MiCA, DORA, o Regulamento IA e a NIS2: Como o quadro normativo da UE está a afastar start-ups e pequenas empresas da Europa

Vivo profissionalmente da regulamentação da UE. Os clientes recorrem a nós porque MiCA, as regras de combate ao branqueamento de capitais e o restante quadro normativo europeu são demasiado complexos para gerir isoladamente, e nós tratamos disso por eles. Portanto, esta não é uma queixa de quem perde quando Bruxelas aprova uma nova lei. Se alguma coisa, eu ganho.

Ainda assim, ao analisar o que recaiu sobre as pequenas e médias empresas (PME) nos últimos anos, considero que a Europa está a cometer um erro. Não é um único ato mal redigido. É a soma de todos eles, a velocidade a que a UE se corrige e o facto de a fatura recair sobre as empresas menos capazes de a pagar. A nossa posição sobre a regulamentação da IA, em particular, é explicada num artigo separado; este trata do padrão em todo o quadro normativo.

Uma camada sobre outra

Eis o que a regulamentação da UE exige agora de uma empresa europeia, consoante a sua atividade.

• GDPR para qualquer entidade que detenha dados pessoais.
• O Regulamento dos Serviços Digitais e o Regulamento dos Mercados Digitais para plataformas em linha e marketplaces digitais.
• O Regulamento dos Dados para dispositivos conectados e contratos de cloud.
• NIS2 e o Regulamento da Ciberresiliência para a cibersegurança e para produtos que incluam software.
• MiCA para serviços de criptoativos.
• DORA para bancos, empresas de pagamentos e de criptoativos, bem como os fornecedores de IT que as servem.
• O Regulamento IA para quem desenvolve sistemas de IA ou os utiliza na sua atividade empresarial.
• O novo Regulamento AML com um supervisor ao nível da UE, a AMLA.
• eIDAS 2,0 com as suas carteiras de identidade digital.
• Deveres de comunicação relativos a transferências de criptoativos (a regra de viagem), dados fiscais de criptoativos (DAC8), sustentabilidade (CSRD) e cadeias de abastecimento (CSDDD).

Nenhuma destas matérias é menor. Cada uma tem as suas próprias definições, formulários, supervisor e coimas. Uma fintech com doze trabalhadores pode estar sujeita a cinco ou seis delas simultaneamente.

Cada lei é defensável. A acumulação não é

Consideradas isoladamente, cada uma destas leis responde a uma questão real. O dinheiro dos clientes não deve desaparecer quando uma bolsa de criptoativos colapsa, um banco não deve deixar de funcionar porque o seu fornecedor de cloud teve uma má noite, e ninguém quer software a decidir quem recebe um empréstimo sem que exista uma pessoa capaz de verificar o resultado. Conteste-se qualquer uma destas leis isoladamente e perde-se o argumento, como deve acontecer.

O problema é a soma, e o problema é o calendário. A Comissão propôs o Regulamento IA em abril de 2021 e a UE adotou-o em 2024. As suas regras principais para IA de alto risco, como sistemas usados no recrutamento, na avaliação de crédito ou na educação, deveriam aplicar-se em 02/08/2026. Em julho de 2026, semanas antes dessa data, a UE aprovou uma correção denominada Omnibus Digital sobre IA. Esta adiou as regras para dezembro de 2027 e para agosto de 2028 no caso de IA integrada em produtos regulados. A razão oficial foi que as normas técnicas e os supervisores nacionais não estavam prontos. Cinco anos após a proposta, não existia a estrutura destinada a aplicar a lei. As empresas que tinham passado dois anos a preparar-se para agosto tinham-se preparado para uma data que mudou.

É isto que a lentidão significa na prática. As leis chegam. As correções chegam dois ou três anos depois de todos perceberem o problema, sob a forma de mais uma regulamentação adicional.

Porque as mesmas regras custam mais a uma pequena empresa

Esta é a parte que mais me incomoda. O custo de conformidade quase não depende da dimensão da empresa. Um manual de políticas, um registo de fornecedores de IT, um procedimento de comunicação de incidentes, uma auditoria externa, um pedido de licença: todos custam aproximadamente o mesmo, quer se sirvam 50 clientes quer 5 milhões.

