ICP-Brasil e Gov.br: Identidade Digital no Brasil

Um responsável de compliance numa instituição financeira brasileira de médio porte abre o e-mail numa segunda-feira de manhã. Três novos clientes empresariais precisam de onboarding nesta semana. Cada um exige cópias de documentos de identidade (RG, CPF, CNH), comprovantes de endereço, certidões da Junta Comercial, cadastro de beneficiários finais na Receita Federal e declarações de estrutura societária — digitalizados, enviados por e-mail, verificados manualmente contra bases de dados e arquivados em uma pasta que ficará intocada até a próxima auditoria. O processo demora em média quatro horas por cliente para sua equipe. Até quinta-feira, descobre que um RG estava com validade expirada, um comprovante de endereço tinha mais de três meses, e um beneficiário final havia sido adicionado a uma lista de sanções dois dias após a submissão. A semana está perdida. O risco é real.

Este artigo é fornecido apenas para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulamentar. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para orientação adaptada à sua situação.

Esse cenário — repetido milhares de vezes diariamente em instituições financeiras, escritórios de advocacia, imobiliárias e seguradoras — é precisamente o que a evolução da identidade digital no Brasil pretende resolver. A infraestrutura de chave pública brasileira (ICP-Brasil), o ecossistema Gov.br de identidade digital e a CNH digital já estão transformando a verificação de identidade. Paralelamente, na União Europeia, o eIDAS 2.0 e a Carteira Europeia de Identidade Digital (EUDI Wallet) avançam numa direção convergente — e empresas brasileiras com operações na UE precisam compreender ambos os arcabouços.

O ecossistema de identidade digital no Brasil

ICP-Brasil: a infraestrutura de certificação digital

A ICP-Brasil (Infraestrutura de Chaves Públicas Brasileira), gerida pelo ITI (Instituto Nacional de Tecnologia da Informação) vinculado à Casa Civil, é o arcabouço que garante validade jurídica às assinaturas digitais e certificados eletrônicos no país. O e-CPF e o e-CNPJ são certificados digitais emitidos dentro dessa infraestrutura e possuem o mesmo valor legal de uma assinatura presencial.

Gov.br: a plataforma de identidade digital governamental

A plataforma Gov.br é o sistema de identidade digital do governo federal. Com mais de 155 milhões de contas cadastradas (dados de 2025), oferece três níveis de autenticação — bronze, prata e ouro — com o nível ouro incluindo validação biométrica facial junto ao TSE (Tribunal Superior Eleitoral) e reconhecimento do certificado digital ICP-Brasil.

CNH digital e documentos eletrônicos

A CNH digital é acessível pelo aplicativo Gov.br e possui o mesmo valor jurídico do documento físico. Além dela, o título de eleitor digital, o CRLV digital (para veículos) e a carteira de trabalho digital integram o ecossistema de documentos eletrônicos brasileiros.

O que é o eIDAS 2.0 e por que importa para empresas brasileiras

O eIDAS 2.0 refere-se ao Regulamento (UE) 2024/1183, que introduz a EUDI Wallet (Carteira Europeia de Identidade Digital). Empresas brasileiras com operações na UE serão impactadas porque, até o final de 2027, deverão aceitar credenciais da EUDI Wallet para verificação de identidade em setores regulados.

Comparativo: identidade digital no Brasil e na UE

Cronograma de implementação do eIDAS 2.0

A página de estratégia digital da Comissão Europeia acompanha o progresso entre Estados-Membros.

Impacto no KYC e na verificação documental

A evolução da identidade digital — tanto no Brasil quanto na UE — muda fundamentalmente a forma como as entidades reguladas realizam a verificação de identidade. A transição de KYC baseado em documentos para KYC baseado em credenciais tem implicações em toda a cadeia de compliance.

De cópias a provas criptográficas

No modelo atual, um cliente que submete um documento de identidade fornece uma cópia — uma fotografia ou digitalização de um documento físico. A entidade regulada deve então determinar se a cópia é autêntica, se o próprio documento é válido e se a pessoa que o apresenta é o titular legítimo. Esse processo é inerentemente vulnerável a falsificação, expiração e erro humano.

