Nuvem soberana é o ambiente em que dados, operação e tecnologia ficam sob controle e jurisdição do país, não apenas hospedados dentro dele. Em projetos de IA a exigência cresce, porque prompts, contextos, logs e ajustes de modelo também são dados sensíveis.
Setor Público · 11 nov 2026 · 12 min · por Time Técnico e de Customer Experience Sauter
Resumo rápido. Nuvem soberana é o ambiente em que dados, operação e tecnologia ficam sob controle e jurisdição do país, e não apenas hospedados dentro dele. No governo federal brasileiro, a residência de dados já é critério de contratação, e a estruturação da Nuvem Brasileira trouxe uma régua mais ampla, o Gradiente de Soberania Serpro, com 15 critérios em três pilares. Em projetos de IA a exigência cresce, porque prompts, contextos, logs e ajustes de modelo também são dados sensíveis.
Nuvem soberana é um modelo de computação em nuvem em que o Estado mantém controle jurídico, operacional e técnico sobre dados e sistemas. Isso inclui saber onde os dados ficam, onde são processados, quem tem acesso administrativo e quem guarda as chaves criptográficas.
A diferença para a nuvem pública comum não está na tecnologia em si, e sim em quem decide. Numa nuvem pública, o provedor define a infraestrutura, as atualizações e as regras de acesso, e o cliente confia em contrato. Numa nuvem soberana, essas decisões passam a ser verificáveis e controladas por quem detém os dados.
No Brasil, o termo ganhou contorno oficial. O caderno da escuta de mercado da Nuvem Brasileira, publicado por MGI, Serpro, ABDI e BNDES em agosto de 2026, descreve as nuvens de governo atuais como ambientes que garantem residência de dados críticos no país, sob jurisdição brasileira e operados por órgãos ou empresas públicas com equipes nacionais. É desse ponto que a discussão parte.
Não. Residência de dados é só um dos critérios de soberania. Um dado pode estar fisicamente em São Paulo e, ainda assim, ser administrado de fora do país, ter as chaves de criptografia sob custódia de um fornecedor estrangeiro ou ser processado em outra região durante uma consulta.
Por isso a régua adotada pelo governo na Nuvem Brasileira separa a soberania de dados em seis critérios, e não em um.
O último item já começou a aparecer em normas. Em outubro de 2026, o Ministério das Mulheres publicou sua estratégia de uso de nuvem exigindo, como regra, que os dados sejam armazenados e também processados no país. O processamento no exterior ficou restrito a casos excepcionais, com justificativa técnica, aprovação da autoridade de segurança da informação e backup mantido no Brasil.
A régua mais detalhada hoje é o Gradiente de Soberania Serpro, versão 3.0, adotado como referência formal na escuta de mercado da Nuvem Brasileira e prevista também para o eventual edital que virá dela. A metodologia avalia 15 critérios distribuídos em três pilares, atribui nota de 0 a 3 a cada um e consolida tudo num Índice de Soberania Geral (ISG).
| Pilar | Peso | Critérios avaliados |
|---|---|---|
| Soberania de Dados | 30% | Localização física, metadados, chaves criptográficas, jurisdição e risco extraterritorial, acesso administrativo e privilegiado, processamento de dados (D1 a D6) |
| Soberania Operacional | 40% | Conectividade com o provedor, autonomia operacional, gestão de patches e upgrades, console de gerenciamento e control plane, independência de licenciamento (O1 a O5) |
| Soberania Tecnológica | 30% | Tecnologia aberta ou proprietária, arquitetura agnóstica, diversificação da cadeia de suprimentos, continuidade e soberania estratégica (T1 a T4) |
O ISG é classificado em cinco faixas, de muito baixa (até 20%) a muito alta (acima de 80%), e precisa ser apresentado sempre junto com os três índices de pilar. Uma nota geral alta, sozinha, não diz onde está a fragilidade.
Três regras do método merecem atenção de quem vai contratar ou construir.
O peso maior do pilar operacional não é acaso. Um ambiente que guarda os dados no país, mas depende de um console no exterior para ser administrado, continua com uma dependência crítica, ainda que invisível no dia a dia.
