Soberania de dados: as 4 perguntas que todo contrato de IA precisa responder antes de ser assinado

15 de jul. de 2026

Arthur Frota

A maioria das empresas que contrata uma ferramenta de IA assina o contrato pensando em funcionalidade. Poucas leem as cláusulas de dados com a mesma atenção que leem preço e prazo. Esse descuido tem um nome técnico: cessão implícita de soberania de dados.

Soberania de dados é a capacidade da empresa de controlar onde seus dados estão, quem pode acessá-los, para que são usados e como podem ser removidos. Quando essa capacidade é transferida para um fornecedor por contrato mal negociado, a empresa perde controle sobre um ativo que gerou, pagou para armazenar e precisa proteger por exigência legal.

Poucas empresas conseguem responder com segurança a perguntas relativamente simples mas incômodas: quem pode acessar meus dados em situações extremas? Que legislações se aplicam a eles fora do meu país de origem? Meus dados estão sendo usados para treinar modelos de IA que eu não controlo? Essas perguntas precisam ter resposta antes da assinatura, não depois de um incidente.

O que é soberania de dados e por que virou prioridade em 2026

Soberania de dados não é o mesmo que privacidade, e não é o mesmo que segurança. Os três conceitos se sobrepõem mas têm escopo distinto.

Privacidade trata dos direitos do titular sobre suas informações pessoais. Segurança trata da proteção técnica contra acesso não autorizado. Soberania trata de autonomia estratégica: a empresa saber exatamente onde seus dados estão, sob qual jurisdição, com quais garantias de portabilidade e com qual capacidade de remoção quando necessário.

Uma organização pode estar plenamente em conformidade com a legislação, certificada em normas de segurança e ainda assim profundamente dependente de estruturas, decisões e infraestrutura que não controla. Esse é o risco que a soberania de dados endereça, e é exatamente o risco que cresce quando a empresa integra IA de terceiros à sua operação.

No Brasil, a pressão regulatória tornou esse tema urgente. Setores estratégicos como financeiro, saúde, energia e governo já adotam políticas que priorizam provedores com infraestrutura no Brasil, e há expectativa de novas diretrizes sobre transferência internacional de dados com foco em transparência e rastreabilidade. Para as empresas médias, a questão não é mais se vai chegar. É se os contratos atuais já estão preparados.

Por que o risco é maior com ferramentas de IA do que com outros fornecedores de tecnologia

Quando uma empresa contrata um ERP ou um CRM, os dados ficam no banco de dados do sistema. Eles são usados para operação, não para aprimorar o produto que o fornecedor vende para outros clientes.

Com ferramentas de IA, o modelo pode ser melhorado com os dados que os clientes inserem. Em versões gratuitas, existe um risco real de que informações influenciam respostas futuras se usadas no treinamento. Em versões corporativas ou via API, os dados ficam isolados no ambiente do cliente, protegidos por contrato. A diferença entre os dois cenários é inteiramente contratual.

Sem orientação corporativa, o colaborador tende a tratar a ferramenta de IA como um buscador avançado, quando na realidade está transferindo dados para fora do perímetro organizacional e potencialmente colocando em risco o capital intelectual da empresa e dados pessoais. A maior parte dos incidentes envolvendo IA não ocorre por má fé, mas por desconhecimento: um colaborador envia um contrato para revisão, outro cola um trecho de código proprietário, um analista inclui dados de clientes em uma análise.

O risco não está só no que a empresa formalmente contrata. Está no uso cotidiano não monitorado, onde dado sensível entra em ferramenta não homologada sem que ninguém perceba.

As 4 perguntas obrigatórias antes de assinar qualquer contrato de IA

Pergunta 1: para onde vão os dados que eu insiro na ferramenta?

Essa pergunta parece óbvia e raramente é respondida no processo de negociação. Os dados inseridos ficam em servidores do fornecedor? Em qual país? Sob qual legislação? Se o servidor fica fora do Brasil, a LGPD exige que a empresa garanta proteções equivalentes às da lei brasileira para a transferência internacional de dados.

O contrato precisa especificar: localização geográfica dos servidores onde os dados são processados e armazenados, jurisdição aplicável, e se há subcontratados com acesso aos dados. Fornecedor que não consegue responder a essas três questões com precisão não tem controle suficiente sobre sua própria infraestrutura para garantir soberania ao cliente.

Pergunta 2: meus dados são usados para treinar o modelo?

Esta é a pergunta que a maioria das empresas não faz e que os fornecedores geralmente não respondem voluntariamente. Treinar modelos de IA com os dados dos clientes é uma prática que existe, varia por fornecedor e plano, e raramente está destacada na proposta comercial.

O contrato precisa ter cláusula explícita que proíba o uso dos dados da empresa para retreinamento ou aprimoramento do modelo do fornecedor, defina que os dados inseridos são usados exclusivamente para gerar a resposta da sessão específica, e especifique se algum dado é retido para fins de segurança ou auditoria e por quanto tempo. A ausência de cláusula sobre esse ponto não é garantia de que não acontece. É uma lacuna que o fornecedor pode interpretar a seu favor.

Pergunta 3: quem mais pode acessar os meus dados?

