A soberania de dados em IoT deixou de ser debate técnico e virou disputa de poder regulatório. De um lado, o Estado brasileiro avança com propostas como o PL 4218/2025, que trata infraestrutura de dados como pilar de defesa e segurança nacional. De outro, o setor de infraestrutura reage à regulamentação de data centers (PL 3018/2024), alertando para o custo de conformidade duplicado.
No meio dessa disputa está a operação de IoT: cada dispositivo conectado no Brasil já responde simultaneamente à LGPD, à ANPD, ao Banco Central e à ANATEL — e a arquitetura escolhida hoje determina se a empresa navega essa sobreposição ou fica refém dela.
A narrativa dominante sobre soberania de dados costuma ser simplificada: contratar uma "nuvem soberana" ou manter data centers locais resolveria o problema. Esse discurso ganhou força institucional com o PL 4218/2025, que propõe uma Política Nacional de Soberania Digital e enquadra infraestrutura de dados como pilar de defesa nacional.
O setor de infraestrutura contesta essa simplificação. Análises críticas ao PL 3018/2024, que regulamenta data centers, apontam que o excesso de dirigismo técnico — e a exigência de auditoria de algoritmos — ameaça segredos industriais e reduz a competitividade do país para atrair investimento. O argumento central: leis sobrepostas geram duplo custo de conformidade, afastando o ecossistema de soluções eficientes no longo prazo.
Nenhum dos dois lados está simplesmente certo ou errado — o ruído está exatamente nessa tensão não resolvida.
No Brasil, operações de IoT são espremidas por competências regulatórias sobrepostas — a arquitetura de dados virou o ponto de falha mais crítico do negócio. Um dispositivo conectado não responde só à LGPD e à ANPD: cruza também exigências do Banco Central, que impõe capacidade de repatriar ao Brasil dados de instituições financeiras hospedados no exterior e políticas rígidas de backup, e da ANATEL, que exige princípios de segurança desde a concepção de equipamentos de telecomunicações conectados. Relatórios da própria ANPD reconhecem que agentes de mercado ficam reféns de diretrizes sobrepostas — um vazamento via IoT pode configurar, ao mesmo tempo, falha setorial e incidente de privacidade, com risco de dupla punição pelo mesmo fato (bis in idem).
O que equilibra esse cenário é menos visível: o CGI.br opera desde 1995 sob modelo de governança multissetorial — reunindo governo, mercado, terceiro setor e academia — e já tratava privacidade como pilar em 2009, nos "Princípios para a Governança e Uso da Internet no Brasil", antes de a LGPD existir. Seu braço executivo, o NIC.br, mantém cooperação técnica com a ANPD, com o CERT.br respondendo a incidentes de segurança cibernética nacionais e o Cetic.br produzindo indicadores sobre adoção de tecnologias de privacidade no país.
Termômetro de Maturidade no Brasil: Pilotos, avançando para Escala nos setores sob fiscalização mais direta — energia, saúde, fintech e telecomunicações.
Os setores mais expostos a essa sobreposição regulatória são exatamente os mais monitorados: energia e infraestrutura crítica, saúde, fintechs e provedores de telecomunicações com equipamentos conectados. Para instituições financeiras, a exigência do Banco Central de repatriação de dados hospedados no exterior cria dependência direta da arquitetura de nuvem escolhida. Para fabricantes de equipamentos IoT conectados, a exigência de segurança desde a concepção do hardware, cobrada pela ANATEL, entra na fase de projeto — não depois do lançamento.
O risco organizacional central é o bis in idem: um mesmo incidente pode ser enquadrado simultaneamente como falha de prestação de serviço por uma agência setorial e como incidente de privacidade pela ANPD, multiplicando a exposição regulatória de um único evento. Isso torna a arquitetura de dados — não apenas a documentação de conformidade — o ativo que determina se a empresa consegue operar sob múltiplas jurisdições regulatórias ao mesmo tempo
ISSO É BOM PARA QUEM?
Os resultados mais consistentes têm surgido em projetos-piloto voltados para inspeção preditiva de ativos, triagem inteligente em centros de distribuição e suporte à manutenção assistida em ambientes controlados. Nesses cenários, a combinação entre IA e automação já contribui para ganhos de eficiência, redução de falhas e maior produtividade operacional.
