Soberania de dados em tempos de tensão geopolítica: quando a tecnologia também vira risco de Compliance

A soberania de dados deixou de ser uma discussão restrita à área de Tecnologia da Informação. Em um cenário marcado por tensões geopolíticas, disputas comerciais, dependências tecnológicas e diferentes legislações sobre o uso e o acesso a dados, a forma como uma organização armazena, processa e compartilha suas informações passou a ter implicações que vão muito além da infraestrutura.

Países e blocos econômicos estão revendo sua dependência de plataformas, fornecedores de tecnologia e infraestruturas digitais estrangeiras. A França, por exemplo, vem ampliando iniciativas para reduzir dependências digitais externas e desenvolver alternativas consideradas mais soberanas para serviços públicos. Na União Europeia, a soberania de dados também ganhou espaço nas discussões sobre segurança, autonomia tecnológica e competitividade.

Para as empresas, essa transformação cria uma nova camada de risco. Contratar uma plataforma em nuvem, utilizar um serviço de inteligência artificial, armazenar informações em servidores localizados no exterior ou compartilhar dados com um fornecedor internacional pode significar estar sujeito não apenas à legislação brasileira, mas também às regras e circunstâncias da jurisdição em que aquele fornecedor está estabelecido.

Nesse contexto, Compliance passa a desempenhar um papel estratégico. Não basta avaliar se uma operação atende à legislação vigente: é necessário compreender quem controla os dados, onde eles estão, quem pode acessá-los, quais jurisdições podem alcançá-los e quais dependências tecnológicas podem representar riscos para a organização.

Essa preocupação se conecta diretamente a uma realidade que já faz parte da agenda regulatória brasileira: a transferência internacional de dados. Para entender essa base, vale consultar o artigo sobre o Regulamento de Transferência Internacional de Dados e a Resolução CD/ANPD nº 19/2024, que detalha os mecanismos estabelecidos pela Autoridade Nacional de Proteção de Dados (ANPD) para essas operações.

A questão, portanto, já não é apenas onde os dados estão. É também quem tem poder sobre eles. E, em uma economia cada vez mais marcada pela disputa por tecnologia, informação e autonomia estratégica, essa diferença pode transformar uma decisão aparentemente operacional em uma questão de risco, governança e Compliance.

Guia rápido: aqui você vai encontrar

• Por que a geopolítica passou a influenciar decisões sobre dados e tecnologia
• O que é soberania de dados e por que ela ganhou importância estratégica
• Como países estão reduzindo a dependência de plataformas e infraestruturas estrangeiras
• O que o movimento da França revela sobre soberania digital e gestão de riscos
• Como a legislação e a jurisdição estrangeiras podem afetar dados corporativos
• Por que cloud, SaaS e inteligência artificial também entram nessa discussão
• Quais riscos de Compliance surgem em um cenário de fragmentação regulatória e tecnológica
• Como as empresas podem incorporar soberania de dados à gestão de riscos
• Qual é o novo papel do Compliance diante dos riscos geopolíticos relacionados a dados e tecnologia
• Como a upLexis pode contribuir para uma estratégia baseada em dados, inteligência e gestão de riscos
• Perguntas frequentes sobre soberania de dados, geopolítica e Compliance
• Resumo dos principais pontos e implicações para as organizações

Por que a geopolítica passou a influenciar decisões sobre dados e tecnologia

Por muito tempo, a geopolítica pareceu um tema distante da rotina das empresas. Conflitos entre países, disputas comerciais e decisões de governos eram tratados como fatores externos, capazes de afetar mercados e preços, mas nem sempre incorporados diretamente à gestão de riscos corporativos.

Esse cenário mudou. A confrontação geoeconômica foi apontada como o risco mais provável de provocar uma crise global em 2026 por 18% dos especialistas consultados pelo World Economic Forum, ocupando a primeira posição entre os riscos avaliados. O relatório também destaca que comércio, finanças e tecnologia vêm sendo utilizados como instrumentos de influência e poder em um ambiente internacional cada vez mais fragmentado.

Para as organizações, essa transformação significa que decisões aparentemente operacionais — como escolher um fornecedor de tecnologia, contratar uma infraestrutura em nuvem ou definir onde determinadas informações serão processadas — podem estar relacionadas a questões estratégicas que ultrapassam fronteiras.

A disputa geoeconômica também acontece por meio da tecnologia

A chamada geoeconomia amplia a disputa entre países para além de tarifas, comércio e investimentos. Infraestrutura digital, tecnologia, cadeias de suprimentos, propriedade intelectual e acesso a dados também podem se transformar em instrumentos de poder e influência.

Nesse contexto, a tecnologia deixa de ser apenas uma ferramenta para aumentar eficiência ou reduzir custos. A dependência de determinados fornecedores, plataformas e infraestruturas pode criar vulnerabilidades para organizações que operam em mercados conectados globalmente.

Uma mudança regulatória em outro país, uma sanção econômica, uma restrição comercial ou uma decisão envolvendo determinado fornecedor pode afetar diretamente a capacidade de uma empresa operar, acessar informações ou manter determinados serviços.

Quando essa tecnologia está relacionada à coleta, armazenamento, processamento ou circulação de dados, a discussão ganha uma dimensão ainda mais sensível. Afinal, dados estratégicos podem atravessar diferentes territórios, fornecedores e jurisdições antes de chegar ao seu destino.

O risco geopolítico chega à agenda de Compliance

Essa nova realidade amplia o campo de atuação do Compliance. A análise de riscos não pode considerar apenas as obrigações impostas pela legislação do país onde a organização está estabelecida. Também precisa observar as jurisdições envolvidas, os fornecedores utilizados, os fluxos de dados e as possíveis dependências estratégicas.

