O Redata e o sistema financeiro
Congresso em Foco
Entrar
Cadastro
Entrar
Publicidade
Publicidade
Receba notícias do Congresso em Foco:
Tecnologia
Lucas Rodrigues Lucas
16/10/2026 13:08
Segundo informações do Ministério da Fazenda e do Ministério do Desenvolvimento, Indústria, Comércio e Serviços, cerca de 60% dos dados e da inteligência artificial utilizados no país são processados no exterior, dependência esta que o governo brasileiro associa a riscos de soberania, latência e perda de competitividade, motivos significativos para uma movimentação legislativa que pudesse contrapor essa fragilidade.
Dessa forma, foi sancionado, sem vetos, em 15 de setembro de 2026 e publicado na edição extra do Diário Oficial da União como Lei nº 15.504/2026 o então projeto de lei 278/2026, que criava o Regime Especial de Tributação para Serviços de Datacenter, também chamado de Redata, deixando parte relevante de sua operacionalização para regulamento posterior do Poder Executivo federal.
O conceito de serviços de data center, segundo a nova lei, abrange a computação em nuvem, a computação de alto desempenho, o treinamento e inferência de modelos de inteligência artificial e os serviços correlatos. Para o setor financeiro, que figura entre os maiores consumidores desse tipo de infraestrutura, a dependência externa também figura como questão de atenção, pois afeta a continuidade das operações e o ritmo de lançamento de novos produtos e serviços.
É necessário frisar que o núcleo do Redata é tributário. A lei estabelece a suspensão, convertida em alíquota zero, de PIS/Pasep, Cofins e IPI na compra de equipamentos de tecnologia da informação e comunicação destinados aos empreendimentos, nacionais ou importados, bem como prevê alíquota zero do Imposto de Importação para equipamentos sem produção nacional equivalente. Embora o regime tenha vigência de cinco anos, os benefícios relativos a PIS/Pasep, Cofins e IPI produzem efeitos apenas até 31 de dezembro de 2026, em razão da transição da Reforma Tributária, então na prática, a partir de 2027, subsistirá apenas o benefício do Imposto de Importação.
Sob a ótica das instituições financeiras, para a maior parte delas, e sobretudo para as fintechs, o efeito da operacionalização do Redata tende a ser indireto.
A ampliação da oferta local de nuvem e de capacidade de processamento para inteligência artificial pode melhorar as condições de contratação de serviços de nuvem pelas instituições bancárias e, indiretamente, repercutir na oferta de produtos e serviços, além de minimizar o tempo de resposta de aplicações sensíveis, como autorizadores de pagamento, sistemas de atendimento, operacionalização do Pix, ferramentas de atuação antifraude e modelos de análise para concessão de crédito.
A reserva de capacidade ao mercado interno, por sua vez, favorece também a disponibilidade de infraestrutura de forma mais acessível para empresas brasileiras de menor porte, o que ampliaria a concorrência no nicho financeiro.
A instalação de data centers no país, contudo, não altera as obrigações prudenciais das instituições autorizadas a funcionar pelo Banco Central. A contratação de processamento, armazenamento e computação em nuvem continua regida pela Resolução CMN nº 4.893/2021, recentemente reforçada pela Resolução CMN nº 5.274/2025, acompanhada da Resolução BCB nº 538/2025 para instituições de pagamento, com prazo de adequação encerrado em 1º de março de 2026.
Entre as novidades das resoluções mencionadas, tem-se que os ambientes do Pix e do Sistema de Transferência de Reservas devem ser isolados física e logicamente dos demais sistemas, com instâncias dedicadas e apartadas quando em nuvem, e passaram a ser exigidos testes de intrusão anuais por profissionais independentes. Logo, a delimitação de regras mais rígidas repercute diretamente em contratos de tecnologia e computação em nuvem, exigindo análises rigorosas de risco e maior governança sobre contratos e prestadores.
Porém, a regra mais importante para a análise de riscos é anterior à nova lei e continua vigente, qual seja, a de que a instituição financeira autorizada a funcionar pelo Banco Central, contratante do serviço final de um data center, ainda é responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços contratados, bem como pelo cumprimento da legislação. Migrar cargas para provedores locais pode simplificar aspectos da contratação antes feita no exterior, mas o dever de diligência da instituição, contudo, permanece o mesmo.
Existe ainda a possibilidade de risco sistêmico no caso de muitas instituições concentrarem operações nos mesmos poucos provedores eventualmente habilitados, visto que uma falha grave em um desses ambientes pode afetar simultaneamente diversos participantes do mercado, o que reforça a importância dos planos de continuidade e de diversificação de fornecedores.
Para os consumidores em geral, tendo por base a equação jurídica que relaciona consumidores e fornecedores, as regras vigentes se mantêm inalteradas. O Código de Defesa do Consumidor aplica-se às instituições financeiras, situação já sedimentada pela Súmula 297 do Superior Tribunal de Justiça. Além disso, a Súmula 479 da mesma Corte consolidou que fraudes e delitos praticados por terceiros no âmbito de operações bancárias configuram fortuito interno.
Na prática, uma indisponibilidade, um vazamento ou uma fraude originados na infraestrutura de um provedor de data center não afasta a responsabilidade do banco ou da fintech perante o cliente, restando à instituição o direito de regresso nos termos do contrato.
Interpretar a eventual localização física dos dados em território nacional como uma forma de simplificar a conformidade com a Lei Geral de Proteção de Dados, LGPD, também não condiz com a realidade, já que pelo disposto no art. 3º, I, a LGPD se aplica ainda a qualquer tratamento realizado no território nacional, desta forma, trazer os dados para cá só confirma sua incidência.
O que poderia acontecer é o armazenamento em território nacional reduzir a dependência dos mecanismos de transferência internacional previstos no seu art. 33, sem dispensar governança e controles de segurança. Ou seja, achar que trazer o dado para o solo pátrio reduziria as amarras da LGPD é pura ilusão de ótica regulatória.
Ponto de atenção também à luz da LGPD é o de que mais oferta de capacidade local para impulsionar modelos de inteligência artificial, por exemplo, na concessão de crédito e na prevenção de fraudes, acarretaria às instituições financeiras o dever de ainda observar, para um volume maior de casos, o direito do titular do dado à revisão de decisões tomadas unicamente por tratamento automatizado, nos moldes do previsto no art. 20 da legislação de dados, com a correspondente transparência sobre os critérios utilizados, resguardados os segredos comercial e industrial.
A análise da Lei nº 15.504/2026 demonstra que o instrumento de fato é um passo expressivo na política de atração de infraestrutura digital, e o setor financeiro está entre os que mais podem ganhar com a ampliação da oferta local de nuvem e de processamento para inteligência artificial.
Na pauta dos departamentos jurídicos de bancos e fintechs, fica a tarefa de acompanhar a regulamentação do Executivo, que definirá quem se habilita e em que condições, para identificar contratações mais vantajosas. Bem como, sem a necessidade de depender de regulamento algum, revisar desde já os contratos de nuvem vigentes, reforçando assim dentro de casa a governança contratual e regulatória.
O texto acima expressa a visão de quem o assina, não necessariamente do Congresso em Foco. Se você quer publicar algo sobre o mesmo tema, mas com um diferente ponto de vista, envie sua sugestão de texto para redacao@congressoemfoco.com.br.
Tags
Temas
CONGRESSO EM FOCO NAS REDES
Fonte: Congresso em Foco