Formar a sua equipa para detetar documentos gerados por IA

A deteção de documentos gerados por inteligência artificial tornou-se uma competência indispensável para qualquer equipa de verificação documental. As ferramentas de geração de imagens e os modelos de linguagem avançados permitem produzir falsificações com um nível de detalhe que supera frequentemente os controlos visuais convencionais. Sem uma formação estruturada, o olho humano não consegue distinguir de forma fiável estes documentos dos autênticos.

Este artigo é fornecido exclusivamente para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulamentar. As referências regulamentares são exatas à data de publicação. Consulte um profissional qualificado para obter orientação adaptada à sua situação.

A fraude com documentos gerados por IA: uma ameaça em rápida escalada

Segundo a análise da CheckFile de mais de 180.000 documentos processados mensalmente, os documentos gerados por IA representam agora 12% das tentativas de fraude detetadas em 2025, contra apenas 3% em 2024.

Este crescimento exponencial resulta de vários fatores convergentes. Por um lado, a democratização dos modelos de geração de imagens de alta fidelidade — como os modelos de difusão estável — coloca ao alcance de qualquer burlão a capacidade de sintetizar Cartões de Cidadão, NIF, recibos de vencimento ou extratos com IBAN português de aparência legítima. Por outro, a adoção massiva de processos de incorporação remotos e digitais reduziu os pontos de controlo físico que funcionavam como primeiro filtro.

O impacto nas entidades obrigadas portuguesas é direto. A Lei n.º 83/2017 de 18 de agosto — Lei de Combate ao Branqueamento de Capitais e ao Financiamento do Terrorismo — exige a verificação da identidade do cliente mediante documentos fidedignos. Se uma entidade obrigada aceitar como válido um documento gerado por IA, não só incumpre a obrigação de diligência devida estabelecida no artigo 27.º dessa lei, como expõe a entidade a sanções administrativas graves por parte do Banco de Portugal, cujos montantes podem ultrapassar 5.000.000 de euros para pessoas coletivas em casos de infração grave.

A transposição da Diretiva AMLD6 (Diretiva UE 2024/1640) reforça a obrigação de aplicar medidas de diligência devida reforçada quando o risco de fraude documental é elevado. Simultaneamente, o Regulamento UE 2024/1689 de Inteligência Artificial (AI Act) classifica certos sistemas de geração de conteúdo sintético como de alto risco, o que implica obrigações de transparência que, paradoxalmente, também ajudam os verificadores a identificar conteúdo potencialmente fraudulento através de metadados e marcas digitais quando presentes.

A deteção de deepfakes em documentos é uma disciplina complementar que a sua equipa deve dominar em paralelo com a formação visual, dado que muitos documentos fraudulentos combinam texto sintético com fotografias faciais alteradas por técnicas de deepfake.

Os 7 indícios visuais a ensinar à sua equipa

A formação visual eficaz exige que os analistas interiorizem uma lista de verificação estruturada. Os modelos de geração atuais cometem erros sistemáticos em sete categorias visuais que se detalham a seguir.

Fontes e impressões tipográficas

Um Cartão de Cidadão autêntico utiliza famílias tipográficas aprovadas pelo Instituto dos Registos e do Notariado. Os sistemas de IA generativa produzem frequentemente variações de kerning — o espaço entre caracteres — que são impercetíveis à primeira vista mas detetáveis quando o analista compara o documento com uma amostra de referência calibrada. Instrua a sua equipa para examinar com lupa 10× a zona de dados do titular em todos os Cartões de Cidadão apresentados em suporte digital.

Microimpressões e elementos de segurança

Os documentos de identidade portugueses incorporam microimpressões em bandas específicas que, à escala normal, aparecem como linhas contínuas. Nos documentos gerados por IA, estas bandas reproduzem-se como gradientes uniformes sem estrutura textual. A verificação sob luz ultravioleta, quando o documento é apresentado em suporte físico, revela a ausência dos padrões fluorescentes obrigatórios.

Coerência numérica e verificação do NIF

O NIF português é composto por 9 dígitos, em que o último é um dígito de controlo calculado segundo um algoritmo de módulo 11. O IBAN português segue o formato PT50 seguido de 21 dígitos, com os dígitos de verificação na posição 3-4. Um analista com conhecimento destes algoritmos pode verificar em segundos se o NIF ou o IBAN são coerentes com os restantes dígitos. Os documentos gerados por IA falham neste ponto com uma frequência superior a 40% nas análises internas da CheckFile.