Isso não significa transformar o profissional de Compliance em especialista em relações internacionais. Significa reconhecer que decisões sobre tecnologia e dados podem produzir consequências regulatórias, jurídicas, operacionais e reputacionais.

Uma empresa pode, por exemplo, contratar uma solução tecnológica perfeitamente adequada às suas necessidades operacionais sem avaliar suficientemente a jurisdição à qual o fornecedor está submetido, a localização da infraestrutura utilizada ou as possibilidades de acesso aos dados por autoridades estrangeiras.

É justamente nesse ponto que a geopolítica encontra a soberania de dados. Quando informações estratégicas dependem de infraestruturas, empresas ou legislações estrangeiras, saber onde os dados estão deixa de ser suficiente. Também é necessário compreender quem pode controlá-los, acessá-los ou submetê-los a determinadas regras.

Essa mudança de perspectiva ajuda a explicar por que a soberania de dados vem ganhando espaço nas discussões sobre Compliance, governança, segurança, gestão de riscos e estratégia empresarial.

O que é soberania de dados e por que ela ganhou importância estratégica

A soberania de dados está relacionada à capacidade de uma organização ou de um país de estabelecer regras, exercer controle e garantir proteção sobre os dados sob sua responsabilidade, considerando não apenas onde essas informações estão armazenadas, mas também as jurisdições, empresas e infraestruturas envolvidas em seu tratamento.

Essa distinção é importante porque localização e soberania não são necessariamente a mesma coisa. Um dado pode estar armazenado fisicamente em determinado território e, ainda assim, estar sujeito a diferentes relações jurídicas e tecnológicas quando a infraestrutura, o fornecedor ou os mecanismos de acesso estão vinculados a outro país.

No Brasil, essa preocupação aparece de forma concreta na regulamentação da transferência internacional de dados. A ANPD estabelece que a proteção deve ser preservada independentemente do país onde estejam localizados os dados pessoais, reforçando que a circulação internacional de informações não elimina as obrigações relacionadas à proteção de dados.

A questão ganha ainda mais relevância quando empresas dependem de fornecedores globais para armazenar, processar ou analisar informações. Nesse cenário, compreender a soberania dos dados significa olhar para toda a cadeia envolvida: quem presta o serviço, onde está estabelecido, quais leis podem alcançá-lo, onde os dados são processados e quais mecanismos existem para protegê-los.

Soberania de dados vai além da localização física

A ideia de soberania de dados costuma ser associada à localização dos servidores. Embora esse aspecto seja relevante, ele não é suficiente para compreender o risco.

Uma organização pode manter seus dados em um data center localizado no Brasil, por exemplo, mas contratar uma empresa estrangeira para fornecer a infraestrutura ou a tecnologia utilizada no processamento. Nesse caso, a análise precisa considerar não apenas a localização física da informação, mas também as relações contratuais, a jurisdição do fornecedor e as possibilidades de acesso aos dados.

Por isso, soberania envolve uma combinação de fatores. Controle, jurisdição, governança, segurança e capacidade de definir as condições de tratamento passam a fazer parte da discussão.

Essa perspectiva também ajuda a diferenciar soberania de dados de proteção de dados. A proteção está diretamente relacionada às garantias oferecidas às informações e aos direitos dos titulares. A soberania acrescenta outra dimensão: quem possui capacidade efetiva de governar e controlar os dados diante de diferentes territórios, empresas e sistemas jurídicos.

A circulação internacional transformou dados em questão estratégica

A globalização digital tornou comum que uma única operação envolva diferentes países. Um aplicativo pode ser desenvolvido em um território, hospedado em outro, utilizar serviços de nuvem de uma empresa estrangeira e processar informações por meio de ferramentas de inteligência artificial fornecidas por uma quarta jurisdição.

É justamente por isso que a ANPD estabelece mecanismos específicos para as transferências internacionais e prevê diferentes instrumentos para garantir que os dados permaneçam protegidos quando ultrapassam as fronteiras brasileiras.

A questão, portanto, deixou de ser exclusivamente técnica ou jurídica. A forma como os dados circulam pode afetar a autonomia, a continuidade operacional e a exposição a riscos de uma organização.

Em um ambiente de crescente tensão geopolítica, essa discussão ganha uma dimensão estratégica. Governos começam a avaliar dependências tecnológicas, empresas passam a revisar fornecedores e organizações precisam entender melhor quais dados são críticos, por onde eles circulam e quais jurisdições podem influenciar seu tratamento.

É nesse ponto que soberania de dados deixa de ser apenas uma preocupação relacionada à privacidade e passa a integrar uma agenda mais ampla de Compliance, governança, segurança e gestão de riscos.

Como países estão reduzindo a dependência de plataformas e infraestruturas estrangeiras

A discussão sobre soberania de dados já está produzindo mudanças concretas na forma como governos escolhem tecnologias, fornecedores e infraestruturas digitais. Em vez de tratar a dependência tecnológica apenas como uma questão de eficiência ou custo, diferentes países passaram a enxergá-la também como um risco estratégico, especialmente quando envolve serviços críticos e grandes volumes de dados.

A França é um dos exemplos mais claros desse movimento. Em 2026, o governo francês anunciou uma série de iniciativas para diminuir dependências digitais extraeuropeias, envolvendo desde ferramentas utilizadas por servidores públicos até sistemas operacionais e infraestrutura de dados. A estratégia francesa inclui a migração de 80 mil agentes da Assurance Maladie para soluções consideradas soberanas, mostrando que a discussão já ultrapassou o campo das intenções políticas e chegou às decisões concretas de infraestrutura e contratação.

A soberania tecnológica começa pela identificação das dependências

Reduzir dependências não significa necessariamente abandonar todas as tecnologias estrangeiras. Em uma economia digital globalizada, essa seria uma estratégia pouco realista para a maioria das organizações.