DORA é o caso mais claro. No inquérito da Deloitte a instituições financeiras de 28 países europeus, publicado em março de 2025, cerca de dois terços dos inquiridos previam gastar entre 2 milhões de € e 5 milhões de € em conformidade, e apenas um em cada dez esperava ficar abaixo de 2 milhões de €. Um grande banco absorve esse custo. Uma instituição de pagamento com vinte trabalhadores não consegue, e para as empresas mais pequenas a fatura da conformidade pode exceder o valor que o mercado da UE lhes representa.

MiCA conta a mesma história em números. Antes de MiCA, segundo as contagens do setor, mais de mil empresas detinham registos nacionais de criptoativos em toda a UE. O período transitório terminou em 01/07/2026 e, em outubro de 2026, o registo da ESMA incluía cerca de 370 prestadores autorizados. Algumas das empresas desaparecidas mereciam sair. Muitas outras eram pequenas, locais e legais, e saíram porque uma licença MiCA (autorização CASP) custa seis dígitos em consultores, capital e tempo de gestão, que uma bolsa com dois fundadores não possui. Analisei separadamente o que MiCA fez às start-ups europeias de criptoativos; aqui, é um exemplo de um padrão mais amplo.

Os grandes intervenientes raramente se queixam. Para uma empresa estabelecida e bem financiada, cada novo ato constitui um fosso: a equipa de conformidade já existe, os advogados estão contratados, e cada nova regra aumenta o preço de entrada para quem pretende competir. A regulamentação redigida para proteger os consumidores acaba por proteger a quota de mercado.

Para onde vão os fundadores

As start-ups são móveis de uma forma que os bancos não são. Um fundador com uma ideia e um computador portátil compara países como os restantes comparamos voos. Quando a Apple e a Meta decidiram, em 2024, reter novas funcionalidades de IA aos utilizadores da UE, invocando o Regulamento dos Mercados Digitais e um ambiente regulamentar «imprevisível», as manchetes centraram-se em dois gigantes. O efeito mais discreto recaiu sobre todos os programadores europeus que queriam desenvolver com base nesses modelos e tiveram de esperar ou mudar-se.

No meu próprio trabalho, o padrão é menos dramático, mas igualmente constante. A pergunta dos fundadores mudou de «podemos obter uma licença na Estónia» para «vale de todo a pena uma licença europeia, comparada com o Dubai, Singapura ou um estado dos EUA». Há poucos anos, essa segunda pergunta era rara. Hoje é habitual, e nem sempre consigo demovê-los.

Os números dizem o mesmo. Um estudo do Banco Europeu de Investimento, publicado em janeiro de 2026, concluiu que, entre 2008 e 2021, quase 30% dos unicórnios europeus, start-ups avaliadas em mais de 1 mil milhões de dólares, transferiram as suas sedes para fora da UE. A maioria foi para os Estados Unidos, com a tecnologia digital, a AI e a biotecnologia a liderarem o movimento. Mario Draghi disse o resto no seu relatório de setembro de 2024 sobre a competitividade europeia: a carga regulamentar impõe demasiadas restrições à inovação e dificulta o crescimento das start-ups. Dois anos depois, segundo a contagem do Draghi Observatory do European Policy Innovation Council, apenas 16% das medidas que acompanha tinham sido plenamente implementadas. O diagnóstico é aceite. O tratamento é lento.

Porque Tallinn não pode corrigir o que Bruxelas escreveu

A Estónia é um bom local para observar isto. É pequena, digital e geralmente sensata em matéria empresarial. Nesta questão, também está quase sem poder.

MiCA, DORA e o Regulamento IA são regulamentos, não diretivas. Uma diretiva estabelece um objetivo e permite que cada país redija a sua própria lei; um regulamento aplica-se palavra por palavra em todos os Estados-Membros, e nenhum parlamento em Tallinn, Vilnius ou Lisboa pode suavizar um único artigo. A margem nacional só funciona numa direção: um país pode sempre ser mais rigoroso do que Bruxelas, mas não pode ser menos exigente.

Por isso, quando um fundador me diz que a Estónia devia «simplesmente resolver isto», tenho de explicar que a solução depende de 27 governos, uma Comissão, um Parlamento e um ciclo legislativo medido em anos. Desde o início de 2025, a Comissão apresentou doze pacotes «omnibus», cada um a alterar várias leis em simultâneo, e prometeu reduzir os encargos administrativos em pelo menos 25% e em 35% para as PME antes do fim do seu mandato. As associações empresariais afirmam que o resultado até agora está longe desses valores. Acredito nelas, porque leio os textos.

