Soberania de dados deixa de ser discurso e vira agenda regulatória

O primeiro dia da CPDP LatAm 2026, na FGV do Rio de Janeiro, mostrou que soberania digital, inteligência artificial e responsabilização de plataformas deixaram de ser trilhas paralelas. Elas convergem para o mesmo ponto: quem controla a infraestrutura de dados controla o alcance real dos direitos fundamentais.

A CPDP LatAm é a principal conferência sobre governança de dados, privacidade e tecnologia da América Latina. Trata-se da edição latino-americana da Computers, Privacy and Data Protection, que reúne no mesmo espaço o encontro regional do MyData e a Privacy Law Scholars Conference LatAm, sob organização do Centro de Tecnologia e Sociedade da FGV Direito Rio. A edição de 2026 ocorreu nos dias 12 e 13 de agosto, na sede da FGV, em Botafogo, com o tema "Governança de Dados para Soberania Digital, Cooperação e Interoperabilidade". O recorte não é acidental. Depois de quase uma década discutindo o desenho normativo da proteção de dados, o debate migrou para a camada em que as regras são efetivamente executadas: servidores, provedores de nuvem, modelos de linguagem, sistemas de recomendação, cadeias de fornecedores e fluxos transfronteiriços. O primeiro dia da conferência foi organizado em torno dessa mudança de eixo, e é ela que interessa a empresas, órgãos públicos, plataformas e titulares. Philipe Monteiro Cardoso, CEO do Cardoso Advogados Associados, acompanhou a programação de abertura, dedicada a soberania de dados, atuação das autoridades de proteção, inteligência artificial aplicada ao compliance, cibersegurança, responsabilização de plataformas, direitos digitais de crianças e adolescentes, dados de saúde e regulação de sistemas de IA. Esta é a terceira participação do escritório na conferência, o que permite algo que uma leitura pontual não oferece: comparar o deslocamento do debate ao longo das edições, do desenho normativo para a execução prática. Soberania de dados: da geopolítica ao contrato A soberania digital costumava aparecer como tema de política externa ou de infraestrutura estatal. O debate atual é mais concreto. Ela se manifesta na cláusula de localização de dados de um contrato de nuvem, na escolha do provedor que hospeda o prontuário eletrônico de um hospital, na dependência de modelos de IA treinados e operados fora da jurisdição brasileira, na possibilidade prática de uma autoridade nacional auditar um sistema cujo código e cujos dados de treinamento estão em outro continente. Essa camada material define o que a regra consegue alcançar. Uma autoridade pode ter competência legal ampla e capacidade fiscalizatória limitada se a infraestrutura relevante está fora do seu alcance operacional. Daí a insistência do evento na palavra interoperabilidade, que não é um detalhe técnico: sem padrões comuns e sem cooperação entre autoridades, soberania vira isolamento, e isolamento custa caro para países que importam tecnologia. Para a América Latina, o problema tem contornos próprios. Convivem no mesmo bloco países com autoridades consolidadas e países com estruturas incipientes, orçamentos desiguais, dependência de infraestrutura estrangeira e assimetria evidente de poder diante das grandes plataformas. Discutir soberania sem enfrentar essa desigualdade produz retórica, não política pública. Autoridades de proteção de dados: o teste da execução A presença institucional da ANPD e de autoridades de outros países latino-americanos deu ao primeiro dia um tom menos acadêmico e mais operacional. O desafio comum foi enunciado com clareza: transformar princípios abertos, como finalidade, necessidade, transparência e prevenção, em parâmetros verificáveis de fiscalização. Essa transição tem consequências diretas para o setor privado. Quanto mais as autoridades convergem em critérios de avaliação, mais previsível fica o ambiente regulatório e menos espaço sobra para a conformidade meramente documental. O equilíbrio que se busca é conhecido e difícil: preservar segurança jurídica e capacidade de inovação sem esvaziar direitos que a LGPD colocou no centro do sistema. O que acontece quando a IA faz o compliance Um dos painéis mais provocativos do dia partiu exatamente dessa pergunta. A inteligência artificial já não ocupa apenas a periferia dos processos internos. Ela triage denúncias em canais de ética, classifica risco de crédito e de fraude, monitora comunicações, sugere enquadramentos regulatórios, responde clientes e alimenta relatórios que chegam à alta administração. A consequência jurídica é incômoda. O compliance existe para produzir rastro auditável de decisões, e a IA generativa é justamente a tecnologia que dissolve rastro. Quando um sistema opaco filtra o que chega ao comitê, a organização passa a decidir com base em recortes que ninguém consegue reconstituir. Some-se a isso o viés herdado dos dados de treinamento, a tendência humana de aceitar a saída da máquina sem crítica e a dificuldade de explicar, meses depois, por que determinado alerta foi descartado. Nada disso desloca a responsabilidade. Perante o titular, o regulador ou o juízo, quem responde é a organização que adotou o sistema, não o fornecedor do modelo e muito menos o modelo. Empresas que incorporam IA a funções de controle precisam de política interna de uso, critérios de avaliação prévia, registro das decisões automatizadas e supervisão humana com competência e autoridade reais para divergir do resultado sugerido. Governança de IA e resposta a incidentes O incidente envolvendo IA raramente se parece com o vazamento clássico. Ele aparece como decisão discriminatória em escala, como exposição de dados pessoais inseridos em prompts por colaboradores, como alucinação incorporada a documento oficial, como falha automatizada que se propaga antes de qualquer intervenção humana, como uso de base de dados sem fundamento legal adequado para treinamento. Cada um desses cenários