Neste artigo
- O que realmente sai da sua empresa durante a modernização
- Onde uma ferramenta como o AWS Transform processa seus dados
- O que a PDPL exige antes que os dados saiam
- 6 perguntas para fazer a qualquer ferramenta ou fornecedor antes de enviar algo
- Um plano de 90 dias construído com os exercícios da série
- A visão da Origami
- Encerrando a série
- Fontes
Quando você moderniza com IA, a ferramenta lê seu código e possivelmente cópias do seu banco de dados, geralmente em data centers fora do Reino. O AWS Transform não tem hoje nenhuma região de espaço de trabalho no Oriente Médio, segundo sua página de regiões, e a região saudita da AWS está prevista para dezembro de 2026, segundo a Saudi Press Agency. Então, antes de enviar qualquer coisa: separe o código dos dados pessoais, envie o mínimo e aplique o Regulamento sobre a Transferência de Dados Pessoais para fora do Reino a tudo o que sair.
Na parte 6, você planejou a passagem para o novo sistema sem parar o trabalho. Esta parte final responde à questão dos dados e transforma os exercícios da série em um plano de 90 dias. Para o básico da lei, veja nosso guia prático da PDPL.
O que realmente sai da sua empresa durante a modernização
A palavra dados esconde aqui 4 coisas diferentes, cada uma com um risco diferente:
- O próprio código: o software que seus desenvolvedores escreveram. Geralmente não contém dados de clientes, mas pode conter senhas escritas nele, os endereços dos seus servidores ou nomes de clientes nos comentários dos desenvolvedores.
- Cópias do banco de dados: necessárias para análise e testes, e o que há de mais perigoso para enviar, porque contêm nomes, números de identidade e celulares dos clientes, além dos salários dos funcionários.
- Suas perguntas e conversas com a ferramenta: tudo o que sua equipe digita na janela de chat, onde alguém pode colar um registro real para explicar um problema.
- Os resultados: o novo código, a documentação e as regras de negócio que você extraiu na parte 4, que descrevem como sua empresa funciona por dentro.
A regra prática: o código é limpo antes de sair, e os dados reais só saem quando não há alternativa. Na maioria dos projetos de conversão, uma cópia mascarada basta para os testes, ou seja, dados em que nomes e números reais foram substituídos por valores fictícios com o mesmo formato.
Onde uma ferramenta como o AWS Transform processa seus dados
Usamos o AWS Transform como exemplo porque a Amazon publicou os detalhes, e as mesmas perguntas valem para qualquer outra ferramenta. O que as páginas oficiais da Amazon dizem hoje:
- Onde ficam armazenados: seus dados são mantidos na região onde você criou o espaço de trabalho, segundo a página de proteção de dados. A página de regiões lista 11 regiões, entre elas Frankfurt, Londres, Mumbai, Tóquio e Virgínia, algumas apenas para recursos específicos, e nenhuma no Oriente Médio.
- Onde são processados: a página de processamento entre regiões explica que a ferramenta funciona com modelos do Amazon Bedrock e que as solicitações e seus resultados podem ser processados em outra região da mesma área geográfica; uma solicitação de Frankfurt, por exemplo, pode ser processada em 6 regiões europeias. A mesma página anuncia que, a partir de 7 de outubro de 2026, as solicitações de chat originadas em Mumbai e Seul são distribuídas por todas as regiões comerciais da AWS, enquanto o armazenamento permanece na região de origem.
- Melhoria do serviço: a Amazon diz em sua página de melhoria do serviço que pode usar suas perguntas e o código que a ferramenta gera para melhorar o serviço, inclusive para treinar modelos, e que a recusa é feita por meio de uma política de exclusão de serviços de IA no AWS Organizations, definida pelo administrador da sua conta.
E a região saudita da AWS prevista para dezembro de 2026 não significa automaticamente que esta ferramenta funcionará a partir dela. Abra você mesmo a página de regiões quando seu projeto começar; a lista muda.
