Soberania começa no botão de desligar
Um botão num diapositivo não é um interruptor
Em abril de 2026, a Comissão Europeia atribuiu um contrato de 180 milhões de euros para cloud soberana a quatro fornecedores ao serviço das instituições, órgãos e organismos da União. O concurso foi lançado ao abrigo do Sistema Dinâmico de Aquisição Cloud III. Ao explicar o resultado, a Comissão explicou também o instrumento que lhe está subjacente: um Quadro de Soberania Cloud com um Nível de Garantia de Eficácia da Soberania e uma pontuação global construída a partir de 48 critérios em oito categorias, incluindo estratégia, aspetos jurídicos e jurisdicionais, dados e IA, operações, cadeia de abastecimento, tecnologia, segurança e conformidade, e sustentabilidade ambiental.
Este é um acontecimento mais interessante do que o adjetivo «soberana» normalmente sugere. Um concurso tem de transformar uma palavra política em perguntas que possam ser respondidas por um processo de aquisição. Quem pode aceder aos dados? Quem pode operar a plataforma? O que acontece quando um fornecedor muda de proprietário, quando uma lei muda, quando um serviço é retirado ou quando uma instituição decide que o acordo já não se adequa? O quadro da Comissão não resolve essas questões para todos os compradores. Faz algo mais útil: admite que elas pertencem à mesma sala.
A tentação é tratar a soberania como um lugar. Colocar os servidores na Europa, assinar com uma subsidiária europeia, sujeitar o contrato à legislação europeia e o problema parece resolvido. Cada um desses passos pode ser importante. Nenhum deles é a totalidade da propriedade. Um sistema pode estar fisicamente perto das pessoas que serve enquanto as suas chaves decisivas, dependências técnicas, autoridade operacional e exposição legal estão noutro lugar. Um endereço europeu pode ser verdadeiro e continuar a ser uma resposta incompleta.
Existe um teste que torna essa lacuna visível. Pergunte o que acontece quando a organização precisa de parar. Não porque parar seja desejável, nem porque se espere uma falha dramática, mas porque instituições sérias têm de ser capazes de mudar de rumo. Pode uma pessoa autorizada suspender o serviço? Pode a organização inspecionar o estado que vai ser interrompido? Pode preservar provas? Pode mover a carga de trabalho? Pode outra equipa assumir o controlo sem pedir ao primeiro fornecedor que continue a ser indispensável? Se a resposta for vaga, a alegação de soberania ainda é um folheto.
É por isso que a soberania começa no interruptor. O interruptor não é um botão vermelho teatral. É uma cadeia de autoridade, acesso, conhecimento, equipamento, contratos e alternativas. Tem de funcionar numa terça-feira calma, antes de alguém ter preparado um comunicado de imprensa. O resto deste artigo segue essa cadeia através da infraestrutura cloud, da política europeia e da engenharia pouco glamorosa da saída.
Cinco palavras que muitas vezes se fazem passar umas pelas outras
A propriedade é a primeira impostora. Diz-nos quem detém as ações, nomeia o conselho de administração e recebe o benefício económico. A propriedade pode ser importante para a soberania, especialmente quando o proprietário controla a propriedade intelectual, as decisões de investimento ou a orientação de longo prazo da empresa. Não é o mesmo que controlo operacional. Uma organização de propriedade local pode depender de uma plataforma operacional estrangeira. Um serviço público pode não ter capacidade prática para alterar o software que o executa. Uma subsidiária pode estar constituída num país enquanto as suas aprovações decisivas são tomadas noutro lugar.
A localização é a segunda. A residência dos dados responde a uma questão geográfica: onde são armazenados ou processados determinados dados, sistemas ou instalações ao abrigo do acordo? Essa resposta pode apoiar a conformidade legal, o planeamento da resiliência ou um orçamento de latência sensato. Não responde a quem pode administrar o ambiente, que lei pode obrigar um fornecedor, que subcontratados podem entrar na cadeia ou o que acontece quando um operador fora da localização detém as credenciais privilegiadas.
Jurisdiction is the third. It concerns the legal order that can reach an organisation, its infrastructure or its data. A contract can select a governing law, but it cannot make other legal powers disappear. A service can be delivered from a European facility and still involve a provider subject to obligations elsewhere. The point is not to declare every cross-border service illegitimate. It is to stop treating a map pin as a legal analysis.
