Reflexão:
Há controle dos dados e das informações em um ambiente difuso e complexo para atendimento das demandas tecnológicas globais?
Mesmo que haja controle dos dados e das informações. Existe capacidade de compreender, auditar, substituir e sustentar a cadeia tecnológica que o processa, transporta, autêntica, armazena e transforma em decisão?
Soberania digital começa antes do dado, passa pelo silício, pelo código, pela identidade e pela nuvem, e somente existe quando há capacidade de continuar operando mesmo quando a dependência externa deixa de ser conveniente.
O debate brasileiro pode estar olhando para a camada errada
O tema da “soberania digital ou de dados” tornou-se uma expressão recorrente em governos, empresas, universidades e fóruns de tecnologia. Geralmente, o debate deriva em torno da localização dos dados, da jurisdição aplicável, da proteção da privacidade e da capacidade do Estado de impor regras a plataformas digitais. Todos esses elementos são relevantes, todavia, são insuficientes para descrever a dimensão real do problema “tupiniquim”.
O questionamento que incomoda, além da retórica “rasa”, é outro: ao afirmar que um dado processado em um equipamento, que em tese, é classificado “soberano”, esse “dado” de fato é? Destacam-se as relações do “dado” que se encontra em um equipamento com o sistema operacional que hospeda uma aplicação, ao qual utiliza uma biblioteca que compõe o software, que roda em nuvem, e que possui tecnologias que em sua grande maioria são controladas por organizações externas. Adicionalmente há os serviços de identidade que autenticam usuários e estabelece, por meio de um certificado a comunicação com uma Inteligência Artificial que interpreta a informação e pertence ou é suportada, novamente, por entidades “fora da soberania sonhada”. Isto é, tecnológicas sobre as quais o país possui baixa capacidade de influência, substituição ou continuidade de manutenção!
Não obstante, a soberania digital não deve ser confundida com isolamento tecnológico ou com a expectativa irreal de que um país produza sozinho cada componente utilizado em seu ecossistema digital. O ponto central é a capacidade estratégica de decidir e continuar: decidir o que utilizar, conhecer os riscos, auditar componentes críticos, diversificar fornecedores, manter competências internas, substituir tecnologias quando necessário e sustentar serviços essenciais diante de sanções, falhas sistêmicas, incidentes cibernéticos ou ruptura de cadeias globais.
Estado da arte: soberania deixou de ser apenas território e passou a ser capacidade
No contexto brasileiro, Silveira e Xiong (2025) propõem avaliar a soberania a partir de dimensões como dados, infraestrutura digital, governança e capacidade tecnológica. Há uma afirmação que o Brasil apresenta fragilidades relevantes para alcançar maior independência digital, o que reforça a necessidade de coordenação entre política tecnológica, investimento, formação de competências e estratégia nacional. Já Polido (2024), por sua vez, amplia a discussão ao relacionar soberania digital, segurança cibernética, Inteligência Artificial, poder das plataformas e colonialismo de dados, indicando que a disputa não ocorre apenas sobre infraestrutura física, mas também sobre normas, fluxos informacionais e capacidade de decisão.
A soberania digital e cibersegurança precisam ser analisadas de forma integrada, incluindo confiança digital, privacidade, resiliência e segurança da cadeia de suprimentos Katsikas (2025). O tema da resiliência, portanto, desloca-se de discussão predominantemente jurídica para uma discussão sociotécnica: quem controla, quem mantém, quem audita, quem atualiza e quem consegue substituir as tecnologias que sustentam o Estado e a economia?
A soberania é uma pilha: em cada camada existe uma dependência
Uma arquitetura digital moderna pode ser visualizada como uma pilha de camadas interdependentes. O problema brasileiro não reside em utilizar tecnologia estrangeira; praticamente todos os países dependem de cadeias globais. O risco surge quando a dependência é concentrada, pouco conhecida, difícil de substituir e conectada a ativos críticos. Nesse cenário, a eficiência econômica de curto prazo pode converter-se em vulnerabilidade estratégica de longo prazo.
