Uma mudança estrutural na responsabilização regulatória transfere agora a obrigação de notificação de incidentes e responsabilidade para operadores ou implementadores de ferramentas baseadas em IA e software, e não mais para fornecedores de tecnologia ou desenvolvedores de modelos. Esse mecanismo está explícito na Lei de Resiliência Cibernética (CRA), na Lei de Serviços Digitais (DSA) e na futura Regulamentação de Máquinas da UE. O incidente envolvendo a ferramenta Cursor numa indústria química belga evidencia que o cumprimento regulatório recai sobre quem implanta a tecnologia.
CrowdStrike e Okta relataram que o aumento dos gastos com segurança empresarial resulta da intensificação dos ataques gerados por IA, segundo balanços trimestrais. A Gartner projeta que o investimento em segurança de IA atingirá US$ 4,8 bilhões em 2027, 68,7% acima deste ano, sendo o controle de uso o segmento mais dinâmico. Carta pública assinada por mais de 100 fornecedores—including OpenAI, Anthropic, AWS e Microsoft—alerta sobre a necessidade de defesa urgente, mas não transfere responsabilidade ao fornecedor de software.
Ocorrências recentes evidenciam que a conta operacional fica com o provedor de serviço ou quem implanta a solução. No caso da Cursor, o dever de notificação coube tanto à AnySphere (fornecedora) quanto à empresa violada; não aos desenvolvedores do modelo. Após o bug do Passportal da N-able, ficou a cargo dos MSPs tomar as providências para seus clientes. Em todos os exemplos, a “linha de responsabilidade” termina no implementador.
Para MSPs e fornecedores de TI, essa conjuntura exige revisão dos contratos, operações e comunicações. Estruturas de atendimento devem priorizar prazos regulatórios, documentação e notificações transparentes. Quem atender clientes na UE ou em cadeias globais enfrenta riscos se não se prepara proativamente antes dos prazos estabelecidos.