Inovar sem proteger é criar uma bomba-relógio com os dados do cidadão. Entenda o que está em jogo, quais são os gaps reais e o que precisa mudar para que o Brasil avance com autonomia no ambiente cibernético. 

Por Carlos Dubeux Kawamura: A soberania digital é a capacidade de um Estado de decidir, com autonomia, quem acessa seus dados, onde eles estão armazenados e sob quais regras circulam, sem depender de decisões tomadas por outros países ou empresas.

Com a digitalização acelerada dos serviços públicos e a crescente dependência de infraestruturas tecnológicas estrangeiras, o Brasil tornou-se um dos países mais vulneráveis a rupturas na continuidade operacional do Estado e ao vazamento de dados estratégicos do cidadão.

A questão já não é se o país sofrerá pressões sobre sua autonomia digital, mas se a gestão pública está preparada para reconhecê-las e enfrentá-las antes que o custo se torne irreversível.

Neste artigo, você vai entender:

• O que é soberania digital e por que ela varia conforme o contexto institucional;
• Por que inovar sem proteger cria vulnerabilidades estruturais no Estado;
• Como o hardware, a nuvem e os modelos de IA afetam o controle soberano sobre os dados;
• Quais são os riscos da Shadow IA e dos agentes autônomos sem governança;
• Quais prioridades gestores públicos e CISOs precisam colocar em prática agora.

O que é soberania digital e por que ela não é igual para todos 

Soberania digital não é um conceito uniforme. Ela varia conforme o contexto institucional de quem precisa exercê-la. 

Para um banco público, soberania significa garantir que transações financeiras sejam processadas com confiabilidade e que os dados dos correntistas estejam sob controle nacional. Para o Judiciário, o foco está na classificação e proteção de informações sensíveis, atos preparatórios, decisões antes da assinatura, dados de partes em litígio. Já para entidades como o Serpro, a Dataprev e a Telebrás, soberania tem uma dimensão de infraestrutura: prover a base tecnológica crítica sobre a qual opera todo o Estado brasileiro. 

O que é comum a todos esses casos é o núcleo do problema: ter autodeterminação e controle sobre os dados que importam. 

O paradoxo dos dados: mais valiosos e mais expostos ao mesmo tempo 

Vivemos um momento de dicotomia clara. Os dados nunca foram tão estratégicos e nunca estiveram tão expostos. 

A digitalização acelerada dos serviços públicos ampliou enormemente a superfície de ataque. Sistemas que antes operavam em ambientes isolados agora estão conectados, integrados e, em muitos casos, dependentes de tecnologias desenvolvidas fora do Brasil. 

Ao mesmo tempo, o vetor de vazamento mudou radicalmente. Não se vaza mais dado pelo pendrive. Hoje, a exfiltração acontece via prompts de IA, por agentes autônomos mal configurados, por credenciais comprometidas em ambientes de nuvem. O dado crítico sai de dentro para fora de formas que os controles tradicionais não foram projetados para detectar.

Atenção: Inovar sem proteger, nesse cenário, é literalmentecriar uma bomba-relógio com os dados do cidadão. 

O desequilíbrio entre inovar e proteger 

Há uma assimetria estrutural no setor público que precisa ser nomeada: a inovação é visível, a segurança é invisível e só aparece quando falha. 

Gestores são cobrados por entregas que o cidadão percebe: sistemas mais rápidos, integração de serviços, digitalização de processos. Cibersegurança, por outro lado, não gera manchete quando funciona. O investimento em proteção não aparece no relatório de gestão. Só aparece no dia do incidente. 

Esse desequilíbrio tem consequências diretas: projetos de inovação avançam sem que as camadas de proteção correspondentes sejam construídas junto. O resultado é um Estado que expande sua presença digital sem expandir, na mesma proporção, sua capacidade de defesa. 

A realidade da indústria nacional: ainda dependente, mas em movimento 

O Brasil ainda não tem, em escala suficiente, produtos nacionais de cibersegurança comparáveis ao que é desenvolvido globalmente. Isso não é uma crítica, é uma constatação que precisa orientar decisões de política pública e de investimento privado. 

A dependência de tecnologia externa para acompanhar o ritmo dos ataques é uma realidade operacional, não uma escolha ideológica. Os ataques modernos usam IA para operar com velocidade e volume que não existiam há dois anos: comandos que antes exigiam interação manual agora são executados em segundos, em escala. Defender esse perímetro sem ferramentas à altura é matematicamente inviável. 

