O calendário de compliance de 2027 e as evidências por trás dele

Os programas de compliance de empresas de médio porte costumam produzir políticas, como uma política de incidentes cibernéticos, uma política de proteção de dados e um código de conduta para fornecedores. Reguladores, auditores, clientes e tribunais fazem cada vez mais uma pergunta diferente: mostrem o que aconteceu, quando e quem decidiu. Uma política não responde a isso. Logs, registros de data e hora, aprovações e documentos arquivados respondem, desde que tenham sido criados no momento dos fatos.

As regras que chegam nos próximos oito meses tornam isso concreto. Várias trazem prazos medidos em horas, ônus da prova que recai sobre a empresa ou dados que precisam acompanhar um produto ou uma remessa. Para cada uma, a pergunta útil é qual sistema vai guardar a evidência, quem é o responsável por ela e se ela existe hoje.

O calendário abaixo cobre regras que costumam alcançar empresas que operam no Reino Unido e na UE. É um apoio ao planejamento. Se uma regra se aplica, e de que forma, depende da empresa, e este artigo não constitui assessoria jurídica. Advogados e assessores de cada jurisdição confirmam o alcance e as obrigações.

A verificação de identidade na Companies House tornou-se obrigatória em 18 de novembro de 2025. Os diretores que já ocupavam o cargo antes dessa data fazem a verificação por meio da próxima declaração de confirmação (confirmation statement) da empresa apresentada durante um período de transição de 12 meses, que termina em novembro de 2026. Uma declaração de confirmação só pode ser apresentada quando a verificação de todos os diretores estiver concluída, e as pessoas com controle significativo têm seus próprios prazos de 14 dias. Um grupo com várias empresas britânicas e diretores no exterior tem um prazo separado para cada função.

As regras trabalhistas mudam por etapas. Os prazos para recorrer ao tribunal do trabalho passaram de três para seis meses para questões surgidas em ou após 1º de outubro de 2026. A partir de 1º de janeiro de 2027, o período de carência para a proteção contra dispensa injusta cai para seis meses e o teto da indenização é eliminado, e as restrições à prática de dispensar e recontratar funcionários para alterar condições essenciais estão previstas para o mesmo mês.

O novo regime de contratos de assinatura da Digital Markets, Competition and Consumers Act 2024 está agora previsto para janeiro de 2027, antecipado da primavera de 2027 no hemisfério norte, embora a regulamentação secundária e as orientações ainda precisassem ser editadas quando a data foi anunciada. Caberá aos fornecedores o ônus de demonstrar que os avisos exigidos, como os de prazo de arrependimento, foram dados.

O Mecanismo de Ajuste de Carbono na Fronteira do Reino Unido começa em 1º de janeiro de 2027 para importadores de alumínio, cimento, fertilizantes, hidrogênio, e ferro e aço abrangidos, acima de um limite de registro de £ 50.000.

Dois itens já estão em vigor e geram evidências desde agora. Pela Data (Use and Access) Act 2025, todo controlador precisa ter um procedimento de reclamações sobre proteção de dados desde 19 de junho de 2026. Dois projetos de lei continuam em tramitação no Parlamento: a Cyber Security and Resilience Bill, que ampliaria o regime de Network and Information Systems (NIS), e a Commercial Payments Bill, sobre prazos de pagamento e juros por atraso. Nenhum dos dois é lei ainda.

Os identificadores de produto passam a ser obrigatórios nas declarações aduaneiras de remessas de baixo valor a partir de 1º de novembro de 2026, após o direito de € 3 por item introduzido em 1º de julho de 2026.

No âmbito do Regulamento de IA, as obrigações de transparência do artigo 50 aplicam-se desde 2 de agosto de 2026. O Omnibus Digital sobre IA, publicado em julho de 2026, deu aos sistemas generativos já no mercado prazo até 2 de dezembro de 2026 para aplicar marcação legível por máquina, acrescentou duas proibições a partir da mesma data e adiou para 2 de dezembro de 2027 as obrigações para sistemas de risco elevado nos usos do Anexo III, que incluem recrutamento e crédito.

A nova Diretiva de Responsabilidade por Produtos Defeituosos deve ser transposta até 9 de dezembro de 2026. A diretiva anterior é revogada a partir dessa data, mas continua a se aplicar aos produtos colocados no mercado antes dela. A nova definição de produto abrange software, incluindo aplicativos e sistemas de IA.

