Como a IA gera documentos falsos — e como detetá-los

A falsificação de documentos por inteligência artificial baseia-se em modelos generativos capazes de produzir bilhetes de identidade, recibos de vencimento e extratos bancários visualmente indistinguíveis dos originais. Estas ferramentas são acessíveis, baratas e não exigem conhecimentos de design gráfico. Compreender como funcionam — e como detetá-los — tornou-se uma competência essencial para qualquer responsável de KYC ou conformidade regulatória em 2026.

Este artigo é fornecido exclusivamente para fins informativos. Os requisitos regulatórios evoluem — consulte o Banco de Portugal, o seu assessor jurídico ou um especialista em conformidade para orientação específica à sua organização.

Como os modelos de IA geram documentos falsos

A IA generativa não produz falsificações copiando imagens existentes. Aprende a estrutura estatística dos documentos reais e gera novas instâncias com todos os detalhes gráficos característicos, sem reproduzir nenhum original identificável.

Redes generativas adversariais (GAN)

Os GAN (Generative Adversarial Networks) colocam em competição duas redes neuronais: um gerador, que produz imagens de documentos, e um discriminador, que tenta distingui-las dos documentos genuínos. O treino com milhares de exemplos autênticos e falsificados afina progressivamente o gerador até o discriminador já não conseguir diferenciar. Aplicados à fraude documental, os GAN produzem bilhetes de identidade, passaportes e cartas de condução visualmente coerentes — tipografias, fundos guilhochados e zonas MRZ incluídos. A fraqueza principal: os GAN deixam artefactos de frequência espacial (oscilações características em zonas de elevado gradiente) detetáveis por sensores calibrados.

Modelos de difusão e ferramentas de consumo

Os modelos de difusão (Stable Diffusion, DALL·E, Midjourney) dominam atualmente a geração de imagens de alta resolução. A sua capacidade de seguir descrições textuais precisas ("passaporte português masculino, nascido em 1990, fotografia 35×45 mm, tipografia OCR-B") torna-os particularmente adequados para a produção de falsificações por encomenda. Desde 2023, ferramentas especializadas — distribuídas em fóruns ilícitos — combinam estes modelos com modelos PDF pré-preenchidos dos principais documentos oficiais europeus. O resultado: uma falsificação entregue em menos de uma hora, por menos de 80 euros, sem conhecimentos prévios de design.

LLM combinados com modelos documentais

Os grandes modelos de linguagem (LLM) como o GPT-4 e os seus equivalentes de código aberto geram o conteúdo textual dos documentos fraudulentos: nomes coerentes com o país declarado, endereços plausíveis, números de NIF que superam verificações algorítmicas, montantes salariais coerentes com o acordo coletivo fictício. Combinados com software de edição (LibreOffice, Adobe Acrobat), permitem a produção em série de recibos de vencimento falsos ou extratos bancários.

Segundo o Relatório ACFE 2024 às Nações, apenas 37% da fraude documental é detetada através de revisão humana direta. A revisão manual é estruturalmente insuficiente face a estas técnicas.

Tipos de documentos mais falsificados por IA em 2026

Como funcionam os métodos de deteção

Nenhuma técnica de deteção isolada é suficiente. A fiabilidade provém da sua combinação multicamada.

Análise forense: ELA e metadados

A análise de nível de erro (ELA, Error Level Analysis) revela inconsistências de compressão JPEG: as zonas modificadas apresentam um nível de compressão diferente do restante da imagem. Um documento gerado por IA apresenta tipicamente uma uniformidade suspeita — demasiado regular (imagem de síntese) ou com ilhas de compressão díspares (operações de copiar-colar).

A análise de metadados (EXIF para imagens, XMP/producer para PDF) expõe a cadeia de software utilizada: um bilhete de identidade cujos metadados indicam "Adobe Photoshop 2024" como ferramenta de criação, ou um PDF cuja data de criação é anterior à data de emissão declarada, são sinais imediatamente aproveitáveis.

Em 2024, a ENISA (Agência da União Europeia para a Cibersegurança) identificou a fraude documental assistida por IA como uma das principais ameaças emergentes no seu panorama anual de ciberameaças.