Operating authority is the fourth. It is the practical ability to make a system do something or stop doing it: approve a release, rotate a key, isolate a network, restore a backup, change a policy, remove an administrator, or transfer responsibility to another team. Operating authority can be delegated. When it is delegated, the delegation has to be visible, bounded and reversible. Otherwise a contract gives the customer nominal control while the provider retains the only people and interfaces that can exercise it.
Exit is the fifth. It is the ability to terminate one arrangement and continue the necessary function elsewhere or on infrastructure that the organisation controls. Exit is not merely downloading a database. It can involve configuration, identities, encryption keys, models, containers, audit records, queues, integrations, licences, operating procedures and the knowledge to rebuild a working service. A promise that data can be exported is not a promise that a service can be resumed.
These words belong together, but they should not be collapsed. Ownership without operating authority is a title deed without a key. Location without jurisdiction is a street address without a map of legal reach. Operating authority without exit is a remote control attached to a machine that nobody else can repair. Sovereignty is the relationship among all five, tested against the moment when convenience no longer decides.
The off-switch test
A useful off-switch test starts with a deliberately unexciting instruction: stop this system at a defined boundary, in a defined way, under an identified authority. “This system” has to be specific. Is it one service, a tenant, a processing job, a data flow, an administrator account, a model endpoint, or an entire operational capability? A provider may be able to disable an endpoint while the data, copies and privileged paths continue elsewhere. A customer may be able to cancel a contract while discovering that the only available export is a collection of records with no usable configuration.
First ask who is allowed to order the stop. The answer should be a role, not a person’s memory. A role can be assigned, checked and changed. It should have a clear trigger, an escalation route and a record of the decision. In a public institution, the authority might be divided between service ownership, security, legal responsibility and a duty officer. The division is not a defect. It becomes a defect when everyone assumes that somebody else can act.
Then ask which credential or mechanism actually performs the stop. A documented procedure that ends with “contact support” is an escalation path, not an off switch. Support may be appropriate for a controlled migration, but a critical service also needs a local or independently controlled way to put the system into a safe state. That does not imply that every customer should have a physical power button. It means the organisation must know the boundary of its own authority, the provider’s authority and the point at which an external response is required.
De seguida, pergunte o que resta depois da paragem. Uma paragem segura pode preservar registos, reter provas durante um período definido, encerrar sessões, revogar credenciais, impedir novas escritas e manter uma cópia só de leitura disponível para investigação. Pode também criar um estado perigoso se um processo dependente continuar a enviar dados para um serviço que já não está a ser monitorizado. Parar um componente não é o mesmo que parar a capacidade. O mapa de dependências importa mais do que a cor do botão.
Por fim, pergunte se a organização consegue retomar a função sem voltar à mesma dependência por predefinição. Um serviço pode ser parado para uma ação de contenção curta e depois reiniciado. Isso é útil. A soberania exige também um segundo caminho: uma rota preparada para outro fornecedor, um ambiente local, um processo manual conhecido ou um serviço deliberadamente reduzido. A alternativa pode ser mais lenta ou menos elegante. Não pode existir apenas como uma frase num registo de riscos.
O teste do interruptor de desligar tem, portanto, cinco partes: autoridade, mecanismo, provas, dependência e alternativa. É um teste institucional, não uma funcionalidade de produto. Um fornecedor pode disponibilizar excelentes ferramentas e ainda assim falhar o teste se o cliente não as puder exercer. Um cliente pode deter um contrato e ainda assim falhar se ninguém tiver praticado o procedimento. Uma organização que tenha ensaiado o teste pode descobrir fraquezas cedo, quando ainda são problemas de aquisição e engenharia e não emergências públicas.
O controlo é uma pilha, não um autocolante
Imagine um sistema como uma pilha de salas. Na base está a camada física: edifícios, energia, arrefecimento, caminhos de rede e hardware. Acima dela situam-se as camadas técnicas: firmware, sistemas operativos, virtualização, armazenamento, bases de dados, identidade e código de aplicação. Acima dessas estão as camadas operacionais: pessoas, procedimentos, monitorização, resposta a incidentes e gestão de lançamentos. Ao lado delas corre uma camada jurídica e económica: propriedade, contratos, licenças, jurisdição, financiamento e a capacidade de adquirir uma alternativa.
A metáfora da pilha não é uma afirmação de que todos os sistemas têm cinco andares arrumados. É uma forma de fazer uma pergunta mais precisa do que «isto é soberano?». O controlo pode ser forte numa sala e fraco noutra. Uma instituição pode ter o direito de inspecionar uma aplicação sem ter qualquer visão do caminho de administração física. Pode deter chaves de encriptação sem ter capacidade para substituir o hardware que mantém o serviço de chaves ativo. Pode ter uma cláusula contratual de saída enquanto carrega uma dependência operacional de uma equipa que só o fornecedor emprega.