A saída não é fechar as portas para o exterior. É construir uma arquitetura híbrida consciente: manter os dados mais críticos em infraestrutura nacional, com controle total sobre a camada física e lógica, e usar tecnologia externa onde ela é necessária para a defesa com governança clara e auditabilidade.

O problema do hardware: soberania começa na camada física 

Há uma pergunta que poucos fazem com a seriedade que merece: é possível ter soberania digital sem controle sobre o hardware? 

A resposta é direta: não. Se a camada física pertence a outro país ou a outra empresa, o controle sobre os dados que trafegam por ela é, no mínimo, parcial. A mesma lógica se aplica à IA: usar um LLM externo para processar dados estratégicos do Estado é abrir mão de um pedaço relevante da soberania sobre aquelas informações. 

Isso não significa isolar o Brasil tecnologicamente. Significa entender onde a dependência é aceitável e onde ela é um risco que o Estado não pode se dar ao luxo de assumir. 

IA, agentes autônomos e a próxima fronteira do risco 

O próximo grande desafio de soberania digital já está se formando: a proliferação de agentes de IA sem governança adequada. 

Hoje, organizações públicas e privadas estão implantando agentes autônomos por vezes sem saber exatamente o que esses agentes fazem, com quem se comunicam e quais dados acessam. Quando esses agentes começarem a se interconectar, a ausência de um orquestrador soberano criará um ponto cego estratégico de proporções ainda difíceis de mensurar. 

O monitoramento de Shadow IA, o uso não autorizado de ferramentas de inteligência artificial dentro de órgãos públicos é o primeiro passo. Entender o que circula, quais prompts são enviados, quais dados são compartilhados com modelos externos. A partir disso, construir camadas de prevenção de vazamento que viabilizem o uso responsável. 

Princípio: A segurança precisa ser viabilizadora, não obstáculo. Bloquear não funciona. Nunca funcionou. 

O gargalo humano: operadores de ferramenta ou profissionais de cibersegurança? 

Tecnologia sem pessoas capazes de operá-la com profundidade não resolve problema nenhum. E aqui o Brasil enfrenta um gargalo crítico. 

O mercado tem formado, em larga escala, operadores de ferramentas  profissionais que sabem clicar, configurar e monitorar dashboards, mas que não têm a base técnica para entender o que está acontecendo por baixo. Quando o alerta aparece, eles sabem reportar. Quando precisam investigar a causa raiz, travar a movimentação lateral, fazer forense e propor uma correção estrutural aí a conta não fecha. 

A integração entre academia e indústria é parte da resposta. Não existe ainda, de forma sistêmica, essa ponte no Brasil. Mas ela está sendo construída e precisa ser acelerada. 

O que precisa mudar: prioridades para gestores públicos 

A discussão sobre soberania digital precisa se traduzir em decisões de gestão. Algumas prioridades são claras: 

• Governança antes da ferramenta: Implementar tecnologia sem ter processos claros de classificação da informação, gestão de identidades e controle de acesso é desperdiçar investimento. O DLP mais sofisticado do mercado não funciona se os dados não estão classificados. 

• Arquitetura híbrida com critérios definidos: Mapear quais dados e sistemas exigem soberania absoluta e onde a tecnologia internacional pode ser usada com governança adequada. 

• Visibilidade sobre Shadow IA agora: Antes de regulamentar o uso de IA, entender o que já está acontecendo. Ferramentas de análise de tráfego e monitoramento de prompts são o ponto de partida. 

• Governança de agentes autônomos como prioridade emergente: Antes de multiplicar agentes de IA nos processos públicos, definir quem é responsável por eles, quais dados podem acessar e como seu comportamento é auditado. 

• Integração academia indústria com urgência:  O Brasil tem capital intelectual para desenvolver soluções nacionais competitivas. O que falta é o investimento estruturado e a ponte entre pesquisa e aplicação real. 

Soberania digital não é escolha, é condição de existência do Estado moderno 

A resposta honesta para a pergunta que dá nome a este artigo é: parcialmente, e com muita distância ainda a percorrer. 

O caminho não é fechar fronteiras tecnológicas. É construir, com urgência e método, a capacidade de decidir o que fica dentro, o que vai para fora e com que condições. É ter infraestrutura nacional capaz de hospedar o que é mais crítico. É ter profissionais capazes de operar com profundidade, não apenas apertar botões. É ter uma indústria nacional que cresça à altura do desafio. 

A soberania digital não é um destino. É uma prática contínua de governança, investimento e decisão estratégica. 

Fale com os especialistas da ISH e entenda como construir uma estratégia de soberania digital para o seu órgão.