Supervisores alertam para a IA que encontra falhas mais depressa

A 31 de julho de 2026, os três supervisores europeus EBA, EIOPA e ESMA publicaram uma declaração conjunta sobre os riscos TIC dos modelos de IA de fronteira no setor financeiro. O essencial: a governação em torno do uso destes modelos tem de apertar, e a supervisão sobre eles tem de ser mais coerente entre Estados-Membros. As autoridades optam expressamente por uma abordagem baseada no risco e transversal aos setores, e remetem para o Plano de Ação da Comissão Europeia sobre Cibersegurança e IA.

Porquê agora

A declaração não surge do nada. A 3 de agosto de 2026 o PYMNTS explicava como os modelos de IA avançados reduzem fortemente o intervalo entre a existência de uma vulnerabilidade e a sua exploração. Onde antes um investigador passava semanas dentro de uma única base de código, um modelo consegue agora percorrer milhares de projetos ao mesmo tempo à procura de erros de implementação. A falha da Coldcard da semana passada, em que uma compilação mal configurada minou a entropia da geração da seed, é exatamente o tipo de erro que assim vem ao de cima.

Scott Aaronson, consultor científico na StarkWare, formulou-o sem rodeios no mesmo texto: o momento de pensar na migração para cifragem resistente à computação quântica é agora, não mais tarde.

Onde entra o DORA

Para o setor, isto liga-se diretamente ao DORA. Esse regulamento obriga as instituições financeiras a gerir de forma demonstrável os seus riscos TIC e coloca os prestadores TIC terceiros críticos sob supervisão europeia direta. Um modelo de IA usado para revisão de código, deteção de fraude ou contacto com clientes cai na prática nesse âmbito. Os supervisores deixam claro que contratar esse modelo não transfere a responsabilidade.

A mesma linha vale para os CASP ao abrigo do MiCA. Quem tem uma autorização na UE tem de ter a sua resiliência operacional em ordem, fornecedores incluídos.

O que isto não é

Não é uma regra nova nem uma consulta. É um sinal conjunto que indica para onde a supervisão vai olhar no período que se segue. As obrigações concretas decorrem do DORA e do regulamento da IA, não desta declaração.

O que ganha com isto

Como utilizador particular não vê nada desta supervisão de forma direta, mas a direção é útil. Parta do princípio de que o tempo entre uma vulnerabilidade se tornar pública e ser explorada está a encurtar, não a alargar. Isso significa: não deixar semanas por instalar as atualizações de firmware de wallets e aparelhos, e perante uma falha comunicada pôr primeiro o seu saldo a salvo e só depois apurar se pertence ao grupo afetado. Se trabalha numa entidade sujeita ao DORA, este é o momento de mapear os fornecedores de IA da sua cadeia antes de o supervisor perguntar.

Fontes: EBA, EIOPA e ESMA (declaração conjunta, 31 de julho de 2026), PYMNTS (3 de agosto de 2026), Regulamento (UE) 2022/2554 (DORA). Última verificação: 6 de agosto de 2026.