O movimento observado em diferentes países está mais relacionado à identificação de dependências críticas e à diversificação de fornecedores e tecnologias. A preocupação aumenta quando uma organização depende de uma única empresa, infraestrutura ou jurisdição para executar funções essenciais.

Essa lógica também aparece nas decisões de contratação pública. Na França, por exemplo, o governo informou que, de €84 milhões em encomendas de serviços de cloud realizadas pelo Estado, 70% foram direcionados a fornecedores europeus, reforçando uma estratégia de reduzir dependências consideradas críticas.

Para as empresas, o princípio pode ser aplicado de maneira semelhante. Mapear quais fornecedores concentram dados sensíveis, quais serviços são indispensáveis para a operação e quais alternativas existem em caso de interrupção ou mudança regulatória ajuda a transformar soberania em uma questão concreta de gestão de riscos.

A infraestrutura digital também passou a ser uma questão de Estado

A preocupação não se limita aos softwares utilizados pelos funcionários ou às plataformas de colaboração. Data centers, serviços de cloud, sistemas operacionais, inteligência artificial e infraestrutura de processamento também passaram a integrar as estratégias nacionais de soberania digital.

Isso acontece porque controlar ou depender dessas infraestruturas pode determinar quem possui capacidade de armazenar, processar, acessar e proteger informações consideradas estratégicas.

O movimento francês ilustra essa mudança de perspectiva. Ao buscar alternativas para reduzir a dependência de fornecedores extraeuropeus, o governo não está apenas escolhendo ferramentas diferentes: está tentando aumentar sua capacidade de decisão sobre infraestruturas digitais consideradas relevantes para o funcionamento do Estado.

Para organizações privadas, a mesma lógica traz uma pergunta importante: o que aconteceria com a operação se um fornecedor estratégico deixasse de estar disponível, sofresse uma restrição regulatória ou passasse a estar submetido a regras de uma jurisdição que conflitam com os interesses da empresa?

É justamente essa pergunta que aproxima soberania digital de continuidade operacional, gestão de terceiros, segurança da informação, governança e Compliance. A dependência tecnológica, quando não é conhecida ou administrada, pode se transformar em uma vulnerabilidade que só aparece quando a organização já não tem tempo suficiente para reagir.

O que o movimento da França revela sobre soberania digital e gestão de riscos

A experiência francesa mostra que soberania digital não precisa permanecer no campo das declarações políticas. Ela pode se transformar em decisões concretas de contratação, infraestrutura e gestão de tecnologia, especialmente quando governos identificam determinadas dependências como estratégicas.

Um dos exemplos mais emblemáticos está nas ferramentas utilizadas para comunicação institucional. O governo francês anunciou a substituição de plataformas estrangeiras como Microsoft Teams, Zoom e Google Meet por uma solução desenvolvida no próprio país. A meta é migrar 200 mil agentes públicos para o Visio até 2027, diante de uma base que já contava com 40 mil usuários regulares.

A decisão não está relacionada exclusivamente à localização dos dados. Ela envolve uma avaliação mais ampla sobre privacidade, dependência tecnológica, controle da infraestrutura e exposição a legislações estrangeiras.

A jurisdição do fornecedor também entra na avaliação de risco

Um dos pontos mais relevantes do caso francês é justamente a relação entre a tecnologia utilizada e a jurisdição à qual o fornecedor está submetido.

Uma plataforma pode oferecer infraestrutura robusta, segurança e capacidade operacional, mas ainda assim representar uma dependência estratégica quando sua empresa controladora está sujeita às leis de outro país. É nesse contexto que o CLOUD Act norte-americano aparece nas discussões sobre soberania digital: determinadas empresas americanas podem estar sujeitas a obrigações relacionadas ao acesso a dados mesmo quando essas informações não estão fisicamente armazenadas nos Estados Unidos.

Para uma organização, isso significa que avaliar apenas onde o servidor está localizado pode produzir uma visão incompleta do risco. Também é necessário compreender quem controla a tecnologia, qual é a estrutura societária do fornecedor, quais leis podem alcançá-lo e quais mecanismos existem para responder a solicitações de acesso.

Essa análise ganha importância principalmente quando estão envolvidos dados pessoais, informações estratégicas, propriedade intelectual ou dados essenciais para a continuidade do negócio.

A decisão tecnológica também pode ser uma decisão de Compliance

O caso francês ajuda a demonstrar uma mudança importante: escolher uma tecnologia pode significar escolher também uma determinada exposição regulatória e jurisdicional.

Para o Compliance, isso amplia a análise que tradicionalmente acompanha a contratação de fornecedores. Além de verificar requisitos legais, controles e cláusulas contratuais, pode ser necessário avaliar a jurisdição do fornecedor, a localização e o fluxo dos dados, os subprocessadores utilizados e o grau de dependência criado pela solução.

Essa perspectiva não significa que empresas devam simplesmente substituir todos os fornecedores estrangeiros. O ponto é outro: conhecer a dependência e avaliar se ela é aceitável diante do risco que representa.

A experiência francesa mostra, portanto, que soberania digital pode ser tratada como uma estratégia de gestão de riscos. Quando um governo decide substituir uma plataforma estrangeira por uma alternativa sob maior controle nacional, ele está fazendo uma escolha que envolve tecnologia, segurança, custos, continuidade e autonomia.

No ambiente corporativo, a pergunta pode ser adaptada: quanto a organização conhece das dependências tecnológicas que sustentam seus dados e suas operações? A resposta pode revelar riscos que não aparecem em uma avaliação tradicional de Compliance, mas que ganham relevância em um cenário de crescente fragmentação geopolítica.