A Europa está a reduzir o seu próprio risco

Quem lidou com um banco nos últimos anos conhece a expressão redução de risco. Um cliente parece ligeiramente invulgar, o custo de o monitorizar excede as comissões que paga, e a conta é encerrada. Sem fraude, sem infração, apenas uma decisão mais barata para o banco. O cliente procura outro banco, muitas vezes noutro país, e o relatório de risco do banco parece melhor do que antes.

Cada vez mais considero que a União Europeia faz o mesmo com setores inteiros. Os criptoativos pareciam arriscados, pelo que a Europa criou MiCA e viu sair a maioria das empresas registadas nacionalmente. A IA parece arriscada, pelo que a Europa redigiu a primeira lei abrangente do mundo sobre IA antes de ter um setor de IA suficientemente grande para contestar. De cada vez, o risco diminui, e de cada vez diminui com ele a atividade que o transportava. Num balanço que conte apenas os riscos evitados, isto é um sucesso. Num que conte empresas fundadas e empregos criados, não é.

Existe um mecanismo mais discreto por baixo. Uma instituição cuja produção é medida em regulamentações produzirá regulamentações. Cada ato necessita de orientações, normas técnicas e perguntas e respostas, depois de um supervisor para as aplicar, e depois de um omnibus para corrigir o que as orientações estragaram. Cada passo acrescenta pessoal que será necessário para o ato seguinte. Ninguém nesta cadeia atua de má-fé. O processo simplesmente não tem uma razão interna para parar, e ninguém dentro dele paga pela start-up que nunca foi criada.

Três cenários para as start-ups europeias

Para concretizar, eis para onde considero que se dirige o lado das start-ups da economia europeia. A referência vem da Dealroom: são criadas na UE cerca de 14 800 start-ups por ano, aproximadamente 4 400 delas obtêm financiamento externo, e a UE acolhe cerca de 450 unicórnios. A Europa no seu conjunto, incluindo o Reino Unido, recebeu um recorde de 19% do capital de risco global em 2023 e 16% em 2024, enquanto os Estados Unidos receberam 57%.

Porque uma redução e não um colapso no primeiro cenário? Porque o quadro normativo atinge os fundadores no momento da decisão, e não as empresas existentes. Um banco em Frankfurt não sai por causa de DORA. Uma start-up de IA com três pessoas em Tartu simplesmente regista-se no Delaware e mantém os programadores em casa. A UE perde a sede, a base tributável e a saída, e conserva a folha salarial durante algum tempo.

E porque não é o terceiro cenário uma fantasia? Porque os seus números estão próximos de onde a Europa já esteve no seu melhor: uma quota de 19–20% do capital de risco global é o nível atingido há poucos anos, antes de a atual camada de regras começar a aplicar-se. Redigir regulamentação da UE tendo as pequenas empresas em mente não teria custado à Europa a proteção dos consumidores. Ter-lhe-ia custado alguns parágrafos de redação.

O argumento do outro lado

Não mereceria ser levado a sério se fingisse que o quadro normativo não tem vantagens, por isso aqui estão. Uma licença MiCA permite a uma empresa servir clientes nos 30 países da UE e do EEE; antes dela, uma empresa de criptoativos precisava de 27 conversas separadas com 27 reguladores. O GDPR tornou-se o modelo global para a legislação de privacidade. Um único regulamento AML deveria, em teoria, pôr fim à situação em que um cliente aceite num Estado-Membro é recusado no seguinte. A harmonização é um bem real, e beneficio dela todos os dias.

A contrapartida honesta é esta. A harmonização à escala europeia compra-se com velocidade e com uma estrutura de custos que recai mais pesadamente sobre os mais pequenos. A Europa decidiu, sobretudo por omissão, que prefere um mercado seguro a um mercado rápido. É uma escolha legítima. Apenas considero que deve ser tomada abertamente, com o preço associado, em vez de ser descoberta omnibus após omnibus.

O que a Europa deveria fazer em vez disso

A minha posição não é que a Europa deva deixar de regular. É que deve deixar de regular uma start-up com três pessoas como se fosse um banco. Uma equipa pequena não consegue manter um departamento de conformidade, e uma lei que discretamente pressupõe a existência de um não é uma regra de segurança, mas uma barreira à entrada. Seis alterações eliminariam a maior parte dos danos, e nenhuma é radical: cada uma já tem um precedente algures no direito da UE.