Metadados de ficheiro

Um recibo de vencimento autêntico em formato PDF gerado pelo software de gestão de recursos humanos de uma empresa portuguesa contém metadados que incluem o nome do software utilizado (por exemplo, Primavera, PHC, Sage) e uma data de criação coerente com o período declarado. Um ficheiro PDF com metadados em branco, com data de criação posterior à data do documento, ou com software de edição de imagens como origem deve ativar um alerta imediato. Consulte as melhores práticas antifraude para equipas para uma descrição completa do protocolo de análise de metadados.

Construir um programa de formação em três níveis

Um programa de formação eficaz estrutura-se em três níveis de competência que correspondem aos diferentes papéis dentro da equipa de verificação.

Nível 1 — Sensibilização básica (todo o pessoal de atendimento ao cliente)

O objetivo é que qualquer pessoa que receba um documento em primeira instância saiba identificar os quatro indícios mais comuns e saiba escalar o caso ao nível 2. A formação tem a duração de quatro horas e inclui exercícios com amostras reais anonimizadas.

Lista de verificação de competências do nível 1:

• Identificar inconsistências tipográficas evidentes no Cartão de Cidadão e em documentos de NIF
• Detetar sombras ou iluminação incoerentes em fotografias de documentos
• Verificar a estrutura do IBAN português (PT50 + 21 dígitos) sem calculadora
• Reconhecer a ausência de microimpressões com lupa padrão
• Preencher o formulário de escalada com os campos obrigatórios

Nível 2 — Análise intermédia (analistas de verificação)

Os analistas aplicam a lista completa dos sete indícios visuais, realizam a verificação dos dígitos de controlo do NIF e do IBAN, e extraem e contrastam os metadados do ficheiro. Esta formação tem a duração de oito horas e é complementada por uma sessão prática mensal sobre novas tipologias.

Lista de verificação de competências do nível 2:

• Aplicar o algoritmo de módulo 11 ao NIF para verificar o dígito de controlo
• Aplicar o algoritmo de verificação IBAN (ISO 13616) para confirmar a validade do IBAN português
• Extrair metadados de PDF com ferramentas básicas (ExifTool ou equivalente)
• Contrastar o recibo de vencimento com os escalões da tabela de retenção na fonte do IRS
• Documentar a cadeia de evidências para eventual utilização em processo judicial ou comunicação ao Banco de Portugal

Nível 3 — Perícia avançada (responsáveis de conformidade e analistas sénior)

O nível 3 abrange a análise forense digital, a utilização de ferramentas automatizadas como a CheckFile, a leitura de relatórios de análise de IA e a coordenação com as autoridades competentes. Estes profissionais atuam como referência técnica para os níveis 1 e 2 e são responsáveis por manter atualizado o catálogo interno de tipologias de fraude.

Obrigações regulatórias: o que a lei exige em Portugal

A formação da equipa não é apenas uma boa prática operacional: no contexto português, é uma obrigação legal para determinadas categorias de entidades obrigadas.

O artigo 27.º da Lei n.º 83/2017 estabelece a obrigação de identificar e verificar a identidade do cliente mediante documentos fidedignos antes de estabelecer a relação de negócio. O artigo 42.º da mesma lei impõe a obrigação de formação do pessoal em matéria de prevenção do branqueamento, incluindo a deteção de documentos falsos. O incumprimento desta obrigação de formação pode ser sancionado como contraordenação grave pelo Banco de Portugal, com coimas que podem atingir 1.000.000 de euros para pessoas singulares e 5.000.000 de euros para pessoas coletivas.

Para as entidades supervisionadas pela CMVM (Comissão do Mercado de Valores Mobiliários), os regulamentos aplicáveis em matéria de intermediação financeira reforçam os requisitos de verificação documental no contexto da integração de clientes investidores, nomeadamente no âmbito das obrigações de conhecimento do cliente (KYC) previstas no Regulamento Delegado (UE) 2017/565.

A CNPD (Comissão Nacional de Proteção de Dados) publicou orientações específicas sobre o tratamento de imagens de documentos de identidade no contexto digital. Todo o programa de formação deve incluir um módulo sobre o tratamento lícito dos dados pessoais contidos nos documentos verificados, em cumprimento do RGPD e da Lei n.º 58/2019 de 8 de agosto, que assegura a execução do RGPD na ordem jurídica nacional.

O AI Act (Regulamento UE 2024/1689) introduz, no seu artigo 50.º, obrigações de transparência para os sistemas de IA que geram imagens ou texto com aparência de conteúdo real. Embora estas obrigações recaiam sobre os fornecedores dos sistemas generativos, o seu conhecimento pelas equipas de verificação facilita a identificação de documentos cujo origem poderia ser invocada num processo judicial.