Não há virtude em fingir que todas as camadas têm de ser europeias da mesma forma. A economia digital da Europa depende de cadeias de abastecimento internacionais, investigação, normas e mercados. A autonomia estratégica não é uma fantasia de autossuficiência total. A própria definição política da Comissão Europeia fala da capacidade de agir de forma independente enquanto reduz a dependência de fornecedores não europeus. Agir de forma independente pode significar ter uma escolha credível, não fabricar todos os componentes atrás de uma cerca nacional.
A distinção prática está entre uma dependência que é visível e limitada, e uma dependência que é confundida com controlo. Um comprador pode decidir que um determinado processador, componente de software ou serviço externo é aceitável. A decisão deve incluir o motivo, as medidas de compensação, o caminho de substituição e a autoridade para a rever. Uma dependência registada pode ser gerida. Uma dependência escondida atrás de um rótulo europeu só será descoberta quando o rótulo deixar de abrir portas.
A pilha explica também por que motivo uma pontuação de soberania precisa de mais do que propriedade. O enquadramento de 2026 da Comissão coloca lado a lado critérios estratégicos, jurídicos e jurisdicionais, de dados e IA, operacionais, de cadeia de abastecimento, tecnológicos, de segurança e conformidade, e de sustentabilidade ambiental. Uma lista como esta não produz magicamente um serviço soberano. Reconhece, isso sim, que o controlo está distribuído. Já é um ponto de partida melhor do que um único selo.
Para engenheiros, a pilha convida a um inventário de dependências. Para equipas de aquisição, convida a perguntas sobre subcontratados, chaves, formatos, interfaces, suporte e migração. Para advogados, convida a um mapa do alcance legal que segue o fornecedor e a infraestrutura, e não o nome de marketing. Para líderes, faz um ponto subtil: a dependência mais cara é muitas vezes aquela que todos pensavam já estar resolvida.
A localização é útil, e insuficiente
Um centro de dados é um lugar real. As suas paredes afetam a segurança física, o consumo de energia, a latência da rede, os acordos laborais e a resiliência de um serviço. Um requisito de residência pode impedir algumas transferências e pode tornar uma auditoria mais concreta. Pode também ser uma expressão sensata da responsabilidade legal e política de um organismo público. Não é preciso desdenhar da geografia para fazer o ponto sobre o controlo.
O erro está em pedir à geografia que responda a todas as outras perguntas. Um servidor em Roterdão não diz, por si só, a um comprador quem tem acesso administrativo. Um bucket de armazenamento em Milão não indica que telemetria é copiada para um sistema de suporte. Uma subsidiária europeia não revela a jurisdição do grupo que fornece o seu plano de controlo. A localização de um edifício e o alcance de uma organização são factos relacionados, não factos intercambiáveis.
A Lei dos Dados torna parte desta distinção explícita. O artigo 28.º exige que os fornecedores de serviços de processamento de dados disponibilizem a jurisdição a que está sujeita a infraestrutura utilizada para um serviço, juntamente com uma descrição geral das medidas relativas ao acesso governamental internacional ou à transferência de dados não pessoais, quando tal possa entrar em conflito com o direito da União ou dos Estados-Membros. O requisito é valioso porque transforma uma garantia vaga em informação que um cliente pode arquivar. Não é uma garantia de que nenhuma autoridade pedirá acesso, e não substitui a avaliação legal e técnica do próprio cliente.
A localização também muda ao longo do tempo. Um fornecedor pode mover uma carga de trabalho, adicionar um subcontratado, introduzir um caminho de suporte, alterar o design do plano de controlo ou mudar a sua propriedade. Uma declaração de residência que era precisa no dia da assinatura pode tornar-se desatualizada. A soberania precisa, por isso, de um sinal de mudança: quem é notificado, que mudança desencadeia uma revisão e quem pode suspender o serviço enquanto a revisão acontece? Sem esse sinal, uma afirmação de localização é uma fotografia disfarçada de propriedade.
Considere uma organização de investigação europeia hipotética que exige que o seu conjunto de dados principal permaneça dentro da União. O requisito pode ser cumprido enquanto um fluxo de trabalho de suporte envia material de diagnóstico para um país terceiro, enquanto um serviço de identidade controlado pelo fornecedor administra o cluster, ou enquanto um formato proprietário torna uma substituição impossível. Nenhuma dessas possibilidades é afirmada como facto sobre uma organização nomeada. São a razão pela qual um controlo de localização deve ser associado a um mapa de acessos, a um mapa de jurisdição e a um ensaio de saída.
