O chefe do NCSC do Reino Unido usa RSAC 2026 para promover proteções de segurança obrigatórias em ferramentas de geração de código de IA. A FCA alinha o relatório de incidentes cibernéticos com os princípios DORA. A Polícia de Essex suspende a implantação do reconhecimento facial depois que o estudo de Cambridge descobriu preconceito racial – um caso de teste para as disposições de alto risco da Lei de IA da UE. O governo do Reino Unido abre consulta de identificação digital com perguntas GDPR sem resposta. A ENISA publica um quadro prático de exercícios de cibersegurança NIS2 para organizações da UE.
O CEO do NCSC, Richard Horne, usou sua palestra RSAC 2026 para pedir à indústria de segurança cibernética que “aproveite a oportunidade de codificação de vibração disruptiva” enquanto cria salvaguardas de segurança obrigatórias em ferramentas de geração de código de IA.
No Conferência RSA 2026 em São Francisco, Ricardo Horne, executivo-chefe do Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido, deu o que equivale a um alerta regulatório: a explosão de Desenvolvimento de software assistido por IA – amplamente chamada de “vibe coding” – é ao mesmo tempo uma enorme oportunidade e um risco sistêmico que a indústria deve enfrentar agora, não em cinco anos.
Paralelamente, o CTO do NCSC David C. publicou o relatório da agência "Mandamentos de codificação do Secure Vibe":
A posição do NCSC alinha-se diretamente com a Lei de IA da UE requisitos para sistemas de IA utilizados em infraestruturas críticas. De acordo com a lei, as ferramentas de geração de código de IA usadas para construir software para serviços essenciais provavelmente seriam qualificadas como sistemas de IA de alto risco, exigindo avaliações de conformidade, obrigações de transparência e supervisão humana. Os mandamentos do NCSC parecem uma antevisão das normas técnicas que a UE acabará por impor.
Para as organizações DACH que já se preparam para as obrigações de IA de uso geral 2026 de agosto da Lei de IA da UE, este é um sinal para começar a avaliar como o código gerado por IA é governado em seus pipelines de desenvolvimento hoje.
A Autoridade de Conduta Financeira do Reino Unido emitiu regras simplificadas de comunicação de incidentes que abrangem tanto eventos cibernéticos internos como interrupções de terceiros, criando um portal único de comunicação com a PRA e o Banco de Inglaterra.
O O novo regime de relatórios da FCA aborda uma reclamação de longa data das instituições financeiras: confusão sobre o que para relatar, quando para denunciá-lo, e quais informações incluir. A atualização inclui:
Embora o Reino Unido já não esteja sujeito às regulamentações da UE, a atualização da FCA baseia-se claramente no Lei de Resiliência Operacional Digital (DORA) manual. O quadro de comunicação de incidentes do DORA — que exige que as entidades financeiras da UE comuniquem incidentes graves relacionados com as TIC à sua autoridade nacional competente — estabeleceu o padrão de referência. A decisão da FCA de incluir incidentes de terceiros reflete o foco do DORA em fornecedores terceirizados de TIC essenciais.
O Diretor da FCA, Mark Francis, observou: “A resiliência está sendo testada como nunca antes, com as empresas enfrentando crescentes ameaças cibernéticas e aumentando a dependência de terceiros.” Os dados comprovam isso - 40% de incidentes relatados à FCA em 2025 envolveram terceiros, incluindo interrupções de alto perfil na AWS e na Cloudflare.
Para as organizações que operam no Reino Unido e na UE, a convergência é uma boa notícia – os quadros de reporte estão cada vez mais alinhados. No entanto, permanecem diferenças no âmbito, prazos e requisitos específicos. As empresas com dupla regulamentação devem mapear os seus fluxos de trabalho de notificação de incidentes em relação ao DORA e ao novo regime da FCA para identificar lacunas.
A Polícia de Essex interrompeu sua implantação de reconhecimento facial ao vivo depois que um estudo da Universidade de Cambridge descobriu que o sistema era estatisticamente mais propenso a identificar indivíduos negros, levantando questões diretas sobre a conformidade da Lei de IA da UE para sistemas semelhantes.
Um experimento de campo controlado por Universidade de Cambridge pesquisadores descobriram que o sistema de reconhecimento facial ao vivo (LFR) da Polícia de Essex mostrou preconceito racial estatisticamente significativo — era mais provável identificar corretamente os participantes negros do que os de outros grupos étnicos. Embora os investigadores tenham alertado que isto poderia reflectir o número limitado de falsos positivos, em vez de um efeito sistemático, a Polícia de Essex optou por pausar implantações e trabalhar com o provedor do algoritmo para resolver o problema.
As descobertas surgem no momento em que o governo do Reino Unido está expandindo ativamente uso de reconhecimento facial no policiamento – gastando mais de £ 26 milhões em um sistema nacional e £ 11.6 milhões em vans adicionais equipadas com LFR.