A Nuvem de Governo garante residência e operação nacional usando tecnologia de grandes provedores instalada nos datacenters das estatais. A Nuvem Brasileira pretende ir um passo além, com o software da própria plataforma desenvolvido, mantido e evoluído por equipes no país.
| Nuvem de Governo | Nuvem Brasileira | |
|---|---|---|
| Situação | Em operação, oferecida por Serpro e Dataprev com catálogo e preços máximos definidos pelo MGI | Em estruturação, após escuta de mercado concluída em setembro de 2026 |
| Tecnologia | Stacks de provedores globais instaladas nas estatais, como AWS Outposts, Google Distributed Cloud air gapped e Huawei Cloud Stack | Plataforma com software desenvolvido e mantido por instituições e equipes nacionais, baseada em padrões abertos |
| Onde está a soberania | Dados e operação | Dados, operação e tecnologia |
| Modelo | Contratação das estatais pelos órgãos | Parceria público privada com exigência de capital nacional, percentual ainda não definido |
| Próximo passo | Ampliação de cargas, como a jornada de migração de dados do SUS | Edital previsto pelo governo para até o fim de 2026 |
O caderno da escuta define a Nuvem Brasileira por dois atributos. Interoperabilidade, para que sistemas do governo possam migrar entre ambientes sem reescrita. E capacidade nacional, porque não basta ter acesso ao código fonte, é preciso domínio técnico efetivo no país sobre os sistemas críticos da nuvem.
As duas não são excludentes. O próprio Serpro reconhece que, no modelo atual, opera as plataformas mas não controla seu desenvolvimento tecnológico, e o governo já sinalizou que continuará usando nuvens comerciais onde fizer sentido.
Em projetos de IA, os dados sensíveis não ficam parados no banco de dados. Eles circulam pelo pipeline inteiro, e cada etapa é um ponto em que a pergunta sobre onde, quem e sob qual lei precisa ser respondida de novo.
O caderno da Nuvem Brasileira trata isso como requisito. A plataforma precisa oferecer serviços de IA generativa e machine learning com rastreabilidade de linhagem de dados e registro de métricas, justamente para garantir governança e auditabilidade dos modelos usados no setor público. Também precisa comprovar capacidade de rodar inferência e treinamento com o SLA exigido por aplicações críticas.
A saúde mostra a escala do que está em jogo. Em 11 de agosto de 2026, Ministério da Saúde e Serpro iniciaram a jornada de migração do CadSUS e da Rede Nacional de Dados em Saúde, que reúne mais de 5 bilhões de registros, para a nuvem soberana. A primeira etapa é de planejamento técnico, e não de transferência física. Qualquer IA que venha a operar sobre esses dados herdará as mesmas exigências de controle, auditoria e jurisdição.
Esse debate se conecta à governança de IA e à LGPD, e por isso precisa ser tratado desde o desenho do projeto, e não só na contratação da infraestrutura.
A principal é a Portaria SGD/MGI nº 5.950/2023, que define o modelo de contratação de software e de serviços de nuvem para os órgãos do SISP no Executivo federal. Ela exige que os dados tratados em nuvem sejam armazenados em data centers no Brasil e só admite tratamento fora do país quando houver cópia de segurança atualizada em território nacional.
A portaria também determina que cada órgão estabeleça sua própria Estratégia de Uso de Software e de Serviços de Computação em Nuvem. É nesse documento que ministérios e autarquias podem endurecer a regra geral, como fez o Ministério das Mulheres ao incluir o local de processamento e ao vedar o tratamento de informação classificada em nuvem pública.
Na prática, o gestor convive hoje com três camadas.
Por trás disso está o Plano Brasileiro de Inteligência Artificial, que prevê R$ 23,03 bilhões entre 2024 e 2028 e inclui a nuvem soberana entre suas iniciativas. Vale a ressalva de que a maior parte desse valor vem do FNDCT e majoritariamente na forma de crédito, e não de gasto direto do orçamento.
Este texto tem caráter informativo e não substitui a análise jurídica de cada contratação.
Comece classificando os dados por criticidade e só depois escolha modelo e infraestrutura. É a classificação que define onde cada etapa do pipeline de IA pode rodar, e não o contrário.
O roteiro abaixo traduz os critérios do Gradiente em decisões de engenharia.