A afirmação mais honesta é simples: a localização pode reduzir uma classe de risco. Não pode suportar todo o argumento da soberania. Um edifício é uma camada. O controlo é a pilha.
A jurisdição não é uma nota de rodapé
A jurisdição entra na conversa sempre que uma promessa encontra um poder. Um contrato pode indicar onde os litígios serão ouvidos e qual a lei que rege a relação. Isso é importante para a previsibilidade e a execução. Não significa que um fornecedor, a sua empresa-mãe, o seu pessoal ou a sua infraestrutura sejam invisíveis a qualquer outro sistema jurídico. A questão para um comprador não é se uma jurisdição pode ser nomeada. É quais vias legais podem alcançar as pessoas, os sistemas e os dados envolvidos, e o que o fornecedor seria obrigado a fazer se essas vias fossem utilizadas.
Este não é um argumento para tratar todas as ligações estrangeiras como proibidas. É um argumento para substituir a simplificação por nacionalidade por uma análise documentada. Um fornecedor pode ter uma empresa europeia, operações europeias e uma cadeia de abastecimento que atravessa várias fronteiras. Um comprador pode aceitar esse acordo porque o serviço é resiliente, os controlos de acesso são fortes, os dados relevantes são limitados e existe uma alternativa pronta. A decisão é defensável quando a dependência e o risco residual são visíveis.
A palavra controlo também exige cuidado aqui. Um fornecedor pode dizer que o cliente controla os seus dados porque o cliente escolhe as permissões. Isso pode ser verdade dentro do serviço. Não significa automaticamente que o cliente controla o fornecedor, o caminho de manutenção da plataforma ou a resposta legal a uma ordem externa. A palavra deve ser qualificada: controlo de acesso, controlo de chaves, controlo de configuração, controlo de operações ou controlo da decisão de negócio. A precisão é menos dramática do que um logótipo de soberania, mas resiste melhor a uma auditoria.
O enquadramento da Comissão coloca as questões legais e jurisdicionais ao lado das questões operacionais e da cadeia de abastecimento. Esse arranjo é importante. A exposição legal não pode ser reduzida a um parágrafo num contrato, e o controlo técnico não pode ser reduzido a um diagrama. Se um sistema se destina a apoiar uma função pública, a instituição precisa de evidências suficientes para explicar tanto como opera como quais autoridades podem afetá-lo. As evidências podem estar incompletas. Não devem ser imaginárias.
Um ficheiro de jurisdição prático deve identificar as entidades legais na cadeia de serviço, a localização e o papel da infraestrutura relevante, os caminhos de acesso disponíveis ao pessoal do fornecedor e aos subcontratados, as leis aplicáveis e que regem a relação divulgadas pelo fornecedor, e o procedimento de notificação e resposta para pedidos governamentais. Deve também indicar o que o cliente fará se as respostas mudarem. Essa última frase é onde a soberania começa a tornar-se operacional em vez de descritiva.
A experiência de aquisição da Comissão
A aquisição de nuvem soberana da Comissão é útil porque torna a palavra observável. A explicação pública diz que quatro fornecedores foram selecionados para um contrato de 180 milhões de euros ao serviço de entidades da União. Descreve duas medidas complementares: um Nível de Garantia de Eficácia da Soberania, com limiares para a soberania dos dados, a autonomia tecnológica e a soberania total, e uma pontuação global baseada em 48 critérios definidos agrupados em oito categorias.
Há uma disciplina pequena mas importante nesta formulação. O enquadramento é um instrumento de avaliação. Não transforma um fornecedor num objeto soberano por declaração. Uma pontuação pode tornar visíveis os compromissos, ajudar um comprador a comparar ofertas e criar um registo do motivo pelo qual uma adjudicação foi feita. Também pode ser manipulada ou tornar-se desatualizada se ninguém verificar as provas que a sustentam. A questão sensata não é se o enquadramento é a resposta final. É se os critérios sobrevivem ao contacto com as operações.
Tomemos a categoria chamada soberania operacional. Deve suscitar perguntas como quem pode alterar uma rota de rede, quem pode rodar uma chave, quem pode ler um registo de incidentes, com que rapidez um cliente pode assumir uma função e que ações exigem a participação do fornecedor. Não são qualidades abstratas. Podem ser demonstradas num exercício controlado. Se o exercício for impossível porque o fornecedor não consegue expor o estado relevante ou porque o cliente não tem autoridade para o iniciar, a fragilidade faz parte da pontuação, não é um pormenor inconveniente para deixar num anexo.
