AI Act, CRA, reforma da CEMAC: transformar uma acumulação de textos num único plano de ação

O calendário regulatório de julho de 2026 parece um resumo da década. A 2 de agosto, entra em aplicação uma nova etapa do regulamento europeu sobre inteligência artificial: obrigações de transparência do artigo 50 (sinalização de conteúdos gerados, sistemas conversacionais, deepfakes) e poderes de sanção da Comissão sobre os modelos de utilização geral, com coimas que podem atingir 15 milhões de euros ou 3% do volume de negócios mundial.

Três semanas antes, a 13 de julho, a ENISA publicava um modelo de autoavaliação da maturidade de ciber-resiliência das PME, alinhado com o Cyber Resilience Act: cinco domínios avaliados, da governação ao ciclo de vida do produto, uma ferramenta descarregável, uma classificação em maturidade básica, intermédia ou avançada. E em Libreville, a COBAC abria as propostas de um concurso internacional para rever os seus textos orgânicos e elaborar uma lei bancária única para os seis países da CEMAC, destinada a substituir o quadro resultante das convenções de 1990 e 1992.

Três reguladores, três geografias, três temas. Vistos a partir de uma direção-geral, três novos projetos que se juntam aos que já existem: NIS2, CSRD, EUDR, consoante o setor. É a isto que as direções de conformidade chamam, com um cansaço crescente, a acumulação.

Perante cada novo texto, o reflexo institucional é sempre o mesmo: um projeto dedicado, um responsável dedicado, uma consultora dedicada, uma folha de cálculo dedicada. Este reflexo tem uma lógica, já que cada texto tem o seu próprio regulador e as suas próprias sanções. Mas tem sobretudo um custo, que poucas organizações medem.

O primeiro custo é a redundância: as mesmas equipas respondem três vezes às mesmas perguntas, com pequenas variações de formulação. Quem é responsável por este sistema? Onde está o inventário? Como gerem os incidentes? Um responsável de segurança de uma PME industrial pode passar uma parte significativa do ano a preencher questionários que se sobrepõem em dois terços.

O segundo custo é a incoerência: três projetos separados produzem três diagnósticos separados, que rapidamente divergem. A direção-geral recebe três níveis de gravidade, três orçamentos, três calendários, sem forma de os comparar entre si. E o terceiro custo é estratégico: à força de correr atrás de cada prazo, a organização nunca constrói a base que lhe permitiria absorver o seguinte.

Reléiamos, no entanto, os três sinais de julho com olhar de quem trabalha no terreno. O AI Act exige, antes de mais, um inventário dos sistemas de IA e das suas utilizações, uma governação clara, uma documentação comprovável. O CRA, tal como é traduzido pelo modelo da ENISA, avalia a governação, a gestão de riscos, o tratamento de vulnerabilidades, o ciclo de vida dos produtos, as competências. Um futuro quadro prudencial da CEMAC exigirá, como todos os quadros de tipo Basileia, uma governação de riscos, dispositivos documentados, um controlo interno demonstrável.

Por outras palavras: sob vocabulários diferentes, uma grande parte das exigências sobrepõe-se. Saber o que se opera (inventário dos sistemas, dos produtos, dos processos). Saber quem decide (governação, responsabilidades). Saber o que pode correr mal (gestão de riscos). Saber reagir (incidentes, vulnerabilidades, continuidade). Saber prová-lo (documentação, rastreabilidade). Cinco capacidades de base, que cada texto depois desenvolve no seu domínio.

É precisamente porque esta base é comum que o tratamento em silo é um desperdício: cada projeto separado reconstrói, à sua própria custa, um inventário, um mapeamento de riscos e uma governação que o projeto vizinho acabou de pagar.

A alternativa não é fundir as conformidades num único dossiê, os reguladores não o permitiriam. É separar duas coisas que o reflexo em silo confunde: a base, que se mede uma vez, e as vistas regulatórias, que se desdobram por texto.

Em concreto: um diagnóstico de maturidade único avalia as capacidades de base, inventário, governação, riscos, incidentes, documentação. Cada critério avaliado é associado aos textos a que serve: tal controlo de inventário alimenta simultaneamente o AI Act e o CRA; tal exigência de governação de riscos serve o CRA e o futuro quadro da CEMAC. A medição revela então o que os silos escondem: as coincidências, essas ações únicas que fazem avançar duas ou três conformidades de uma só vez.

É o princípio do cruzamento de auditorias: em vez de acumular avaliações, fazemo-las dialogar entre si. Uma organização que se mede em três referenciais com uma base comum descobre quase sempre que o seu verdadeiro atraso se resume a um punhado de capacidades transversais, e não a trezentas exigências distintas.

Resta ordenar o plano de ação. Dois critérios bastam, desde que sejam cruzados. O prazo, primeiro: 2 de agosto de 2026 já passou ou está iminente, consoante a leitura, as obrigações principais do CRA chegam no final de 2027, o futuro texto da CEMAC seguirá o seu processo de aprovação. O rendimento, depois: uma ação que serve três textos vale, com o mesmo esforço, três vezes uma ação que só serve um.

O cruzamento dá um sequenciamento natural. Em primeiro lugar, as capacidades de base de elevado rendimento: o inventário dos sistemas de IA e dos produtos de software, a governação de riscos, o dispositivo de gestão de incidentes. Depois, os deltas específicos por prazo: a marcação de transparência do artigo 50 para a IA, as exigências de produto do CRA, os ajustamentos prudenciais quando o texto da CEMAC for publicado. No final, o que pode esperar sem risco, documentado como tal.

Este sequenciamento tem uma virtude tão política quanto técnica: dá à direção-geral uma única decisão orçamental, uma única trajetória, em vez de três pedidos concorrentes em que cada um se apresenta como prioritário.

Gerida assim, a acumulação muda de natureza. O diagnóstico de base torna-se um ativo reutilizável: quando o próximo texto chegar, e chegará, a organização não recomeça do zero, mede o delta. Os relatórios desdobram-se por interlocutor a partir dos mesmos dados: a vista AI Act para o regulador em causa, a vista CRA para os compradores que a exigirem, a vista prudencial para o supervisor, a vista consolidada para a comissão executiva.

E a medição repetida ao longo do tempo transforma a conformidade numa trajetória: já não se diz «estamos em conformidade», afirmação inverificável e perecível, mas sim «esta é a nossa maturidade, a sua evolução e o seu plano», uma demonstração datada e oponível.

A acumulação regulatória é uma realidade que não vai abrandar; a fragmentação das respostas, essa, é uma escolha. As organizações que fazem a escolha inversa, uma base medida, vistas por texto, um único plano priorizado, não enfrentam menos textos do que as outras. Absorvem-nos melhor, e a um custo mais baixo.