Com certificados digitais ICP-Brasil ou credenciais da EUDI Wallet, a informação é assinada criptograficamente pela autoridade emissora. A entidade confiante recebe uma prova verificável — não uma cópia de um documento, mas uma asserção assinada de que o nome da pessoa é X, o CPF é Y e a data de nascimento é Z. A falsificação torna-se computacionalmente inviável — uma vantagem decisiva à medida que os deepfakes e documentos de identidade sintéticos gerados por IA tornam a falsificação documental tradicional mais fácil do que nunca.

Para empresas que já navegam o escopo crescente da conformidade com a AMLD6 por conta de operações na UE, a EUDI Wallet oferece um caminho para cumprir requisitos de diligência reforçada com significativamente menos fricção e maior nível de garantia.

Verificação em tempo real vs. processamento em lote

A verificação documental tradicional opera em modo de lote: documentos são coletados, colocados em fila, revisados por uma equipe de compliance e os resultados são comunicados horas ou dias depois. Tanto o Gov.br quanto a EUDI Wallet permitem verificação em tempo real. Um cliente que valide sua identidade pelo Gov.br nível ouro ou que apresente uma credencial da EUDI Wallet recebe confirmação instantânea — ou rejeição — em segundos.

Essa mudança tem consequências diretas nas taxas de conversão de onboarding, experiência do cliente e custos operacionais. Instituições financeiras que atualmente gastam 4-6 horas por dossiê de KYC empresarial podem esperar reduzir o tempo de verificação em 70-80% para a componente de identidade.

Riscos de segurança: quando a identidade digital se torna alvo

A concentração de atributos de identidade em aplicativos móveis e plataformas digitais cria alvos de alto valor para cibercriminosos. Uma identidade digital comprometida não expõe apenas um único documento — potencialmente concede acesso a toda a vida digital de uma pessoa.

Vetores de ameaça

Os principais riscos incluem:

• Comprometimento do dispositivo. Malware ou roubo físico do dispositivo que abriga o certificado digital ou a carteira.
• Engenharia social. Ataques de phishing que enganam usuários para se autenticarem em plataformas maliciosas, compartilhando credenciais que não pretendiam compartilhar.
• Compartilhamento excessivo. Entidades que projetam fluxos de consentimento que orientam os usuários a compartilhar mais dados do que o necessário.
• Ataques à cadeia de fornecimento. Implementações de carteira ou prestadores de serviços de confiança comprometidos.

No Brasil, a ANPD (Autoridade Nacional de Proteção de Dados) supervisiona o tratamento de dados pessoais, e a LGPD impõe obrigações específicas de segurança. O Bacen e a Resolução 4.893/2021 impõem obrigações adicionais de gestão de risco de TI a entidades financeiras, incluindo para sistemas que processam credenciais de identidade digital.

Requisitos de mitigação

As entidades reguladas que aceitam credenciais digitais devem implementar seus próprios controles: verificar o nível de autenticação do Gov.br, consultar a validade dos certificados ICP-Brasil, verificar o estado de certificação de carteiras EUDI (para operações na UE) e registrar todos os eventos de verificação para efeitos de auditoria.

Alinhamento com a LGPD: minimização de dados

A LGPD (Lei nº 13.709/2018) estabelece princípios de minimização de dados que se alinham com a arquitetura da identidade digital. O artigo 6º, III, define o princípio da necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades.

Divulgação seletiva. Tanto a EUDI Wallet quanto evoluções do Gov.br permitem compartilhar apenas os atributos específicos necessários. Uma empresa de aluguel de veículos precisa confirmar uma CNH válida e idade mínima — não o endereço ou a data de nascimento completa do cliente.

Sem base de dados central vulnerável. No modelo de certificados digitais ICP-Brasil, as chaves privadas ficam sob controle do titular (token, nuvem protegida ou dispositivo). Isso reduz o risco de ponto único de falha inerente a bases de dados de identidade centralizadas.

Consentimento por transação. A LGPD exige base legal para cada tratamento de dados pessoais (art. 7º). No contexto de identidade digital, cada compartilhamento de dados deve ter consentimento explícito do titular ou outra base legal aplicável.

Para organizações que processam documentos de identidade sob a LGPD, o modelo de identidade digital reduz significativamente o ônus de conformidade. Em vez de armazenar cópias de RG, CPF e comprovantes de endereço — com todas as obrigações de proteção de dados associadas — a organização armazena apenas o resultado da verificação e uma prova criptográfica da transação.

