Em poucas palavras
IA soberana é a inteligência artificial que roda em infraestrutura que a própria organização controla: servidores próprios, nuvem privada ou um ambiente dedicado, com modelos que ela escolhe e regras que ela define. O dado não sai de casa para ser processado. Hospitais e indústrias estão levando o tema a sério por um motivo simples: o que eles mais querem automatizar é justamente o que menos pode circular. Prontuário é dado de saúde. Receita de processo é segredo industrial. Ao mesmo tempo, os modelos abertos ficaram bons e leves o bastante para rodar em hardware acessível. A decisão deixou de ser "IA ou não" e passou a ser "onde cada tarefa deve rodar". A resposta quase nunca é uma só.
O que é IA soberana, em termos práticos
API pública é o modelo de IA acessado pela internet, no servidor do fornecedor. Você envia o texto, recebe a resposta e paga pelo uso. É rápido de começar e dá acesso aos modelos mais capazes do mercado.
Nuvem privada é um ambiente de computação dedicado à sua organização, isolado de outros clientes, em que você decide região, acesso e retenção dos dados. O modelo roda ali dentro, sob as suas políticas.
Servidor próprio, ou on-premise, é o hardware instalado no seu datacenter ou na sua planta. O dado não atravessa a rede da empresa. É o grau máximo de controle e também o de maior responsabilidade operacional.
Modelo aberto é um modelo cujos pesos podem ser baixados e executados localmente, como as famílias Gemma, do Google, e Llama, da Meta. É isso que torna a IA soberana viável sem desenvolver um modelo do zero.
1 GPU
O Google apresentou o Gemma 3 como o modelo mais capaz que roda em uma única GPU ou TPU, em versões de 1B a 27B parâmetros.
Por que dado de saúde e dado industrial pedem outro cuidado
A LGPD separa uma categoria específica. No art. 5º, inciso II, dado pessoal sensível é, entre outros, o "dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural". Prontuário, laudo, exame e histórico de atendimento entram aqui.
Para esse tipo de dado, o art. 11 fecha as portas: o tratamento "somente poderá ocorrer" nas hipóteses listadas. Uma é o consentimento específico e destacado. Outras dispensam consentimento quando o tratamento é indispensável, como a tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Cada uso de IA sobre prontuário precisa caber em uma dessas hipóteses.
Na indústria, a lógica é outra, mas o efeito é parecido. Dados de processo, formulações, parâmetros de máquina e projetos não são dado pessoal. São ativo. Muitas vezes estão protegidos por contrato de confidencialidade com clientes e parceiros. A pergunta deixa de ser jurídica e passa a ser estratégica: quem mais pode ver isso?
41,9%
das empresas industriais pesquisadas usaram inteligência artificial em 2024. Em 2022, eram 16,9%.
Com a adoção crescendo nesse ritmo, a discussão sobre onde o dado é processado chega a mais empresas, e mais cedo.
O que a LGPD diz sobre mandar dado para fora do país
Usar uma API cujo servidor fica em outro país pode configurar transferência internacional. A lei define: transferência internacional de dados é a "transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro" (art. 5º, XV).
O art. 33 diz que essa transferência "somente é permitida" em casos específicos. Entre eles: países com grau de proteção adequado, garantias oferecidas pelo controlador por cláusulas contratuais e normas corporativas, e autorização da autoridade nacional.
A ANPD regulamentou o tema pela Resolução CD/ANPD nº 19, de 23 de agosto de 2024, que aprova o Regulamento de Transferência Internacional e as cláusulas-padrão contratuais. Em janeiro de 2026, a Resolução CD/ANPD nº 32 reconheceu a União Europeia como organismo com grau de proteção adequado. Ou seja: transferir é possível, mas pede base legal, contrato certo e registro.
"Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados." (LGPD, art. 46)
Sobre uma lei específica de IA: o PL 2338/2023 foi aprovado pelo Senado e, na Câmara, consta como aguardando parecer do relator na comissão especial. Ainda não é lei. Hoje, a regra que vale para dados é a LGPD.
