Segundo informações do Ministério da Fazenda e do Ministério do Desenvolvimento, Indústria, Comércio e Serviços, cerca de 60% dos dados e da inteligência artificial utilizados no país são processados no exterior, dependência esta que o governo brasileiro associa a riscos de soberania, latência e perda de competitividade, motivos significativos para uma movimentação legislativa que pudesse contrapor essa fragilidade.
Dessa forma, foi sancionado, sem vetos, em 15 de setembro de 2026 e publicado na edição extra do Diário Oficial da União como Lei nº 15.504/2026 o então projeto de lei 278/2026, que criava o Regime Especial de Tributação para Serviços de Datacenter, também chamado de Redata, deixando parte relevante de sua operacionalização para regulamento posterior do Poder Executivo federal.
O conceito de serviços de data center, segundo a nova lei, abrange a computação em nuvem, a computação de alto desempenho, o treinamento e inferência de modelos de inteligência artificial e os serviços correlatos. Para o setor financeiro, que figura entre os maiores consumidores desse tipo de infraestrutura, a dependência externa também figura como questão de atenção, pois afeta a continuidade das operações e o ritmo de lançamento de novos produtos e serviços.
É necessário frisar que o núcleo do Redata é tributário. A lei estabelece a suspensão, convertida em alíquota zero, de PIS/Pasep, Cofins e IPI na compra de equipamentos de tecnologia da informação e comunicação destinados aos empreendimentos, nacionais ou importados, bem como prevê alíquota zero do Imposto de Importação para equipamentos sem produção nacional equivalente. Embora o regime tenha vigência de cinco anos, os benefícios relativos a PIS/Pasep, Cofins e IPI produzem efeitos apenas até 31 de dezembro de 2026, em razão da transição da Reforma Tributária, então na prática, a partir de 2027, subsistirá apenas o benefício do Imposto de Importação.
Sob a ótica das instituições financeiras, para a maior parte delas, e sobretudo para as fintechs, o efeito da operacionalização do Redata tende a ser indireto.
A ampliação da oferta local de nuvem e de capacidade de processamento para inteligência artificial pode melhorar as condições de contratação de serviços de nuvem pelas instituições bancárias e, indiretamente, repercutir na oferta de produtos e serviços, além de minimizar o tempo de resposta de aplicações sensíveis, como autorizadores de pagamento, sistemas de atendimento, operacionalização do Pix, ferramentas de atuação antifraude e modelos de análise para concessão de crédito.
A reserva de capacidade ao mercado interno, por sua vez, favorece também a disponibilidade de infraestrutura de forma mais acessível para empresas brasileiras de menor porte, o que ampliaria a concorrência no nicho financeiro.
A instalação de data centers no país, contudo, não altera as obrigações prudenciais das instituições autorizadas a funcionar pelo Banco Central. A contratação de processamento, armazenamento e computação em nuvem continua regida pela Resolução CMN nº 4.893/2021, recentemente reforçada pela Resolução CMN nº 5.274/2025, acompanhada da Resolução BCB nº 538/2025 para instituições de pagamento, com prazo de adequação encerrado em 1º de março de 2026.
Entre as novidades das resoluções mencionadas, tem-se que os ambientes do Pix e do Sistema de Transferência de Reservas devem ser isolados física e logicamente dos demais sistemas, com instâncias dedicadas e apartadas quando em nuvem, e passaram a ser exigidos testes de intrusão anuais por profissionais independentes. Logo, a delimitação de regras mais rígidas repercute diretamente em contratos de tecnologia e computação em nuvem, exigindo análises rigorosas de risco e maior governança sobre contratos e prestadores.
Porém, a regra mais importante para a análise de riscos é anterior à nova lei e continua vigente, qual seja, a de que a instituição financeira autorizada a funcionar pelo Banco Central, contratante do serviço final de um data center, ainda é responsável pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços contratados, bem como pelo cumprimento da legislação. Migrar cargas para provedores locais pode simplificar aspectos da contratação antes feita no exterior, mas o dever de diligência da instituição, contudo, permanece o mesmo.