exige resposta diferente, e nenhum deles cabe no plano de resposta desenhado para intrusões de segurança. Organizações maduras estão construindo inventário de sistemas de IA em uso, inclusive os adotados informalmente por equipes, matriz de risco por caso de uso, critérios de acionamento, definição de quem comunica a autoridade e ao titular, e documentação capaz de sustentar a versão da empresa quando o episódio for examinado depois. Segurança da informação como pressuposto, não como anexo Não existe proteção de dados sem segurança da informação. A programação reservou espaço para a coordenação entre cibersegurança, ciberdefesa e combate ao cibercrime, três lógicas que operam com atores, tempos e finalidades distintos e que precisam se comunicar quando o incidente atinge serviços essenciais, dados sensíveis ou cadeias de fornecedores. No plano privado, a discussão desemboca em responsabilidade civil. A adoção de medidas técnicas e administrativas adequadas ao risco é obrigação legal, e o que se avalia depois do incidente é a razoabilidade do que foi feito antes: gestão de acessos, segregação de ambientes, cifragem, teste de recuperação, auditoria de fornecedor. Confiança digital, no fim, é o nome comercial da diligência comprovada. Plataformas: transparência que se possa auditar Plataformas digitais concentram poder informacional e algorítmico com efeitos sobre consumo, publicidade, opinião pública, relações de trabalho e processos eleitorais. O debate sobre responsabilização amadureceu e saiu do binômio entre imunidade total e censura. O que se discute hoje são deveres de cuidado, métricas comparáveis de transparência, relatórios de conformidade com valor probatório e acesso qualificado de pesquisadores e reguladores a dados que hoje só a própria plataforma enxerga. Transparência declaratória não resolve. Relatório que ninguém consegue verificar cumpre função reputacional, não regulatória. A agenda que se desenha exige auditabilidade, o que significa registro, retenção e formato capazes de suportar exame externo. Infância datificada e ECA Digital O tema ganhou destaque próprio, e com razão. Crianças e adolescentes são titulares de dados em condição de vulnerabilidade agravada: não avaliam consequências de longo prazo, são alvo preferencial de desenho persuasivo e deixam rastro digital antes mesmo de poder consentir. A Lei 14.811/2024 e o marco de proteção de crianças e adolescentes em ambientes digitais deslocaram o eixo do consentimento parental para o dever de cuidado da plataforma. Isso significa verificação de idade proporcional e que não crie novo risco de coleta excessiva, configuração restritiva por padrão, limites à publicidade comportamental dirigida a menores, cautela redobrada em recomendação algorítmica, jogos, redes sociais e plataformas educacionais. Para quem opera produtos com público infantojuvenil, ainda que de forma indireta, o melhor interesse da criança deixou de ser princípio decorativo e virou critério de desenho de produto. Dados de saúde e interoperabilidade A saúde digital condensa a tensão do evento. Integrar sistemas melhora diagnóstico, reduz duplicidade de exames e sustenta pesquisa, mas trabalha com a categoria de dados mais sensível da LGPD. O caminho brasileiro e o europeu convergem na necessidade de padrões de interoperabilidade e divergem no ritmo e na estrutura institucional. Qualquer arquitetura que avance nesse campo precisa resolver, antes da integração, as questões de base legal, controle de acesso, rastreabilidade e finalidade secundária. Regular IA em movimento e a questão do valor dos dados Regular tecnologia que muda de patamar a cada poucos meses impõe uma escolha de método: normas por resultado e por risco, e não por descrição de técnica. Transparência, explicabilidade proporcional, avaliação prévia de impacto, supervisão humana significativa, mitigação de viés e prestação de contas são os eixos que se repetem nas propostas em discussão no Brasil e no exterior. Acompanhar apenas a LGPD deixou de ser suficiente. Perto disso, a discussão sobre data equity e tributação de dados sustenta uma pergunta desconfortável: dados pessoais geram valor econômico expressivo, e a distribuição desse valor, dos custos e dos riscos permanece assimétrica. Reconhecer o problema não define a solução, mas impede que a economia de dados seja tratada apenas como inovação neutra. A perspectiva latino-americana A relevância da CPDP LatAm está em recolocar a região como sujeito do debate, não como destinatária de padrões definidos alhures. O Sul Global enfrenta dependência de infraestrutura estrangeira, capacidade regulatória desigual, exclusão digital e negociação assimétrica com grandes plataformas. O Brasil reúne condições para atuar como articulador regional, com autoridade em funcionamento, base normativa consolidada e mercado com escala suficiente para influenciar padrões. Essa posição, porém, depende de execução consistente, não apenas de produção legislativa. O que empresas e organizações devem observar a partir desses debates

Uma nova fase da proteção de dados O primeiro dia da CPDP LatAm 2026 confirmou o que a prática já vinha sinalizando: a proteção de dados saiu da fase formalista, centrada em política publicada e consentimento coletado, e entrou em uma fase de infraestrutura, algoritmo e comprovação. O que se cobra hoje é a capacidade de demonstrar, com registro e documentação, como uma decisão foi tomada, quem a supervisionou, qual risco foi avaliado e o que se fez quando algo deu errado. A presença do Cardoso Advogados Associados na CPDP LatAm, pela terceira edição consecutiva, reforça a importância de acompanhar de perto os debates que moldarão a próxima etapa da proteção de dados, da regulação de IA e da governança digital no Brasil. Antecipar o que vem, e não apenas reagir ao que já chegou, é o que separa a conformidade que protege da conformidade que apenas documenta.