Tendências identidade digital 2026: o futuro da verificação online e do e-ID

O mercado mundial de identidade digital atingirá 49,5 mil milhões de dólares em 2026, com uma taxa de crescimento anual composta de 17,2 % até 2030, segundo o relatório Mordor Intelligence 2025. Para as empresas portuguesas e europeias, 2026 é um ano decisivo: o Regulamento eIDAS 2.0 entra em fase de implantação operacional, o Banco de Portugal e a CMVM reforçam os requisitos técnicos, e a inteligência artificial redefine o que significa verificar uma identidade. Este guia analisa as cinco tendências fundamentais que transformam a verificação de identidade online em 2026 e o que a sua organização precisa de antecipar.

A identidade digital em 2026: um mercado estruturalmente diferente

O mercado de identidade digital bifurca-se entre a verificação pontual no onboarding e as arquiteturas de identidade contínua e reutilizável. Esta mudança estrutural é documentada pela ENISA no seu Threat Landscape 2025.

Até 2023, a maioria das empresas tratava a verificação de identidade como um evento único: no início da relação comercial, verificava-se um documento e validava-se uma identidade. Esta abordagem tornou-se obsoleta sob a pressão de três forças simultâneas:

• A regulação (6.ª Diretiva AML, eIDAS 2.0, MiCA) exige vigilância contínua, não apenas um controlo inicial na entrada da relação de negócio.
• A fraude evoluiu para ataques de identidade sintética — perfis construídos combinando dados reais com informações falsas — que as verificações pontuais não detetam. Em 2025, 56 % dos casos de fraude de identidade envolviam uma identidade sintética, contra 28 % em 2022.
• A experiência do utilizador impõe tempos de onboarding inferiores a 3 minutos para serviços financeiros digitais, contra 2 a 5 dias em 2021.

Fontes: ENISA Threat Landscape 2025, Liminal Identity Landscape Report 2025.

eIDAS 2.0 e a Carteira Europeia de Identidade Digital (EUDIW)

Os Estados-Membros da UE devem disponibilizar a todos os seus cidadãos uma Carteira Europeia de Identidade Digital (EUDIW) até 26 de novembro de 2026, ao abrigo do Regulamento (UE) 2024/1183 que altera o eIDAS, publicado no Jornal Oficial em 30 de abril de 2024.

A EUDIW é a transformação regulatória mais significativa da identidade digital na Europa em uma década. Permitirá a cada cidadão e residente da UE armazenar, gerir e partilhar atributos de identidade verificados — Cartão de Cidadão digital, carta de condução, diplomas, receitas médicas — de forma segura, sem depender de intermediários privados como a Google ou a Apple.

Implicações concretas para as empresas portuguesas

As empresas que efetuam verificações de identidade online serão obrigadas a aceitar a EUDIW como meio de verificação até ao final de 2027 nos setores regulados. Para as entidades sujeitas à Lei n.º 83/2017 de prevenção de branqueamento de capitais — bancos, seguradoras, intermediários financeiros, notários, advogados — isto implica:

1. Integração dos fluxos EUDIW nos processos de onboarding existentes. Os sistemas legacy exigem habitualmente entre 4 e 6 meses de trabalho de integração técnica.
2. Atualização dos procedimentos AML/KYC para incorporar os Níveis de Garantia (LoA) do eIDAS 2.0: «substancial» para relações de negócio de risco médio, «elevado» para risco alto.
3. Revisão das políticas de conservação de dados: a EUDIW baseia-se no princípio da divulgação seletiva (selective disclosure), o que altera que dados podem ser legalmente solicitados e conservados ao abrigo do RGPD.

Portugal implementa a sua solução nacional através da Chave Móvel Digital, que já ultrapassa os 2,5 milhões de utilizadores ativos e constitui a base da implementação portuguesa da EUDIW. A Agência para a Modernização Administrativa (AMA) publicou o roteiro de interoperabilidade com os outros Estados-Membros.

Para aprofundar as implicações regulatórias sobre as obrigações KYC, consulte o nosso guia sobre verificação documental automatizada.

