Asociația Europeană FinTech (EFA) a transmis, la 7 octombrie 2026, poziția sa față de pachetul european privind suveranitatea tehnologică. Organizația salută strategia open source, dar cere modificări la propunerea de Act privind dezvoltarea cloud și a inteligenței artificiale (CADA), în primul rând ștergerea articolului 31(3). EFA susține obiectivul UE de a consolida capacitatea tehnologică, reziliența și securitatea aprovizionării. Condiția ei este ca noul cadru să rămână bazat pe risc, proporțional și coerent cu legislația sectorială existentă. Pentru fintech-urile reglementate, asociația cere să se păstreze flexibilitatea operațională, interoperabilitatea și libertatea de a alege furnizorul.
Open source, privit ca pilon al suveranității
EFA salută Strategia UE privind open source și poziționarea acesteia în centrul autonomiei tehnologice europene, alături de accesul deschis la date. Potrivit asociației, open source, interoperabilitatea și portabilitatea reduc dependența de un singur furnizor și le permit firmelor să construiască, să adapteze și să schimbe soluții în timp.
Organizația citează estimări potrivit cărora 96% dintre bazele de cod comerciale conțin componente open source. În opinia ei, această tehnologie rămâne insuficient recunoscută în politicile publice, față de infrastructura fizică finanțată în mod curent de Europa.
Asociația consideră că strategia răspunde nevoilor sectorului financiar prin trei direcții:
- reforma achizițiilor publice, astfel încât open source să concureze corect la licitații;
- interoperabilitate și costuri mai mici de schimbare a furnizorului;
- sustenabilitatea proiectelor open source de care depinde Europa, prin finanțare stabilă, atestări de securitate și sprijin pentru dezvoltatori.
EFA le cere colegiuitorilor să meargă mai departe. Propune grupuri tehnice consultative permanente, un tratament proporțional și coordonat la nivel internațional al open source și claritate de reglementare pentru dezvoltatorii de infrastructură comună.
Articolul 31(3): de la regim voluntar la obligație impusă prin act delegat
Principala obiecție vizează modul în care CADA ar putea ajunge la firmele private. În forma actuală, cerințele obligatorii se aplică achizițiilor publice. Statele membre și entitățile Uniunii evaluează riscurile (articolul 29), iar autoritățile contractante trebuie să achiziționeze cel puțin nivelul 1 de asigurare la nivelul Uniunii. Nivelurile 2-4 se aplică doar când evaluarea de risc constată „public order relevance” (articolul 30).
Articolul 31 deschide însă o cale către sectorul privat. Entitățile din Anexa I a NIS2 pot face evaluări voluntar (31(1)), iar Comisia poate emite orientări (31(2)). Prin acte delegate adoptate în temeiul articolului 45, Comisia ar putea impune entităților din sectoare de înaltă criticitate, inclusiv firmelor de servicii financiare, să realizeze evaluări de impact și să aplice măsuri de reducere a riscurilor pe care „shall” le adopte (31(3)).
EFA nu contestă opțiunea voluntară. Îi pune sub semnul întrebării lărgimea și pragul scăzut al puterii delegate, precum și riscul unei obligații paralele pentru entități deja reglementate amănunțit în privința riscurilor legate de terți și reziliență. Asociația crede că o asemenea schimbare ar trebui decisă de colegiuitori, nu printr-un act delegat.
Coerența cu DORA
Asociația amintește că expunerea de motive a CADA descrie DORA drept instrumentul sectorial pentru serviciile financiare, iar Considerentul 63 menționează expres datele supuse DORA și NIS2. DORA reglementează deja riscul ICT al terților și riscul de concentrare pentru entitățile financiare, inclusiv supravegherea furnizorilor critici de servicii ICT, și se aplică din 17 ianuarie 2025.
EFA subliniază că cele două cadre vizează riscuri diferite. CADA se ocupă de controlul și accesul unor state terțe, iar DORA de reziliența operațională și concentrare. Exercitarea puterii din articolul 31(3) față de entitățile financiare ar putea duplica sau contrazice obligațiile deja existente pentru aceleași firme și aceleași servicii.