1. Limiares reais de dimensão, inscritos no ato. Abaixo da definição da própria UE de pequena empresa (menos de 50 trabalhadores e menos de 10 milhões de € de volume de negócios), as obrigações pesadas não deveriam aplicar-se de todo ou deveriam aplicar-se numa forma curta e fixa. O GDPR já o faz quanto à manutenção de registos, nos termos do artigo 30.º, n.º 5, que isenta a maioria das organizações com menos de 250 trabalhadores, e em 2025 a Comissão propôs alargar essa isenção. A mesma lógica pertence a DORA, NIS2 e ao Regulamento IA.
2. Normas antes de a lei se aplicar. Nenhuma obrigação deveria produzir efeitos antes de existirem as normas técnicas e de pelo menos um supervisor em cada Estado-Membro estar preparado para as aplicar. O adiamento do Regulamento IA demonstrou isso da forma mais difícil. A regra deve ficar escrita, para que o ato seguinte não necessite de um omnibus para ser resgatado.
3. Ambientes de teste primeiro, aplicação coerciva depois. Um novo setor deve dispor de um período de testes supervisionado, no qual uma empresa possa operar sob observação do regulador antes de ser exigido licenciamento completo. O Regulamento IA promete tais ambientes de teste, mas foram adiados para agosto de 2027, após algumas obrigações. A ordem deveria ser inversa.
4. Um supervisor por empresa. Uma fintech com doze pessoas pode hoje responder separadamente perante o supervisor financeiro, a FIU, a autoridade de proteção de dados e, em breve, uma autoridade de IA. O balcão único do GDPR, em que uma única autoridade principal trata de uma empresa, demonstra o modelo. Deveria ser alargado a todo o quadro normativo.
5. Uma data de caducidade em cada ato. Se um regulamento caducar salvo se for reconfirmado após uma análise real dos seus custos, a correção torna-se obrigatória, e não um favor político. O omnibus passa a ser a regra, não o resgate.
6. Contar a empresa que nunca foi fundada. Todas as avaliações de impacto da UE medem o custo para empresas existentes. Nenhuma mede as start-ups que escolheram antes o Delaware, o Dubai ou Singapura. Enquanto esse número não estiver em cima da mesa, quem redige o próximo ato continuará a subestimar o respetivo custo.

Nada disto significa copiar os Estados Unidos, que continuam sem uma lei federal abrangente sobre IA e têm apenas um mosaico de regras estaduais, ou o Reino Unido, que até agora optou por não aprovar um único ato sobre IA e pede aos seus reguladores existentes que apliquem um conjunto de princípios. Significa admitir que estes são os locais com que um fundador europeu agora compara a Europa. Acrescente-se a EU Inc., a forma societária europeia única proposta em março de 2026, com registo em menos de 48 horas por menos de 100 € e sem capital mínimo, como a Comissão promete, e a Europa teria uma proposta que uma equipa pequena pode efetivamente aceitar.

O que digo aos fundadores

O meu aconselhamento aos fundadores tornou-se prosaicamente prático. Tratem os custos de conformidade como uma rubrica do custo dos bens, não como uma despesa jurídica única. Escolham o país da UE pela qualidade do regulador e pela rapidez do seu registo, pois as próprias regras serão iguais em todo o lado. Usem as janelas transitórias e os adiamentos omnibus como tempo para desenvolver, não como permissão para ignorar a lei; as regras de alto risco do Regulamento IA foram adiadas, não canceladas. E, se o modelo de negócio só funciona fora do quadro normativo da UE, admitam-no cedo, antes do pedido de licença e não depois.

Criar uma empresa na Europa apesar do quadro normativo

A Europa continua a ser um bom lugar para gerir uma empresa, e digo-o aos clientes todas as semanas. O objetivo deste artigo não é dissuadir ninguém da Estónia ou da UE. É afirmar que a regulamentação da UE representa um custo real e deve ser considerada desde o primeiro dia. A estrutura certa, a via de licenciamento certa e o país certo dentro da UE fazem agora uma diferença maior do que há cinco anos. Se o cliente está a ponderar essas escolhas para uma empresa nova ou existente, a nossa equipa na Eesti Firma pode explicar-lhe o que as regras realmente significarão no seu caso, desde a constituição de sociedade até ao licenciamento.

Enviar um pedido