades estratégicas se alteram. Organizações com uma postura genuína de soberania possuem liberdade de ação significativa quando isso acontece, enquanto aquelas cujo modelo operacional está profundamente entrelaçado com a camada de gerenciamento de um único fornecedor frequentemente descobrem ter menos espaço para manobrar do que imaginaram.
O que controle realmente exige
Soberania significativa é construída através de um conjunto de disciplinas operacionais que nada têm a ver com código postal. Autoridade e controle de acesso, isto é, quem pode administrar sistemas, aprovar alterações e auditar ações, são fundamentais. Controle de acesso baseado em funções, privilégio mínimo, autenticação multifator e separação de funções não são conceitos novos.
Controle criptográfico é igualmente importante e frequentemente pouco compreendido. Criptografia sem controle de chaves não é soberania, apenas transfere a custódia para quem detém as chaves. A questão não é se os dados estão criptografados, mas quem controla as chaves, como o acesso a elas é governado e o que acontece com essa custódia quando o relacionamento com o fornecedor muda.
Independência operacional importa no nível do dia a dia também. A organização pode aplicar correções, diagnosticar problemas, monitorar e recuperar sem criar dependência de serviços externos que não governa? É aqui que o conceito de centro de dados soberano mais frequentemente falha na prática, não porque a instalação seja inadequada, mas porque o modelo operacional ao redor dela cria dependências invisíveis.
Finalmente, reversibilidade. Liberdade de ação significa ter uma opção crível de mudar de direção sem interrupção desproporcional. Isso não exige planejamento para deixar qualquer fornecedor, mas exige garantir que a opção exista.
Inteligência artificial eleva as apostas significativamente
A questão da governança de inteligência artificial afiou consideravelmente esta conversa. À medida que as obrigações do Ato Europeu de Inteligência Artificial para sistemas de alto risco se aproximam, a pergunta que reguladores fazem vai muito além de onde os dados de treinamento estão armazenados.
Quem controla os pesos do modelo? Quem pode ver os prompts de inferência? Que telemetria está sendo retornada ao fornecedor e sob quais termos? Para cargas de trabalho sensíveis de inteligência artificial envolvendo registros de saúde, decisões financeiras, dados biométricos ou serviços ao cidadão, o perímetro de soberania deve se estender a todo o ambiente de inferência, não apenas aos dados subjacentes.
Por isso a inteligência artificial acelera, em vez de complicar, a conversa sobre soberania. Os mesmos controles que definem soberania significativa de dados, autoridade, custódia de chaves, independência operacional e governança evidenciada são exatamente o que reguladores estão exigindo quando sistemas de inteligência artificial de alto risco passam por escrutínio.
Uma abordagem proporcional ao risco
Um erro comum é tratar soberania como requisito uniforme em todo o patrimônio de sistemas. Uma plataforma de marketing voltada ao público não exige os mesmos controles que um sistema de transações financeiras ou um banco de dados nacional de saúde. Aplicar isolamento máximo indiscriminadamente gera custo e complexidade sem melhorar resultados onde realmente importam.
O modelo mais eficaz é a classificação baseada em cargas de trabalho: identificar quais sistemas exigem os controles soberanos mais rigorosos, aplicá-los rigorosamente ali e manter flexibilidade apropriada em outros lugares. Esse alinhamento entre postura de segurança e risco de negócios é o que permite programas de soberania serem operacionalmente sustentáveis em vez de aspiracionais.
Geografia é um fator, não uma estratégia
A expressão "centro de dados soberano" não vai desaparecer, e nem deveria. A localização física permanece uma consideração genuína para obrigações de residência de dados, segurança da cadeia de suprimentos e cargas de trabalho reguladas sensíveis à latência.
Mas soberania não é um edifício. É uma capacidade operacional: autoridade sobre quem acessa sistemas, custódia de chaves criptográficas, independência em operações do dia a dia, governança evidenciada sob auditoria e liberdade para mudar de rumo quando as circunstâncias exigem. As organizações que a constroem efetivamente a tratam como disciplina de engenharia, não como decisão de compras.
Fonte: DCD
