Regulamento IA vs DORA vs NIS2: Convergência de Conformidade para Organizações Financeiras

As instituições financeiras têm de navegar pelo Regulamento IA, DORA e NIS2 com obrigações e calendários sobrepostos. Este guia mapeia as interseções: onde as obrigações se sobrepõem, onde conflituam e como fazer o mapeamento duplo da documentação para reduzir o esforço de conformidade.

Três regulamentos, um programa de conformidade

As organizações financeiras na UE enfrentam o Regulamento IA, o DORA e a NIS2 — três regulamentos concebidos independentemente mas que se sobrepõem substancialmente no contexto de sistemas de IA utilizados em serviços financeiros. Geri-los separadamente cria documentação duplicada, governação inconsistente e custos desnecessários.

Este guia mapeia as sobreposições e mostra onde um único esforço de conformidade pode satisfazer múltiplos regulamentos simultaneamente.

Comparação de calendários

Onde o Regulamento IA e o DORA se sobrepõem

Gestão de riscos

Art.º 9 do Regulamento IA exige um sistema de gestão de riscos para IA de alto risco abrangendo a identificação, estimação, avaliação e mitigação de riscos ao longo do ciclo de vida.

Art.º 5–16 do DORA exige um quadro de gestão de riscos de TIC abrangendo a identificação, proteção, deteção, resposta e recuperação face a riscos de TIC.

Sobreposição: Ambos se aplicam a sistemas de IA utilizados em serviços financeiros. Um único registo de riscos e processo de governação pode satisfazer ambos, desde que abranja os riscos específicos de IA exigidos pelo Art.º 9 (exatidão, robustez, viés, impacto nos direitos fundamentais) para além das categorias de risco de TIC do DORA (disponibilidade, confidencialidade, integridade, autenticação).

Abordagem de mapeamento duplo: Alargue o seu registo de riscos de TIC do DORA para incluir dimensões de risco específicas de IA. Documente a avaliação combinada como cumprindo simultaneamente os requisitos do Art.º 9 e do Art.º 5–16 do DORA.

Comunicação de incidentes

Art.º 73 do Regulamento IA exige que os fornecedores de IA de alto risco comuniquem incidentes graves às autoridades de vigilância do mercado sem atraso injustificado.

Art.º 19–23 do DORA exige que as entidades financeiras comuniquem incidentes significativos relacionados com TIC às autoridades competentes dentro de prazos rigorosos (inicial: 4 horas; intermédio: 72 horas; final: 1 mês).

Sobreposição: Um incidente de TIC causado por ou que envolva um sistema de IA de alto risco pode desencadear simultaneamente ambas as obrigações de comunicação. Construa um único procedimento de resposta a incidentes que avalie ambos os limiares e encaminhe para ambos os reguladores quando necessário.

Terceiros e cadeia de abastecimento

O Regulamento IA impõe obrigações aos fornecedores que desenvolvem IA. Os utilizadores finais que adquirem sistemas de IA de alto risco a fornecedores devem verificar a conformidade do fornecedor.

Art.º 28–44 do DORA exige que as entidades financeiras gerem o risco de terceiros de TIC, incluindo para fornecedores de IA e serviços cloud que executam sistemas de IA.

Sobreposição: A diligência devida de aprovisionamento para sistemas de IA utilizados por entidades financeiras deve satisfazer ambos: a avaliação do risco de terceiros de TIC do DORA e os requisitos contratuais, E a verificação da avaliação de conformidade do Regulamento IA e da marcação CE.

Dica prática: Acrescente a verificação da conformidade com o Regulamento IA à sua lista de verificação de diligência devida de terceiros TIC do DORA. Exija que os fornecedores de IA forneçam a sua documentação de avaliação de conformidade e o número de registo na base de dados da UE.

Onde o Regulamento IA e a NIS2 se sobrepõem

A NIS2 aplica-se amplamente a entidades essenciais e importantes incluindo instituições financeiras, fornecedores de energia, organizações de saúde e operadores de infraestruturas digitais.

O Art.º 21 da NIS2 aplica medidas de segurança a todos os sistemas de TIC — incluindo sistemas de IA. As medidas de segurança baseadas no risco, a segurança da cadeia de abastecimento e o planeamento da continuidade de negócio aplicam-se todos à IA como componente de TIC.

O Art.º 23 da NIS2 sobre comunicação de incidentes (aviso antecipado de 24 horas, notificação de 72 horas, relatório final de 1 mês) aplica-se a incidentes significativos, incluindo os que envolvam sistemas de IA.

Oportunidade de integração: As medidas de segurança da NIS2 e o Art.º 15 do Regulamento IA (exatidão, robustez, cibersegurança) para IA de alto risco podem ser tratados através do mesmo sistema de gestão da segurança da informação (SGSI) e programa de cibersegurança.

Quadro recomendado de mapeamento duplo

1. Inventário único de IA — catalogar todos os sistemas de IA, mapeando cada um para o nível de risco do Regulamento IA E para a aplicabilidade do DORA/NIS2
2. Registo de riscos combinado — alargar o registo de riscos de TIC para incluir dimensões de risco específicas de IA (viés, opacidade, impacto nos direitos fundamentais)
3. Resposta a incidentes unificada — procedimento único com avaliação de duplo limiar para comunicação ao Regulamento IA + DORA/NIS2
4. Modelo de terceiros partilhado — diligência devida de TIC do DORA + verificação de conformidade com o Regulamento IA num único questionário de fornecedor
5. SGQ conjunto — conceber o sistema de gestão da qualidade do Regulamento IA (Art.º 17) como extensão do quadro de governação do DORA, não como silo separado

Para orientação específica sobre o DORA, consulte o nosso site parceiro regulation-dora.eu — cobrindo em profundidade a gestão completa de riscos de TIC do DORA, a comunicação de incidentes e os quadros de terceiros.