O mesmo se aplica às categorias tecnológicas e de cadeia de abastecimento. Um comprador não precisa de exigir um teste de pureza impossível. Precisa de saber quais as dependências essenciais, quais podem ser substituídas, quais têm bloqueio contratual ou técnico e como seria uma interrupção. «Temos uma equipa de apoio europeia» e «podemos continuar esta função quando um componente crítico a montante não estiver disponível» são afirmações diferentes. A primeira diz respeito a pessoas. A segunda diz respeito a resiliência e escolha.
Os contratos públicos são particularmente adequados a este trabalho porque um concurso pode exigir provas antes de um serviço se tornar a opção predefinida. Um concurso pode pedir um formato portátil, um registo atualizado de dependências, um procedimento de notificação de alterações, um ensaio de saída e uma matriz de autoridade. Pode pontuar as respostas e rejeitar um serviço que não as consiga apresentar. Também pode pagar pela capacidade de manter a alternativa, porque uma saída que existe apenas num documento adormecido vai degradar-se.
A publicação da Comissão apresenta o seu enquadramento como uma referência para organizações públicas e privadas. É um convite, não um endosso de que todas as organizações devam copiar todos os pesos. Um serviço pequeno e uma plataforma de dimensão continental terão riscos diferentes. O método que vale a pena transportar é o hábito de decompor a soberania em critérios, provas e limiares. A contratação pública pode dizer não. É um dos poucos poderes que se torna mais fraco após a implementação.
A saída é uma propriedade de engenharia
Os contratos de cloud descrevem frequentemente a saída como se fosse um parágrafo final educado. O Regulamento Dados trata-a como um processo. O artigo 23.º exige que os fornecedores de serviços de processamento de dados removam os obstáculos que impeçam um cliente de rescindir um contrato, celebrar um novo contrato, portar dados exportáveis e ativos digitais, alcançar equivalência funcional quando aplicável ou desagregar serviços quando tecnicamente viável. Os artigos 25.º a 30.º especificam depois as obrigações contratuais, de informação, de cooperação, de encargos e técnicas.
Os pormenores são invulgarmente práticos. No caso normal, um contrato deve prever um prazo máximo de pré-aviso de dois meses e um período transitório obrigatório de não mais de 30 dias de calendário, durante o qual o fornecedor continua o serviço e apoia a continuidade. Se o fornecedor alegar que o período de 30 dias é tecnicamente inviável, tem de notificar o cliente no prazo de 14 dias úteis, justificar a alegação e indicar um período transitório alternativo de não mais de sete meses. O cliente dispõe de um período de recuperação de pelo menos 30 dias de calendário após o período transitório, e o contrato tem de abordar o apagamento após uma migração bem-sucedida.
O artigo 29.º define igualmente a orientação para os custos de mudança. A partir de 12 de janeiro de 2027, os fornecedores não podem impor custos de mudança pelo processo de mudança. Durante a transição, só podem ser impostos custos reduzidos dentro dos limites definidos pelo Regulamento, e os clientes potenciais devem ser informados das taxas e penalizações que podem ser aplicadas. O artigo 30.º aborda as interfaces abertas, as especificações de interoperabilidade e a exportação em formato legível por máquina. Estes não são pormenores decorativos. São as peças a partir das quais um serviço de substituição tem de ser montado.
Um direito legal não é o mesmo que um caminho ensaiado. Um cliente pode receber uma exportação conforme e continuar sem as pessoas, as ferramentas ou o tempo para restaurar o serviço. Os dados podem ser portáteis enquanto o significado de um identificador não o é. Um modelo pode ser copiado enquanto o seu conjunto de avaliação, a política de instruções, as regras de acesso e o histórico de monitorização ficam para trás. Um contentor pode ser movido enquanto os pressupostos de identidade e de gestão de chaves impedirem o seu arranque. A lei melhora o piso. A engenharia decide se alguém consegue atravessá-lo.
É por isso que a saída deve ser testada em camadas. Comece com uma amostra de dados exportáveis e reconstrua-a num ambiente separado. Em seguida, restaure as identidades e as permissões com o princípio do privilégio mínimo. Reconstrua o serviço a partir da configuração documentada, e não da memória de um engenheiro. Reproduza cargas de trabalho representativas e compare os resultados, incluindo os casos que devem falhar. Verifique se os registos de auditoria mantêm o seu significado. Repita o exercício após uma alteração material. Se o exercício exigir uma intervenção não divulgada do fornecedor, registe essa dependência em vez de classificar o exercício como independente.
