Soberania Digital na Europa: o que a Geopatriation Muda para a Sua PME

A Gartner prevê que a procura por cloud soberana desloque 20% dos workloads atuais para fornecedores locais. Perceba o que é geopatriation e como uma PME pode decidir sem exageros.

A soberania digital deixou de ser um tema de conferência e passou a ser uma decisão de orçamento. Segundo a Gartner, os gastos mundiais em infraestrutura de cloud soberana (Sovereign Cloud IaaS) deverão atingir cerca de 80 mil milhões de dólares em 2026, mais 35,6% do que em 2025.

A mesma análise estima que esta procura deverá deslocar cerca de 20% dos workloads atuais de clouds globais para fornecedores locais, num movimento a que a Gartner chama geopatriation.

Para uma PME, a pergunta útil não é "devo sair da cloud global?", mas "que dados e sistemas precisam mesmo de mais controlo, e que passos práticos o garantem?". É o que vemos neste artigo.

O que é geopatriation (e o que não é)

Geopatriation é a repatriação de cargas de trabalho de grandes clouds globais para fornecedores regionais ou nacionais, motivada por incerteza geopolítica e regulatória. Não implica abandonar a cloud global: a previsão da Gartner fala em workloads, não na totalidade do gasto em cloud.

Dois pormenores ajudam a pôr o fenómeno em perspetiva. Primeiro, a Gartner indica que os governos continuam a ser os principais compradores de cloud soberana, seguidos de setores regulados e operadores de infraestruturas críticas. Segundo, prevê que a Europa ultrapasse a América do Norte em gastos com cloud soberana em 2027. Ou seja, o movimento é real e acelera na Europa, mas começa por quem tem mais obrigações de conformidade.

Soberania é mais do que saber onde estão os dados

Residência de dados responde a uma só pergunta: em que país está o servidor. Soberania pergunta quem manda nele. Na prática, convém separar quatro camadas:

• Residência: onde os dados são armazenados e processados.
• Jurisdição: a que leis o fornecedor está sujeito, incluindo leis de países terceiros com alcance extraterritorial.
• Chaves de cifra: quem gere e pode usar as chaves. Com chaves geridas pelo cliente, o fornecedor tem muito menos capacidade de aceder aos dados em claro.
• Operação: quem opera a infraestrutura, presta suporte e tem acesso privilegiado, e a partir de que país.

Existe "imunidade jurídica"?

A expressão aparece muito, mas convém ser rigoroso: nenhum modelo dá imunidade absoluta. O que se consegue é reduzir a exposição. O exemplo clássico é o CLOUD Act norte-americano, que permite às autoridades dos EUA exigir, em investigações criminais, dados a fornecedores sob a sua jurisdição, mesmo quando estão armazenados na Europa.

Já o artigo 48.º do RGPD determina que decisões de países terceiros só são reconhecidas com base em acordos internacionais. Segundo a análise da Linklaters (2019), o resultado é um conflito de normas que o fornecedor tem de gerir e que o cliente deve compreender. Os autores consideram que, dadas as salvaguardas do CLOUD Act e do RGPD, o risco prático para empresas legítimas é limitado: a questão é sobretudo de conformidade e de confiança contratual.

Duas abordagens: cloud soberana ou híbrido

Clouds soberanas e locais

Fornecedores europeus ou parcerias estratégicas que cumprem o enquadramento regulatório da UE. A própria Comissão Europeia apresentou, em outubro de 2025, um Cloud Sovereignty Framework para avaliar fornecedores nos seus concursos. O nível de garantia mais alto corresponde a tecnologia e operações sob controlo total da UE.

Melhor para: dados regulados, clientes do setor público e contratos que exigem localização e jurisdição na UE.

Híbrido ou on-premise

O regresso controlado de dados ultra-sensíveis para infraestrutura própria, mantendo o resto em cloud.

Melhor para: dados críticos, requisitos de continuidade e sistemas legados. A contrapartida é que custos e responsabilidade operacional passam para si.

O que fazer na sua PME: seis passos

1. Classifique os dados. Nem tudo precisa do mesmo nível de controlo. Separe dados públicos, internos e sensíveis ou regulados (dados pessoais, financeiros, de saúde, segredos comerciais).
2. Pergunte ao fornecedor onde, quem e sob que lei. Onde são processados os dados? Quem tem acesso para suporte? Que lei se aplica? Que subcontratantes intervêm?
3. Controle as chaves. Sempre que possível, use chaves de cifra geridas por si.
4. Planeie a saída. O Data Act europeu aplica-se desde 12 de setembro de 2025 e reforça o direito de mudar de fornecedor de cloud (Mason Hayes & Curran). As taxas de mudança, incluindo as de saída de dados, deixam de ser permitidas a partir de 12 de janeiro de 2027 (cloudmagazin), com exceções como serviços feitos à medida. Os contratos existentes não se atualizam sozinhos: verifique cláusulas de renovação, migração e formatos de exportação.
5. Evite arquiteturas que só funcionam num fornecedor. A portabilidade é a sua melhor garantia de autonomia.
6. Comece pelo que é crítico. Uma abordagem híbrida seletiva costuma ser mais realista do que migrar tudo.

E a inteligência artificial?

A IA acrescenta uma camada. Quando usa um modelo através de API, os seus dados (textos, chamadas, documentos) são processados na infraestrutura do fornecedor do modelo.

Antes de escolher a ferramenta, pergunte onde corre a inferência, se os dados são retidos ou usados para treino e que subcontratantes participam. É um passo que se liga diretamente ao RGPD e à Inteligência Artificial e ao desenho de qualquer agente de IA que trate chamadas ou dados de clientes.

Perguntas frequentes

Soberania digital é o mesmo que residência de dados?

Não. A residência indica onde os dados estão. A soberania inclui também a jurisdição a que o fornecedor está sujeito, quem controla as chaves de cifra e quem opera a infraestrutura.

Preciso de sair das clouds globais?

Não necessariamente. Depende do tipo de dados e dos requisitos do seu setor e dos seus clientes. Muitas PMEs avançam com classificação de dados, chaves próprias e um plano de saída, reservando soluções soberanas para os dados mais sensíveis.

A cloud soberana é mais cara?

Depende do fornecedor e do caso. Compare o custo total, incluindo suporte, conformidade e custo de saída, e não apenas o preço da infraestrutura.

Conclusão: autonomia digital por camadas

A resiliência empresarial passa hoje por decidir, dado a dado, o nível de controlo de que precisa. Para a maioria das PMEs isso não é uma migração total, é uma estratégia por camadas: classificar, escolher bem o fornecedor, controlar as chaves e manter a capacidade de sair.

Na TecLab, acompanhamos PMEs portuguesas no desenho de soluções de IA e automação, incluindo as decisões sobre onde e como os dados são tratados. Qual é a estratégia da sua organização perante esta transição?

Leia também: RGPD e Inteligência Artificial, Agentes de IA: Porque é que a Maioria dos Pilotos Não Chega à Produção e Como Implementar IA na sua PME.