Deteção por modelos ML especializados

As redes neurais convolucionais (CNN) treinadas em corpus de documentos autênticos e falsificados detetam artefactos de frequência espacial invisíveis ao olho humano: oscilações características dos GAN nos contornos de letras, irregularidades de grelha de píxeis típicas dos modelos de difusão, ausência de ruído natural do sensor de câmara em fotografias faciais sintéticas.

A CheckFile implementa uma camada adicional de sinais de geração por IA como complemento dos controlos estruturais existentes — uma abordagem que complementa as verificações tradicionais de coerência documental, calibrada de acordo com o nível de risco setorial do cliente.

Verificação de elementos de segurança físicos

Os documentos oficiais contêm elementos de segurança cuja simulação digital permanece imperfeita: hologramas difrativos, impressão offset em roseta, tintas de efeito cinético, microimpressão. Ao serem capturados por webcam ou scanner, estes elementos produzem assinaturas óticas distintivas que as falsificações reproduzem graficamente, mas sem a dimensão física — detetável imediatamente por sensores UV/infravermelhos certificados.

Validação cruzada entre documentos

A deteção mais eficaz combina a análise do documento com a verificação dos dados que contém: número de documento inexistente no registo nacional, inconsistência entre data de nascimento e formato do número de segurança social, empregador cujo NIPC não corresponde ao acordo coletivo declarado, IBAN cujo código de país difere do banco indicado. Estas verificações cruzadas são impossíveis de realizar manualmente em escala — constituem o núcleo de uma solução automatizada de verificação documental moderna.

Para uma comparação detalhada dos métodos de deteção aplicados a documentos de identidade sintéticos, consulte a nossa análise sobre deteção de deepfakes documentais.

O quadro regulatório em Portugal

Lei 83/2017 de combate ao branqueamento de capitais

As entidades obrigadas em Portugal — instituições de crédito, seguradoras, notários, contabilistas, agentes imobiliários — estão obrigadas pela Lei n.º 83/2017, de 18 de agosto a verificar a identidade dos seus clientes através de documentos fiáveis. O Banco de Portugal e a CMVM estabeleceram nas suas orientações que esta obrigação inclui a avaliação da fiabilidade dos documentos apresentados — o que cobre explicitamente a deteção de falsificações digitais.

O Regulamento IA da UE (AI Act)

O Regulamento UE 2024/1689 (AI Act), em vigor desde 1 de agosto de 2024, impõe no seu artigo 50 uma obrigação de marcação para todo o conteúdo sintético gerado por IA destinado ao público. Os sistemas de verificação biométrica à distância estão classificados como sistemas de alto risco (Anexo III, ponto 1). A partir de 2 de agosto de 2026, os implementadores devem cumprir requisitos de robustez e gestão de riscos (artigos 9 a 15).

Sanções aplicáveis

A utilização de documentos falsificados está tipificada como crime no artigo 256.º do Código Penal, com penas de prisão até três anos ou multa. As entidades obrigadas que não detetem documentos falsos expõem-se a sanções do Banco de Portugal que podem atingir 5 milhões de euros ou 10% do volume de negócios anual para infrações muito graves.

Segundo o Inquérito PwC sobre Crime Económico 2024, 47% das organizações a nível global sofreram fraude nos últimos dois anos, sendo a fraude documental o vetor de ataque de crescimento mais rápido nos serviços financeiros.

O que os profissionais perguntam na prática

Os responsáveis de conformidade levantam regularmente estas questões nos fóruns especializados:

"Um recibo de vencimento gerado por IA pode enganar sistemas de OCR automatizados?" Sim, em muitos casos. Os LLM geram valores salariais consistentes, nomes de empregadores e cálculos de deduções que superam a extração básica por OCR. Os fatores diferenciadores estão nos metadados, nas distribuições estatísticas de salários e na verificação cruzada dos dados de registo do empregador — não na inspeção visual.

"Quais são os sinais visuais mais fiáveis de um documento gerado por IA?" Paradoxalmente, a qualidade excessiva da imagem. As fotografias faciais geradas por IA apresentam frequentemente clareza perfeita, simetria facial antinatural e ausência de ruído do sensor da câmara. No entanto, os modelos atuais corrigiram em grande medida estes artefactos — os controlos forenses automatizados são a única defesa fiável em escala.

