Pontos-chave
- Quando se trata de soberania de dados, a IA muda o significado do conceito de controle. Ela abrange a forma como os dados são acessados, processados, transferidos, retidos e utilizados para treinar modelos, e não apenas onde estão armazenados.
- Cada interação de IA passa por cinco pontos de verificação de soberania, desde a entrada e a recuperação até a inferência, a saída e a retenção.
- A IA em ambiente próprio não é obrigatória para a soberania e, por si só, não é suficiente. Integrações, acesso administrativo e registros ainda precisam de governança.
- Os contratos com provedores de IA devem abranger o treinamento de modelos, locais de processamento, subprocessadores, retenção e exclusão.
- A implantação flexível e a liberdade de escolher modelos de IA permitem que as empresas se adaptem à medida que as regulamentações e os provedores mudam.
Introdução
A soberania de dados em IA é a capacidade de uma organização de manter o controle jurídico, operacional e técnico sobre seus dados em todas as etapas em que um sistema de IA os utiliza.
A maioria das pessoas ainda concebe a soberania em torno de uma única questão: onde os dados estão armazenados. A computação em nuvem já tornou essa resposta mais difícil. A IA torna isso ainda mais complicado, movimentando dados entre sistemas internos, modelos de terceiros e serviços em nuvem, muitas vezes com pouca visibilidade. Simplesmente armazenar dados em uma região aprovada não adianta se um serviço de IA os processa ou retém em outro lugar, pois a localização física por si só nunca garantiu o controle.
À medida que a IA se torna cada vez mais importante para a forma como as empresas operam, a boa notícia é que adoção e controle não precisam ser mutuamente exclusivos. A resposta está na governança em todos os pontos em que os dados interagem com a IA, apoiada por tecnologia que oferece opções.
O que é soberania de dados na IA?
A soberania de dados na IA leva os princípios da soberania de dados além do local onde os dados são armazenados e os aplica à forma como a inteligência artificial os utiliza. Duas atividades são as mais importantes:
- Treinamento e ajuste fino. Os dados são usados para construir ou aprimorar um modelo e podem permanecer dentro desse modelo muito tempo depois que o arquivo de origem for excluído.
- Inferência. Um modelo existente processa solicitações e o contexto recuperado para produzir uma resposta ou realizar uma ação.
Mesmo as empresas que nunca treinam um modelo precisam ter visibilidade sobre ambas as etapas, pois alguns serviços de IA podem usar os dados enviados para treinamento, a menos que contratos e configurações o impeçam.
Você também ouvirá falar em “IA soberana” no âmbito nacional, onde governos em todo o mundo buscam autonomia estratégica e segurança nacional, mantendo a computação, os modelos de base e os dados dentro das fronteiras nacionais e alinhados aos valores do país. Para as empresas, a soberania da IA é mais prática. Significa que é a sua organização, e não seus fornecedores, que decide como seus dados são utilizados.
Por que a IA torna a soberania de dados mais difícil de manter?
A IA adiciona novos locais de processamento, novos provedores e novas cópias de dados a cada solicitação. A Gartner
prevê que, até 2027, mais de 40% das violações de dados relacionadas à IA serão causadas pelo uso transfronteiriço inadequado da IA generativa.
A maior parte desse risco decorre de três mudanças na forma como a IA lida com os dados corporativos.
Dados em uso podem cruzar fronteiras
As cargas de trabalho de IA nem sempre são executadas onde seus dados estão armazenados. Um portal hospedado em Frankfurt pode acessar um endpoint de modelo em outra região. Os dados em repouso estão em conformidade, mas os dados em uso podem não estar, e cada travessia deve cumprir as regulamentações locais de ambos os lados.
Provedores terceirizados trazem suas próprias regras
Dependendo de seus termos, os provedores podem reter prompts, usá-los para treinamento ou recorrer a subprocessadores que você nunca avaliou. Sua sede jurídica também é importante. A Lei CLOUD dos EUA pode permitir o acesso estrangeiro independentemente da localização dos servidores, o que é uma das razões pelas quais as opções de nuvem soberana ganharam espaço no setor público.
O aprisionamento de modelo encarece as mudanças
O aprisionamento de modelo transforma uma mudança regulatória em um projeto de migração de plataforma. Uma arquitetura que permite alterar modelos à medida que os requisitos evoluem mantém essa decisão em suas mãos.
