Nuvem soberana na América Latina: gasto deve quase dobrar em 2026

O gasto com infraestrutura como serviço (IaaS) de nuvem soberana na América Latina deve passar de US$ 278 milhões em 2025 para US$ 506 milhões em 2026, e chegaria a US$ 946 milhões em 2027, segundo a projeção do Gartner de fevereiro de 2026. Pelo cálculo do GAITECX, isso equivale a uma alta de 82% em 2026 e de 87% em 2027, embora a região continue representando cerca de 0,6% dos US$ 80 bilhões que o Gartner prevê para o mundo. Para o conselho de administração, a consequência é direta: a oferta local está se formando agora, e as condições que sua empresa negociar hoje vão marcar os contratos dos próximos anos.

Onde o investimento está acontecendo

Quem compra nuvem soberana

O Gartner identifica os governos como os principais compradores, seguidos pelas indústrias reguladas e pela infraestrutura crítica, e atribui parte da alta às tensões geopolíticas. É um dado global: o Gartner não publica um detalhamento latino-americano por setor nem por país. Ainda assim, na leitura do GAITECX, esse perfil coincide com os setores que concentram dados sensíveis na região: bancos, energia, saúde e telecomunicações.

Dois números da mesma projeção do Gartner mudam a conversa sobre orçamento. O impulso à "geopatriação" levaria 20% das cargas atuais de provedores globais para provedores locais. E 80% do gasto soberano virá de soluções novas ou de sistemas legados que ainda não migraram. A decisão sobre soberania é tomada antes de migrar, não depois.

Por que se compra: segurança antes da migração

O motivo de compra está mudando. A pesquisa IDC Latin America IT Investment Trends 2026, aplicada a 507 organizações e divulgada pelo El Tiempo, coloca a segurança da informação e da nuvem como a primeira iniciativa estratégica de tecnologia da informação (TI), com 37%, seguida pela IA generativa (30,8%). No México, segundo a mesma pesquisa reproduzida pelo Yahoo Notícias, as plataformas de nuvem e a modernização de infraestrutura perdem posições para essas duas prioridades.

São dados da IDC conhecidos por meio da imprensa, por isso convém confrontá-los com o relatório completo. A leitura do GAITECX: a nuvem se justifica cada vez mais por conformidade e segurança, e menos pelo projeto de migração em si.

Onde a regulação aperta

Sem um marco regional comum, a soberania deixa de ser apenas uma pergunta sobre onde está o data center. Passa a ser uma cláusula contratual, e cada país a redige no seu ritmo.

Brasil. Sob a Lei Geral de Proteção de Dados (LGPD) e a Resolução CD/ANPD 19/2024, o prazo para incorporar as cláusulas-padrão da Autoridade Nacional de Proteção de Dados (ANPD) terminou em 23 de agosto de 2025. Desde então, se uma transferência internacional se apoia em cláusulas contratuais, só valem as da ANPD ou cláusulas específicas que a autoridade tenha aprovado. Essas cláusulas exigem, entre outros pontos, comunicar os titulares e a ANPD em até 3 dias úteis após a detecção de um incidente de segurança.

Chile. A Lei 21.719 foi publicada em 13 de dezembro de 2024 e sua vigência legal continua fixada para 1º de dezembro de 2026, segundo o escritório Carey. Em 1º de setembro de 2026, o governo apresentou um projeto para adiá-la por um ano e ampliar o Conselho da Agência de 3 para 5 membros (boletim 18.623-07).

Em 5 de novembro de 2026, a Comissão de Constituição da Câmara aprovou em geral o adiamento da vigência até 15 de outubro de 2027. O projeto segue em tramitação e ainda não é lei. Nessa sessão, o subsecretário citou uma consulta a 127 organizações obrigadas em que 72% não se consideravam preparadas para a data original.

O ponto sensível para a nuvem são as transferências. Com a nova lei, os dados só poderão sair para países com nível adequado de proteção ou com garantias como cláusulas-tipo ou certificações, segundo uma análise da XMS Latam. Uma resolução do Ministério da Economia de 2025 já alertava que a Agência poderia não conseguir regulamentar a tempo alguns desses mecanismos.

México. A nova Lei Federal de Proteção de Dados Pessoais em Posse dos Particulares está em vigor desde 21 de março de 2025. Ela extinguiu o Instituto Nacional de Transparência, Acesso à Informação e Proteção de Dados Pessoais (INAI) e transferiu suas funções para a Secretaria Anticorrupção e Bom Governo, que depende do Executivo. A lei eliminou a obrigação expressa de informar as transferências no aviso de privacidade, mas o regulamento a mantém, e as resoluções da autoridade podem ser contestadas por meio de amparo.