| Camada | Dependência típica | Risco de Segurança | Pergunta de soberania |
| Hardware e chips | Semicondutores, GPUs, firmware, equipamentos | Backdoors, indisponibilidade, restrição de fornecimento | Há alternativas e capacidade de reposição? |
| Rede e confiança | DNS, certificados, cabos, operadoras, protocolos | Sequestro de rotas, falhas de confiança, concentração | O serviço crítico continua acessível sem o provedor dominante? |
| Software | SO, bibliotecas, repositórios, toolchains, APIs | Supply chain, vulnerabilidades, dependências transitivas | O código pode ser auditado, reconstruído e mantido? |
| Cloud e plataformas | IaaS, PaaS, SaaS, identidade e observabilidade | Lock-in, exposição jurídica, falhas sistêmicas | É possível migrar com prazo e custo aceitáveis? |
| Dados e IA | Modelos, datasets, APIs, vetores, agentes | Exfiltração, manipulação, perda de controle decisório | O país controla dados, modelos e critérios de decisão? |
Segurança da Informação: a variável que não pode ser tratada como apêndice
Existe uma contradição recorrente no discurso de soberania digital: discutir autonomia tecnológica sem discutir Segurança da Informação. Uma tecnologia nacional vulnerável não é soberana. Uma nuvem instalada no território nacional, mas mal configurada, não é soberana. Um software aberto sem processo de correção, assinatura e monitoramento não é soberano. Um modelo de IA desenvolvido localmente, mas dependente de datasets contaminados ou infraestrutura sem proteção, tampouco é soberano.
Katsikas (2025) propõe justamente aproximar soberania digital de confiança, privacidade, resiliência e segurança da cadeia de suprimentos. A soberania real exige que Segurança da Informação esteja presente desde a estratégia industrial até a operação cotidiana. Isso envolve arquitetura Zero Trust, gestão de identidade, criptografia, observabilidade, resposta a incidentes, threat intelligence, continuidade, gestão de terceiros, segurança de software, testes de intrusão, gestão de vulnerabilidades, proteção de dados, segurança de IA e capacidade forense.
A questão central é que soberania sem segurança pode apenas nacionalizar o risco. Se o país internaliza infraestrutura sem elevar maturidade de proteção, cria ativos críticos locais que continuam suscetíveis a espionagem, sabotagem, ransomware, comprometimento de cadeia de suprimentos e operações de influência. Segurança, portanto, não é uma consequência da soberania; é um de seus requisitos constitutivos.
Brasil: avanços regulatórios, mas dependência operacional ainda precisa ser mensurada
O Brasil vem estruturando iniciativas relevantes. A E-Ciber de 2025 incorpora explicitamente soberania nacional, autonomia produtiva e desenvolvimento tecnológico em cibersegurança. O Programa Brasil Semicondutores busca fortalecer uma camada industrial estratégica. A Nuvem de Governo procura estabelecer maior controle sobre cargas e informações públicas. A Estratégia Nacional de Governo Digital amplia a governança sobre serviços e infraestrutura. Esses movimentos indicam que o tema deixou de ser periférico.
O objetivo não deveria ser “comprar brasileiro” por definição, tampouco “comprar global” por conveniência. O objetivo deveria ser tomar decisões baseadas em criticidade, risco, capacidade de auditoria, resiliência, segurança e reversibilidade. Em determinadas camadas, desenvolver capacidade nacional será indispensável. Em outras, a melhor resposta será interoperabilidade, padrões abertos, multicloud, fornecedores alternativos, comunidades open source, acordos internacionais ou estoque estratégico. Soberania é possuir opções reais, não discursos de independência.
Uma agenda pragmática para a soberania digital brasileira
Dentro deste contexto, caso queiramos transformar o Brasil em uma nação com “soberania digital”, podemos refletir acerca de uma política tecnológica concreta, como as sugeridas a seguir:
- Mapear dependências críticas por camada, identificando fornecedores únicos, jurisdições externas, tecnologias sem alternativa e tempo estimado de substituição.
- Mapa das tecnologias críticas na cadeia de suprimentos que vão do hardware aos modelos de softwares, plataformas e o ecossistema de uma indústria madura para “hightech”.
- Definir requisitos mínimos de soberania e segurança para sistemas essenciais, incluindo portabilidade/resiliência, controle de chaves, logging independente, continuidade e arquitetura de saída.
- Fortalecer competências nacionais em semicondutores estratégicos, criptografia, software, cloud, cibersegurança, IA, sistemas embarcados e telecomunicações, priorizando áreas onde a dependência representa risco sistêmico.
- Tratar a cadeia de suprimentos de software como infraestrutura crítica, com SBOM, assinatura de artefatos, gestão de dependências, espelhamento de componentes essenciais e critérios de confiança de fornecedores.
- Criar métricas de concentração tecnológica no Estado e em setores críticos, evitando que eficiência de contratação produza dependência excessiva em uma única plataforma, nuvem, identidade ou fornecedor de segurança.
- Financiar pesquisa, inovação e comunidades capazes de manter tecnologias abertas relevantes, pois soberania também depende de pessoas que compreendem o código e conseguem sustentá-lo.
- Integrar soberania, cibersegurança e continuidade em exercícios reais: testar indisponibilidade de fornecedores, perda de conectividade, revogação de certificados, comprometimento de supply chain, restrições geopolíticas e migração de serviços críticos.