Como a legislação e a jurisdição estrangeiras podem afetar dados corporativos

A discussão sobre soberania de dados ganha uma camada adicional de complexidade quando uma organização utiliza serviços fornecidos por empresas estrangeiras. Nesse cenário, a localização física do dado não é necessariamente suficiente para determinar quais regras podem afetá-lo.

Um exemplo brasileiro ajuda a visualizar o problema. Em 2025, um possível acordo envolvendo o Governo Federal e a AWS para hospedagem de dados sensíveis levantou justamente questionamentos sobre soberania. A discussão ocorreu após uma mudança normativa permitir o armazenamento de determinadas informações classificadas em nuvens privadas, desde que os servidores estivessem localizados no Brasil.

O caso expõe um paradoxo importante: um dado pode estar armazenado em território brasileiro e, ainda assim, existir uma relação com uma empresa submetida à legislação de outro país. A reportagem também registra as preocupações de especialistas com a possível incidência do CLOUD Act sobre empresas americanas, mesmo quando seus servidores estão localizados fora dos Estados Unidos.

Estar no Brasil não significa estar isolado de jurisdições estrangeiras

A localização física continua sendo um elemento importante para a governança dos dados, mas não resolve sozinha a questão da soberania. É necessário olhar para toda a estrutura que envolve o tratamento da informação.

Quando uma empresa contrata uma solução de cloud, SaaS ou processamento de dados, pode existir uma cadeia formada por fornecedor principal, controladora estrangeira, subprocessadores, infraestrutura tecnológica e diferentes jurisdições. Cada uma dessas relações pode acrescentar uma camada de risco.

O caso envolvendo a AWS ilustra exatamente essa complexidade. Mesmo com infraestrutura localizada no Brasil, a estrutura societária e jurídica do fornecedor pode fazer com que a organização precise considerar obrigações e legislações de outro país.

Por isso, uma análise de risco mais completa precisa responder a perguntas como: quem controla o fornecedor? Onde está sua matriz? Quais empresas participam do processamento? Em quais países os dados podem ser acessados ou tratados? Que legislação pode alcançar essas empresas?

Essas respostas são especialmente relevantes quando estão envolvidos dados governamentais, informações estratégicas, propriedade intelectual, dados pessoais sensíveis ou sistemas essenciais para a continuidade operacional.

O risco jurisdicional precisa entrar na avaliação de fornecedores

A contratação de tecnologia costuma ser avaliada principalmente por critérios como preço, desempenho, segurança, disponibilidade e capacidade de integração. Em um ambiente de maior tensão geopolítica, porém, a jurisdição do fornecedor também pode se tornar um critério de risco.

Isso não significa que uma empresa estrangeira seja automaticamente um fornecedor inadequado. O ponto é compreender quais dependências são criadas pela contratação e quais consequências poderiam surgir diante de uma mudança regulatória, conflito entre jurisdições, sanção, restrição comercial ou solicitação de acesso por uma autoridade estrangeira.

Essa análise é particularmente importante para empresas que concentram grandes volumes de dados em poucos fornecedores. Quanto maior a dependência, maior a necessidade de conhecer a jurisdição, os mecanismos de acesso e as alternativas disponíveis.

A própria expansão da infraestrutura nacional de dados reforça a relevância dessa discussão. Cerca de 60% dos dados e sistemas de inteligência artificial utilizados no Brasil são processados fora do país, segundo dado citado durante a discussão de medidas para incentivar a construção de data centers no território nacional.

O desafio, portanto, não é simplesmente trazer todos os dados para dentro das fronteiras brasileiras. É desenvolver uma visão capaz de identificar onde os dados estão, por quais infraestruturas circulam, quem controla essas infraestruturas e quais jurisdições podem exercer influência sobre elas.

Para o Compliance, essa mudança representa uma ampliação importante da análise de terceiros. A avaliação de fornecedores tecnológicos precisa considerar não apenas a conformidade contratual e regulatória, mas também dependência, jurisdição e soberania como componentes da gestão estratégica de riscos.

Por que cloud, SaaS e inteligência artificial também entram nessa discussão

A discussão sobre soberania de dados não termina quando uma empresa define onde seus servidores estão localizados. Na prática, grande parte das organizações depende de serviços de cloud, plataformas SaaS e soluções de inteligência artificial para armazenar, processar e analisar informações. Cada uma dessas tecnologias cria relações de dependência que precisam ser compreendidas sob a ótica de segurança, governança e Compliance.

Um exemplo brasileiro mostra a dimensão que essa questão pode alcançar. A Rede Nacional de Dados em Saúde (RNDS), do Ministério da Saúde, reúne mais de 5 bilhões de registros de saúde, e o governo iniciou uma estratégia para estruturar uma Nuvem Soberana do SUS, buscando garantir que essas informações sejam armazenadas e processadas em território nacional e submetidas à legislação brasileira.

O movimento demonstra que infraestrutura de nuvem passou a ser tratada como parte da estratégia de soberania sobre dados, especialmente quando estão envolvidas informações críticas para o funcionamento de serviços essenciais.

A contratação de cloud e SaaS cria novas camadas de dependência

Ao contratar uma solução em nuvem ou uma plataforma SaaS, a empresa transfere parte da infraestrutura necessária para o funcionamento de seus sistemas para um terceiro. Isso pode trazer ganhos importantes de escala, disponibilidade e eficiência, mas também cria uma relação de dependência que precisa ser conhecida e administrada.

A análise não deve se limitar ao fornecedor contratado. É necessário compreender onde os dados são armazenados, onde são processados, quais subprocessadores participam da operação, quais jurisdições estão envolvidas e quais condições contratuais regulam o acesso às informações.

Esse cuidado se torna ainda mais importante quando uma empresa concentra dados críticos em poucas plataformas. Uma indisponibilidade, mudança contratual, alteração regulatória ou restrição relacionada ao fornecedor pode gerar impactos que ultrapassam a área de Tecnologia da Informação e chegam à continuidade operacional, privacidade, segurança, Compliance e reputação.