Existe ainda a possibilidade de risco sistêmico no caso de muitas instituições concentrarem operações nos mesmos poucos provedores eventualmente habilitados, visto que uma falha grave em um desses ambientes pode afetar simultaneamente diversos participantes do mercado, o que reforça a importância dos planos de continuidade e de diversificação de fornecedores.
Para os consumidores em geral, tendo por base a equação jurídica que relaciona consumidores e fornecedores, as regras vigentes se mantêm inalteradas. O Código de Defesa do Consumidor aplica-se às instituições financeiras, situação já sedimentada pela Súmula 297 do Superior Tribunal de Justiça. Além disso, a Súmula 479 da mesma Corte consolidou que fraudes e delitos praticados por terceiros no âmbito de operações bancárias configuram fortuito interno.
Na prática, uma indisponibilidade, um vazamento ou uma fraude originados na infraestrutura de um provedor de data center não afasta a responsabilidade do banco ou da fintech perante o cliente, restando à instituição o direito de regresso nos termos do contrato.
Interpretar a eventual localização física dos dados em território nacional como uma forma de simplificar a conformidade com a Lei Geral de Proteção de Dados, LGPD, também não condiz com a realidade, já que pelo disposto no art. 3º, I, a LGPD se aplica ainda a qualquer tratamento realizado no território nacional, desta forma, trazer os dados para cá só confirma sua incidência.
O que poderia acontecer é o armazenamento em território nacional reduzir a dependência dos mecanismos de transferência internacional previstos no seu art. 33, sem dispensar governança e controles de segurança. Ou seja, achar que trazer o dado para o solo pátrio reduziria as amarras da LGPD é pura ilusão de ótica regulatória.
Ponto de atenção também à luz da LGPD é o de que mais oferta de capacidade local para impulsionar modelos de inteligência artificial, por exemplo, na concessão de crédito e na prevenção de fraudes, acarretaria às instituições financeiras o dever de ainda observar, para um volume maior de casos, o direito do titular do dado à revisão de decisões tomadas unicamente por tratamento automatizado, nos moldes do previsto no art. 20 da legislação de dados, com a correspondente transparência sobre os critérios utilizados, resguardados os segredos comercial e industrial.
A análise da Lei nº 15.504/2026 demonstra que o instrumento de fato é um passo expressivo na política de atração de infraestrutura digital, e o setor financeiro está entre os que mais podem ganhar com a ampliação da oferta local de nuvem e de processamento para inteligência artificial.
Na pauta dos departamentos jurídicos de bancos e fintechs, fica a tarefa de acompanhar a regulamentação do Executivo, que definirá quem se habilita e em que condições, para identificar contratações mais vantajosas. Bem como, sem a necessidade de depender de regulamento algum, revisar desde já os contratos de nuvem vigentes, reforçando assim dentro de casa a governança contratual e regulatória.
Disponível em: https://www.congressoemfoco.com.br/artigo/123328/o-redata-e-o-sistema-financeiro
Referências
BRASIL. Lei nº 15.504, de 15 de setembro de 2026. Altera a Lei nº 11.196, de 21 de novembro de 2005, para instituir o Regime Especial de Tributação para Serviços de Datacenter (Redata), e a Lei nº 15.211, de 17 de setembro de 2025 (Estatuto Digital da Criança e do Adolescente). Brasília, DF: Presidência da República, 2026. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/lei/l15504.htm. Acesso em: 20 set. 2026.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF: Presidência da República, [2026]. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 20 set. 2026.
BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Dispõe sobre a proteção do consumidor e dá outras providências. Brasília, DF: Presidência da República, [2026]. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm. Acesso em: 20 set. 2026.
BRASIL. Conselho Monetário Nacional. Resolução CMN nº 4.893, de 26 de fevereiro de 2021. Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil. Brasília, DF: Banco Central do Brasil, [2025]. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=4893. Acesso em: 20 set. 2026.