API pública, nuvem privada ou servidor próprio: como comparar
| Critério | API pública | Nuvem privada | Servidor próprio |
|---|---|---|---|
| Onde o dado é processado | No ambiente do fornecedor | Em ambiente dedicado, na região escolhida | Dentro da empresa |
| Controle sobre retenção e acesso | Definido em contrato | Alto, por configuração | Total |
| Capacidade dos modelos | A mais alta do mercado | Alta, conforme o modelo e a máquina contratados | Limitada ao hardware instalado |
| Tempo para começar | Dias | Semanas | Semanas a meses (compra e instalação) |
| Custo | Por uso, sem investimento inicial | Mensal, previsível | Investimento inicial alto, custo marginal baixo |
| Operação | Do fornecedor | Compartilhada | Toda da sua equipe ou de um parceiro |
| Bom para | Texto público, rascunho, dado anonimizado | Dado interno e sensível com escala | Dado crítico, rede isolada, planta industrial |
Critérios para decidir o que fica em casa
A decisão começa pelo dado, não pela ferramenta. Algumas perguntas resolvem a maior parte dos casos:
- O dado identifica uma pessoa? Se é dado de saúde, biométrico ou genético, é sensível e exige hipótese do art. 11.
- O dado é segredo de negócio ou está sob contrato de confidencialidade? Leia o contrato antes de enviar para qualquer serviço externo.
- É possível anonimizar antes? Muitas tarefas funcionam com o dado sem nome, CPF ou número de prontuário.
- Onde fica o servidor do fornecedor? Se for fora do Brasil, há transferência internacional e ela precisa de base no art. 33.
- A tarefa precisa do modelo mais capaz que existe, ou um modelo menor resolve? Classificar, resumir e extrair campos costuma caber em modelos menores.
- Qual é o volume? Uso alto e constante tende a favorecer infraestrutura própria. Uso esporádico tende a favorecer API.
Arquitetura híbrida é a combinação dos dois mundos: o dado sensível é processado por um modelo local, e apenas o que é público ou anonimizado segue para um modelo externo mais potente. Na prática, é o desenho mais comum. Um hospital pode resumir prontuários dentro de casa e usar API pública para redigir material educativo de pacientes. Uma indústria pode analisar dados de processo localmente e usar API para traduzir manuais.
Custos e limites que precisam entrar na conta
IA soberana não é de graça, e não é para tudo. Os pontos honestos:
- Hardware: GPU com memória suficiente para o modelo escolhido, servidor, energia e refrigeração. O custo inicial é real.
- Manutenção: atualizar modelos, aplicar correções de segurança, monitorar uso e desempenho. Alguém precisa ser responsável por isso.
- Desempenho: modelos menores são bons em tarefas delimitadas, mas tendem a ficar abaixo dos maiores em raciocínio longo e tarefas abertas. Teste com os seus casos antes de decidir.
- Segurança não vem embutida: rodar em casa só protege se o acesso, os registros e o isolamento de rede forem bem feitos. O art. 46 da LGPD vale do mesmo jeito.
- Escala: um servidor atende um volume definido. Picos de uso pedem planejamento de capacidade.
O caminho mais seguro costuma ser começar pequeno: um caso de uso, um modelo, métricas claras de qualidade. Se funcionar, amplia. Se não, o aprendizado já orienta a próxima escolha.
Como dar o primeiro passo
Mapeie as tarefas que você quer automatizar e classifique o dado de cada uma: público, interno, confidencial ou sensível. Envolva o encarregado de dados desde o início. Escolha um caso de valor claro e baixo risco para um piloto. Compare um modelo aberto local com uma API na mesma tarefa, com os mesmos critérios. A decisão fica mais fácil quando é medida, não presumida.
A AIDEIA trabalha com os principais modelos do mercado e, quando o dado não pode sair da empresa, implanta a IA nos servidores do cliente, sob as regras dele e desenhada para a LGPD. Dados e código continuam do cliente.
Fontes
- Lei nº 13.709/2018 (LGPD), texto compilado — planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- ANPD — Regulamentações da ANPD (Resoluções CD/ANPD nº 19/2024 e nº 32/2026) — gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd
- Câmara dos Deputados — Ficha de tramitação do PL 2338/2023 — camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262
- Google — Introducing Gemma 3 (2025) — blog.google/technology/developers/gemma-3
- Meta — Llama, página oficial — llama.com
- IBGE, Agência de Notícias — Pintec Semestral 2024: uso de inteligência artificial na indústria (24/09/2025) — agenciadenoticias.ibge.gov.br/agencia-noticias/2012-agencia-de-noticias/noticias/44551-de-2022-a-2024-percentual-de-empresas-industriais-utilizando-inteligencia-artificial-subiu-de-16-9-para-41-9.html
