A data de aplicação não é a data de começar
A pior forma de gerir um prazo regulatório é tratá-lo como a abertura do projeto. Nesse dia, processos, dados, decisões, fornecedores e evidência já deveriam funcionar em conjunto.
- Natureza
- Perspetiva Velqory baseada no calendário oficial em vigor
- Decisão
- Quando iniciar e como governar preparação regulatória
- Publicado e verificado
- 4 de agosto de 2026
- Âmbito
- AI Act, Cyber Resilience Act e DORA como exemplos operacionais
Em resumo
A posição da Velqory é que conformidade tardia não é apenas um problema jurídico: é uma dívida operacional. DORA demonstrou a diferença ao aplicar-se sem período de transição. O artigo 50 do AI Act já produz obrigações de transparência desde 2 de agosto de 2026. O reporte do Cyber Resilience Act começa em 11 de setembro de 2026 e o regime geral aplica-se em 11 de dezembro de 2027. Cada marco exige capacidade verificável antes da data: inventário, papéis, decisões, dados, controlos, fornecedores, ensaios e prova. O calendário deve servir para ordenar backlogs, não para adiar trabalho.
- Leia cada data como um estado operacional a atingir e conte para trás a partir da prova necessária.
- Mantenha cinco backlogs ligados: jurídico, processo, tecnologia, operação e evidência.
- Teste a obrigação como um fluxo real, incluindo exceções, terceiros, indisponibilidade e decisão fora de horas.
- Use qualquer adiamento legal para remover fragilidade, não para suspender capacidade já necessária.
O prazo descreve um estado que já deve funcionar
Uma obrigação pode parecer simples no texto e revelar uma cadeia extensa na execução. Identificar conteúdo gerado por IA exige saber onde o sistema está, quem o controla, que saída é abrangida, como a marcação é aplicada e como se prova que o mecanismo continua ativo. Reportar uma vulnerabilidade exige ligar produto, conhecimento do evento, materialidade, relógio, autoridade, canal e registo.
A Comissão publicou orientações para as obrigações de transparência do artigo 50 antes da aplicação em 2 de agosto de 2026. No CRA, as obrigações de reporte começam em 11 de setembro de 2026, antes da aplicação geral em 11 de dezembro de 2027. O padrão é claro: a organização não recebe tempo operacional depois do marco; deve chegar ao marco com a operação pronta.
Quatro marcos, uma mesma lição
- DORA aplica-se
As autoridades europeias advertiram que não existiria período de transição: a preparação tinha de preceder a data.
- Transparência do AI Act
As obrigações abrangidas pelo artigo 50 passam a aplicar-se; políticas sem implementação não produzem a transparência exigida.
- Reporte do CRA
Começam as obrigações de reporte de vulnerabilidades ativamente exploradas e incidentes graves abrangidos.
- Aplicação geral do CRA
Os requisitos gerais chegam depois do reporte, pelo que inventário e resposta não podem esperar pelo fim do calendário.
Uma obrigação só fica pronta quando cinco backlogs convergem
A equipa jurídica interpreta âmbito e obrigação, mas não consegue sozinha criar telemetria, alterar produto, negociar um fornecedor ou operar um canal de incidente. Da mesma forma, uma equipa técnica pode implementar um controlo correto e não conseguir provar quem aprovou a exceção ou durante quanto tempo esteve ativo.
O programa deve manter uma unidade comum de trabalho: cada requisito liga uma leitura jurídica a um processo, uma alteração técnica, uma rotina operacional e uma prova. Uma lacuna em qualquer coluna impede encerrar o requisito.
Backlog integrado de prontidão
| Frente | Pergunta de fecho | Prova mínima |
|---|---|---|
| Jurídico | Quem, o quê, quando e em que território está abrangido? | Interpretação versionada, pressupostos e decisão de âmbito |
| Processo | Que evento inicia o fluxo e quem pode decidir? | RACI, procedimento, exceções e escalamento |
| Tecnologia | Que controlo ou dado torna o processo executável? | Configuração, teste, logging e integração |
| Operação | Funciona com volume, falha, terceiros e fora de horas? | Exercício, tempos, fallback e aprendizagem |
| Evidência | Conseguimos demonstrar o estado numa data específica? | Registos íntegros, aprovação, retenção e rastreabilidade |
Mudanças no calendário não justificam paralisar a capacidade
O calendário regulatório pode mudar, como mostram os ajustamentos introduzidos em 2026 a partes do AI Act. Isso exige controlo de versão e replaneamento, não abandono do inventário, da supervisão, do controlo de fornecedores ou da evidência. Muitas capacidades servem vários regimes e reduzem risco independentemente do dia exato.
Em cada revisão mensal, mantenha três estados: obrigação confirmada e trabalho obrigatório; interpretação pendente e trabalho reversível; dependência externa e decisão com prazo. Assim, a incerteza fica visível sem transformar-se numa desculpa para não construir.
- Registar fonte, versão, responsável pela interpretação e próxima revisão.
- Separar capacidade reutilizável de implementação específica de um artigo.
- Definir ensaio e critério de saída antes de declarar prontidão.
- Apresentar à direção decisões e lacunas, não percentagens abstratas de conclusão.
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.- 01Guidelines for Article 50 transparency obligationsEuropean Commission, Shaping Europe's digital future · EU-DIGITAL
- 02Navigating the AI Act, current application timelineEuropean Commission, Shaping Europe's digital future · EU-DIGITAL
- 03Cyber Resilience Act implementationEuropean Commission, Shaping Europe's digital future · EU-DIGITAL
- 04ESAs statement on DORA applicationEuropean Banking Authority · EU-EBA
- 05Regulation (EU) 2026/1744 amending the AI Act timetableEUR-Lex · EU-EURLEX
Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.