Onde a soberania de dados pode ser comprometida em uma interação com IA? Os cinco pontos de verificação
Cada solicitação de IA, seja ela proveniente de um funcionário que utiliza ferramentas de IA ou de um agente executando um fluxo de trabalho, passa por cinco pontos de verificação. Cada um deles levanta sua própria questão de soberania.
| Ponto de verificação | O que acontece com os dados | Questão de soberania | Controle que responde a ela |
| 1. Entrada | Solicitações, arquivos e contexto do usuário são inseridos no sistema de IA | Que dados os usuários podem enviar e para quais modelos? | Classificação, níveis de dados elegíveis para IA, minimização de dados |
| 2. Recuperação | A IA extrai o contexto do CMS, CRM, ERP e repositórios de documentos | A IA pode acessar dados aos quais o usuário solicitante não teria acesso? | Recuperação com consideração de permissões |
| 3. Inferência | O modelo processa os dados | Onde ocorre o processamento, sob quais leis e por qual provedor? | Escolha do modelo, compromissos regionais, modelos privados ou auto-hospedados para dados regulamentados |
| 4. Resultado e ação | São geradas respostas, ou um agente insere os dados de volta nos sistemas | Quem analisa os resultados antes que cheguem aos clientes ou sejam registrados? | Revisão com intervenção humana, trilhas de auditoria |
| 5. Retenção, reutilização e treinamento | Logs, caches, embeddings e conjuntos de ajuste fino são mantidos | Alguma informação é mantida ou utilizada para treinar modelos, e ela pode ser excluída? | Cláusulas de não treinamento, limites de retenção, direitos de exclusão e exportação |
Se sua organização realiza o ajuste fino ou o treinamento de seus próprios modelos, trate os dados de treinamento como uma cópia persistente com suas próprias regras de classificação, acesso e exclusão.
Um controle rigoroso em quatro pontos de verificação não compensa uma falha no quinto.
Manter a soberania dos dados significa construir sua própria pilha de IA?
Não. Possuir a pilha completa de IA não é necessário nem suficiente.
Embora assumir o controle total desde a camada física para cima faça sentido para algumas cargas de trabalho governamentais e de infraestrutura crítica, para a maioria das empresas, isso é complexo, imobiliza recursos de computação e engenharia e isola as equipes das melhorias em ritmo acelerado nos modelos de base. Uma abordagem mais prática adapta a infraestrutura de IA à sensibilidade dos dados, reservando modelos auto-hospedados ou privados para dados regulamentados, como registros de saúde, e utilizando modelos gerenciados por terceiros para casos de uso de menor risco.
Um modelo privado ainda pode expor dados confidenciais por meio de integrações, acesso administrativo, fontes de recuperação e logs retidos.
É assim que a transformação funciona sem precisar recomeçar do zero. Você obtém um controle mais forte onde é necessário, ao mesmo tempo em que aproveita ao máximo os sistemas que já possui.
Como as empresas podem manter a soberania dos dados ao usar IA?
Essas seis etapas incorporam a governança de IA às suas iniciativas de IA, permitindo que elas sejam ampliadas sem perder o controle.
1. Mapeie e classifique os dados que a IA utiliza
Estenda suas práticas existentes de gerenciamento de dados à IA. Mapeie cada caso de uso de IA em relação aos cinco pontos de verificação, classifique dados regulamentados e confidenciais e defina quais modelos podem lidar com cada categoria. Aplique a minimização de dados para que cada tarefa receba apenas os dados de que precisa.
2. Adeque os modelos e a implantação à sensibilidade dos dados
Avalie as opções de nuvem, privada, híbrida e auto-hospedada com base em onde ocorre o armazenamento e o processamento dos dados, quem opera a infraestrutura e quem pode acessar os dados. Mantenha a liberdade de trocar de provedor posteriormente, para que uma mudança regulatória não force uma reconstrução.
3. Aplique suas políticas existentes de acesso e uso à IA
As integrações de IA devem herdar as regras de identidade e autorização da sua empresa, e somente modelos e serviços aprovados devem ter acesso a dados confidenciais. No caso dos agentes, uma boa governança de agentes de IA começa por saber quem concedeu a cada um acesso a quais dados.
4. Inclua a soberania nos contratos com os provedores
Busque termos claros sobre propriedade dos dados, locais de processamento, treinamento de modelos, retenção e exclusão, bem como notificações sobre mudanças de subprocessadores, acesso administrativo e mecanismos de transferência internacional. Exija documentação que comprove o controle durante auditorias de segurança e conformidade.
5. Faça testes-piloto com dados sintéticos
Não teste versões prévias ou experimentais de ferramentas de IA com dados reais de clientes. Use dados sintéticos ou anônimos até que a ferramenta seja aprovada nas avaliações de segurança e conformidade, e confirme por escrito se algo enviado durante o período de teste será retido ou usado para treinamento.
6. Atribua responsabilidade e reavalie continuamente
Mantenha registros das interações de IA e do acesso aos dados, com supervisão humana sobre os resultados. Os marcos regulatórios exigem isso cada vez mais, e a Lei de IA da UE determina que sistemas de IA de alto risco permitam o registro automático de eventos ao longo de sua vida útil. Divida a responsabilidade entre as equipes de TI, jurídica, de segurança e de governança de dados, e reavalie sempre que os casos de uso se expandirem ou os fornecedores adicionarem recursos. A soberania é um requisito operacional contínuo, não um exercício pontual.
O que você deve perguntar a uma plataforma ou fornecedor de IA antes de adotá-la?