Por isso, a escolha de uma solução tecnológica precisa ser acompanhada por uma avaliação proporcional ao risco. Quanto mais estratégico for o dado e maior for a dependência criada pelo serviço, maior deve ser a profundidade da análise sobre fornecedor, infraestrutura e jurisdição.

A inteligência artificial amplia a complexidade da soberania

A expansão da inteligência artificial adiciona outra camada ao problema. Sistemas de IA podem utilizar grandes volumes de informações para treinamento, processamento, inferência e geração de resultados, muitas vezes por meio de infraestruturas de terceiros.

Isso significa que a organização precisa entender não apenas qual modelo está utilizando, mas também como os dados entram e saem do sistema, onde ocorre o processamento e quais fornecedores participam dessa cadeia.

A preocupação já aparece em iniciativas do próprio governo brasileiro. O Plano Brasileiro de Inteligência Artificial prevê R$ 1 bilhão entre 2024 e 2028 para infraestrutura de nuvem governamental, incluindo ações voltadas à migração de dados classificados como sigilosos para ambientes sob maior controle do Estado.

No setor privado, a lógica é semelhante. Uma empresa que utiliza uma ferramenta de IA para analisar contratos, documentos, informações de clientes ou dados internos precisa avaliar se a solução permite o uso dessas informações para treinamento, quais subprocessadores podem ter acesso ao conteúdo e em quais países o processamento pode ocorrer.

Cloud, SaaS e IA, portanto, não são apenas escolhas tecnológicas. São também escolhas sobre dependência, circulação e controle de dados. É por isso que essas decisões precisam fazer parte de uma visão integrada de governança e gestão de riscos — especialmente quando as informações envolvidas são estratégicas para o negócio.

Quais riscos de Compliance surgem em um cenário de fragmentação regulatória e tecnológica

A fragmentação geopolítica transforma o ambiente de riscos das organizações porque decisões tomadas em diferentes países podem produzir efeitos sobre a mesma operação. Uma empresa pode estar sujeita à legislação brasileira, utilizar uma plataforma fornecida por uma companhia estrangeira, armazenar dados em uma infraestrutura localizada em outro território e contar com subprocessadores espalhados por diferentes jurisdições.

Nesse cenário, o Compliance precisa lidar com riscos que se sobrepõem. Privacidade, segurança cibernética, continuidade operacional, terceiros, sanções, contratos e proteção de informações deixam de ser temas isolados e passam a fazer parte de uma mesma cadeia de exposição.

Essa percepção já aparece entre as empresas brasileiras. Quase 70% dos líderes brasileiros de negócios e tecnologia colocam o investimento em proteção contra riscos cibernéticos entre as três principais prioridades estratégicas em resposta às incertezas geopolíticas, segundo a Pesquisa Global Digital Trust Insights 2026, da PwC, que ouviu 3.887 executivos globalmente, incluindo 125 no Brasil.

O dado mostra que a percepção sobre geopolítica já está chegando às decisões corporativas. Risco geopolítico pode se transformar em risco digital, operacional e regulatório, exigindo uma visão mais integrada das vulnerabilidades da organização.

A fragmentação regulatória aumenta a complexidade do Compliance

Empresas que atuam internacionalmente precisam navegar por diferentes legislações sobre privacidade, segurança, armazenamento e transferência de dados. Mesmo organizações que não possuem operações diretas em determinado país podem ter contato com regras estrangeiras por meio de fornecedores, parceiros comerciais ou infraestruturas tecnológicas.

Essa multiplicidade cria um desafio adicional: uma mesma informação pode estar submetida a diferentes obrigações dependendo de onde é coletada, armazenada, processada ou acessada.

O problema se torna ainda mais complexo quando as legislações possuem objetivos diferentes ou quando mudanças regulatórias acontecem em resposta a conflitos e disputas entre países. Uma decisão governamental pode alterar rapidamente as condições sob as quais determinado fornecedor, tecnologia ou fluxo de dados pode operar.

Por isso, o Compliance precisa ampliar sua capacidade de identificar conflitos regulatórios, dependências jurisdicionais e mudanças que possam afetar operações críticas. A conformidade deixa de ser apenas uma fotografia das obrigações atuais e passa a exigir acompanhamento contínuo do ambiente em que a organização está inserida.

Os riscos tecnológicos podem se transformar em riscos corporativos

A fragmentação também aumenta a importância da gestão de terceiros. Quanto maior a dependência de fornecedores externos para armazenar ou processar informações, maior a necessidade de compreender os riscos associados a essas relações.

Uma falha de segurança pode comprometer dados. Uma mudança regulatória pode restringir determinado serviço. Uma sanção pode impedir a contratação ou continuidade de uma relação comercial. Uma instabilidade geopolítica pode afetar infraestrutura, cadeias de fornecimento ou disponibilidade de tecnologias.

Esses eventos não permanecem necessariamente restritos à área de TI. Podem gerar interrupções operacionais, perdas financeiras, problemas regulatórios, exposição jurídica e danos reputacionais.

É por isso que a análise de riscos precisa considerar as conexões entre diferentes áreas. Avaliar apenas a segurança técnica de um fornecedor, por exemplo, pode não ser suficiente se a organização desconhece sua estrutura societária, suas jurisdições de atuação ou a concentração de dados e serviços que mantém naquela relação.

No cenário atual, Compliance precisa enxergar a tecnologia como parte do mapa de riscos corporativos. E isso exige uma abordagem que conecte dados, fornecedores, jurisdições, segurança, regulamentação e continuidade operacional — especialmente quando mudanças geopolíticas podem alterar rapidamente o ambiente em que essas relações funcionam.

