Em aplicação
DORA: Aplicam-se as regras de resiliência operacional digital
Risco de TIC, registo de terceiros, notificação de incidentes e testes.
Serviços financeiros
IA e plataformas preparadas para a supervisão.
O que desenvolvemos para bancos, seguradoras, sociedades gestoras e instituições de pagamento: IA que se consegue explicar a um supervisor, integração que respeita o núcleo e operações concebidas em torno do DORA desde a primeira decisão de arquitetura.
Para instituições financeiras sob supervisão europeia, das autoridades nacionais ao BCE, à EBA, à EIOPA, à ESMA e à AMLA.
17 de janeiro de 2025
Aplica-se o DORA
Gestão do risco de TIC, registos de terceiros, notificação de incidentes e testes de resiliência para as entidades financeiras.
10 de julho de 2027
Aplica-se o Regulamento Antibranqueamento
Um conjunto único de regras de diligência quanto à clientela em toda a UE, com a nova autoridade AMLA.
2 de dezembro de 2027
Risco elevado no crédito e nos seguros
A avaliação da solvabilidade e a fixação de preços de seguros de vida e de saúde são utilizações de risco elevado do Regulamento da IA; data de aplicação na redação alterada em 2026.
O que está a mudar nos serviços financeiros
A resiliência passou a ser uma obrigação legal
O DORA transforma a resiliência operacional em obrigações concretas: gestão do risco de TIC, um registo de todos os acordos com terceiros prestadores de serviços de TIC, notificação classificada de incidentes e testes regulares. Os fornecedores de cloud e de IA passam a fazer parte do quadro de supervisão.
As decisões de IA precisam de rasto de auditoria
A avaliação de crédito e a fixação de preços de seguros tornam-se utilizações de risco elevado no Regulamento da IA. A gestão do risco de modelo tem de abranger os modelos de aprendizagem automática e generativos, com documentação, monitorização e supervisão humana proporcionais ao impacto.
Os clientes comparam com a melhor aplicação
As transferências imediatas, a verificação do beneficiário e o open banking aumentaram as expectativas de rapidez e transparência. As próximas regras dos serviços de pagamento vão reforçar ainda mais a prevenção da fraude e a qualidade das APIs.
Os sistemas centrais guardam décadas de lógica
Os mainframes e as plataformas centrais continuam a sustentar a contabilidade. A mudança tem de acontecer à volta deles, através de APIs e eventos, sem pôr em risco a estabilidade nem o reporte regulamentar.
Desafios e o que desenvolvemos
- O desafio
A abertura de conta e as revisões periódicas dependem de analistas que leem documentos à mão.
A nossa respostaO processamento inteligente de documentos extrai e verifica os comprovativos de identidade, de beneficiário efetivo e de origem dos fundos. Os analistas reveem os casos assinalados, e cada verificação fica registada para auditoria e para o futuro conjunto único de regras antibranqueamento.
- O desafio
Gestores e equipas de serviço consultam cinco sistemas para responder a uma pergunta.
A nossa respostaUm assistente que respeita as permissões, sobre produtos, políticas e procedimentos, cita as suas fontes e regista o que foi mostrado, para que os registos do aconselhamento fiquem completos.
- O desafio
Cada alteração ao núcleo é lenta, cara e arriscada.
A nossa respostaExpomos as capacidades do núcleo através de APIs e fluxos de eventos, retiramos funções passo a passo e mantemos a reconciliação ativa até ser possível desativar o circuito antigo.
- O desafio
O registo do DORA e o fluxo de incidentes vivem em folhas de cálculo.
A nossa respostaIncorporamos o registo de informações, a classificação de incidentes e os fluxos de notificação nas suas ferramentas de gestão de serviços e de cloud, ligados às funções críticas que suportam.
- O desafio
Os modelos que não se conseguem explicar não passam na validação.
A nossa respostaUm quadro de avaliação acordado com as equipas de risco e de validação: conjuntos de teste, explicabilidade onde a decisão o exige, monitorização de desvios e uma intervenção humana documentada.
- O desafio
Os reportes regulamentares são reconciliados à mão todos os trimestres.