O que a PDPL exige antes que os dados saiam
Se dados pessoais saem do Reino, você os está transferindo no sentido regulado pela Lei de Proteção de Dados Pessoais (PDPL) e pelo regulamento de transferências, ambos publicados na Plataforma Nacional de Governança de Dados da SDAIA. O que importa em um projeto de modernização, em linguagem prática e não jurídica:
- O nível de proteção no país de destino: a autoridade competente publica uma lista de países que oferecem um nível de proteção adequado e a revisa a cada 4 anos ou quando necessário. Saiba onde seus dados serão processados e depois verifique a lista.
- Garantias alternativas: nos casos de isenção definidos pelo regulamento, a transferência fica sujeita a garantias apropriadas, que são 3: cláusulas contratuais padrão, regras comuns vinculativas dentro de um grupo de empresas ou um certificado de acreditação para a parte receptora.
- Avaliação de riscos: o regulamento obriga o controlador, ou seja, sua empresa, a realizar uma avaliação de riscos antes da transferência nos casos que especifica.
- Dados sensíveis: alguns casos de isenção excluem expressamente dados sensíveis, como dados de saúde e dados financeiros pessoais, então trate-os com cuidado redobrado.
A Plataforma Nacional de Governança de Dados oferece serviços práticos para esta etapa, incluindo uma avaliação de impacto do tratamento de dados pessoais, uma ferramenta que informa se você precisa nomear um encarregado de proteção de dados e uma autoavaliação de conformidade. Somos uma empresa de tecnologia, não um assessor jurídico, então leve a decisão de transferência ao seu encarregado de proteção de dados ou ao seu assessor jurídico. E se você pensa em esperar pela região local, explicamos o que realmente muda com ela em Uma região de nuvem dentro do Reino.
6 perguntas para fazer a qualquer ferramenta ou fornecedor antes de enviar algo
- Em qual região nossos dados são armazenados e em quais regiões podem ser processados? Peça a resposta por escrito com um link para a página oficial.
- Nossas perguntas ou nosso código são usados para treinar modelos, e como impedimos isso?
- A análise pode ser feita apenas sobre o código, sem cópias do banco de dados?
- Quem da nossa equipe e da equipe do fornecedor pode acessar o espaço de trabalho, e cada acesso é registrado?
- Quando nossos dados são apagados após o fim do projeto, e como verificamos a exclusão?
- A etapa sensível pode ser executada dentro do Reino ou em nossos próprios servidores, se necessário?
Se um fornecedor não responder por escrito a alguma delas, isso já é uma resposta. Para as opções de hospedagem em si, veja nosso guia de migração para a nuvem.
Um plano de 90 dias construído com os exercícios da série
Este plano não moderniza seu sistema em 90 dias. Ele leva você a uma decisão escrita e a um módulo piloto pronto para uma execução em paralelo, e é construído com os exercícios das seis partes anteriores:
| Período | O que você faz | De qual parte | Resultado |
|---|---|---|---|
| Dias 1 a 30: saiba o que você tem | Liste os sistemas sem os quais a empresa não funciona um dia e quem entende cada um, pontue cada sistema em suporte, risco de conhecimento, integração e velocidade de mudança, e depois faça uma tabela de uma página por sistema que registre se ele contém dados pessoais | Partes 1, 2 e 3 | Um mapa dos seus sistemas e a classificação dos seus dados |
| Dias 31 a 60: decida | Extraia ao menos uma regra de negócio por sistema candidato e compare-a com a realidade, escolha um caminho para cada sistema e faça as seis perguntas sobre dados a cada ferramenta ou fornecedor candidato | Partes 4, 5 e 7 | Uma decisão escrita por sistema e uma decisão de transferência de dados assinada pelo seu encarregado de proteção de dados |
| Dias 61 a 90: teste um módulo | Escolha o menor módulo que importa, prepare dados de teste mascarados, preencha a ficha de transição com quem assina e o gatilho de reversão, e comece a comparar em um período fechado | Partes 6 e 7 | Um módulo piloto e resultados de comparação avaliados pelos responsáveis pelos processos |
Depois do dia 90, você sabe o que não sabia antes: o que você tem, o que vale a pena modernizar e como as ferramentas de IA se comportam com o seu próprio código, e não com os exemplos dos fornecedores. Só então qualquer conversa sobre custo e prazo se apoia na sua realidade.