Biometria IA: da deteção de vivacidade à análise comportamental

A deteção de vivacidade (liveness detection) ao nível ISO/IEC 30107-3 PAD (Presentation Attack Detection) é o padrão mínimo para qualquer verificação biométrica à distância em 2026, segundo as especificações técnicas da ENISA e as orientações do Banco de Portugal para verificação de identidade remota.

A inteligência artificial transformou radicalmente o panorama da verificação biométrica. Em 2025, os deepfakes representaram 6,5 % das tentativas de fraude de identidade online, contra 0,1 % em 2019, segundo o iProov Biometric Threat Intelligence Report 2025. Face a esta ameaça, as soluções biométricas evoluíram em duas gerações distintas:

Geração 1 — deteção passiva (2020-2024). Os algoritmos analisavam características estáticas do rosto (textura da pele, reflexos de luz, artefactos de compressão de vídeo) para distinguir uma pessoa real de uma fotografia ou máscara. Eficácia contra deepfakes de primeira geração: 71 %. Esta geração é amplamente contornada pelos deepfakes 3D modernos.

Geração 2 — análise comportamental e 3D (2025-2026). Os algoritmos de nova geração combinam análise 3D em tempo real (reconstrução da geometria facial a partir de uma sequência de vídeo padrão, sem sensores especiais), análise de micromovimentos oculares involuntários e assimetrias faciais dinâmicas, e deteção de sinal ambiental. A eficácia contra deepfakes de geração 4 atinge 97,3 %, segundo os testes iBeta Quality Assurance 2025.

Para as empresas portuguesas, a utilização de dados biométricos está regulada pelo RGPD (artigo 9.º) e pelas orientações da CNPD (Comissão Nacional de Proteção de Dados). A recolha de dados biométricos exige uma base jurídica explícita e só pode ser efetuada se for estritamente necessária para a finalidade de verificação.

Identidade auto-soberana (SSI): promessa e realidade operacional

A identidade auto-soberana (Self-Sovereign Identity, SSI) baseia-se em Identificadores Descentralizados (DID), norma W3C desde julho de 2022 (W3C DID Core 1.0), e em Credenciais Verificáveis (Verifiable Credentials, VC), que permitem a um indivíduo provar um atributo de identidade sem revelar todos os seus dados pessoais.

Em termos práticos, com SSI:

• Um candidato pode provar que possui uma habilitação certificada sem revelar o seu percurso académico completo.
• Um cliente pode provar que é maior de idade sem revelar a sua data de nascimento exata.
• Uma empresa pode provar a sua solvabilidade sem partilhar as suas demonstrações financeiras completas.

Estado da adoção SSI em Portugal e na Europa

A arquitetura da EUDIW é construída sobre princípios SSI — esta é a sua principal rutura com os sistemas tradicionais de identidade federada como a Chave Móvel Digital. A Infraestrutura Europeia de Serviços Blockchain (EBSI) fornece a infraestrutura pública para os projetos-piloto SSI no ensino superior europeu.

Novas obrigações regulatórias: o que as empresas devem antecipar

O Regulamento AMLR (Regulamento UE 2024/1624), diretamente aplicável a partir de 10 de julho de 2027, obriga as entidades sujeitas a demonstrar a fiabilidade técnica dos seus sistemas de verificação de identidade, em linha com as Normas Técnicas Regulatórias (RTS) da AMLA.

Em Portugal, o Banco de Portugal e a CMVM atualizaram as suas orientações sobre identificação de clientes em ambientes digitais, alinhando-as com os requisitos técnicos do eIDAS 2.0. Os pontos-chave para as empresas portuguesas em 2026:

• Nível de garantia mínimo: LoA «substancial» eIDAS 2.0 para relações de negócio de risco médio; LoA «elevado» para risco alto. A simples digitalização de documento já não é suficiente para casos de risco elevado.
• Rastreabilidade da decisão: cada verificação deve gerar um relatório de auditoria com registo de data e hora, incluindo o método utilizado, a fonte de dados e o nível de confiança obtido. Período de conservação: 5 anos mínimo.
• Resistência a ataques: conformidade ISO/IEC 30107-3 para deteção de ataques de apresentação (deepfakes, máscaras, injeção de imagens).
• Supervisão humana: os sistemas automatizados devem incluir procedimentos de escalada para um operador humano em casos ambíguos, com uma taxa recomendada inferior a 5 % dos processos.

