Five things changed. Keys moved from RSA to ECDSA. Contactless reading arrived over ISO/IEC 14443, protected by the PACE protocol. A six-digit CAN code was introduced for contactless access. The chip contacts moved to the back of the card. And there is no API that tells you which version is in front of you.
Eleven sectors are named in Article 5f(2) of the eIDAS Regulation as amended: transport, energy, banking, financial services, social security, health, drinking water, postal services, digital infrastructure, education and telecommunications. The deadline is 24 December 2027.
Because extraction is the easy part. What separates a demonstration from a production system is disambiguation, meaning knowing that three different spellings are the same entity and that two identical spellings are not, and knowing when the model should refuse to answer rather than risk it.
Every few months, we get the same question: can we authenticate users with the Portuguese Citizen Card directly in our own application? Yes. The official middleware is open source and supports the Cartão de Cidadão, Chave Móvel Digital and professional attribute certification.
A evidência de qualidade de software não é a mesma coisa que um programa de testes, e a diferença é aquilo que a primeira revisão de supervisão a sério tende a expor. A maioria das instituições financeiras reguladas tem engenheiros de QA, suites de testes, pipelines de CI/CD e dashboards a verde. Bem menos têm evidência.
Escolher um parceiro nearshore Portugal era, até há pouco, uma conversa sobre preços, fusos horários e domínio do inglês. Em 2026 aparece nos RFPs de sectores regulados um quinto critério com frequência crescente: se o parceiro de desenvolvimento opera sob o mesmo enquadramento regulatório que o cliente.
Tornar-se relying party do EUDI Wallet é a parte do eIDAS 2.0 que cai sobre as equipas de engenharia, e é também a que tem recebido menos atenção. Até 24 de dezembro de 2026, cada Estado-Membro tem de disponibilizar uma Carteira Europeia de Identidade Digital conforme aos seus cidadãos e residentes. O prazo é vinculativo ao abrigo do Regulamento (UE) 2024/1183, os atos de execução estão publicados e já houve testes de interoperabilidade transfronteiriça entre Estados-Membros.
A data de entrada em vigor do Regulamento de IA da UE foi 2 de agosto de 2026. A maior parte da cobertura desta semana concentrou-se no que foi adiado: o adiamento, para dezembro de 2027, das obrigações relativas a sistemas de alto risco usados em decisões de emprego, avaliação de crédito e acesso a serviços públicos.
A comunicação de vulnerabilidades CRA torna-se obrigatória a partir de 11 de setembro de 2026. A partir dessa data, todos os fabricantes de software que vendem na UE terão de comunicar uma vulnerabilidade explorada ativamente no prazo de 24 horas após terem conhecimento dela. Não são 24 horas úteis. São vinte e quatro horas.
Quando uma equipa de controlo de qualidade (QA) num banco avalia ferramentas de teste de IA, a conversa tende a começar com o mesmo conjunto de questões que qualquer equipa de engenharia faria: quantos casos de teste gera, quão precisa é a geração, quão bem lida com a manutenção de testes, que frameworks suporta. Estas são questões legítimas. São também o ponto de partida errado, porque tratam o problema do QA assistido por IA numa instituição financeira regulamentada como se fosse o mesmo problema do QA assistido por IA numa startup SaaS. Não é.