The EU AI Act’s enforcement date was August 2, 2026. Most of the coverage this week focused on what was delayed: the postponement of the high-risk obligations for employment decisions, credit scoring, and access to public services to December 2027.
From 11 September 2026, every software manufacturer selling into the EU has to report an actively exploited vulnerability within 24 hours of becoming aware of it. Not 24 business hours. Twenty-four hours.
Quando uma equipa de controlo de qualidade (QA) num banco avalia ferramentas de teste de IA, a conversa tende a começar com o mesmo conjunto de questões que qualquer equipa de engenharia faria: quantos casos de teste gera, quão precisa é a geração, quão bem lida com a manutenção de testes, que frameworks suporta. Estas são questões legítimas. São também o ponto de partida errado, porque tratam o problema do QA assistido por IA numa instituição financeira regulamentada como se fosse o mesmo problema do QA assistido por IA numa startup SaaS. Não é.
A maioria das conversas sobre identidade digital parte de uma premissa raramente dita em voz alta: que a conectividade à internet é estável, que os balcões de atendimento estão próximos e que a densidade populacional torna a distribuição de infraestrutura um problema resolvido por defeito. Essa é uma suposição razoável em muitos contextos europeus. Simplesmente não se aplica a um país como Cabo Verde — dez ilhas espalhadas pelo Atlântico, onde a distância entre um cidadão e o serviço público mais próximo pode significar uma viagem de barco, e não um passeio pela cidade.
A maioria das conversas sobre identidade digital parte de uma premissa raramente dita em voz alta: que a conectividade à internet é estável, que os balcões de atendimento estão próximos e que a densidade populacional torna a distribuição de infraestrutura um problema resolvido por defeito. Essa é uma suposição razoável em muitos contextos europeus. Simplesmente não se aplica a um país como Cabo Verde — dez ilhas espalhadas pelo Atlântico, onde a distância entre um cidadão e o serviço público mais próximo pode significar uma viagem de barco, e não um passeio pela cidade.
Dois dias. Dezenas de conversas. Um tema constante: a distância entre a ambição política e a realidade operacional continua a ser significativa e as organizações que preenchem essa lacuna são as que merecem atenção.
Em 2026, o Cyber Resilience Act (CRA) já não é um prazo futuro — é a realidade operacional para todas as organizações no mercado europeu. Com requisitos de segurança obrigatórios para produtos com elementos digitais, a conformidade passou de uma "opção" para uma licença fundamental para operar. Neste cenário, a segurança reativa é obsoleta; a filosofia "Secure by Design" e a transparência do Open Source emergiram como as defesas mais fortes contra as ameaças modernas.