A expressão equivalência funcional também merece contenção. O Regulamento Dados define-a em torno de um resultado materialmente comparável para as funcionalidades partilhadas no mesmo tipo de serviço. Não promete que dois fornecedores tenham arquiteturas, preços, desempenho ou suporte idênticos. Um comprador deve especificar o que tem de permanecer equivalente, o que pode degradar-se temporariamente e o que pode mudar. Uma via de saída que preserve todas as conveniências pode ser impossível. Uma via de saída que preserve a função pública pode ser suficiente, desde que a instituição tenha escolhido essa troca antecipadamente.
O interruptor de desligamento pertence a uma instituição
É tentador colocar o interruptor de desligamento numa demonstração de produto. Carregue num controlo, veja um indicador verde ficar cinzento e considere o sistema governável. A autoridade real é mais incómoda. Está numa institução com descrições de funções, delegações, férias, prioridades concorrentes e pessoas que podem não saber que são elas as pessoas que devem agir.
Isso não significa que todos os colaboradores devam poder parar todos os sistemas. Significa que a autoridade deve ser concebida. O proprietário do serviço decide para que serve a função. A segurança pode identificar um gatilho de contenção. As equipas jurídicas e de privacidade podem identificar restrições sobre provas e acesso. As operações podem executar o procedimento. A liderança pode resolver um conflito entre continuidade e retirada. As funções podem ser combinadas numa pequena organização, mas as decisões ainda precisam de ser explícitas.
Considere um serviço público regional hipotético que utiliza uma plataforma alojada para processar candidaturas. Ninguém precisa de inventar uma história de falha para ver a questão de governação. Se um fornecedor alterar um caminho de acesso crítico, quem o revê? Se a monitorização mostrar um comportamento inexplicado, quem pode suspender novas submissões? Se o contrato for rescindido, quem detém a exportação, quem verifica se está completa e quem decide se um processo manual é suficientemente seguro para funcionar enquanto se constrói uma substituição? Uma política que nomeia os papéis antes de a pressão chegar é mais útil do que uma promessa pós-incidente de melhorar a coordenação.
A mesma disciplina aplica-se a sistemas automatizados. Um componente de IA pode ser interrompido enquanto o fluxo de trabalho circundante continua a produzir decisões a partir de resultados em cache, regras de recurso ou pressupostos humanos. A organização precisa, portanto, de definir a unidade de autoridade. O interruptor de desligamento é para o modelo, o serviço de decisão, a fila, a etapa de publicação ou todo o processo? Um interruptor estreito pode ser mais seguro do que um encerramento total, mas apenas se o seu limite for conhecido e o seu efeito for observável.
A evidência faz parte do interruptor institucional. Uma ação de paragem deve deixar um registo de quem agiu, sob que autoridade, a que horas, com que estado observado e que passo seguinte. O registo não é decoração burocrática. Permite à organização distinguir uma ação de contenção deliberada de uma degradação silenciosa e permite que uma equipa substituta compreenda o que herdou. Esta é a mesma razão pela qual o Regulamento dos Dados pede aos fornecedores que deem informações sobre formatos, procedimentos e limitações. Um sistema que não consegue descrever o seu estado não pode ser transferido de forma responsável.
Há também uma questão de dignidade humana. Quando as organizações dizem que um fornecedor é indispensável, muitas vezes querem dizer que um pequeno número de pessoas compreende o acordo. Isso é uma dependência de conhecimento, não um facto da natureza. Documentação, formação, operações em pares e exercícios regulares podem tornar a autoridade menos pessoal e mais duradoura. O resultado pode parecer menos mágico. Geralmente é mais resiliente.
Um ficheiro de soberania que sobrevive a uma reunião
Um ficheiro de soberania deve ser algo que um responsável de aquisições, um engenheiro, um advogado e um líder responsável possam todos ler sem traduzir o documento em quatro linguagens privadas diferentes. Não deve ser um pacote de garantias de 100 páginas que responde a todas as perguntas exceto aquela que um decisor está prestes a fazer. Um ficheiro compacto pode apontar para evidências mais profundas enquanto torna visível o limite de controlo.
Comece pela definição do serviço. Nomeie a função, os dados, os utilizadores, as decisões ou ações apoiadas, a interrupção aceitável e as consequências de uma continuação insegura. Marque o que é crítico e o que é meramente conveniente. Isto evita que a organização negocie soberania para um painel de controlo enquanto ignora o serviço de identidade que permite que qualquer pessoa o alcance.