A nossa respostaPipelines de dados com linhagem documentada e controlos de qualidade automáticos, segundo os princípios BCBS 239, para que os valores possam ser rastreados até à origem.
Uma arquitetura de referência centrada no controlo
Onde a IA se situa entre os canais e os sistemas centrais, com um ponto de aprovação nos passos com consequências e os controlos do DORA a acompanhar todas as camadas.
Exemplo ilustrativo
Os serviços de IA ligam-se aos sistemas centrais apenas através da camada de integração. Os controlos do DORA aplicam-se a todos os componentes.
Ler o diagrama em texto
Clientes, gestores e equipas de serviço usam a aplicação, a web, o balcão e o centro de contacto.
Por trás dos canais estão três serviços de IA: a receção de documentos de abertura de conta e KYC, um assistente para gestores e equipas de serviço e um passo de aprovação por um analista, por onde passa cada decisão com consequências.
Os serviços de IA chegam aos sistemas centrais apenas através de uma camada de integração de APIs e fluxos de eventos. Os sistemas centrais são o core bancário ou a gestão de apólices, o CRM e a plataforma de serviço e uma plataforma de dados com linhagem documentada.
Ao longo de todas as camadas funcionam os controlos do DORA: gestão do risco de TIC, registo de terceiros prestadores de serviços de TIC, classificação e notificação de incidentes e testes de resiliência. Cada modelo é registado, validado e monitorizado no âmbito da gestão do risco de modelo.
Aprovação antes da consequência
A IA redige, extrai e sugere. As decisões sobre crédito, sinistros ou restrições de conta ficam com uma pessoa identificada.
Explicável desde a conceção
O nível de explicação é decidido por tipo de decisão durante a conceção, e não acrescentado antes da validação.
Risco de saída e de concentração
Os prestadores de cloud e de modelos são escolhidos com planos de saída e alternativas de substituição documentados para o registo.
Registos como evidência
Entradas, resultados, versões dos modelos e aprovações são conservados para que supervisores e auditores possam reconstituir qualquer caso.
O calendário regulamentar das instituições financeiras
Datas que mudam o que um parceiro de entrega tem de demonstrar. As autoridades nacionais e as autoridades europeias de supervisão acrescentam orientações e normas técnicas.
Em aplicação
Regulamento da IA: Práticas proibidas e literacia em IA obrigatória
Em aplicação
AMLA: A autoridade antibranqueamento da UE entra em funcionamento
Prepara o conjunto único de regras e a supervisão direta de instituições selecionadas.
Em aplicação
Regulamento das Transferências Imediatas: Verificação do beneficiário nas transferências em euros
Os prestadores de serviços de pagamento da área do euro verificam o nome do beneficiário antes de executar uma transferência.
Em aplicação
Regulamento da IA: Aplicam-se as obrigações de transparência
Os clientes têm de ser informados quando estão a interagir com um sistema de IA.
Situação em 2 de outubro de 2026
Em breve
Regulamento Antibranqueamento: Aplica-se o conjunto único de regras da UE
Diligência quanto à clientela, beneficiário efetivo e conservação de registos harmonizados.
Em breve
Regulamento da IA: Aplicam-se as obrigações de risco elevado
Incluindo a avaliação da solvabilidade e a fixação de preços de seguros de vida e de saúde, na redação alterada em 2026.
Em breve
AMLA: Começa a supervisão direta de instituições selecionadas
Referência de regulação e normas
Os instrumentos que mais influenciam o trabalho de IA e de plataformas nas instituições financeiras, e o que cada um significa para um programa de entrega.
Esta síntese apoia conversas de planeamento. Não constitui aconselhamento jurídico nem regulamentar. Datas revistas em 2 de outubro de 2026.
- DORAÂmbitoToda a UE
O Regulamento relativo à resiliência operacional digital aplica-se desde 17 de janeiro de 2025 a bancos, seguradoras, empresas de investimento, instituições de pagamento e outras entidades financeiras. Abrange a gestão do risco de TIC, a notificação de incidentes, os testes de resiliência e a gestão do risco de terceiros prestadores de serviços de TIC, incluindo as principais cláusulas contratuais (artigo 30.º). Em Portugal, as autoridades competentes são o Banco de Portugal, a ASF e a CMVM, cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025).