Como as empresas podem incorporar soberania de dados à gestão de riscos

Incorporar soberania de dados à gestão de riscos significa ir além da pergunta sobre onde os dados estão armazenados. A organização precisa entender quais tecnologias sustentam seus processos, quais fornecedores participam do tratamento das informações, quais jurisdições estão envolvidas e quais dependências poderiam comprometer sua operação em diferentes cenários.

Essa análise pode ser estruturada de maneira objetiva. Um exemplo vem do próprio setor público brasileiro: o Serpro desenvolveu um Gradiente de Soberania baseado em 15 critérios técnicos, distribuídos entre soberania de dados, soberania operacional e soberania tecnológica. A metodologia atribui pesos de 30%, 40% e 30%, respectivamente, para essas três dimensões.

O exemplo é relevante para as empresas porque demonstra que soberania não precisa ser tratada como um conceito abstrato. Ela pode ser convertida em critérios, indicadores e testes capazes de revelar dependências e vulnerabilidades.

Mapear dados, fornecedores e dependências críticas

O primeiro passo é identificar quais dados realmente precisam de maior proteção e quais tecnologias e terceiros estão envolvidos em seu ciclo de vida.

Isso envolve mapear origem, armazenamento, processamento, compartilhamento e descarte das informações, mas também identificar os fornecedores responsáveis por cada etapa. Em uma arquitetura tecnológica complexa, o fornecedor contratado diretamente pode não ser o único participante da cadeia.

A organização precisa saber, por exemplo, quais subprocessadores são utilizados, onde estão localizadas as infraestruturas, quais empresas controlam as tecnologias e quais jurisdições podem exercer autoridade sobre esses agentes.

Esse mapeamento permite classificar as dependências de acordo com sua criticidade. Um fornecedor utilizado para uma atividade administrativa pode apresentar um risco diferente daquele que concentra dados estratégicos ou sustenta um processo essencial para a continuidade do negócio.

Quanto maior a criticidade do dado ou da operação, maior deve ser a profundidade da avaliação de soberania.

Transformar soberania em critérios verificáveis de risco

Depois de identificar as dependências, o desafio é transformar essas informações em critérios que possam efetivamente orientar decisões.

O modelo desenvolvido pelo Serpro é interessante justamente por fazer essa transformação. A metodologia considera 15 critérios técnicos e distribui a avaliação entre dimensões relacionadas aos dados, à operação e à tecnologia. O processo também passou por uma ampliação significativa: os procedimentos de verificação cresceram de cerca de 70 para aproximadamente 500 testes, depois que avaliações práticas identificaram situações que não apareciam apenas na documentação apresentada.

Para empresas privadas, a lógica pode ser adaptada à própria realidade. Critérios como jurisdição do fornecedor, localização dos dados, possibilidade de acesso por terceiros, dependência tecnológica, capacidade de substituição, portabilidade, continuidade do serviço e controles contratuais podem fazer parte de uma matriz de risco.

O objetivo não é criar uma barreira para toda tecnologia estrangeira. É permitir que a organização tome decisões conscientes sobre suas dependências.

Dessa forma, a soberania de dados deixa de ser apenas uma preocupação jurídica ou tecnológica e passa a funcionar como um componente mensurável da gestão de riscos. A empresa consegue identificar onde está mais exposta, estabelecer prioridades e avaliar se os controles existentes são suficientes para o nível de criticidade de cada dado e serviço.

Qual é o novo papel do Compliance diante dos riscos geopolíticos relacionados a dados e tecnologia

A transformação do cenário geopolítico também está mudando a natureza das decisões que chegam à área de Compliance. Se dados, infraestrutura tecnológica e fornecedores globais podem representar pontos de exposição para uma organização, avaliar conformidade passa a exigir uma compreensão mais ampla das dependências que sustentam o negócio.

Essa mudança já aparece nas prioridades das lideranças empresariais. 77% dos CEOs brasileiros afirmam que pretendem reforçar a segurança cibernética em toda a empresa em resposta aos riscos geopolíticos, segundo a 29ª CEO Survey da PwC Brasil. O dado mostra que a percepção sobre ameaças externas já está influenciando decisões internas de tecnologia, segurança e gestão de riscos.

Para o Compliance, isso representa uma oportunidade de ampliar sua participação estratégica. Em vez de entrar apenas quando uma decisão precisa ser validada juridicamente ou quando um problema já aconteceu, a área pode contribuir antes da contratação de uma tecnologia, da escolha de um fornecedor ou da definição de uma arquitetura de dados.

Compliance precisa participar das decisões sobre dependências estratégicas

A avaliação de um fornecedor tecnológico tradicionalmente considera aspectos como documentação, controles, certificações, cláusulas contratuais e aderência às normas aplicáveis. Esses elementos continuam importantes, mas podem não ser suficientes diante de um cenário de maior fragmentação geopolítica.

Também é necessário compreender qual é a jurisdição do fornecedor, quais empresas controlam a tecnologia, onde os dados podem ser processados, quais subprocessadores participam da operação e qual seria o impacto de uma interrupção ou restrição daquele serviço.

Essa visão aproxima Compliance de áreas como Tecnologia, Segurança da Informação, Jurídico, Procurement, Privacidade e Gestão de Riscos. A análise passa a ser construída de maneira multidisciplinar porque a vulnerabilidade pode surgir justamente na interseção entre essas áreas.

Uma solução pode ser tecnicamente segura, contratualmente adequada e juridicamente permitida, mas ainda criar uma dependência estratégica relevante para a organização. Identificar essa dependência antes que ela se transforme em um problema é parte de uma atuação de Compliance mais preventiva e estratégica.