Sob o Lei da UE sobre IA, a identificação biométrica remota em tempo real em espaços públicos pelas autoridades policiais é classificada como prática proibida com exceções estreitas. Mesmo a pós-identificação (após o fato) é classificada como alto risco, exigindo:
Este caso é um exemplo de livro didático da razão pela qual a Lei da IA da UE existe. O preconceito só foi detectado porque a Polícia de Essex encomendou estudos académicos independentes – muitas organizações que implementam sistemas semelhantes nunca realizam este nível de escrutínio.
O reconhecimento facial não é apenas uma ferramenta de policiamento. Bancos, aeroportos, retalhistas e sistemas de controlo de acesso em toda a UE utilizam identificação biométrica. Se a sua organização implantar qualquer forma de IA biométrica, o caso da Polícia de Essex é um aviso: teste o preconceito de forma proativa ou os reguladores testarão para você.
O governo do Reino Unido lançou uma consulta pública sobre o seu esquema de identificação digital, abrangendo inicialmente verificações do direito ao trabalho, com planos de expansão para benefícios, pensões e empréstimos estudantis. Perguntas críticas alinhadas ao GDPR permanecem sem resposta.
O governo do Reino Unido consulta de identidade digital abriu, delineando um esquema que cobriria inicialmente verificações de direito ao trabalho com planos de expansão nos serviços governamentais. Mas a consulta é notavelmente omissa em vários questões críticas de privacidade:
Embora o Reino Unido tenha divergido da UE em algumas questões de proteção de dados pós-Brexit, o Reino Unido GDPR (retido da legislação da UE) ainda se aplica. As principais preocupações incluem:
A própria UE Regulamento eIDAS 2.0 exige Carteiras Europeias de Identidade Digital por 2026-2027, e a consulta do Reino Unido fornece lições preventivas úteis. A estrutura da UE inclui proteções de privacidade mais fortes – incluindo divulgação seletiva (provar que você passou de 18 sem revelar sua data de nascimento) e proibições de rastreamento entre serviços. Os estados-membros da UE deveriam considerar as lacunas de privacidade do esquema do Reino Unido como exemplos do que evitar.
Recurso de conformidade NIS2: A Agência da UE para a Segurança Cibernética (ENISA) publicou uma metodologia abrangente para a construção de exercícios de segurança cibernética, projetada para ajudar as organizações a atender aos requisitos de preparação para resposta a incidentes do NIS2. Este é um guia prático passo a passo – não uma orientação teórica.
Metodologia de exercícios de cibersegurança da ENISA é projetado para "capacitar e orientar as organizações no desenvolvimento de exercícios eficazes de segurança cibernética do início ao fim." Sob NIS2 Artigo 21, entidades essenciais e importantes devem implementar medidas para tratamento de incidentes, incluindo testes e exercícios regulares.
A metodologia abrange:
Muitas organizações sujeitas ao NIS2 ainda estão lutando com a questão prática: “Como podemos realmente testar nossas capacidades de resposta a incidentes?” A metodologia da ENISA fornece uma resposta concreta e aprovada pela UE. As autoridades nacionais competentes provavelmente farão referência a este quadro ao avaliar a conformidade, tornando-o de facto uma leitura obrigatória.
| Desenvolvimento | Regulamento | Impacto | Ação necessária |
|---|---|---|---|
| Salvaguardas de codificação do NCSC Vibe | Lei da UE sobre IA | Ferramentas de geração de código de IA enfrentam novos padrões de segurança | Audite as ferramentas de codificação de IA e prepare-se para a conformidade |
| Revisão do relatório de incidentes da FCA | DORA | Reino Unido alinha-se com o quadro de risco de terceiros da UE | Atualizar fluxos de trabalho de relatórios até março 2027 |
| Suspensão de polarização de reconhecimento facial | Lei da UE sobre IA | Prova real de que o teste de viés é essencial | Audite toda a IA biométrica em busca de preconceitos |
| Consulta de identificação digital no Reino Unido | GDPR / eIDAS 2.0 | Lacunas de privacidade no esquema nacional de identificação | Envie feedback da consulta, avalie os fluxos de dados |
| Metodologia de Exercício ENISA | NIS2 | Estrutura prática de conformidade publicada | Agende o exercício de segurança cibernética 2026 do segundo trimestre |
A conformidade regulatória começa com o conhecimento da superfície de ataque. KENSAI fornece verificação de segurança automatizada em seus aplicativos web, APIs e infraestrutura — com mapeamento de conformidade integrado.
Comece sua verificação de segurança gratuita →Publicado pela equipe de inteligência regulatória KENSAI · Março 25, 2026
Mantenha-se em conformidade. Fique protegido. Leia mais briefings →