Depois registe o mapa de controlo. Para cada componente material, identifique quem o detém, quem o opera, quem o pode inspecionar, quem o pode alterar, quem o pode parar e quem o pode substituir. Use os nomes reais de entidades e papéis do contrato e do modelo operacional. Se um campo disser “fornecedor” ou “cliente” sem uma responsabilidade nomeada, é um convite para fazer outra pergunta.
Registe o mapa legal e jurisdicional a seguir. Inclua as entidades contratantes, as entidades fornecedoras relevantes, as jurisdições de infraestrutura divulgadas ao abrigo do acordo, os subcontratantes aplicáveis, os caminhos de acesso e os procedimentos de notificação. Indique onde a evidência é atual e quando deve ser revista. Um mapa com data é mais honesto do que uma frase de garantia perene.
A secção de saída deve conter um inventário, não apenas uma intenção. Enumere os dados exportáveis, ativos digitais, configuração, identidades, chaves, registos, modelos, material de avaliação, licenças e as dependências que não podem ser movidas. Para cada item, indique o formato, o responsável, o método de recuperação, o teste de validação e a regra de retenção ou eliminação. Se um item não for exportável, explique porquê e descreva o substituto. O objetivo não é punir um fornecedor por ter segredos comerciais protegidos. O objetivo é evitar que a capacidade de trabalho do cliente seja confundida com o maquinário interno do fornecedor.
Por fim, anexe um registo de exercício. Este deve mostrar a data, o âmbito, os participantes, os pressupostos, as lacunas observadas, as ações corretivas e o próximo gatilho de revisão. Uma pequena saída de amostra pode ser mais informativa do que um grande plano teórico. O exercício pode revelar que um formato está tecnicamente disponível mas é lento de interpretar, que uma chave é portátil mas não utilizável pelo ambiente alternativo, ou que uma autoridade existe no papel mas não é contactável fora do horário de expediente. Essas são descobertas solucionáveis. São muito mais gentis do que surpresas.
O ficheiro deve também conter uma condição de recusa. Que evidência levaria a organização a recusar o serviço, adiar a implementação ou limitar os dados que envia? É aqui que a soberania se torna uma escolha de aquisição em vez de um desejo. Um comprador não precisa de rejeitar todas as dependências. Precisa de saber qual dependência tornaria o serviço inaceitável e quem tem autoridade para o afirmar.
O que custa a soberania, e o que custa a dependência
A soberania não é gratuita. Chaves controladas exigem pessoas e procedimentos. Formatos portáteis podem limitar a conveniência de uma funcionalidade proprietária. Capacidade redundante custa dinheiro antes de ser necessária. Um fornecedor alternativo pode ser menos polido. Um caminho operacional local pode ser mais lento. Uma instituição pública que insiste em evidências pode receber menos propostas e demorar mais tempo a decidir. Estes são custos reais, e escondê-los sob uma bandeira não é mais honesto do que esconder a dependência sob um desconto.
A comparação relevante não é entre soberania e um mundo sem fricção. É entre um custo deliberado e uma dependência sem preço. Um serviço barato de adotar pode ser caro de inspecionar, caro de migrar, ou impossível de suspender sem consequências públicas. Um fornecedor tecnicamente excelente pode ainda assim criar um risco de concentração se o cliente não puder alterar uma interface crítica. Um caminho localmente controlado pode custar mais hoje e preservar a capacidade de escolher amanhã. Nenhuma das escolhas está automaticamente correta. A instituição deve ser capaz de explicar qual custo aceitou.
A avaliação de risco da cloud da ENISA é suficientemente antiga para ter sobrevivido a várias arquiteturas da moda. Isso faz parte da sua utilidade. O seu enquadramento trata a computação em cloud como um modelo de negócio e tecnologia com benefícios e riscos, incluindo o aprisionamento e a exposição legal, e recomenda avaliar esses riscos em vez de assumir que a cloud é ou libertação ou perigo. O mesmo temperamento é necessário para a soberania. A questão não é se um acordo é puro. É se as suas dependências são conhecidas, limitadas e substituíveis o suficiente para a função em causa.
