O panorama da informática em 2026 está se redesenhando sob o efeito combinado de novas regulamentações europeias e de uma aceleração técnica que afeta tanto grandes grupos quanto PMEs. Dois eixos estruturam as escolhas futuras: a conformidade regulatória, que se tornou um pré-requisito operacional, e a integração controlada da inteligência artificial nos processos de negócios.
Cyber Resilience Act: o que muda a marcação CE cyber para produtos digitais
O regulamento (UE) 2024/2847, chamado Cyber Resilience Act, impõe um calendário rigoroso. A partir de 11 de setembro de 2026, todo fabricante de um produto que contenha elementos digitais vendido na UE deverá declarar em menos de 24 horas qualquer vulnerabilidade ativamente explorada ou qualquer incidente grave. A multa pode chegar a 15 milhões de euros ou 2,5% do faturamento global.
A próxima data limite, fixada para 11 de dezembro de 2027, diz respeito à colocação no mercado: roteadores domésticos, câmeras conectadas e softwares SaaS deverão todos atender a requisitos de cibersegurança e portar uma marcação CE “cyber”. Recomendamos que você busque agora informações sobre Digitale Naïve em informática para medir a extensão das obrigações setoriais.
Entre os entregáveis esperados, a produção de um SBOM (Software Bill of Materials) detalhando todas as dependências de software, incluindo open source, representa um grande desafio para os editores que nunca documentaram sua cadeia de componentes. As equipes de DevSecOps devem integrar esse mapeamento em seu pipeline CI/CD muito antes da data limite.
AI Act e modelos generativos: obrigações já em vigor para as empresas
O calendário do AI Act europeu é frequentemente mal compreendido. As práticas proibidas (manipulação cognitiva, pontuação social) estão em vigor desde 2 de fevereiro de 2025. As obrigações sobre modelos de IA generativa básicos (GPAI, tipo GPT ou Mistral) se aplicam desde 2 de agosto de 2025.
As obrigações de alto risco, por sua vez, foram adiadas para 2 de agosto de 2028. Esse atraso cria uma zona cinzenta: uma PME que implementa um chatbot de atendimento ao cliente utiliza um modelo GPAI já regulamentado, mas pode não estar sujeita às restrições “de alto risco” por dois anos. Observamos que essa assimetria leva algumas estruturas a adiar toda a conformidade, o que equivale a apostar em um calendário político incerto.
- Documentar a origem dos dados de treinamento utilizados pelo modelo GPAI integrado, mesmo por meio de uma API de terceiros
- Estabelecer um registro dos casos de uso de IA dentro da organização, distinguindo os níveis de risco
- Prever uma auditoria de conformidade interna antes do final de 2027 para os sistemas suscetíveis de serem classificados como “alto risco”
A principal dificuldade continua sendo a identificação dos componentes de IA incorporados em ferramentas SaaS que a empresa utiliza sem dominar a arquitetura. Um CRM aprimorado por IA generativa pode, dependendo de seu uso, estar sujeito a obrigações diferentes.
NIS 2 e DORA: a cibersegurança se torna uma obrigação de negócios para as PMEs
NIS 2 amplia consideravelmente o escopo das entidades afetadas em relação à diretiva anterior. Setores como gestão de resíduos, fabricação de dispositivos médicos ou serviços postais entram no escopo. Para uma PME industrial que nunca teve um CISO, a obrigação de notificação de incidentes e gestão de riscos da cadeia de suprimentos representa uma mudança de paradigma.
DORA, por sua vez, foca no setor financeiro com uma abordagem de resiliência operacional digital. Os prestadores de serviços de TI que fornecem serviços a bancos ou seguradoras se veem submetidos a exigências contratuais mais rigorosas.
O efeito cascata é o ponto a ser monitorado. Um editor de software de contabilidade hospedado na nuvem, que fornece serviços a uma cooperativa regional, deverá provar sua conformidade com o DORA ao seu cliente. A cadeia de subcontratação de TI se torna um vetor de responsabilidade jurídica direta.
Maturidade digital das PMEs francesas: obstáculos reais e alavancas subestimadas
A digitalização das PMEs continua muito desigual. Os obstáculos mais documentados não são técnicos, mas organizacionais: resistência à mudança das equipes de campo, ausência de patrocinador no comitê de direção, orçamento de TI percebido como um centro de custo em vez de uma alavanca de gestão.
As empresas que conseguem sua transição compartilham uma característica comum: começam com um caso de uso específico, mensurável em menos de três meses. Automatizar o processamento de faturas de fornecedores, por exemplo, produz resultados visíveis rapidamente e cria um efeito de arrasto nas equipes.
- Nomear um responsável digital interno, mesmo em meio período, para centralizar as informações do campo
- Priorizar ferramentas SaaS com suporte à adoção em vez de soluções personalizadas longas para implementar
- Integrar a formação contínua em novas práticas digitais no plano de desenvolvimento de competências
- Medir a eficácia de cada ferramenta implantada em um indicador de negócio concreto (tempo de processamento, taxa de erro, satisfação do cliente)
A terceirização da gestão de TI está ganhando espaço em estruturas com menos de 250 funcionários. A contratação de um prestador gerenciado permite cobrir a manutenção, supervisão e conformidade regulatória sem recrutar uma equipe de TI completa.
Transição energética e Green IT: um critério de escolha de hardware e software
A redução da pegada energética do parque de informática não é mais um argumento de marketing. As políticas de compra responsável agora incluem a durabilidade dos materiais, a reparabilidade e o consumo elétrico dos equipamentos em funcionamento.
No lado do software, a ecodesign de aplicativos reduz o consumo de recursos do servidor e aumenta a vida útil do hardware do cliente. Um aplicativo web otimizado consome menos largura de banda, exige menos do processador e funciona em máquinas mais antigas, o que retarda a renovação do parque.
A escolha de um provedor de nuvem que exiba um PUE (Power Usage Effectiveness) documentado e uma matriz energética verificável torna-se um critério de seleção tão importante quanto a latência ou o preço por gigabyte. Os editais públicos estão cada vez mais incorporando esses requisitos em seus cadernos de encargos.
Os próximos meses concentram uma densidade regulatória rara em informática. Cyber Resilience Act, AI Act, NIS 2, DORA: cada texto impõe entregáveis concretos, prazos precisos e pesadas sanções financeiras. Para as PMEs, assim como para grandes contas, a conformidade regulatória agora condiciona o acesso ao mercado, não apenas a gestão de riscos.