AI Act, CRA, reforma da CEMAC: transformar um empilhamento de normas em um único plano de ação

O calendário regulatório de julho de 2026 parece um resumo da década. Em 2 de agosto, uma nova etapa do regulamento europeu sobre inteligência artificial entra em vigor: obrigações de transparência do artigo 50 (sinalização de conteúdos gerados, sistemas conversacionais, deepfakes) e poderes de sanção da Comissão sobre modelos de uso geral, com multas que podem chegar a 15 milhões de euros ou 3% do faturamento mundial.

Três semanas antes, em 13 de julho, a ENISA publicou um modelo de autoavaliação da maturidade em ciber-resiliência para PMEs, alinhado ao Cyber Resilience Act: cinco domínios avaliados, da governança ao ciclo de vida do produto, uma ferramenta disponível para download, uma classificação em maturidade básica, intermediária ou avançada. E em Libreville, a COBAC abria as propostas de uma licitação internacional para revisar seus textos organizacionais e elaborar uma lei bancária única para os seis países da CEMAC, que deve substituir o marco resultante das convenções de 1990 e 1992.

Desde então, a agência detalhou o próprio mecanismo de notificação: uma ficha e dois guias passo a passo de sua plataforma única, publicados em julho de 2026 e atualizados no dia 31, embora a plataforma ainda não esteja no ar. Ela deve abrir em 11 de setembro, no mesmo dia em que a obrigação entra em vigor. A consequência prática para um fabricante cabe em uma frase: a conta EU Login que dá acesso à plataforma pode ser criada desde já, mas o período de testes não se encomenda.

Três reguladores, três geografias, três temas. Vistos de uma diretoria, três novas frentes que se somam às que já existem: NIS2, CSRD, EUDR, dependendo do setor. É isso que as áreas de conformidade chamam, com um cansaço crescente, de empilhamento.

Diante de cada nova norma, o reflexo institucional é sempre o mesmo: um projeto dedicado, um responsável dedicado, uma consultoria dedicada, uma planilha dedicada. Esse reflexo tem uma lógica, já que cada texto tem seu próprio regulador e suas próprias sanções. Mas, sobretudo, tem um custo que poucas organizações medem.

O primeiro custo é a redundância: as mesmas equipes respondem três vezes às mesmas perguntas, com variações mínimas de formulação. Quem é responsável por este sistema? Onde está o inventário? Como vocês gerenciam incidentes? Um CISO de uma indústria de médio porte pode passar uma parte significativa do ano preenchendo questionários que se sobrepõem em dois terços do conteúdo.

O segundo custo é a incoerência: três frentes separadas produzem três diagnósticos separados, que logo divergem entre si. A diretoria recebe três níveis de gravidade, três orçamentos, três calendários, sem meio de equilibrá-los entre si. E o terceiro custo é estratégico: de tanto correr atrás de cada prazo, a organização nunca constrói a base que lhe permitiria absorver o próximo.

Vale reler os três sinais de julho com olhar de quem está no dia a dia. O AI Act exige, antes de tudo, um inventário dos sistemas de IA e de seus usos, uma governança clara, uma documentação comprovável. O CRA, como o modelo da ENISA o detalha, avalia a governança, a gestão de riscos, o tratamento de vulnerabilidades, o ciclo de vida dos produtos, as competências. Um futuro marco prudencial da CEMAC exigirá, como todos os marcos baseados em Basileia, governança de riscos, dispositivos documentados, controle interno demonstrável.

Em outras palavras: sob vocabulários diferentes, boa parte das exigências se sobrepõe. Saber o que se opera (inventário de sistemas, produtos, processos). Saber quem decide (governança, responsabilidades). Saber o que pode dar errado (gestão de riscos). Saber reagir (incidentes, vulnerabilidades, continuidade). Saber comprovar (documentação, rastreabilidade). Cinco capacidades de base, que cada texto depois detalha em seu próprio domínio.

É justamente porque essa base é comum que tratar cada frente em silo é um desperdício: cada projeto separado reconstrói, às suas próprias custas, um inventário, um mapeamento de riscos e uma governança que o projeto vizinho acabou de pagar.

A alternativa não é fundir as conformidades em um único dossiê, os reguladores não permitiriam isso. É separar duas coisas que o reflexo dos silos confunde: a base, que se mede uma única vez, e as visões regulatórias, que se desdobram por texto.

Na prática: um diagnóstico de maturidade único avalia as capacidades de base, inventário, governança, riscos, incidentes, documentação. Cada critério avaliado é vinculado aos textos aos quais ele serve: tal controle de inventário alimenta tanto o AI Act quanto o CRA; tal exigência de governança de riscos serve ao CRA e ao futuro marco da CEMAC. A medição revela então o que os silos escondem: as colisões, aquelas ações únicas que fazem avançar duas ou três conformidades de uma só vez.

É o princípio do cruzamento de auditorias: em vez de empilhar avaliações, faz-se elas conversarem entre si. Uma organização que se mede em três referenciais com uma base comum quase sempre descobre que seu verdadeiro atraso está em um punhado de capacidades transversais, não em trezentas exigências distintas.

Falta ordenar o plano de ação. Dois critérios bastam, desde que cruzados. Primeiro, o prazo: 2 de agosto de 2026 já passou ou está iminente, dependendo da leitura, as obrigações principais do CRA chegam no fim de 2027, o futuro texto da CEMAC seguirá seu próprio processo de adoção. Depois, o rendimento: uma ação que serve a três textos vale, com o mesmo esforço, três vezes mais que uma ação que serve a apenas um.

O cruzamento gera um sequenciamento natural. Em primeiro lugar, as capacidades de base de alto rendimento: o inventário de sistemas de IA e produtos de software, a governança de riscos, o dispositivo de tratamento de incidentes. Em seguida, os deltas específicos por prazo: a sinalização de transparência do artigo 50 para a IA, as exigências de produto do CRA, os ajustes prudenciais quando o texto da CEMAC for publicado. Por último, o que pode esperar sem risco, devidamente documentado como tal.

Esse sequenciamento tem uma virtude tanto política quanto técnica: dá à diretoria uma única decisão orçamentária, uma única trajetória, em vez de três pedidos concorrentes, cada um se dizendo prioritário.

Conduzido assim, o empilhamento muda de natureza. O diagnóstico de base se torna um ativo reutilizável: quando o próximo texto chegar, e ele vai chegar, a organização não começará do zero, ela medirá o delta. As apresentações dos resultados se desdobram por interlocutor a partir do mesmo dado: a visão AI Act para o regulador correspondente, a visão CRA para os compradores que a solicitarem, a visão prudencial para o supervisor, a visão consolidada para o comitê de diretoria.

E a medição repetida ao longo do tempo transforma a conformidade em trajetória: não se diz mais "estamos em conformidade", afirmação inverificável e perecível, mas sim "esta é a nossa maturidade, sua evolução e seu plano", demonstração datada e defensável.

O empilhamento regulatório é uma realidade que não vai desacelerar; a fragmentação das respostas, por sua vez, é uma escolha. As organizações que fazem a escolha contrária, uma base mensurável, visões por texto, um único plano priorizado, não enfrentam menos normas do que as outras. Elas as absorvem melhor, e com menos custo.