Integrar a verificação humana em fluxos automatizados

A formação da equipa humana não deve ser concebida como alternativa à automatização, mas sim como complemento indispensável. As soluções automatizadas de verificação como a CheckFile oferecem uma primeira camada de deteção de alta velocidade que classifica os documentos de acordo com o seu nível de risco. Os documentos classificados como de risco elevado ou intermédio devem ser submetidos a revisão humana por um analista do nível adequado.

O modelo de revisão em cascata funciona do seguinte modo:

1. O sistema automatizado processa o documento e atribui uma pontuação de risco.
2. Os documentos com pontuação inferior ao limiar de confiança (por exemplo, 85%) passam para o analista de nível 2.
3. O analista aplica a lista de verificação dos sete indícios e documenta a sua decisão.
4. Os casos com resultado ambíguo são escalados ao nível 3 para perícia.
5. Todos os casos de fraude confirmada são registados no sistema e enriquecem o modelo de referência.

Este fluxo garante que a carga operacional se mantém dentro de limites aceitáveis, dado que os sistemas automatizados absorvem a grande maioria dos documentos sem risco relevante. Para as equipas que pretendam rever os fundamentos da verificação automatizada, o plano de tarifas da CheckFile permite dimensionar a solução de acordo com o volume de documentos processados. Os requisitos de segurança e privacidade da plataforma são auditáveis para facilitar o processo de aprovação interna em entidades reguladas.

A chave para o sucesso da integração é a retroalimentação constante entre o sistema automatizado e a equipa humana. Cada caso de fraude detetado manualmente e não identificado pelo sistema deve alimentar o processo de melhoria contínua do modelo. Inversamente, cada falso positivo gerado pelo sistema deve ser revisto para evitar fricções desnecessárias com clientes legítimos.

Perguntas frequentes

Com que frequência deve ser atualizada a formação sobre deteção de documentos IA?

A formação deve ser revista pelo menos de seis em seis meses. Os modelos de geração de documentos fraudulentos evoluem com grande rapidez, e os indícios visuais que eram diagnósticos há um ano podem ter sido corrigidos nas versões mais recentes das ferramentas de falsificação. Recomenda-se a criação de um processo de vigilância de ameaças que inclua a subscrição de boletins de organismos como o Banco de Portugal, a CMVM ou a Europol, e a incorporação sistemática dos novos padrões detetados no catálogo de formação.

É suficiente a verificação automatizada sem revisão humana para cumprir a Lei n.º 83/2017?

Não. O artigo 27.º da Lei n.º 83/2017 exige a verificação mediante documentos fidedignos, e o artigo 42.º impõe a formação do pessoal. O Banco de Portugal tem indicado nas suas orientações de supervisão que a automatização deve ser acompanhada de procedimentos de revisão humana para os casos de risco elevado. Uma solução puramente automatizada sem supervisão humana pode ser considerada insuficiente em caso de inspeção.

Quais os documentos portugueses mais vulneráveis à falsificação por IA?

De acordo com os dados de análise da CheckFile, os documentos com maior taxa de falsificação por IA no mercado português são, por ordem decrescente: os recibos de vencimento (especialmente de pequenas empresas sem sistemas de RH com marca de água), os extratos bancários com IBAN português, os contratos de arrendamento e, em menor medida, o Cartão de Cidadão, cuja complexidade de segurança física o torna mais resistente à falsificação puramente digital.

Como se documenta um caso de fraude documental para comunicação ao Banco de Portugal?

O analista deve conservar o documento original recebido (sem modificação), o relatório de análise com os indícios detetados, a cadeia de custódia digital que comprove quando e como o documento foi recebido, e qualquer comunicação associada ao processo de integração do requerente. Em caso de fraude confirmada, a entidade está obrigada a efetuar uma comunicação de operação suspeita ao Departamento de Supervisão Comportamental do Banco de Portugal, nos termos do artigo 52.º da Lei n.º 83/2017, antes de proceder a qualquer queixa-crime junto das autoridades policiais.

Que ferramentas gratuitas podem os analistas utilizar para examinar metadados de PDF?

O ExifTool (de código aberto, disponível em exiftool.org) permite extrair em segundos os metadados completos de um ficheiro PDF, incluindo o software de criação, as datas de criação e modificação, e os identificadores de instância do documento. Para uma análise mais detalhada da estrutura interna do PDF, a ferramenta pdf-parser de Didier Stevens (também de código aberto) permite identificar elementos incorporados ou camadas ocultas que podem revelar a manipulação do ficheiro.

---

Para uma visão integral da verificação documental na sua organização, consulte o guia de verificação de documentos da CheckFile. Para implementar uma solução de verificação automatizada adaptada aos requisitos KYC de entidades bancárias e financeiras, explore as soluções KYC da CheckFile.