A função passa de conformidade para inteligência sobre riscos

A evolução não significa que Compliance precise assumir o papel de TI, Segurança ou Relações Internacionais. Significa que a área precisa incorporar novas perguntas ao seu processo de análise.

Quem controla a tecnologia? Onde estão os dados? Quais jurisdições estão envolvidas? Quais dependências são críticas? Existe alternativa caso o fornecedor deixe de operar? O contrato oferece mecanismos suficientes de proteção e continuidade?

Essas perguntas ajudam a transformar informações dispersas em inteligência para tomada de decisão.

Nesse contexto, Compliance pode atuar como uma ponte entre diferentes áreas da organização, ajudando a traduzir riscos tecnológicos e geopolíticos em impactos concretos para o negócio. A questão deixa de ser apenas identificar se determinada prática está de acordo com uma norma e passa a envolver também a capacidade de antecipar cenários que possam comprometer dados, operações, fornecedores e continuidade empresarial.

Essa mudança é particularmente relevante porque a incerteza geopolítica já começa a influenciar decisões estratégicas. Segundo a mesma pesquisa da PwC Brasil, 28% dos CEOs brasileiros afirmam estar menos inclinados a realizar novos investimentos importantes em razão da incerteza geopolítica.

O novo cenário exige, portanto, um Compliance capaz de olhar para além da conformidade imediata. Conhecer as regras continua sendo essencial, mas compreender as dependências, antecipar riscos e apoiar decisões estratégicas torna-se cada vez mais importante.

Quando dados e tecnologia passam a fazer parte das disputas econômicas e geopolíticas, governar essas dependências também passa a ser uma questão de Compliance.

Como a upLexis contribui para uma gestão mais inteligente de riscos relacionados a dados

A soberania de dados exige mais do que conhecer onde as informações estão armazenadas. É necessário ter visibilidade sobre dados, pessoas, empresas, vínculos, fornecedores e diferentes fontes de informação para que a organização consiga identificar riscos antes que eles se transformem em problemas.

É nesse ponto que tecnologia e inteligência de dados ganham importância. Quanto mais complexa é a rede de relações de uma empresa, maior é a necessidade de transformar grandes volumes de informações em insumos confiáveis para tomada de decisão.

A upLexis atua justamente nesse espaço, oferecendo soluções que apoiam processos de Compliance, Due Diligence, gestão de riscos, investigação e inteligência empresarial. Ao reunir e organizar informações provenientes de diferentes fontes, a tecnologia pode contribuir para que as equipes tenham uma visão mais ampla sobre empresas, pessoas e relações que fazem parte de suas operações.

Em um cenário no qual fornecedores tecnológicos, parceiros internacionais e diferentes jurisdições podem representar novas camadas de exposição, essa capacidade de investigação e análise se torna ainda mais relevante. Conhecer quem está do outro lado de uma relação comercial é parte fundamental de uma estratégia de prevenção de riscos.

Mais do que responder a uma necessidade pontual, a inteligência de dados permite que organizações desenvolvam uma abordagem mais preventiva: identificar sinais, cruzar informações, aprofundar análises e apoiar decisões antes que uma dependência ou vulnerabilidade se transforme em uma crise.

Nesse contexto, soberania de dados também passa por inteligência. Afinal, não é possível governar adequadamente aquilo que a organização não consegue enxergar, contextualizar e avaliar.
Clique no banner abaixo e solicite seu teste grátis! 👇

F.A.Q sobre soberania de dados, geopolítica e Compliance

O que é soberania de dados?

Soberania de dados é a capacidade de uma organização ou de um país de estabelecer regras, exercer controle e garantir proteção sobre os dados sob sua responsabilidade, considerando os territórios, fornecedores, infraestruturas e jurisdições envolvidos em seu tratamento. Por isso, o conceito vai além de simplesmente definir onde um servidor está localizado.

Soberania de dados é a mesma coisa que proteção de dados?

Não. Proteção de dados está relacionada às medidas utilizadas para garantir segurança, privacidade e direitos dos titulares. Já a soberania de dados envolve uma dimensão mais ampla de controle, jurisdição, governança e autonomia sobre as informações e as infraestruturas que permitem seu tratamento.

Por que a geopolítica influencia a gestão de dados?

Porque conflitos e disputas entre países podem afetar tecnologias, fornecedores, infraestrutura, comércio, sanções, legislação e circulação internacional de informações. Uma mudança geopolítica pode, por exemplo, alterar a disponibilidade de determinado fornecedor ou criar novas restrições para empresas que dependem de tecnologias estrangeiras.

Um dado armazenado no Brasil está necessariamente sob jurisdição brasileira?

Não necessariamente. A localização física do servidor é apenas um dos elementos que precisam ser considerados. A jurisdição do fornecedor, sua estrutura societária, os subprocessadores utilizados e as legislações às quais essas empresas estão submetidas também podem influenciar o tratamento e o acesso aos dados.

O que é o CLOUD Act e por que ele aparece na discussão sobre soberania de dados?

O CLOUD Act é uma legislação dos Estados Unidos que estabelece determinadas obrigações para provedores de serviços de comunicação e empresas sujeitas à jurisdição americana em relação a dados sob seu controle. Ele aparece nas discussões sobre soberania porque demonstra que a localização física de um dado não é necessariamente suficiente para determinar quais autoridades podem buscar acesso a ele.

Empresas precisam abandonar fornecedores estrangeiros para ter soberania de dados?

Não. Soberania não significa isolamento tecnológico. O objetivo é conhecer e administrar as dependências existentes. Uma empresa pode utilizar fornecedores estrangeiros, desde que avalie adequadamente aspectos como jurisdição, segurança, contratos, localização e fluxo dos dados, subprocessadores, continuidade e possibilidade de substituição.

Quais riscos de Compliance estão relacionados à soberania de dados?

