Nuvem soberana: como provedores globais se adaptam a regras nacionais

Direitos digitais, cidadania, ordem econômica e segurança sistêmica no contexto da “vida em nuvem” desencadeiam várias respostas legislativas, regulatórias e setoriais em diversos países ou regiões. Ao mesmo tempo, o conceito de “nuvem soberana” se consolida em soluções objetivas adotadas por governos, empresas e pelos próprios provedores de tecnologia.

A discussão se amplia com os desafios de propriedade e governança de dados impostos por inovações como inteligência artificial e Internet das Coisas (IoT)  —  já contempladas em nova regulação da União Europeia, que entra em vigor em setembro de 2025.

O estudo Omdia Market Radar: Sovereign Cloud 2025 traça um panorama das questões focais para organizações e governos e define os pontos de atenção técnicos, jurídicos e estratégicos.

A análise inclui ofertas de sete provedores globais – AWS, Google Cloud, Huawei, IBM, Microsoft Azure, Oracle e Vultr – além de tendências de players nacionais, especialmente na China. “Se um CSP (provedor de soluções em nuvem) não oferece uma solução soberana para determinada região, provedores locais e ambientes on-premise tendem a ganhar espaço, aproveitando a vantagem competitiva da conformidade local”, avaliam os analistas da Omdia.

Três critérios para definir soberania de dados

A Omdia desenvolveu um modelo que define a nuvem soberana em seis níveis que podem ser mapeados para as leis e regulamentos de proteção de dados de um país. A estrutura da soberania de dados poder ser abordada por três critérios fundamentais:

Localização física

Em algumas regiões há a determinação de que tipo de dados têm que ser armazenados exclusivamente dentro das fronteiras nacionais (sistemas de governo, por exemplo). Em outras há uma ampliação desa premissa, embora a tendência seja focar em controles lógicos.

Autonomia operacional e autoridade lógica

Controles de acesso; criptografia própria (BYOC e BYOK) e outras medidas que inviabilizam o acesso extraterritorial não autorizado ganham força, principalmente diante de preocupações na União Europeia com o Cloud Act, que abriria ao governo dos EUA a possibilidade de acesso a dados custodiados por empresas americanas, mesmo fora do país.

Jurisdição

Garante que as operações sejam submetidas às leis locais e geridas em conformidade.

Soberania como função nativa ou agregada

O estudo identificou duas abordagens principais entre os grandes provedores. A primeira é a de uma nuvem soberana específica para uma região, separada da estrutura dos serviços de nuvem pública. AWS e Oracle são citados como líderes nessa categoria. A AWS, por exemplo, anunciou o AWS European Sovereign Cloud, com lançamento previsto para o quarto trimestre de 2025. A infraestrutura será totalmente separada da nuvem global, operada apenas por cidadãos da União Europeia, com controle completo sobre operações e dados. “A AWS construiu sua nuvem pública antes mesmo do surgimento do termo soberania, mas incorporou desde cedo princípios como controle de dados e privacidade”, destaca o relatório.

A segunda abordagem é utilizar parceiros que operam e residem no país ou região para fornecer um serviço de nuvem nacional. Huawei, IBM, Vultr e Oracle oferecem soluções com vários níveis de suporte soberano usando esse modelo. O Google adota ambas as estratégias, com controles regionais, soluções entregues por parceiros e implantações “air-gapped” (fisicamente isoladas).

IoT, IA e novos dados sob controle

O uso de dados corporativos para treinar modelos de IA gera novas camadas de informação e novas questões sobre a titularidade da propriedade intelectual. A Omdia destaca a necessidade de definir quem tem o controle sobre o uso dessas informações.

“O uso de IA para produzir novos conjuntos de dados a partir de dados corporativos existentes deve ser considerado sob a ótica de quem detém a propriedade intelectual e como protegê-la”, enfatizam os analistas. “Isso representa um desafio e uma oportunidade para os CSPs, pois provedores locais e on-premises podem usar o aspecto da soberania para conquistar clientes se o provedor de nuvem global não tiver uma oferta soberana na região”, avisam.

Regulação: barreira ou estímulo à inovação?

A regulação tem papel ambíguo no desenvolvimento das nuvens soberanas. Modelos mais abertos, como os adotados no Reino Unido ou Arábia Saudita, tem como objetivo atrair investimentos e estimular a inovação.

O relatório pondera que normas mais criteriosas, como as adotadas na União Europeia, priorizam o controle e a segurança, mesmo que isso imponha barreiras tecnológicas. 

Contudo, há países que podem usar a regulamentação para garantir que os investimentos em TI sejam feitos localmente, para fomentar capacidade tecnológica e receita interna.

Empresas, fornecedores e provedores

O estudo traz orientações específicas para diferentes perfis de stakeholders. Para as empresas, a recomendação é entender quais sistemas e dados estão sujeitos às regulamentações soberanas locais e desenvolver uma arquitetura que garanta conformidade. Já os fornecedores de tecnologia devem investir em ferramentas que ajudem os CIOs a compreender o impacto regulatório sobre seus negócios. E os provedores de serviços devem garantir que suas soluções soberanas sejam suficientemente flexíveis para atingir ao menos o Nível 4 do modelo da Omdia, além de buscar parcerias com organizações locais para obter certificações e credenciamento governamental.

A Omdia também identifica sete características essenciais que uma nuvem soberana deve atender, ainda que o peso de cada uma varie conforme o país ou região: privacidade de dados; controle jurisdicional; portfólio de serviços; jurisdição operacional; cobertura e uso; estratégia e execução; e impacto de mercado.

Níveis de soberania e suas implicações

A Omdia desenvolveu um modelo com seis níveis, cujas aplicações e sobreposições variam conforme geografia ou setor.

1. Localização física dos dados – define fronteiras para os sites de armazenamento.
2. Processamento dos dados –  estabelece condições para o processamento, com controle total sobre acessos, permissões e imunidade a interferências sobre o provedor.
3. Privacidade de dados – independentemente de onde estejam armazenados ou trafeguem, os dados devem ser protegidos por criptografia e chaves próprias (BYOC e BYOK), além de outros mecanismos de blindagem do conteúdo (independente da infraestrutura).
4. Geração de dados – trata do controle de dados gerados a partir do uso de objetos inteligentes e dispositivos conectados, assim como o conteúdo produzido por plataformas de GenAI.
5. Resiliência da nuvem – o relatório aborda o risco de depender de provedores de nuvem de um país terceiro, como os EUA ou a China, embora as considerações sobre disponibilidade sejam mais amplas.
6. Infraestrutura crítica e jurisdição operacional – considera a nuvem como uma infraestrutura essencial, semelhante a serviços de energia e telecomunicações. Apenas a China e os EUA atualmente possuem a capacidade de operar a nuvem desta forma. A jurisdição operacional implica que o controle e a gestão da nuvem sejam realizados por cidadãos locais e que leis e políticas extraterritoriais não possam anular as nacionais.

Soberania em foco

De acordo com a equipe da Omdia, a expansão das nuvens soberanas é uma resposta direta à regionalização da computação em nuvem. Iniciativas como o Gaia-X, na Europa, os mais de 600 datacenters implementados na China e o crescimento de provedores locais na Ásia e Oriente Médio mostram que a soberania digital está se tornando um diferencial competitivo. Em alguns casos, já é um imperativo jurídico e de negócio.

O período entre 2026 e 2027 será crucial, segundo a Omdia, especialmente com o avanço da IA. “Os próximos anos definirão o papel da soberania na era digital. A escolha das empresas entre inovação aberta e conformidade rígida determinará o modelo dominante de computação em nuvem no futuro”, conclui o relatório.