A situação por país:

País	Norma e autoridade	Situação em novembro de 2026	Efeito na escolha do provedor
Brasil	LGPD e Resolução CD/ANPD 19/2024	Cláusulas-padrão obrigatórias desde 23 de agosto de 2025	Se os dados saem do país, o contrato deve incluir as cláusulas-padrão e a comunicação de incidentes em 3 dias úteis.
Chile	Lei 21.719 e futura Agência de Proteção de Dados	Vigência legal: 1º de dezembro de 2026. Adiamento em tramitação.	Incerteza sobre prazos e mecanismos de transferência. Convém pactuar contratos ajustáveis.
México	Nova lei federal e Secretaria Anticorrupção e Bom Governo	Em vigor desde 21 de março de 2025. O INAI foi extinto.	Muda o interlocutor regulatório. Revise avisos de privacidade e transferências conforme o regulamento.

O que os compradores buscam

Os comitês de tecnologia da região não compram o rótulo "soberano". Compram evidência de controle. Estas são as capacidades que convém exigir e as perguntas para cada provedor, global ou local:

Capacidade	Pergunta ao provedor
Localização dos dados	Onde ficam os dados e suas cópias de segurança, e isso pode ser garantido em contrato?
Controle das chaves	Quem administra as chaves de criptografia: a sua empresa ou o provedor?
Suporte	De quais países o suporte é prestado e quem acessa os sistemas?
Pedidos de autoridades	Como o provedor responde a pedidos de autoridades estrangeiras e como informa o cliente?
Conformidade por país	O contrato inclui as cláusulas-padrão da ANPD e como o provedor cumpre a comunicação de incidentes em 3 dias úteis?
Saída	Em que prazo e formato os dados são devolvidos se você trocar de provedor?

Na leitura do GAITECX, a objeção habitual será o custo. Combinar um provedor global com um local pode reduzir o risco regulatório, mas soma integração, operação e equipes a gerenciar. Também é uma leitura do GAITECX que a oferta local, por partir de uma base tão pequena, ainda apresenta catálogos e maturidade operacional desiguais entre provedores.

Para levar o tema ao conselho com uma proposta concreta:

Mapeie fluxos e contratos por país em 60 dias. Responsáveis: o CIO (responsável por tecnologia), o encarregado de dados (DPO) e a área jurídica. Confirme as cláusulas da ANPD no Brasil e não congele o programa chileno: enquanto o adiamento não for lei, a data legal é 1º de dezembro de 2026.
Classifique as cargas por sensibilidade antes de aprovar novas migrações. Responsáveis: o CIO e o CISO (responsável por segurança da informação). Defina o que deve ficar no país ou sob controle local.
Quantifique o custo de uma carteira mista. Responsáveis: o CFO (responsável por finanças) e o CIO. Compare o risco regulatório evitado com o custo operacional adicional.

O que isso significa para os provedores

Para fabricantes, integradores e operadores de nuvem, a janela comercial está nas cargas que ainda não foram movidas. Se 80% do gasto soberano vem de soluções novas ou de sistemas não migrados, a venda se ganha na etapa de desenho, não na de renovação.

Rene Buest, analista do Gartner, afirma que os grandes provedores devem atender aos requisitos de soberania de cada país para competir por clientes locais. Na América Latina, isso implica três movimentos:

Ofereça a soberania como um pacote auditável: localização dos dados, controle das chaves, suporte local e direitos de saída documentados. O comprador precisa de provas que possa mostrar ao seu regulador.
Prepare contratos prontos por jurisdição: cláusulas-padrão da ANPD para o Brasil, um regime ajustável para a transição chilena e uma revisão de transferências alinhada ao regulamento mexicano.
Concentre a oferta em governo, indústrias reguladas e infraestrutura crítica, os segmentos que o Gartner identifica como principais compradores.

Há um detalhe para a mensagem comercial. Se a segurança é a primeira prioridade de TI na região, segundo a pesquisa da IDC, a soberania se vende melhor como parte de uma proposta de segurança e conformidade do que como um produto de infraestrutura isolado. Os provedores que reduzirem o trabalho jurídico do cliente terão um argumento mais forte do que os que competirem apenas por preço.

Sinais a acompanhar

Nos próximos 6 a 12 meses, estes indicadores dirão se a tendência se consolida:

A lei de adiamento no Chile: o texto final, a data de vigência que prevalecer e a nomeação do Conselho da Agência.
A regulamentação chilena das transferências internacionais: quais mecanismos a Agência habilitará e quando.
As decisões da ANPD no Brasil: reconhecimento de cláusulas equivalentes de outros países ou declarações de adequação.
Os critérios da nova autoridade mexicana sobre transferências e avisos de privacidade.
O cumprimento da projeção do Gartner: se a região se aproxima de US$ 946 milhões em 2027 ou se o crescimento perde força.

A visão do GAITECX

No GAITECX, vemos que a soberania de dados deixou de ser um debate técnico e passou a ser uma decisão de contrato e de conselho. A vantagem será das empresas que definirem onde seus dados ficam e quem controla as chaves antes da próxima migração, e não depois. Por isso este tema faz parte do track de Transformação Digital, onde CIOs, CISOs e líderes jurídicos da região comparam como estão escolhendo provedores.