BRASIL. Conselho Monetário Nacional. Resolução CMN nº 5.274, de 18 de dezembro de 2025. Altera a Resolução CMN nº 4.893, de 26 de fevereiro de 2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil. Brasília, DF: Banco Central do Brasil, 2025. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20CMN&numero=5274. Acesso em: 20 set. 2026.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 85, de 8 de abril de 2021. Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições de pagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizadas a funcionar pelo Banco Central do Brasil. Brasília, DF: Banco Central do Brasil, [2025]. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=85. Acesso em: 21 set. 2026.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 538, de 18 de dezembro de 2025. Altera a Resolução BCB nº 85, de 8 de abril de 2021, que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições de pagamento, pelas sociedades corretoras de títulos e valores mobiliários, pelas sociedades distribuidoras de títulos e valores mobiliários e pelas sociedades corretoras de câmbio autorizados a funcionar pelo Banco Central do Brasil. Brasília, DF: Banco Central do Brasil, 2025. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=538. Acesso em: 21 set. 2026.
BRASIL. Ministério do Desenvolvimento, Indústria, Comércio e Serviços. Presidente sanciona o Redata, que estimula Datacenters e desenvolvimento tecnológico no Brasil. Brasília, DF: MDIC, 15 set. 2026. Disponível em: https://www.gov.br/mdic/pt-br/assuntos/noticias/2026-periodo-eleitoral/setembro/presidente-sanciona-o-redata-que-estimula-datacenters-e-desenvolvimento-tecnologico-no-brasil. Acesso em: 21 set. 2026.
BANCO Central do Brasil: Resolução CMN nº 4.893: mapeamento do Google Workspace. Google Cloud, [S. l.], [20–]. Disponível em: https://cloud.google.com/security/compliance/cmn_4893_workspace_mapping_por. Acesso em: 20 set. 2026.
DATA centers no Brasil: o que o país entrega em troca do investimento. Monitor Mercantil, Rio de Janeiro, 22 set. 2026. Disponível em: https://monitormercantil.com.br/data-centers-no-brasil-o-que-o-pais-entrega-em-troca-do-investimento/. Acesso em: 22 set. 2026.
LAW No. 15,504/2026 receives presidential assent and formally establishes ReData program. Mattos Filho, São Paulo, [2026]. Disponível em: https://www.mattosfilho.com.br/en/unico/special-tax-regime-data-center/. Acesso em: 22 set. 2026.
NOVA lei cria incentivo fiscal para instalação de datacenters no Brasil. Agência Câmara de Notícias, Brasília, DF, [2026]. Disponível em: https://www.camara.leg.br/noticias/1304932-nova-lei-cria-incentivo-fiscal-para-instalacao-de-datacenters-no-brasil. Acesso em: 22 set. 2026.
NOVAS regras para a segurança digital em 2026. Febraban Tech, São Paulo, 29 jan. 2026. Disponível em: https://febrabantech.febraban.org.br/conteudoPublicado/69689c4d-f3e2-43d3-bc6c-3948b640195d. Acesso em: 21 set. 2026.
SANCIONADA lei de incentivo à instalação de data centers. Agência Senado, Brasília, DF, 16 set. 2026. Disponível em: https://www12.senado.leg.br/noticias/materias/2026/09/16/sancionada-lei-de-incentivo-para-a-instalacao-de-data-centers. Acesso em: 22 set. 2026.
SEGURANÇA cibernética: o que muda com a Resolução CMN nº 5.274/2025? Grant Thornton, [S. l.], 30 dez. 2025. Disponível em: https://www.grantthornton.com.br/insights/artigos-e-publicacoes/seguranca-cibernetica-o-que-muda-com-a-cmn-5.2742025/. Acesso em: 22 set. 2026.
Autor: Lucas Rodrigues Lucas • email: lucas.lucas@ernestoborges.com.br
