O CLOUD Act é uma lei dos EUA de 2018 – e, mesmo assim, pode afetar dados armazenados em um data center suíço. “Hospedagem na Suíça” soa como um escudo de proteção. Para a soberania dos seus dados, é um bom começo, mas não a resposta completa.
Afinal, o que importa não é só onde um servidor está, mas quem o controla e a qual direito está sujeita a empresa que o opera. Em ferramentas de IA que processam contratos, dados de clientes ou atas internas, essa não é uma questão só para o departamento jurídico.
Dando continuidade ao nosso artigo sobre IA e proteção de dados, mostramos o que o CLOUD Act regula, como a Suíça enquadra as transferências de dados para os EUA e o que você deve perguntar ao seu fornecedor de IA.
O Clarifying Lawful Overseas Use of Data Act, ou CLOUD Act, foi promulgado em março de 2018 e acrescentou à lei americana sobre comunicações armazenadas um esclarecimento de grandes consequências.
Segundo o 18 U.S.C. § 2713, fornecedores de serviços de comunicação e de nuvem precisam, mediante ordem, preservar ou entregar conteúdos e dados de clientes que estejam em sua posse, custódia ou controle. E isso independentemente de esses dados estarem dentro ou fora dos EUA.
Em seu relatório sobre o US CLOUD Act, de 2021, o Escritório Federal de Justiça da Suíça (FOJ) fala de efeitos extraterritoriais. Sua análise sugere que uma entrega desse tipo só é compatível com o direito suíço e europeu de proteção de dados “em casos excepcionais específicos”.
São abrangidos os fornecedores sujeitos à jurisdição dos EUA. Segundo o Departamento de Justiça dos EUA, não se trata apenas de empresas americanas; se há vínculo suficiente com os EUA é avaliado caso a caso.
Mas a lei não é um passe livre. Segundo o Departamento, ela não cria uma nova forma de mandado de busca; um mandado desse tipo continua exigindo causa provável e autorização judicial. Coletas de dados em massa também não seriam permitidas.
Um data center suíço assegura que os dados fiquem fisicamente no país. Mas o CLOUD Act não se baseia na localização, e sim no controle.
É o que também aponta a privatim, a Conferência dos Comissários Suíços de Proteção de Dados. Uma resolução publicada em 24 de novembro de 2025 afirma que fornecedores dos EUA podem ser obrigados a entregar dados de clientes às autoridades americanas “mesmo que esses dados estejam armazenados em data centers suíços”.
Para as autoridades, a privatim traça uma linha clara: dados pessoais sensíveis ou sujeitos a dever legal de sigilo só devem ir para softwares de nuvem internacionais se a própria autoridade os criptografar e o fornecedor não tiver acesso à chave. Trata-se de uma avaliação destinada a órgãos públicos, não de uma lei. Mesmo assim, serve como critério de verificação.
Foi reveladora uma audiência no Senado francês em 10 de junho de 2025. Um representante de um grande fornecedor de nuvem dos EUA foi questionado se poderia garantir, sob juramento, que dados de cidadãos franceses nunca seriam entregues por ordem dos EUA sem o consentimento expresso das autoridades francesas.
Sua resposta: não, ele não podia garantir isso. Pedidos infundados seriam contestados, e uma entrega desse tipo nunca teria ocorrido até então. Isso não é uma peculiaridade de uma única empresa, mas decorre da lei: quem está sujeito ao direito dos EUA precisa, em última instância, cumprir uma ordem válida.
A boa notícia: transferir dados pessoais para os EUA não é proibido por princípio. Segundo o art. 16 da Lei Federal Suíça de Proteção de Dados (LPD/FADP), dados pessoais podem ser comunicados ao exterior se o Conselho Federal tiver constatado que a legislação do país de destino garante um nível de proteção adequado.
Para os EUA, isso vale desde 15 de setembro de 2024, mas apenas para organizações certificadas no âmbito do Data Privacy Framework Suíça–EUA. É o que consta do Anexo 1 do Regulamento de Proteção de Dados. Sem certificação, são necessárias outras garantias, como cláusulas-padrão de proteção de dados reconhecidas pelo Comissário Federal de Proteção de Dados e Transparência da Suíça (FDPIC).