Entre os principais estão riscos regulatórios, jurídicos, cibernéticos, operacionais, contratuais e reputacionais. Também podem existir riscos associados a sanções, restrições comerciais, mudanças legislativas estrangeiras e dependência excessiva de determinados fornecedores ou tecnologias.

Cloud e SaaS aumentam os riscos relacionados à soberania de dados?

Podem aumentar a complexidade da gestão. Ao utilizar cloud ou SaaS, a organização passa a depender de uma infraestrutura e de um fornecedor externo para determinadas atividades. Por isso, precisa compreender onde os dados são processados, quem participa da cadeia, quais jurisdições estão envolvidas e quais controles existem para proteger essas informações.

A inteligência artificial também envolve riscos de soberania de dados?

Sim. Sistemas de IA podem processar grandes volumes de informações e envolver diferentes fornecedores, modelos, infraestruturas e subprocessadores. Antes de utilizar uma solução de IA com informações corporativas, é importante avaliar quais dados serão enviados, onde ocorrerá o processamento, quem poderá acessá-los e como essas informações serão utilizadas e armazenadas.

Como uma empresa pode avaliar sua soberania de dados?

O primeiro passo é mapear os dados e as dependências tecnológicas críticas. Depois, a organização pode avaliar fornecedores, jurisdições, infraestrutura, contratos, subprocessadores, controles de segurança, portabilidade, continuidade e alternativas disponíveis. O objetivo é transformar a soberania em critérios objetivos de gestão de riscos.

Qual é o papel do Compliance na soberania de dados?

Compliance pode ajudar a identificar e avaliar riscos regulatórios, jurisdicionais e relacionados a terceiros, além de participar de decisões sobre fornecedores e tecnologias que envolvam informações críticas. A atuação tende a ser mais estratégica quando a área trabalha integrada a Jurídico, Privacidade, Segurança da Informação, TI, Procurement e Gestão de Riscos.

Soberania de dados é importante apenas para governos e grandes empresas?

Não. Qualquer organização que dependa de dados, cloud, SaaS, inteligência artificial ou fornecedores tecnológicos pode enfrentar riscos relacionados a jurisdição e dependência. A profundidade da avaliação deve ser proporcional à criticidade dos dados e ao impacto que uma eventual indisponibilidade ou mudança regulatória teria sobre o negócio.

Qual é a relação entre soberania de dados e gestão de terceiros?

A relação é direta. Um fornecedor pode ter acesso a informações críticas, operar infraestrutura essencial ou utilizar outros fornecedores em sua cadeia. Por isso, a avaliação de terceiros precisa considerar não apenas quem é o fornecedor, mas também como ele trata os dados, onde opera, quais dependências possui e quais riscos sua jurisdição pode representar.

Por que soberania de dados passou a ser uma questão estratégica para as empresas?

Porque dados e infraestrutura digital estão cada vez mais relacionados à continuidade operacional, competitividade, segurança e capacidade de decisão. Em um cenário de maior fragmentação geopolítica, conhecer as próprias dependências permite antecipar vulnerabilidades e tomar decisões mais conscientes sobre tecnologia, fornecedores e proteção das informações.

Como a inteligência de dados pode apoiar a gestão desses riscos?

A inteligência de dados ajuda a cruzar informações, identificar relações, investigar empresas e pessoas, conhecer terceiros e transformar grandes volumes de dados em informações úteis para decisões. Isso fortalece uma abordagem preventiva, permitindo que a organização enxergue riscos e dependências antes que eles se transformem em problemas.

Resumo dos principais pontos e implicações para as organizações

A soberania de dados deixou de ser uma discussão restrita à tecnologia ou à privacidade. Em um cenário de crescente tensão geopolítica, dados, infraestrutura digital, fornecedores e tecnologias passaram a fazer parte de disputas estratégicas entre países e blocos econômicos.

O avanço da geoeconomia mostra que decisões relacionadas a tecnologia podem produzir consequências diretas para as organizações. Cloud, SaaS, inteligência artificial, data centers e fornecedores estrangeiros não devem ser avaliados apenas por critérios de custo, desempenho ou eficiência, mas também pelas dependências e pelos riscos que podem criar.

O caso da França demonstra que essa preocupação já está produzindo mudanças concretas. A busca por alternativas a plataformas estrangeiras e por maior controle sobre infraestruturas digitais mostra que autonomia tecnológica pode ser tratada como uma estratégia de gestão de riscos.

No Brasil, a discussão também ganha relevância. A regulamentação da transferência internacional de dados, os investimentos em infraestrutura nacional e iniciativas como a Nuvem Soberana mostram que controle, proteção, jurisdição e governança dos dados estão cada vez mais conectados.

Para as empresas, o desafio não está necessariamente em eliminar fornecedores estrangeiros, mas em conhecer e administrar suas dependências. Isso significa saber onde os dados estão, por quais sistemas circulam, quem controla as tecnologias utilizadas, quais fornecedores participam da cadeia e quais jurisdições podem exercer influência sobre essas informações.

Nesse cenário, Compliance assume uma posição cada vez mais estratégica. A área precisa participar da avaliação de fornecedores, tecnologias e fluxos de dados, trabalhando de forma integrada com TI, Segurança da Informação, Privacidade, Jurídico, Procurement e Gestão de Riscos.

A principal mudança de perspectiva é simples, mas importante: não basta perguntar se os dados estão protegidos. É preciso entender quem tem capacidade de controlá-los, acessá-los e influenciar seu tratamento.

Em uma economia marcada pela fragmentação regulatória e tecnológica, governar dados também significa governar dependências. E organizações capazes de identificar essas dependências, avaliar sua criticidade e transformar informação em inteligência estarão mais preparadas para tomar decisões diante de um ambiente empresarial cada vez mais complexo.