O que significa para o seu programaEnquanto fornecedor de TIC, apoiamos as suas obrigações: cláusulas contratuais, notificação de incidentes, planos de saída, participação em testes e a informação de que o seu registo precisa.
FonteRegulamento (UE) 2022/2554, EUR-Lex (abre um site externo)
- Regulamento da IAÂmbitoToda a UE
A IA usada para avaliar a solvabilidade de pessoas singulares ou para fixar preços em função do risco nos seguros de vida e de saúde é de risco elevado. Prestadores e responsáveis pela implantação precisam de gestão do risco, governação de dados, registos, supervisão humana e documentação. Na redação alterada em 2026, estas obrigações aplicam-se a partir de 2 de dezembro de 2027.
O que significa para o seu programaClassificamos cada caso de utilização cedo, incorporamos a supervisão humana no processo e produzimos documentação compatível com o seu quadro de risco de modelo.
FonteRegulamento (UE) 2024/1689, EUR-Lex (abre um site externo)
- Pacote antibranqueamento da UE (AMLR e AMLA)ÂmbitoToda a UE
O Regulamento Antibranqueamento de Capitais substitui as regras nacionais de diligência quanto à clientela por um conjunto único de regras da UE a partir de 10 de julho de 2027. A nova autoridade AMLA coordena os supervisores nacionais e vai supervisionar diretamente instituições selecionadas de risco elevado.
O que significa para o seu programaOs processos de abertura de conta e de revisão precisam de um tratamento coerente das evidências e de rastos de auditoria. Concebemos a receção de documentos e os fluxos de processos para esse padrão.
FonteRegulamento (UE) 2024/1624, EUR-Lex (abre um site externo)
- RGPD e decisões automatizadasÂmbitoToda a UE
O artigo 22.º dá às pessoas o direito de não ficarem sujeitas a decisões tomadas exclusivamente com base no tratamento automatizado que as afetem significativamente, com exceções que exigem salvaguardas como a intervenção humana e o direito de contestar a decisão.
O que significa para o seu programaConcebemos processos em que uma pessoa pode rever, explicar e alterar um resultado automatizado, e registar que o fez.
FonteRegulamento (UE) 2016/679, EUR-Lex (abre um site externo)
- MiFID II, IDD e registos do aconselhamentoÂmbitoToda a UE
As regras de investimento e de distribuição de seguros exigem avaliações de adequação ou de exigências e necessidades e registos do aconselhamento prestado. A IA que apoia os gestores passa a fazer parte desse registo.
O que significa para o seu programaOs assistentes registam o que mostraram e as fontes que usaram, para que o processo de aconselhamento fique completo e possa ser revisto.
- PSD2 e as próximas regras de pagamentosÂmbitoToda a UE
A PSD2 rege hoje os serviços de pagamento e o acesso de open banking. As sucessoras, a PSD3 e o Regulamento dos Serviços de Pagamento, foram objeto de acordo provisório em 2025 e vão reforçar a prevenção da fraude e os requisitos de desempenho das APIs após um período de transição.
O que significa para o seu programaAs plataformas de APIs desenvolvidas agora devem antecipar obrigações mais exigentes de desempenho, de monitorização e de partilha de dados sobre fraude.
FonteDiretiva (UE) 2015/2366, EUR-Lex (abre um site externo)
Casos de utilização ilustrativos
Exemplo ilustrativoVerificação de documentos na abertura de conta
Documentos de identidade e de beneficiário efetivo extraídos e cruzados; os analistas decidem sobre cada caso assinalado.
Assistente de conhecimento para gestores
Respostas sobre produtos, políticas e procedimentos com fontes, dentro dos direitos de acesso de cada gestor.
Receção e encaminhamento de reclamações
Reclamações classificadas por tema e urgência, encaminhadas com um resumo preliminar e com os prazos das regras de tratamento de reclamações acompanhados.
