Duas regulamentações europeias entram em vigor entre 2026 e 2028 e redesenham as obrigações das empresas que projetam, vendem ou utilizam produtos digitais. O Cyber Resilience Act (CRA) e o AI Act impõem restrições técnicas e organizacionais precisas. Medir seu alcance respectivo permite entender quais itens orçamentários e quais processos internos serão afetados prioritariamente no universo da informática.
Cyber Resilience Act e AI Act: cronograma e sanções comparados
Os dois textos não visam os mesmos atores, não entram em vigor nas mesmas datas e não preveem os mesmos limites de sanções. A tabela abaixo sintetiza as diferenças.
Leia também : As últimas tendências e notícias essenciais do mercado imobiliário em 2024
| Critério | Cyber Resilience Act (CRA) | AI Act |
|---|---|---|
| Primeiro prazo vinculativo | 11 de setembro de 2026 | 2 de agosto de 2025 (proibições), depois 2 de agosto de 2026 (obrigações de cultura IA) |
| Aplicação total | 11 de dezembro de 2027 | 2 de agosto de 2027 (sistemas de alto risco) |
| Escopo | Todo produto que contenha elementos digitais vendido na UE | Sistemas de IA colocados no mercado ou utilizados na UE |
| Sanção máxima | 15 M€ ou 2,5% do CA mundial | 35 M€ ou 7% do CA mundial (práticas proibidas) |
| Obrigação documental chave | SBOM (Software Bill of Materials) | Registro de transparência, avaliação de conformidade |
O CRA atinge primeiro os editores de software e os fabricantes de hardware conectado. O AI Act, por sua vez, diz respeito a toda empresa que implanta um sistema de IA, incluindo internamente. No entanto, os dois textos compartilham uma lógica comum: documentar, rastrear, atualizar.
Várias análises setoriais publicadas na seção de informática da The Web Brains detalham as implicações concretas dessas regulamentações para as equipes de TI francesas.
Leitura recomendada : Descubra as últimas notícias e dicas para ter sucesso no empreendedorismo
SBOM e marcação CE digital: o que o CRA muda para os desenvolvedores
A partir de setembro de 2026, todo fabricante de produto digital vendido na UE deverá declarar em menos de 24 horas qualquer vulnerabilidade ativamente explorada ou qualquer incidente grave de segurança. Esse prazo de notificação, baseado no do RGPD para violações de dados, impõe uma reformulação dos processos de monitoramento e resposta a incidentes.
A restrição mais estruturante continua sendo o SBOM. Este documento abrangente lista todas as dependências de software de um produto, incluindo bibliotecas de código aberto. Manter um SBOM atualizado requer três mudanças concretas nas práticas de desenvolvimento:
- Integrar uma ferramenta de análise de composição de software (SCA) na cadeia CI/CD para detectar automaticamente dependências obsoletas ou vulneráveis
- Formalizar uma política de gerenciamento de atualizações de segurança gratuitas durante toda a duração de suporte do produto, um compromisso que o fabricante deverá documentar antes da colocação no mercado
- Preparar o dossiê técnico necessário para a marcação CE de cibersegurança, que se tornará obrigatória em 11 de dezembro de 2027 para todos os produtos que contenham elementos digitais
Para as PME editoras de software, o custo de conformidade recai menos sobre as ferramentas (existem soluções SCA de código aberto) do que sobre o tempo humano: documentar, testar as restaurações, formalizar os procedimentos de notificação.
AI Act e obrigação de cultura IA na empresa: além da conformidade técnica
O AI Act não se limita a classificar os sistemas de IA por nível de risco. A partir de agosto de 2025, as práticas de IA consideradas inaceitáveis (pontuação social, manipulação subliminar) são proibidas. O próximo prazo, agosto de 2026, impõe uma obrigação de “cultura IA” a toda organização que implante ou desenvolva um sistema de IA.
Essa obrigação de formação abrange um amplo espectro. Não se destina apenas a cientistas de dados ou engenheiros de aprendizado de máquina. As equipes de negócios que utilizam uma ferramenta de pontuação, triagem automática de candidaturas ou recomendação de clientes também estão incluídas.
O texto exige que as pessoas envolvidas no funcionamento ou supervisão de um sistema de IA tenham um nível suficiente de compreensão técnica. Concretamente, isso significa construir programas de formação adequados a cada perfil, documentar as competências adquiridas e ser capaz de prová-las em caso de fiscalização.
Ao contrário do CRA, que visa os fabricantes, o AI Act também responsabiliza os usuários profissionais de sistemas de IA de alto risco. Uma empresa que compra um software de recrutamento assistido por IA deve verificar se esse software está em conformidade, mas também deve treinar seus recrutadores sobre seu funcionamento e suas limitações.
Cibersegurança e nuvem: decisões orçamentárias para as empresas francesas
A acumulação dessas obrigações regulatórias pesa sobre os orçamentos de TI. Os itens mais afetados se distribuem entre três categorias:
- A segurança de aplicativos (auditoria de código, SCA, testes de penetração), impulsionada pelas exigências do CRA e pelo endurecimento geral dos ataques às cadeias de suprimento de software
- A formação e a governança de IA, impulsionadas pelo AI Act, que exigem recursos humanos dedicados em vez de investimentos tecnológicos pesados
- A infraestrutura de nuvem e a gestão de dados, onde a escolha do fornecedor (nuvem soberana ou hyperscaler americano) condiciona tanto a conformidade com o RGPD quanto a capacidade de atender às exigências de rastreabilidade do CRA
O mercado francês de nuvem está passando por um reposicionamento. Vários fornecedores oferecem ofertas rotuladas SecNumCloud, qualificadas pela ANSSI. Para as empresas que manipulam dados sensíveis, a escolha de uma nuvem qualificada torna-se um critério de conformidade regulatória e não apenas um argumento comercial.
As decisões não são apenas financeiras. Recrutar um perfil capaz de gerenciar a conformidade do CRA e do AI Act simultaneamente continua sendo difícil. As competências em cibersegurança, governança de dados e regulamentação digital se sobrepõem, mas as formações que cobrem essas três áreas ainda são raras no mercado francês.
A diferença entre as duas regulamentações também se mede em termos de maturidade das empresas. A maioria das organizações já possui uma política de segurança da informação, mesmo que mínima. A governança de IA, por sua vez, muitas vezes parte do zero nas PME e ETI. É nesse aspecto que o esforço de adaptação será mais visível até 2027.