Conclusão: somos soberanos ou apenas usuários privilegiados de tecnologias importadas?
A soberania digital brasileira não será construída apenas por leis, datacenters nacionais ou discursos sobre proteção de dados. Tal ação, assim como já refletida em outras indústrias, dependerá da capacidade de compreender a pilha tecnológica completa e reconhecer que cada conveniência possui uma dependência associada. O país pode ter legislação, mercado consumidor, universidades, datacenters e grandes empresas, entretanto, ainda permanecer vulnerável se não conseguir sustentar funções digitais críticas quando uma camada externa falha – tema a ser objeto de um próximo artigo.
A provocação, portanto, não é abandonar tecnologias globais, muito pelo contrário, é deixar de confundir acesso com domínio, contratação com capacidade e localização com soberania, ou seja, evoluirmos as tecnologias com uma indústria competitiva e capaz de exportar soluções. Um país soberano digitalmente precisa inovar e saber o que depende de quem, qual é o risco dessa dependência e o que fará quando a dependência se tornar indisponível, hostil ou economicamente inviável.
Em Segurança da Informação costuma-se afirmar que risco desconhecido não é risco inexistente; é risco não mensurado, sendo-o inclusive mais perigoso pelo fato de não se entender o impacto. O mesmo princípio deveria orientar a soberania digital. E talvez esta seja a pergunta mais desconfortável para o próximo ciclo de transformação digital: se amanhã uma tecnologia crítica deixar de estar disponível, o país possui capacidade de continuar operando – ou descobrirá, naquele momento, que sua soberania sempre dependeu da autorização de terceiros?
Referências bibliográficas
AZEVEDO, Andrei C. et al. The Role of Network Centralization in Shaping Digital Sovereignty: An Analysis Under the DNS Lens. International Journal of Network Management, v. 35, e2309, 2025. DOI: 10.1002/nem.2309.
BRASIL. Decreto nº 12.573, de 4 de agosto de 2025. Institui a Estratégia Nacional de Cibersegurança (E-Ciber). Brasília, 2025.
BRASIL. Lei nº 14.968, de 11 de setembro de 2024. Aperfeiçoa a política industrial de TIC e semicondutores e cria o Programa Brasil Semicondutores (Brasil Semicon). Brasília, 2024.
BRASIL. Ministério da Gestão e da Inovação em Serviços Públicos. Nuvem de Governo. Governo Digital. Brasília, consulta em 14 ago. 2026.
COULDRY, Nick; MEJIAS, Ulises A. Data colonialism: Rethinking big data’s relation to the contemporary subject. Television & New Media, v. 20, n. 4, p. 336-349, 2019. DOI: 10.1177/1527476418796632.
FARRAND, Benjamin. The Economy-Security Nexus: Risk, Strategic Autonomy and the Regulation of the Semiconductor Supply Chain. European Journal of Risk Regulation, v. 16, n. 1, p. 279-293, 2025. DOI: 10.1017/err.2024.63.
FRATINI, Samuele et al. Digital Sovereignty: A Descriptive Analysis and a Critical Evaluation of Existing Models. Digital Society, v. 3, art. 59, 2024. DOI: 10.1007/s44206-024-00146-7.
KATSIKAS, Sokratis K. Towards a cybersecurity-oriented research agenda for digital sovereignty. Procedia Computer Science, v. 254, p. 279-288, 2025. DOI: 10.1016/j.procs.2025.02.087.
LATSIOU, Aikaterina C.; NYGÅRD, Arne Roar; KATSIKAS, Sokratis K.; LAMBRINOUDAKIS, Costas. Never Trust – Always Verify: Assessing the cybersecurity trustworthiness of suppliers in the Digital Supply Chain. Procedia Computer Science, v. 254, p. 98-107, 2025. DOI: 10.1016/j.procs.2025.02.068.
OECD. Mapping the semiconductor value chain: Working towards identifying dependencies and vulnerabilities. OECD Science, Technology and Industry Policy Papers, n. 182. Paris: OECD Publishing, 2025. DOI: 10.1787/4154cdbf-en.
POLIDO, Fabrício Bertini Pasquot. Estado, soberania digital e tecnologias emergentes: interações entre direito internacional, segurança cibernética e inteligência artificial. Revista de Ciências do Estado, 2024. DOI: 10.35699/2525-8036.2024.53066.
SILVEIRA, Sergio Amadeu da; XIONG, Jeff. Índice de Soberania Digital: o caso do Brasil. Liinc em Revista, v. 21, n. 1, 2025. DOI: 10.18617/liinc.v21i1.7451.