Leve essas perguntas para qualquer avaliação de fornecedor de IA, seja ao analisar um fornecedor de modelos, uma plataforma ou um recurso de IA dentro de um software que você já utiliza. As respostas mostram quanto controle você realmente manterá após a entrada em operação, e respostas sólidas vêm acompanhadas de documentação verificável, em vez de garantias verbais.
| Pergunta | Como é uma boa resposta |
| Onde os prompts, os dados recuperados, os resultados e os registros são processados e armazenados? O processamento pode ser restrito a uma região? | Regiões especificadas para cada etapa, respaldadas por contrato |
| Nossos dados são usados para treinamento? | Não, por padrão; apenas com consentimento expresso e estipulado no contrato |
| A IA respeita nossas permissões de usuário existentes? | A IA só tem acesso aos dados que o usuário solicitante está autorizado a ver |
| O que o provedor garante e o que fica a nosso cargo? | Um modelo de responsabilidade compartilhada por escrito |
| Que evidências vocês podem compartilhar? | Certificações atuais, direitos de auditoria e notificação prévia sobre novos subprocessadores |
| Podemos alterar os modelos ou a hospedagem posteriormente, bem como exportar ou excluir nossos dados? | Escolha do modelo, múltiplas opções de implantação e procedimentos documentados de exportação e exclusão |
Avalie toda a arquitetura de IA, incluindo integrações e serviços de terceiros, e não apenas um produto de IA isoladamente. É isso que diferencia as soluções de IA prontas para uso corporativo das demonstrações que parecem seguras.
Como o Liferay DXP ajuda as empresas a manter o controle sobre os dados utilizados pela IA?
O Liferay DXP oferece à sua equipe opções nos pontos em que a soberania é decidida, incluindo onde a plataforma é executada, a quais modelos de IA ela se conecta e o que esses modelos podem acessar.
- Opções de implantação. As opções de implantação do Liferay, incluindo SaaS, PaaS e auto-hospedado, rodam todas na mesma plataforma, e o Liferay DXP também pode ser executado em infraestrutura gerenciada pelo cliente ou com provedores de nuvem regionais e soberanos. Com a opção auto-hospedada, o Liferay DXP não processa dados pessoais em seu nome; já nas ofertas em nuvem, você escolhe a região de hospedagem.
- Escolha do modelo. Sob a abordagem “Traga sua própria IA”, você conecta seus próprios modelos ou de terceiros por meio de APIs compatíveis e permanece responsável por essa integração e pelos termos do modelo.
- Sem treinamento com seus dados. O Liferay DXP não usa dados fornecidos pelo cliente para treinar modelos de IA, nem permite que terceiros o façam, sem a sua permissão.
- Agentes que herdam permissões. O Liferay AI Hub executa agentes em nome de usuários autenticados do Liferay DXP, de modo que eles vejam apenas o que esses usuários têm permissão para ver.
- Governança certificada. O Sistema de Gerenciamento de IA da Liferay possui certificação ISO/IEC 42001, está alinhado a estruturas como a Lei de IA da UE e é orientado por padrões éticos, como imparcialidade, transparência e supervisão humana. Clientes na nuvem recebem aviso prévio sobre novos subprocessadores e podem se opor.
Os recursos da plataforma oferecem suporte à governança, mas não substituem sua própria avaliação dos modelos, serviços externos e configurações que você escolher. O Liferay DXP e seus parceiros trabalham diretamente com suas equipes técnicas e jurídicas nessas decisões.
Como você pode construir uma estratégia de IA que mantenha seus dados sob controle?
A expansão da IA e a manutenção da soberania de dados andam de mãos dadas quando você controla os pontos de passagem dos dados, em vez de tentar controlar toda a pilha. Isso requer visibilidade dos fluxos de dados de IA, salvaguardas em cada ponto de verificação e flexibilidade para alterar modelos e implantações à medida que as regras mudam. Acertando nesses pontos, a soberania se torna uma fonte de confiança do cliente, em vez de um freio à inovação.
Descubra como o Liferay AI Hub e o Liferay DXP conectam a IA aos seus sistemas existentes,
enquanto você mantém o controle sobre os dados confidenciais.
Perguntas frequentes
As empresas podem manter a soberania de dados ao usar IA baseada em nuvem?
Sim. A IA baseada em nuvem pode atender aos requisitos de soberania quando você tem controle operacional sobre onde os dados são processados, onde ficam armazenados, quem pode acessá-los e por quanto tempo são retidos. Os compromissos que você pode verificar e fazer valer são mais importantes do que a nuvem que você utiliza.
Quem é responsável pela conformidade quando um modelo de terceiros é conectado por meio de uma plataforma?
A responsabilidade é compartilhada. A plataforma protege sua própria camada, enquanto sua organização controla a escolha do modelo, a integração e os termos do provedor do modelo. Uma plataforma que documente claramente essa divisão de responsabilidades torna o risco mais fácil de gerenciar.
Como a soberania de dados em IA se relaciona com o GDPR e a Lei de IA da UE?
O processamento de IA está sujeito às regras existentes de proteção de dados, incluindo as restrições do GDPR sobre transferências internacionais. A Lei de IA da UE acrescenta obrigações de governança para sistemas de alto risco, como registro de atividades e supervisão humana. Os requisitos variam amplamente entre os países; portanto, é importante entender como a conformidade com a soberania de dados difere de acordo com a região.
