Quando uma equipe de TI descobre numa segunda-feira de manhã que seu fornecedor de nuvem alterou suas condições de tratamento de dados para se adequar a uma nova regulamentação europeia, a vigilância tecnológica deixa de ser um luxo. As notícias de tecnologia da informação deste ano são caracterizadas por uma aceleração regulatória que afeta diretamente as escolhas de arquitetura, os contratos com fornecedores e a segurança dos produtos digitais.
Cyber Resilience Act e obrigações de segurança do produto em 2026
Os concorrentes falam muito sobre cibersegurança em geral. Vamos falar de um texto específico que muda o jogo para os editores de software e fabricantes de hardware conectado: o Cyber Resilience Act (CRA).
Desde 11 de setembro de 2026, as obrigações de notificação de incidentes do CRA entraram em vigor. Concretamente, qualquer editor ou fabricante que comercializa um produto digital na União Europeia deve relatar as vulnerabilidades ativamente exploradas dentro de prazos restritos.
O CRA não para por aí. Ele estabelece um caminho para requisitos de segurança “por padrão”, com a marcação CE obrigatória e obrigações completas a partir de dezembro de 2027. Para acompanhar as notícias de tecnologia da informação no Bargento, é importante ficar de olho nesses prazos regulatórios que impactam os ciclos de desenvolvimento.
Para uma equipe de produto, isso significa integrar a segurança desde a concepção, documentar os componentes de software (SBOM) e prever um processo de notificação. Os retornos variam sobre a carga real que isso representa, dependendo do tamanho da empresa, mas o cronograma, esse, não muda mais.
Soberania em nuvem: do discurso estratégico à obrigação regulatória
Ouviu-se “soberania digital” por anos sem consequência operacional direta. Isso não é mais o caso.
A Comissão Europeia publicou em 3 de junho de 2026 uma proposta de Cloud and AI Development Act. Este texto introduz um quadro unificado para avaliar a “soberania” dos serviços de nuvem, com um impacto direto nas compras públicas e nas escolhas de hospedagem das empresas que trabalham com o setor público.
Na prática, se responder a uma licitação pública ou se tratar de dados sensíveis para um organismo europeu, a escolha do prestador de serviços de nuvem deve respeitar critérios de soberania formalizados. Não é mais uma preferência, é uma grade de avaliação regulatória.
O que isso muda para os arquitetos de SI
As equipes que construíram sua infraestrutura em um hyperscaler americano não estão condenadas, mas devem mapear seus fluxos de dados e identificar as cargas de trabalho envolvidas. O multicloud torna-se uma necessidade regulatória, não uma escolha técnica.
Vários fornecedores europeus estão posicionando ofertas de “geopatriotismo”, um termo que designa o repatriamento de dados e processos para infraestruturas juridicamente europeias. O movimento foi iniciado, os prazos de migração permanecem o ponto crítico.
DORA e risco de terceiros ICT: contratos de fornecedores sob controle
O regulamento DORA (Digital Operational Resilience Act), aplicável desde 17 de janeiro de 2025, produz seus primeiros efeitos concretos em 2026. As autoridades de supervisão intensificam seus controles sobre o risco de terceiros ICT e as cláusulas contratuais associadas.
Para as empresas do setor financeiro (e seus prestadores de serviços tecnológicos), isso se traduz em exigências precisas:
- Os contratos com fornecedores de ICT críticos devem incluir cláusulas de resiliência operacional, direito de auditoria e estratégia de saída documentada
- Os testes de resiliência (incluindo testes de penetração avançados) devem cobrir as dependências de terceiros, não apenas os sistemas internos
- Um registro centralizado de prestadores de serviços de ICT de terceiros deve ser mantido e enviado aos reguladores sob demanda
Fora do setor financeiro, o DORA cria um precedente. As boas práticas que ele impõe sobre a gestão de fornecedores de TI se espalham como padrão de mercado. Um contrato de nuvem sem cláusula de saída documentada torna-se um sinal de alerta.
AI Act europeu: o cronograma real após o Digital Omnibus
O AI Act gerou muita discussão, mas seu cronograma evoluiu. A entrada em vigor do Digital Omnibus on AI em 27 de julho de 2026 adiou algumas obrigações relacionadas a sistemas de IA de alto risco.
Várias exigências-chave, no entanto, são aplicáveis desde 2 de agosto de 2026. Para as equipes que implantam inteligência artificial em produção, a prioridade operacional se concentra em três pontos:
- A classificação do nível de risco de cada sistema de IA implantado, de acordo com a grade atualizada pelo Digital Omnibus
- A documentação técnica e a rastreabilidade das decisões algorítmicas para os sistemas classificados como de alto risco
- A implementação de uma supervisão humana efetiva, não simbólica, sobre os processos decisórios automatizados
Esse adiamento parcial não deve criar uma falsa sensação de conforto. As empresas que aguardam os prazos finais para se adequar acumulam uma dívida de conformidade que será cara para resolver.
Relação com a estratégia de dados e nuvem
O AI Act, o Cloud and AI Development Act e o DORA não são textos isolados. Eles formam um ecossistema regulatório onde as escolhas de hospedagem, subcontratação e governança de dados se entrelaçam. Uma decisão de arquitetura em nuvem tomada sem considerar os três textos expõe a reclassificações em cascata.
Para os CIOs e responsáveis pela conformidade, a vigilância sobre as notícias de TI não é mais um exercício de curiosidade tecnológica. É uma ferramenta de gestão de riscos. Os textos europeus publicados este ano redesenham as restrições operacionais sobre nuvem, segurança de produtos, contratos de fornecedores e implantação de IA. Cada trimestre traz seu conjunto de prazos concretos, e as equipes que os antecipam mantêm uma vantagem sobre aquelas que os enfrentam.