Participação de sinistros numa seguradora
Formulários de participação, faturas e relatórios lidos e associados à apólice; os gestores de sinistros aprovam o pagamento.
Funções do núcleo atrás de APIs
Transações do mainframe expostas como APIs e eventos documentados, para que os novos canais deixem de depender de ficheiros batch.
Plataformas nos serviços financeiros
Salesforce
Summit PartnerÁreas de trabalho para gestores, percursos de abertura de conta e operações de serviço, ligados aos sistemas centrais e à receção de documentos.
SAP
Gold PartnerFinanças e reporte do grupo, com os dados SAP disponíveis para o reporte de risco e regulamentar com linhagem documentada.
Os níveis de parceria são os detidos pela FromNine. Os nomes dos produtos são marcas dos respetivos titulares.
Portugal
Concebido para a supervisão europeia
Em Portugal, as autoridades competentes para efeitos do Regulamento DORA são o Banco de Portugal, a Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) e a Comissão do Mercado de Valores Mobiliários (CMVM), cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025, de 23 de dezembro).
As instituições financeiras respondem também às autoridades europeias de supervisão, e a partir de 2028 algumas passam a ser supervisionadas diretamente pela AMLA. O DORA, o Regulamento da IA e o pacote antibranqueamento aplicam-se em toda a UE, mas as expectativas de supervisão, os formatos de reporte e a prática de subcontratação continuam a diferir de país para país.
Concebemos a entrega para que as evidências sejam produzidas uma só vez e possam ser mostradas a qualquer uma destas autoridades: documentação de arquitetura e de modelos, registos, resultados de testes e planos de saída, mantidos atualizados à medida que o sistema muda.
- DORARegulamento (UE) 2022/2554 relativo à resiliência operacional digital do setor financeiro (DORA) (abre um site externo)
- Regulamento da Inteligência ArtificialRegulamento (UE) 2024/1689 (Regulamento da Inteligência Artificial) (abre um site externo)
- Regulamento Antibranqueamento de CapitaisRegulamento (UE) 2024/1624 relativo à prevenção do branqueamento de capitais e do financiamento do terrorismo (conjunto único de regras), com a AMLA (abre um site externo)
- RGPDRegulamento Geral sobre a Proteção de Dados (RGPD), Regulamento (UE) 2016/679 (abre um site externo)
Perguntas frequentes
Como apoia a FromNine, enquanto fornecedor, as nossas obrigações do DORA?
Acordamos as cláusulas contratuais que o DORA exige, notificamos incidentes pelo canal acordado, documentamos planos de saída, participamos nos testes de resiliência e fornecemos a informação de que o seu registo de terceiros prestadores de serviços de TIC precisa.
A IA pode ser usada em decisões de crédito ou de subscrição?
Pode, como utilização de risco elevado no Regulamento da IA, com gestão do risco, governação de dados, registos, supervisão humana e documentação. Concebemos para que seja uma pessoa a tomar a decisão e a consiga explicar, respeitando as salvaguardas do RGPD sobre decisões automatizadas.
Onde funcionam os modelos e os dados?
No ambiente que o seu apetite de risco permitir: o seu próprio tenant de cloud, uma região da UE de uma cloud pública ou infraestrutura própria para as cargas sensíveis. As escolhas de modelo e de alojamento ficam documentadas, com opções de saída, para o seu registo de terceiros.
Temos de substituir a nossa plataforma central?
Não. Integramos por defeito e modernizamos por etapas: primeiro APIs e eventos à volta do núcleo, retirando funções apenas onde compensa, com reconciliação até o circuito antigo ser desativado.
Como avaliam a IA generativa em processos regulados?
Com conjuntos de teste e critérios de qualidade acordados com as suas equipas de risco e de validação antes da entrada em produção, monitorização depois disso e passos de revisão para os resultados incertos. O processo parte do princípio de que alguns resultados estarão errados e encaminha-os para pessoas.
Fale-nos do seu programa nos serviços financeiros
Está a planear IA na abertura de conta, no aconselhamento ou nos sinistros, ou a preparar os seus sistemas para os testes do DORA? Fale com engenheiros que concebem tanto para os supervisores como para os utilizadores.