• Setores que devem agir agora: fintechs e instituições financeiras sob fiscalização do BACEN, fabricantes e operadoras de equipamentos de telecomunicações sob a ANATEL, energia e infraestrutura crítica, saúde.
• Perfil organizacional: empresas que processam dado regulado por mais de uma agência simultaneamente — por exemplo, dado financeiro que também é dado pessoal — o cenário de maior exposição ao bis in idem.
• Quem deve preparar terreno antes de investir: qualquer operação de IoT que hospeda dado no exterior e ainda não mapeou explicitamente qual agência (ANPD, BACEN, ANATEL) tem competência sobre qual fluxo de dado.
• Quem pode observar e aguardar: operações domésticas de pequeno porte, sem dado financeiro ou de telecomunicações regulado, sem operação internacional. Ainda assim, acompanhar a tramitação do PL 4218/2025 e do PL 3018/2024 é recomendável — o cenário de exigências pode mudar rapidamente.
Exagera a promessa de que comprar uma “NUVEM SOBERANA” é um aquisição única que resolve o problema de forma permanente
A perigosa dependência de infraestrutura estrangeira somada à LGPD e regras setoriais sobrepostas, sem processos unificados de auditoria
O custo mais caro da sobreposição regulatória não aparece na fatura de compliance — aparece no risco de dupla punição pelo mesmo incidente (bis in idem) e no tempo de times jurídico e técnico gasto reconciliando exigências de agências diferentes sobre o mesmo dado. Organizacionalmente, empresas que tratam BACEN, ANATEL e ANPD como silos separados pagam duas vezes pelo mesmo problema. Ignorar o ecossistema técnico já existente — CGI.br, NIC.br, CERT.br — também tem custo: são estruturas de conhecimento e cooperação já formalizadas que reduzem a necessidade de resolver tudo sozinho.
A ideia de que uma “nuvem soberana” seria uma solução definitiva é um exagero. Essa visão simplista ignora a complexidade do cenário regulatório e tecnológico. A verdadeira maturidade está nos projetos-piloto mais avançados, especialmente em setores altamente regulados, onde a arquitetura federada ainda é privilégio de grandes players.
No Brasil, o desafio é ainda maior: há uma dependência significativa de infraestrutura estrangeira, somada a regras setoriais sobrepostas. Isso pode resultar em custos duplicados de compliance e até mesmo em risco de dupla punição, o chamado bis in idem.
Quem precisa agir imediatamente são as operações de IoT em energia, saúde, infraestrutura crítica e fintechs que lidam com dados sensíveis em trânsito. Já as operações domésticas de menor escala devem observar atentamente e se preparar, acompanhando de perto a tramitação do PL 4218/2025 e do PL 3018/2024, que têm potencial para alterar o cenário de forma rápida e profunda.
O FBIoT existe para transformar complexidade tecnológica em decisão estratégica.
Continue acompanhando nossa curadoria ou participe dos próximos debates do ecossistema.
1) “Data Sovereignty in Global IoT Deployments: Why Architecture Matters More Than Ever”, por Manuel Nau, IoT Business News (jul/2026).
2) AGENDA REGULATÓRIA - Portal Gov.br
3) Ato nº 77, de 05 de janeiro de 2021 - arctel-cplp
4) BACEN e Backup: Requisitos para Instituições Financeiras - DataBackup
5) Estratégia Brasileira para Transformação Digital - Portal Gov.br
6) GT3 – Coordenação Interinstitucional e Eficiência Administrativa da ANPD Relatório Final Membros - Portal Gov.br
7) Regulamentação de Data Centers de IA (PL3018/24) - Senado Federal
8) Novas exigências do Banco Central para segurança cibernética já estão em vigor e ampliam responsabilidades no setor financeiro - SegInfo
9) Segurança Cibernética do Setor Elétrico Brasileiro: Desafios Regulatórios e Tecnológicos - Gesel-UFRJ
10) Transferência Internacional de Dados - Portal Gov.br
O Fórum Brasileiro de IoT atua conectando inovação, indústria, pesquisa e desenvolvimento tecnológico.
Caso precise de materiais adicionais ou tenha interesse em desenvolver ações, eventos ou parcerias institucionais, envie sua solicitação pelo formulário abaixo.
Nossa equipe analisará o contato e retornará!
©2026 Fórum Brasileiro de IoT All Rights Reserved