Origine versus rezultate
Al treilea punct de atenție este orientarea spre proveniență a criteriilor de atribuire. Articolul 32 se aplică doar achizițiilor publice, dar EFA îl consideră revelator pentru logica proiectului. Articolul 32(2)(d) cere ca criteriul „Union added value” să fie „ancillary and not decisive”. Articolul 32(3) cere însă autorităților să noteze tehnologia după locul în care este proiectată sau fabricată în Uniune (32(3)(a)), după integrarea tehnologiilor dezvoltate în Uniune (32(3)(b)) și după hardware-ul proiectat sau fabricat în UE „to the greatest extent feasible” (32(3)(d)).
În opinia EFA, astfel de criterii se află în tensiune cu garanția că valoarea adăugată europeană nu e decisivă. Dacă ar fi transpuse în obligații private în temeiul articolului 31(3), ele ar funcționa ca o preferință de origine de facto. Rezultatul ar fi fragmentarea pieței unice, în care fintech-urile își exercită drepturile de pasaportare, fără un câștig corespunzător de reziliență.
„Agentul IA”: o a doua definiție în același sistem juridic
Ultimul capitol privește definiția din articolul 2(5) al CADA:
an AI system or a coordinated set of AI systems, that can perceive and act upon their environment, with a degree of autonomy, using tools as needed to achieve specific goals and adapt to changing inputs and contexts.
Definiția ar funcționa alături de cea a „sistemului de IA” din articolul 3(1) al Regulamentului (UE) 2024/1689 (AI Act), la care CADA trimite chiar în articolul 2(3). EFA înțelege scopul: Considerentul 21 și obiectivul operațional 6 leagă termenul de Inițiativele de Lider în Cloud și IA, platformele suverane pe care CADA propune să le sprijine pentru implementarea și orchestrarea agenților IA. Asociația susține dezvoltarea capacității europene în acest domeniu.
Preocuparea sa este una de coerență juridică, nu de dublă reglementare. Două definiții cu o suprapunere substanțială creează incertitudine cu privire la care se aplică unui sistem anume. În plus, o definiție creată pentru a delimita Inițiativele de Lider ar putea fi preluată de acte ulterioare sau de practica de supraveghere ca noțiune de referință pentru „agent IA” în dreptul Uniunii.
Ce anume cere EFA
Pe articolul 31(3) și proveniența:
- eliminarea articolului 31(3), care dă Comisiei puterea de a adopta acte delegate;
- deferența față de DORA pentru entitățile financiare reglementate, care nu ar trebui să facă față unui al doilea regim, motivat de suveranitate, pentru aceleași obligații;
- criterii bazate pe rezultate (securitatea aprovizionării, continuitate, reziliență), nu pe locul de proiectare sau fabricare, cu păstrarea strategiilor multi-furnizor și hibride;
- recunoașterea conformității existente: firmele care respectă GDPR, AI Act și DORA nu ar trebui să suporte obligații suplimentare de suveranitate pentru aceleași servicii.
Pe definiția agentului IA:
- trimitere la definiția „sistemului de IA” din AI Act, nu o definiție autonomă divergentă;
- obligațiile privind comportamentul IA agentice să rămână în AI Act, iar CADA să se concentreze pe infrastructură, putere de calcul și Inițiativele de Lider;
- coerență explicită între cele două acte, ca „agentul IA” să aibă un singur sens în dreptul Uniunii.
EFA le cere colegiuitorilor ca pachetul final să avanseze prin măsuri deschise, interoperabile și bazate pe risc, cu păstrarea coerenței juridice și a capacității firmelor europene reglementate de a-și gestiona riscul tehnologic. Asociația se declară pregătită să ofere contribuții practice, inclusiv prin discuții cu membrii săi, pe măsură ce dosarul avansează.
Despre EFA: Asociația Europeană FinTech este o organizație nonprofit care reunește peste 40 de furnizori de servicii fintech din UE, de la plăți, creditare și banking la robo-advisory, investiții și software pentru sectorul financiar. Are ca obiectiv o piață unică a serviciilor financiare digitale. Detalii: www.eufintechs.com.