Para desenvolver a capacidade da sua equipa na identificação de sinais de alerta visuais, consulte o nosso guia sobre como formar equipas para detetar documentos gerados por IA.

Implementar uma deteção eficaz em três passos

Passo 1 — Mapear a exposição ao risco. Um pedido de crédito online apresentado sem verificação presencial tem um risco de fraude estruturalmente superior ao de um documento entregue pessoalmente. A análise de risco deve quantificar o volume, o canal de recolha e a criticidade da decisão subsequente.

Passo 2 — Implementar uma solução multicamada. A deteção eficaz combina análise forense (ELA, metadados), modelos ML especializados, verificação de elementos de segurança e validação cruzada de dados. As soluções monotecnologia — apenas OCR, ou apenas análise de metadados — não detetam as falsificações de segunda geração.

Passo 3 — Documentar os procedimentos para auditoria. O Banco de Portugal exige rastreabilidade completa das decisões de verificação: quem decide, em que base, com que ferramenta, em que prazo. Esta documentação é exigível nas inspeções.

Descubra como a CheckFile integra estas camadas de deteção num fluxo de trabalho compatível com os seus sistemas KYC existentes — como complemento dos seus controlos atuais. Consulte também os nossos preços para uma estimativa adaptada ao seu volume de processos.

Para uma visão geral completa das melhores práticas de verificação documental, consulte o guia de verificação de documentos.

Perguntas frequentes

O que é exatamente um documento gerado por IA?

Um documento gerado por IA é um ficheiro cujo conteúdo — total ou parcialmente — foi produzido por um modelo de IA generativa (GAN, modelo de difusão ou LLM). Pode tratar-se de um documento completamente fictício ou de um documento autêntico com campos específicos substituídos ou modificados. Os modelos atuais produzem resultados indistinguíveis de documentos genuínos mediante inspeção visual.

É ilegal produzir documentos falsos com IA em Portugal?

Sim. A produção ou utilização de documentos falsificados constitui um crime ao abrigo do artigo 256.º do Código Penal, com penas de prisão até três anos. O facto de utilizar IA para gerar o documento não constitui uma circunstância atenuante — o dolo é o elemento relevante. A falsificação de documentos oficiais específicos (bilhete de identidade, passaporte) pode acarretar penalidades adicionais.

As ferramentas de deteção gratuitas são suficientes para uso profissional?

As ferramentas gratuitas em linha realizam geralmente uma análise forense básica (ELA, metadados) que deteta falsificações grosseiras. São insuficientes para as falsificações produzidas por modelos de difusão de última geração, que geram artefactos mínimos detetáveis. Para contextos profissionais com obrigações regulatórias, é necessária uma solução especializada que seja regularmente atualizada.

Que tipos de documentos têm maior risco de fraude?

Os recibos de vencimento para pedidos de crédito, extratos bancários para contratos de arrendamento e cartas de condução para verificação de idade representam os alvos de maior volume. Estes documentos combinam elevadas apostas nas decisões com canais de apresentação predominantemente remotos, criando condições ótimas para a falsificação assistida por IA.

Como melhora a validação cruzada as taxas de deteção?

A validação cruzada verifica a coerência interna dos dados em múltiplos documentos de um processo — por exemplo, verificando se o NIPC do empregador corresponde ao acordo coletivo declarado, ou se o código de país do IBAN corresponde ao banco indicado. Esta camada deteta falsificações que superam a análise visual e forense explorando inconsistências lógicas em vez de artefactos de imagem. Consulte a plataforma de verificação CheckFile para detalhes de implementação.

---

Este artigo é fornecido exclusivamente para fins informativos. Os requisitos regulatórios variam consoante o setor e a jurisdição. Consulte o Banco de Portugal ou um assessor jurídico especializado para orientação específica à sua organização. Para uma visão geral, consulte o guia de verificação de documentos.

Para situar este risco na oferta CheckFile, consulte a nossa abordagem de deteção IA e deepfake.