Boa parte desse roteiro é engenharia de identidade, governança e continuidade, e não algo exclusivo do setor público. No varejo, a Sauter estruturou IAM e governança no Google Cloud para o Atacadão, com controle de quem acessa o quê em um ambiente de grande escala. Na indústria, desenhou proteção e recuperação de desastres para o Grupo Malwee, reduzindo em mais de 60% o esforço operacional de backup. São cases do setor privado, mas os problemas de controle de acesso, rastreabilidade e continuidade são os mesmos que o Gradiente mede.
A principal discussão é se uma nuvem operada por estatais, mas construída sobre tecnologia de provedores estrangeiros, entrega soberania plena ou apenas soberania de dados e de operação.
Quem defende o modelo atual argumenta que ele combina tecnologia madura, já testada em escala global, com controle físico e operacional nacional. Os dados ficam no país, a operação é de equipe pública e o Estado não precisa esperar anos por uma plataforma própria para proteger cargas críticas. Segundo a ministra Esther Dweck, Serpro e Dataprev já investiram mais de R$ 1,8 bilhão para trazer essa infraestrutura para dentro das estatais.
Quem cobra mais lembra que operar não é o mesmo que controlar a evolução da tecnologia. Atualizações, roadmap e cadeia de suprimentos continuam nas mãos dos fabricantes, e é exatamente essa camada que a Nuvem Brasileira tenta endereçar.
Há ainda um ponto em aberto. O próprio governo admite que a régua ainda está sendo calibrada, e o Gradiente deve receber uma revisão concentrada no pilar tecnológico.
Para o gestor, a consequência é simples. Soberania não é binária, e cada carga precisa ser avaliada pelo nível que de fato exige.
Não necessariamente. Nuvem privada descreve um modelo de implantação dedicado a uma organização. Nuvem soberana descreve um nível de controle sobre dados, operação e tecnologia. Uma nuvem privada administrada de fora do país, por exemplo, pode ter soberania baixa.
Sim, dentro das regras de cada contratação. A Nuvem de Governo usa stacks desses e de outros provedores instaladas nos datacenters de Serpro e Dataprev, com operação nacional. O que muda é o grau de soberania, que depende do pilar avaliado e da classificação dos dados.
É a norma que define o modelo de contratação de software e de serviços de nuvem para órgãos do SISP no Executivo federal. Ela exige armazenamento em data centers no Brasil e determina que cada órgão estabeleça sua estratégia de uso de nuvem.
Ainda não. O projeto passou pela escuta de mercado em setembro de 2026 e o governo prevê publicar o edital da parceria público privada até o fim do ano, com desenvolvimento estimado em cerca de dois anos.
Depende do dado que trafega. Para informações públicas ou anonimizadas, pode ser aceitável dentro da estratégia do órgão. Para dados pessoais sensíveis, sigilosos ou classificados, o processamento fora do ambiente controlado tende a conflitar com as regras de residência e com a estratégia de cada órgão.
A Portaria 5.950 se aplica aos órgãos do SISP no Executivo federal. Estados e municípios têm normas próprias, mas podem aderir voluntariamente ao catálogo da Nuvem de Governo, e a LGPD vale para todos.
Nenhum selo comercial torna uma nuvem soberana. O que define o nível de soberania é onde os dados são processados, quem guarda as chaves, quem administra o ambiente e o que acontece quando a conexão com o exterior cai. Em IA, essas perguntas se multiplicam a cada etapa do pipeline.
A Sauter trabalha nessa camada. Com mais de 1.000 projetos entregues, mais de 300 clientes e mais de 120 engenheiros, a empresa atua com identidade, governança, continuidade e IA em produção. Para o setor público, o Plexy AI Gov pode ser contratado via marketplace e também implantado em nuvem de governo, mantendo a IA dentro do ambiente que a classificação dos dados exige.
Quer avaliar o nível de soberania que o seu projeto de IA precisa? Converse com a engenharia da Sauter e conheça nossa atuação na página de setor público.
Transparência. A Sauter é Google Cloud Premier Partner e parceira oficial da Anthropic. Os provedores citados neste texto aparecem como exemplos dos ambientes em uso no governo, sem recomendação de fornecedor.
Este tema está dentro do nosso pilar de Cibersegurança e PAM. Veja como ficou na prática: Malwee, com redução de mais de 60% no esforço de gestão de backup.
Somos Google Cloud Premier Partner, Partner of the Year em 2023 e 2024, e a primeira parceira oficial da Anthropic no Brasil. Fale com um especialista.
Por Time Técnico e de Customer Experience da Sauter