Evropská komise uvedla, že od 11. září 2026 musí výrobci produktů s digitálními prvky ohlašovat aktivně zneužívané zranitelnosti a závažné incidenty, které mají dopad na bezpečnost jejich produktů. První varování se má podle pravidel Cyber Resilience Act odeslat do 24 hodin od zjištění, úplné oznámení do 72 hodin a závěrečná zpráva následuje po dostupnosti nápravného opatření. Oznámení se podává jednou přes společnou platformu CRA a sdílí se s příslušným týmem CSIRT a agenturou ENISA. Povinnost se může týkat i firem, které do svých digitálních produktů začleňují AI software, knihovny nebo další síťové komponenty. Evropská komise současně připomíná, že open-source správci budou mít vlastní ohlašovací povinnosti od prosince 2027. Jde o regulatorní změnu v procesu reakce na incidenty, nikoli o nový bezpečnostní standard pro samotné AI modely.