Fornecedores de IA trabalham com infraestrutura de nuvem de terceiros, têm times de engenharia que fazem manutenção e depuração de sistemas, e em alguns casos têm revisores humanos que analisam amostras de interações para melhorar o modelo. Cada um desses pontos de acesso é um risco potencial para dados corporativos sensíveis.

O contrato precisa listar quais categorias de funcionários do fornecedor têm acesso técnico aos dados, se há subprocessadores com acesso e quem são, e quais controles de acesso existem para limitar quem dentro do fornecedor pode ver os dados do cliente. A dependência extrema de um único fornecedor é hoje um risco operacional que precisa constar do mapa de riscos corporativo. Do ponto de vista jurídico, isso implica a adequação dos contratos de processamento de dados para permitir portabilidade entre provedores sem fricção excessiva.

Pergunta 4: como os meus dados são excluídos quando encerro o contrato?

Encerrar um contrato de SaaS costuma ser simples: acesso é revogado, conta é fechada. Com IA, o dado pode ter sido usado em treinamento, pode estar em backups com retenção longa, pode estar distribuído por múltiplos sistemas do fornecedor. A exclusão não é automática e raramente é completa sem cláusula específica.

O contrato precisa definir o prazo máximo para exclusão após encerramento, o que é incluído na exclusão como dados inseridos, logs de uso e dados derivados, a forma de confirmação da exclusão por escrito, e o que acontece com dados que estejam em backups de segurança do fornecedor. Sem essa cláusula, a empresa pode encerrar o contrato e descobrir que seus dados continuam em servidores de terceiros por meses.

Checklist de contrato: o que verificar antes de assinar

Leve esse checklist para o jurídico antes de qualquer assinatura de contrato de IA que envolva dados corporativos.

Localização e jurisdição dos dados

[ ] O contrato especifica em qual país os dados são armazenados e processados?
[ ] A jurisdição aplicável aos dados está definida?
[ ] Há lista de subprocessadores com acesso aos dados?
[ ] Para transferência internacional: há cláusula de proteção equivalente à LGPD?

Uso dos dados para treinamento

[ ] O contrato proíbe explicitamente o uso dos dados para retreinamento do modelo?
[ ] Há cláusula que limita o uso dos dados à sessão de uso específica?
[ ] Está definido se algum dado é retido para fins de segurança ou auditoria, e por quanto tempo?

Controle de acesso

[ ] O contrato lista quais categorias de funcionários do fornecedor têm acesso técnico?
[ ] Há definição de controles de acesso interno do fornecedor?
[ ] Existe processo documentado para notificação em caso de acesso não autorizado?

Exclusão ao encerrar contrato

[ ] O prazo máximo para exclusão após encerramento está definido?
[ ] O escopo da exclusão cobre dados inseridos, logs e dados derivados?
[ ] Há previsão de confirmação formal da exclusão por escrito?
[ ] O tratamento de dados em backup está coberto pela cláusula de exclusão?

Resultado: todas as caixas marcadas indicam contrato com proteções mínimas de soberania de dados. Qualquer caixa em branco é um ponto de risco que precisa ser endereçado em negociação antes da assinatura.

Perguntas frequentes

A LGPD cobre todos esses pontos automaticamente?
A LGPD estabelece princípios e obrigações, mas não substitui cláusulas contratuais específicas. Ela exige que a empresa controladora garanta que seus operadores cumpram a lei, mas cabe à empresa negociar e documentar como esse cumprimento acontece em cada contrato. Um contrato omisso sobre localização de dados ou sobre uso para treinamento não está em conformidade pelo simples fato de o fornecedor ser grande ou conhecido.

Ferramentas gratuitas de IA usadas pelo time precisam do mesmo cuidado?
Sim, e com atenção ainda maior. Dados mostram que funcionários já inseriram dados sensíveis em ferramentas de IA não autorizadas, e o shadow AI representa hoje 20% das violações de dados, com custo médio de US$ 4,63 milhões por incidente. Ferramentas gratuitas geralmente têm termos de uso que permitem uso dos dados para treinamento. A empresa precisa de política clara sobre quais ferramentas são homologadas e quais dados nunca devem sair do ambiente corporativo.

E se o fornecedor se recusar a incluir alguma dessas cláusulas?
A recusa a incluir cláusula de não uso para treinamento ou de exclusão documentada ao encerrar o contrato é um sinal de risco, não apenas uma questão de negociação. Fornecedores que oferecem versões corporativas com isolamento de dados aceitam essas cláusulas porque são parte do modelo de negócio. Fornecedores que resistem provavelmente dependem dos dados do cliente para aprimorar o produto. Essa informação precisa entrar na decisão de contratação.

Vendor lock-in é um risco de soberania de dados?
Sim. A dependência de um único fornecedor é hoje um risco operacional que precisa constar do mapa de riscos corporativo. A estratégia com múltiplos provedores não é mais uma sofisticação técnica opcional: é uma medida básica de continuidade de negócios. Do ponto de vista de soberania de dados, isso significa garantir contratualmente que os dados podem ser exportados em formato acessível e que a migração para outro fornecedor não cria dependência técnica irresolvível.