Como a CheckFile integra a verificação de identidade digital

A transição de verificação baseada em documentos para verificação baseada em credenciais não acontecerá de um dia para o outro. Num futuro previsível, as empresas operarão em um ambiente híbrido: alguns clientes apresentando credenciais digitais (certificado ICP-Brasil, validação Gov.br nível ouro, ou EUDI Wallet para operações na UE), outros submetendo documentos tradicionais (RG, CNH, comprovantes de endereço, certidões da Junta Comercial).

A CheckFile foi concebida exatamente para essa realidade híbrida. A plataforma já automatiza a validação de documentos tradicionais — verificando autenticidade, extraindo dados, cruzando referências com bases de dados e sinalizando anomalias. À medida que a adoção de identidades digitais escala no Brasil e na UE, a CheckFile estenderá seus fluxos de verificação para aceitar e validar credenciais digitais ao lado das submissões de documentos tradicionais.

Isso significa um ponto de integração único para equipes de compliance: seja um cliente que compartilhe uma credencial assinada criptograficamente ou carregue uma cópia digitalizada de sua CNH, a CheckFile processa ambos pelo mesmo fluxo, aplica as mesmas regras de conformidade e produz uma trilha de auditoria unificada.

O resultado é continuidade. As organizações não precisam construir e manter dois sistemas de verificação separados durante o período de transição. Não precisam treinar equipes de compliance em ferramentas inteiramente novas. Obtêm uma plataforma única que evolui com o cenário regulatório.

Para uma visão completa, consulte nosso guia completo conformidade documental.

Perguntas frequentes

Quando a identidade digital terá adoção ampla no Brasil?

O Gov.br já possui mais de 155 milhões de contas cadastradas. A CNH digital, o CRLV digital e a carteira de trabalho digital estão em uso generalizado. A validação biométrica de nível ouro via TSE confere ao Gov.br um dos maiores ecossistemas de identidade digital verificada do mundo. Para operações internacionais, a EUDI Wallet europeia deverá estar disponível em todos os Estados-Membros da UE até o final de 2026.

A identidade digital substituirá os documentos de identidade físicos?

Não imediatamente. A CNH digital e os documentos eletrônicos via Gov.br são concebidos para complementar os documentos físicos, não para substituí-los. Num futuro previsível, os cidadãos portarão ambos. Contudo, à medida que a aceitação pelo setor privado se amplie, a identidade digital se tornará progressivamente o método preferido de verificação de identidade para transações online e presenciais.

Como a identidade digital afeta meus processos de KYC existentes?

A identidade digital introduz um novo canal de verificação ao lado da submissão documental tradicional. As entidades reguladas deverão atualizar seus fluxos de onboarding para aceitar credenciais digitais (Gov.br, ICP-Brasil, EUDI Wallet), verificar suas assinaturas criptográficas e registrar os eventos de verificação. Os processos de verificação documental existentes permanecem necessários para clientes que ainda não possuam identidade digital verificada. Plataformas como a CheckFile permitem ambos os canais por meio de uma única integração.

A identidade digital é segura contra fraude?

A identidade digital proporciona garantias antifraude significativamente mais fortes do que a verificação documental tradicional. Os certificados ICP-Brasil são assinados criptograficamente e não podem ser forjados sem quebrar os algoritmos criptográficos subjacentes. A validação biométrica do Gov.br nível ouro adiciona uma camada de segurança com comparação facial via base de dados do TSE. Contudo, riscos permanecem no nível do usuário (roubo do dispositivo, engenharia social) e no nível da implementação. As organizações devem implementar estratégias de defesa em profundidade que combinem a verificação por identidade digital com medidas adicionais de detecção de fraude.

---

O cenário regulatório para a verificação de identidade está em transição global: de documentos para credenciais, de processamento em lote para verificação em tempo real, e de bases de dados centralizadas para carteiras controladas pelo usuário. Seja sua organização se preparando para integrar Gov.br e ICP-Brasil ou para aceitar a EUDI Wallet europeia, a CheckFile disponibiliza a infraestrutura de validação documental para tratar tanto a verificação tradicional quanto a baseada em credenciais numa única plataforma. Explore os nossos preços para encontrar o plano adequado às suas necessidades de compliance.

Nossa plataforma processa mais de 180.000 documentos por mês com um tempo médio de verificação de 4,2 segundos e uma taxa de falsos positivos de 2,8%.

---

Este artigo é fornecido com caráter informativo e não constitui aconselhamento jurídico, financeiro ou regulatório. Para situações específicas, consulte um profissional qualificado.