Sanções por incumprimento

O artigo 53.º(4) da AMLD6 fixa coimas administrativas até 10 milhões de euros ou 10 % do volume de negócios anual. Em Portugal, a Lei n.º 83/2017 estabelece um regime sancionatório igualmente severo, com coimas até 5 milhões de euros para pessoas singulares e até 22,5 milhões de euros para pessoas coletivas nos casos mais graves.

Checklist prática: preparar a sua empresa para as tendências de identidade digital 2026

• Auditoria do existente: identificar todos os pontos de recolha e verificação de identidade nos processos digitais, incluindo fluxos herdados.
• Preparação para eIDAS 2.0: identificar as alterações técnicas necessárias para aceitar a EUDIW nos processos de onboarding até ao final de 2027.
• Atualização biométrica: verificar se a sua solução de deteção de vivacidade é certificada ISO/IEC 30107-3 nível 2 mínimo por um laboratório acreditado.
• Revisão RGPD: atualizar os avisos de privacidade para o tratamento de dados biométricos e credenciais verificáveis (VC).
• Formação anti-deepfake: informar as equipas técnicas, de conformidade e de atendimento ao cliente sobre as novas formas de fraude.
• Piloto EUDIW: iniciar um projeto-piloto de integração técnica no T3 2026 para absorver os prazos de implementação antes do limite de 2027.
• Dossier de prova: preparar documentação de conformidade técnica para inspeções regulatórias (certificados de conformidade, registos de decisões, procedimentos de escalada).

A plataforma de verificação documental CheckFile está certificada de acordo com os requisitos do eIDAS e integra deteção de vivacidade ISO/IEC 30107-3. Consulte as nossas tarifas para as opções à escala empresarial, ou a nossa página de segurança para os detalhes técnicos de conformidade.

Para uma visão abrangente da gestão de dados na verificação documental, consulte o nosso guia de dados de fraude.

Perguntas frequentes

O que é a Carteira Europeia de Identidade Digital (EUDIW) e quando estará disponível?

A EUDIW é uma aplicação gratuita que cada Estado-Membro da UE deve disponibilizar aos seus cidadãos até 26 de novembro de 2026. Permite armazenar e partilhar atributos de identidade verificados (Cartão de Cidadão, carta de condução, diplomas) de forma segura. As empresas de setores regulados devem aceitá-la como meio de identificação até ao final de 2027.

A biometria é obrigatória para a verificação de identidade à distância em Portugal?

Não de forma universal, mas é de facto necessária para atingir o nível de garantia LoA «elevado» do eIDAS 2.0, exigido para relações de negócio de alto risco ao abrigo da Lei n.º 83/2017 e das orientações do Banco de Portugal. Para casos de risco médio, uma verificação documental automatizada de alta qualidade pode ser suficiente.

Quais são as principais ameaças à identidade digital em 2026?

As três ameaças prioritárias são: (1) deepfakes de geração 4 que superam as soluções biométricas de primeira geração; (2) identidades sintéticas construídas combinando dados reais com informações falsas; (3) ataques de injeção de imagens que contornam os requisitos de captura de vídeo em tempo real.

Quando deve a minha empresa começar a integrar a EUDIW?

A obrigação legal aplica-se a partir do final de 2027 para os setores regulados. No entanto, dado que a integração técnica em sistemas legacy pode demorar 4 a 6 meses, recomenda-se iniciar o processo de avaliação e integração no terceiro trimestre de 2026.

Como avaliar a fiabilidade de uma solução de verificação de identidade digital?

Três critérios objetivos: certificação de conformidade LoA «elevado» eIDAS 2.0 ou equivalente (PVID, NIST IAL2) por um organismo acreditado; resultados de testes ISO/IEC 30107-3 PAD de um laboratório acreditado (iBeta, TÜV, LSTI); taxas de falsos positivos e negativos publicadas e auditáveis por terceiro independente.