A visão da Origami
Começamos os projetos de modernização pelo mapa de dados antes do mapa de código: o que sai, para onde e por quê. Preferimos que a análise seja feita sobre código limpo e dados mascarados, e que os dados reais permaneçam dentro do seu ambiente sempre que possível, para que a velocidade técnica não se torne depois um problema de conformidade.
Usamos ferramentas de IA onde elas realmente encurtam o trabalho, mas a decisão sobre o que é enviado a elas continua sendo sua, por escrito e assinada. Para ver como trabalhamos, confira nossos serviços.
Encerrando a série
Começamos há 7 partes com uma única pergunta: como modernizo meu sistema legado com IA? A resposta a que chegamos é que a IA acelera a leitura, a conversão e os testes, mas as decisões importantes continuam com quem dirige a empresa: qual sistema vale a pena, qual regra está certa, quem assina e para onde vão os dados. Seus sistemas legados mantiveram a empresa funcionando por anos, e modernizá-los com calma e com um plano é o melhor que você pode fazer por eles. Você encontra todas as partes da série no centro de conhecimento.
Fontes
- Amazon: regiões compatíveis com o AWS Transform — a lista de regiões, sem nenhuma no Oriente Médio.
- Amazon: processamento entre regiões no AWS Transform — as regiões de processamento e a mudança de 7 de outubro de 2026.
- Amazon: proteção de dados no AWS Transform — onde os dados são armazenados.
- Amazon: melhoria do serviço AWS Transform — uso do conteúdo para melhorar o serviço e como recusar.
- Saudi Press Agency: região da AWS na Arábia Saudita em dezembro de 2026 — 1 de setembro de 2026.
- SDAIA, Plataforma Nacional de Governança de Dados: Lei de Proteção de Dados Pessoais.
- SDAIA, Plataforma Nacional de Governança de Dados: Regulamento sobre a Transferência de Dados Pessoais para fora do Reino — a lista de países, as garantias apropriadas e a avaliação de riscos.
- Plataforma Nacional de Governança de Dados: serviços e ferramentas.
Perguntas frequentes
Meus dados saem do Reino se eu usar uma ferramenta de IA para modernizar meu sistema?
Geralmente sim, se a ferramenta estiver na nuvem. O AWS Transform, por exemplo, não tem hoje nenhuma região de espaço de trabalho no Oriente Médio, então os dados são armazenados e processados na região que você escolher fora do Reino. Verifique a página oficial de regiões de qualquer ferramenta antes de começar.
O código-fonte é um dado pessoal?
Geralmente não, mas pode conter senhas, nomes de clientes nos comentários ou dados de teste reais. Limpe-o antes de enviar e trate as cópias do banco de dados como o risco maior.
O que a PDPL exige para transferir dados para fora do Reino?
Um nível de proteção adequado no país de destino, ou garantias apropriadas nos casos definidos pelo regulamento, como cláusulas contratuais padrão ou um certificado de acreditação, com uma avaliação de riscos antes da transferência nos casos especificados. Leve a decisão ao seu encarregado de proteção de dados ou ao seu assessor jurídico.
Devo esperar a região saudita da AWS antes de começar a modernizar?
Não necessariamente. O inventário, a extração de regras e a escolha do caminho não exigem o envio de dados pessoais. E a região prevista para dezembro de 2026 não significa automaticamente que toda ferramenta funcionará a partir dela, então verifique a lista de regiões quando o projeto começar.
Siga a Origami no Google
Adicione a Origami como fonte preferida e os nossos artigos aparecerão primeiro para você na Pesquisa Google e nas principais notícias.
