Conformidade com DORA, NIS2 e AI Act como uma única tarefa, análise

Um banco que implanta IA na Europa agora pode fazer três reuniões de compliance sobre o mesmo sistema antes do almoço. Uma equipe chama isso de resiliência operacional. Outra chama de cibersegurança. Uma terceira chama de governança de IA. O modelo, inconvenientemente, não se importa em qual registro ele se encaixa. Marco Eggerling, Field CISO da UiPath, está defendendo um argumento mais prático: trate DORA, NIS2 e o Regulamento de IA da UE como um único trabalho de governança. Em respostas por escrito relatadas pelo The Fintech Times, ele diz que a pergunta comum é se uma instituição consegue provar controle sobre um sistema que não entende totalmente de ponta a ponta. Isso não é uma provocação filosófica. É um problema de compras, registros, resposta a incidentes e reporte ao conselho usando três crachás diferentes.

A sobreposição é o ponto, segundo

o The Fintech Times e o Digital Chiefs O The Fintech Times descreve o problema de forma direta: bancos que implantam IA na Europa operam sob DORA, a diretiva de cibersegurança NIS2 e o Regulamento de IA da UE ao mesmo tempo. Ele também observa o reflexo institucional familiar de dar a cada regime seu próprio programa, responsável e registro. Eggerling argumenta que é aí que os problemas começam, porque as estruturas convergem para a prova de resiliência e controle, em vez de estéticas separadas de documentação. Tradução: se o seu sistema de IA falhar, vazar, desviar ou se comportar mal em produção, o supervisor não ficará impressionado porque o incidente foi lindamente duplicado em três planilhas. O Digital Chiefs coloca a convergência em um calendário, afirmando que o DORA está ativo desde janeiro de 2025, que as obrigações de alto risco do Regulamento de IA da UE começam em agosto de 2026 e que a aplicação da NIS2 começa em outubro de 2026. Os prazos exatos importam menos do que a realidade operacional que eles criam. Instituições financeiras não têm três temporadas limpas de implementação. Elas recebem obrigações sobrepostas recaindo sobre os mesmos sistemas, fornecedores e tomadores de decisão.

Um único mapa de controles é melhor do que três registros, segundo o

The Fintech Times O The Fintech Times relata que Eggerling enxerga a governança como algo além de marcar caixinhas quando um modelo já está em produção. Essa frase faz um trabalho útil. Os departamentos jurídicos podem manter citações separadas, mas as equipes de engenharia e risco precisam de um único mapa de sistemas, dependências, comportamento do modelo, direitos de acesso, logs de auditoria, caminhos de incidente e responsabilidades de fornecedores. Caso contrário, a mesma interrupção ou falha de modelo é investigada três vezes, geralmente por pessoas fazendo perguntas quase idênticas em fontes ligeiramente diferentes. A versão prática não é fundir as leis em uma super-regulação imaginária. O DORA ainda trata de resiliência operacional digital, a NIS2 de obrigações de cibersegurança e o Regulamento de IA da UE de governança de IA. O ponto é criar evidências compartilhadas uma vez e anexá-las a cada obrigação quando for relevante. Para um fluxo de trabalho de IA em produção, isso significa uma entrada de inventário, uma linhagem de avaliação de risco, um arquivo de fornecedor, um plano de monitoramento e uma trilha de incidentes que consiga responder a vários reguladores sem improviso.

O conselho também está dentro do escopo, segundo

o The Fintech Times e o Digital Chiefs O The Fintech Times diz que Eggerling se prepararia agora para a alfabetização em IA no nível do conselho como uma expectativa supervisória. Essa é a parte que muitas organizações arquivam como treinamento e esquecem até a apresentação anual. Um conselho não precisa ajustar um modelo, mas precisa entender o que o sistema faz, onde ele se encaixa nas operações críticas e como seria uma falha. Se a única pessoa que consegue explicar o ambiente de controles de IA é o arquiteto de soluções do fornecedor, isso não é governança. É terceirização com papelaria mais bonita. O Digital Chiefs acrescenta um ponto mais contundente, dizendo que tanto a NIS2 quanto o DORA responsabilizam pessoalmente executivos e membros do conselho por falhas de cibersegurança em casos de negligência grave. Isso não significa que todo alerta ruim vira uma crise do conselho. Significa que diretores devem pedir evidências que consigam entender antes do incidente, não depois que o jurídico começou a usar a palavra postura em todas as frases. Nessa leitura, alfabetização em IA para o conselho não é um certificado de webinar. É a capacidade de perguntar se a pilha de controles corresponde ao risco operacional.

O que os construtores devem mudar agora, segundo

o The Fintech Times Para quem constrói, a resposta chata é a correta: faça do compliance um requisito de arquitetura. O The Fintech Times relata que Eggerling está focado em como o controle se parece quando um modelo está em produção, que é onde muitos programas de governança de IA deixam de ser apenas slides e começam a tocar logs, alertas e contratos. Se um banco usa automação ou IA dentro de um fluxo de trabalho regulado, a equipe de produto deve saber quais evidências são geradas automaticamente e quais ainda dependem de alguém lembrar de atualizar um registro em uma sexta-feira. A lista útil é curta o bastante para sobreviver ao contato com a engenharia. Identifique o sistema de IA e sua função de negócio. Mapeie suas dependências operacionais, controles de cibersegurança, controles de governança de modelo e responsabilidades de terceiros. Decida quais evidências podem apoiar, em conjunto, as obrigações do DORA, da NIS2 e do Regulamento de IA. Depois, teste o caminho de incidentes, porque a primeira auditoria real muitas vezes chega disfarçada de interrupção. A lição contraintuitiva do Field CISO da UiPath não é que a Europa tornou o compliance simples. Não tornou. A lição é que regras sobrepostas punem operações em silos mais do que punem um mapeamento cuidadoso. Para leitores que constroem ou compram IA em setores regulados, a próxima pergunta útil não é qual lei é dona do problema. É se a sua trilha de evidências consegue sobreviver à mesma pergunta feita de três maneiras.