O Regulamento da UE sobre Desmatamento (EUDR) aplica-se a partir de 30 de dezembro de 2026 aos operadores de grande e médio porte, e aos micro e pequenos operadores já abrangidos pelo Regulamento da UE sobre a Madeira, e a partir de 30 de junho de 2027 aos demais micro e pequenos operadores.

Pelo Regulamento de Ciber-Resiliência (Cyber Resilience Act), os fabricantes de produtos com elementos digitais precisam notificar vulnerabilidades ativamente exploradas e incidentes graves desde 11 de setembro de 2026, inclusive para produtos já no mercado. Um alerta precoce é devido em até 24 horas a partir do conhecimento do fato, uma notificação em até 72 horas e um relatório final depois. As principais obrigações do regulamento se aplicam a partir de 11 de dezembro de 2027.

Os certificados do CBAM referentes às importações de 2026 começam a ser vendidos em 1º de fevereiro de 2027. Os Estados-Membros devem transpor até 19 de março de 2027 as mudanças do Omnibus sobre relatórios de sustentabilidade. Os empregadores com 150 ou mais trabalhadores devem entregar seus primeiros relatórios de diferença salarial entre homens e mulheres, nos termos da Diretiva de Transparência Remuneratória, até 7 de junho de 2027.

Uma trilha de evidências tem quatro partes: um sistema de registro, um registro de data e hora criado por esse sistema, um responsável designado e uma regra de retenção. Aplicada ao calendário, ela produz registros específicos.

Na notificação de incidentes cibernéticos prevista no Regulamento de Ciber-Resiliência, o prazo de 24 horas começa a correr quando o fabricante toma conhecimento da exploração ativa. A evidência é o chamado ou alerta que registra o momento do conhecimento, a decisão de triagem e o número de protocolo do envio na plataforma única de notificação. Se a ferramenta de segurança e o sistema de chamados não estiverem integrados, o registro de data e hora terá de ser reconstruído depois do fato, que é exatamente o que um regulador vai questionar.

Nas assinaturas, a evidência é um log de mensagens que mostra qual lembrete ou aviso foi enviado a cada cliente, seu conteúdo naquela data e se foi entregue. Capturas de tela de um modelo não mostram que determinado cliente o recebeu.

Nas regras de desmatamento, a evidência é o número de referência da declaração de diligência devida vinculado a cada pedido de compra e lote, com os dados de geolocalização que a sustentam. No CBAM, são os dados de emissões da instalação ou o valor padrão usados em cada declaração de importação. Na verificação de identidade, é um registro da situação e do prazo de verificação de cada diretor e controlador em todas as empresas britânicas do grupo. Nas reclamações sobre proteção de dados, é um log de cada reclamação, da data de confirmação de recebimento, das providências tomadas e do desfecho.

Nada disso exige uma nova plataforma. Em geral, exige integrar dois ou três sistemas, acrescentar campos a registros existentes e programar uma verificação que reporte as lacunas a um responsável designado. Construímos essas trilhas dentro das ferramentas que a empresa já usa e mantemos a evidência separada do julgamento: a interpretação jurídica fica com os advogados do cliente.

Em outubro de 2026, verificar em todas as empresas britânicas do grupo quais diretores e controladores ainda precisam confirmar a identidade e apresentar antecipadamente as declarações de confirmação onde o período de transição estiver para terminar.

Até novembro de 2026, confirmar os identificadores de produto nas declarações de pacotes para a UE e definir quais produtos com elementos digitais a empresa fabrica, para que a rota de notificação do Regulamento de Ciber-Resiliência e o registro de conhecimento em 24 horas estejam implantados.

Até dezembro de 2026, ter prontos para janeiro o log de avisos de assinatura e a rota de cancelamento, verificar a marcação do conteúdo gerado por IA onde for exigida e perguntar aos advogados especializados em produtos como as novas regras de responsabilidade tratam qualquer software fornecido pela empresa.

Até o fim de dezembro de 2026, os operadores de grande e médio porte que colocam commodities abrangidas no mercado da UE devem ter as referências das declarações de diligência devida vinculadas a todos os pedidos de compra relevantes.

Até fevereiro de 2027, os importadores devem ter os dados de emissões ou os valores padrão que sustentam cada declaração do CBAM de 2026, e os importadores britânicos devem ter testado o limite de registro do CBAM.

Até junho de 2027, os micro e pequenos operadores sujeitos ao Regulamento sobre Desmatamento devem estar prontos para 30 de junho, os empregadores na UE com 150 ou mais trabalhadores devem ter entregado os relatórios salariais, e cada trilha de evidências descrita acima deve ter um responsável, uma regra de retenção e um relatório mensal de lacunas.