A redundância é muitas vezes mal compreendida como possuir duas cópias idênticas. Por vezes, a melhor alternativa é uma implementação diferente, um recurso manual ou um serviço reduzido que preserve a função pública mais importante. A escolha depende das consequências da interrupção. Uma carga de trabalho de investigação pode tolerar uma execução atrasada. Um serviço de informação pública pode precisar de um caminho de publicação estático. Um fluxo de trabalho relacionado com segurança pode precisar de um controlo humano e de um procedimento testado em vez de um segundo ponto final idêntico. Soberania é a capacidade de escolher o recurso antes que o sistema primário o escolha por si.
Há também um custo social. Se apenas algumas pessoas conseguem operar um sistema, a organização comprou uma dependência da memória delas. Se a contratação pública trata qualquer afastamento do fornecedor atual como irresponsável, ensina ao mercado que a saída é teatro. Se as instituições financiam alternativas apenas até ao primeiro concurso estar concluído, criam uma demonstração em vez de capacidade. Pagar pelo conhecimento operacional, pela interoperabilidade e pela manutenção é menos entusiasmante do que anunciar uma plataforma. É também assim que as escolhas sobrevivem ao segundo ciclo orçamental.
A nossa pequena nota de rodapé
Na Dweve, o nosso relatório público The Sovereignty Illusion apresenta um argumento relacionado através de cinco portas práticas: propriedade, tecnologia, capital, infraestrutura e exposição legal. O relatório é a nossa própria análise, não uma norma legal e não um substituto do quadro de contratação da Comissão ou do Regulamento sobre Dados. O seu valor aqui é simplesmente o hábito que encoraja: quando alguém diz que um sistema é soberano, pergunte qual porta detém o controlo e qual porta permanece aberta. É a essa escala que preferimos discutir o nosso próprio trabalho, depois das evidências e antes da apresentação.
O teste acontece antes da emergência
O momento mais revelador para a soberania raramente é o lançamento. Os lançamentos estão cheios de diagramas preparados, equipas nomeadas e tempo favorável. O momento revelador é uma mudança de rumo: um contrato tem de terminar, um fornecedor tem de ser desafiado, um alcance legal tem de ser revisto, uma dependência tem de ser substituída, ou um operador tem de parar uma função antes de todos os factos estarem confortáveis.
É por isso que o interruptor de desligar é um melhor ponto de partida do que a bandeira. Exige autoridade em vez de atmosfera. Pergunta o que a organização pode inspecionar, não o que o fornecedor pode prometer. Pergunta se os dados e os ativos digitais podem mover-se, se a função pode continuar e se as evidências sobreviverão à mudança. Transforma a soberania num conjunto de ações ensaiáveis.
O quadro de 2026 da Comissão Europeia mostra que a contratação pública pode tornar estas ações legíveis. O Regulamento sobre Dados mostra que a mudança e a informação jurisdicional podem ser deveres em vez de favores. O trabalho de risco da ENISA lembra-nos que o bloqueio e a exposição legal não são surpresas novas, mesmo quando a arquitetura muda de nome. Nenhuma destas fontes diz que a Europa pode operar sem dependências. Oferecem algo mais sério: uma forma de decidir quais dependências são aceitáveis e o que acontece quando não são.
Uma instituição europeia não precisa de possuir todos os chips, escrever todos os sistemas operativos ou construir todos os serviços para agir com soberania. Precisa de manter uma capacidade credível de compreender o acordo, definir limites, alterar os termos, parar o caminho inseguro e continuar a função essencial. Por vezes, isso significa escolher um fornecedor europeu. Por vezes, significa uma interface aberta, um detentor de chaves separado, um segundo operador, uma via manual ou um serviço mais pequeno. A resposta pertence ao risco e à responsabilidade pública, não a um slogan.
Antes do próximo anúncio de cloud soberana, faça cinco perguntas simples. Quem pode parar isto? Quem pode ver o que aconteceu? Quem pode mudar isto? Para onde pode mover-se? O que o pode substituir? Se as respostas estão escritas, testadas e possuídas, a palavra soberania pode estar a fazer um trabalho útil. Se as respostas terminam num logótipo e num endereço, o sistema ainda não encontrou o seu interruptor de desligar.
Fontes
- Sovereign Cloud Framework explicado, Comissão Europeia, Direção-Geral dos Serviços Digitais.
- Reforçar a soberania tecnológica da Europa, Comissão Europeia, Construir o futuro digital da Europa.
- Regulamento (UE) 2023/2854 (Lei dos Dados), EUR-Lex, especialmente o capítulo VI sobre a mudança entre serviços de processamento de dados.
- Avaliação de riscos da computação em nuvem, Agência da União Europeia para a Cibersegurança.
- The Sovereignty Illusion, Dweve.