O Data Privacy Framework regula quando dados pessoais podem fluir para os EUA. Já o CLOUD Act diz respeito a dados que um fornecedor sujeito ao direito dos EUA controla – mesmo que eles nunca saiam da Suíça. Por isso, verifique as duas coisas: o local de armazenamento e o direito ao qual o seu fornecedor está sujeito.
Poucas perguntas esclarecem se uma ferramenta de IA é adequada aos seus dados. Depois, as respostas devem constar do contrato.
A sede é um indício importante do direito ao qual um fornecedor está sujeito. Mesmo dados mantidos pela subsidiária suíça de um grupo americano podem ser abrangidos se a matriz tiver controle sobre eles.
Peça para ver a lista. Se um fornecedor suíço obtém modelos ou armazenamento de um serviço dos EUA, a questão volta pela porta dos fundos. Uma alternativa são os modelos de IA abertos, que podem ser operados na Suíça.
A criptografia protege mais quando o próprio fornecedor não gerencia a chave. Pergunte quem tem acesso técnico aos dados em texto claro – e em quais casos.
Os dados não estão apenas no banco de dados principal. Logs, cópias de segurança e acessos de manutenção remota costumam passar despercebidos. Resumindo: a residência de dados só conta se valer para todas as cópias.
Esclareça se prompts e documentos são usados para treinar modelos. No caso dos fornecedores internacionais, o local de processamento, o direito aplicável e o uso dos conteúdos inseridos dependem das respectivas condições contratuais.
O CLOUD Act mostra: quem quer soberania de dados precisa pensar além da localização do servidor. Nosso artigo sobre IA com soberania de dados traz os fundamentos.
Na BE BRAVE, apostamos em infraestrutura própria. Todas as ofertas da BE BRAVE são operadas em nossos próprios servidores na Suíça. Dados de clientes, processamento, logs e backups permanecem na Suíça e nunca são usados para treinar modelos de IA.
Com infraestrutura suíça própria, processamento local e a renúncia ao treinamento com dados de clientes, deixam de existir vários riscos típicos de fornecedores internacionais de nuvem e de modelos – em especial a residência de dados pouco clara, longas cadeias de suboperadores e o uso de entradas para aprimorar modelos. Saiba mais em Soberania de dados & segurança.
Opcionalmente, você pode conectar seus próprios sistemas de terceiros. Na ativação, os dados selecionados por você são transferidos ao respectivo fornecedor. A partir desse momento, passam a valer também os termos de proteção de dados, segurança e residência de dados desse fornecedor; a garantia de hospedagem suíça da BE BRAVE não se aplica a cópias de dados no sistema de terceiros.
Este artigo tem caráter meramente informativo e não substitui aconselhamento jurídico.
Sim, desde que o fornecedor esteja sujeito à jurisdição dos EUA e controle os dados. O local de armazenamento não faz diferença.
Não. O Departamento de Justiça dos EUA lista acordos desse tipo com o Reino Unido e a Austrália. Eles permitem que autoridades de ambos os lados solicitem dados diretamente a fornecedores do outro país em casos de crimes graves.
Não. Desde 15 de setembro de 2024, vale uma proteção adequada para organizações certificadas no âmbito do Data Privacy Framework Suíça–EUA. Caso contrário, são necessárias garantias nos termos do art. 16 da LPD ou uma exceção nos termos do art. 17 da LPD.
A criptografia ajuda sobretudo quando só você tem a chave – é nisso que a privatim também se baseia. Segundo o Departamento de Justiça dos EUA, a lei não cria nenhuma nova obrigação de descriptografar.
","featured_image":"/blog-media/cloud-act-datenhoheit/cloud-act-datenhoheit-header.jpg","category":null,"author_name":"BE BRAVE","tags":null,"is_featured":false,"status":"published","published_at":"2026-08-27T08:00:00.000000Z","seo_title":"CLOUD Act: por que um servidor na Suíça não basta","meta_description":"CLOUD Act e soberania de dados: por que um servidor na Suíça, sozinho, não protege seus dados e o que perguntar ao seu fornecedor de IA. Saiba mais aqui!","og_image":null,"canonical_url":"/pt/cloud-act-datenhoheit","created_at":"2026-08-27T08:00:00.000000Z","updated_at":"2026-08-27T08:00:00.000000Z"}}