Em 1 de outubro de 2026, a AMLA transmitiu três conjuntos de Normas Técnicas de Regulamentação (RTS) à Comissão Europeia. Não se trata de uma consulta, de um projeto ou de uma nota de orientação. É a etapa formal de submissão que dá início ao processo de adoção ao abrigo do artigo 27.º do Regulamento (UE) 2024/1620. Uma vez adotadas pela Comissão e publicadas no Jornal Oficial, tornam-se direito vinculativo em todos os 27 Estados-Membros da UE.

As três normas — sobre a vigilância da clientela, as relações de negócio e transações vinculadas, e os controlos à escala do grupo — formam em conjunto a espinha dorsal operacional do AMLAR (Regulamento UE sobre o Combate ao Branqueamento de Capitais), aplicável a partir de 10 de julho de 2027. Compreender o que cada uma exige é agora uma tarefa prioritária de planeamento para qualquer entidade sujeita a obrigações que opere na UE.

O que Mudou em 1 de Outubro

A consulta sobre as normas CDD encerrou em maio de 2026, com as normas a aguardar envio à Comissão Europeia antes de 10 de julho. A submissão ocorreu em 1 de outubro, acompanhada de dois conjuntos adicionais de normas que não tinham passado pela mesma janela de consulta pública.

O que a AMLA finalizou nesse dia:

RTS sobre relações de negócio e transações vinculadas — ao abrigo do artigo 19.º(9) do AMLAR
RTS sobre a vigilância da clientela — ao abrigo do artigo 28.º(1) do AMLAR
RTS sobre políticas e controlos à escala do grupo — ao abrigo dos artigos 16.º(4) e 17.º(3) do AMLAR

Três instrumentos jurídicos distintos submetidos num único pacote. Cada um resolve uma lacuna que o atual mosaico de transposições nacionais da legislação AML tem gerido de forma inconsistente entre os Estados-Membros.

RTS 1: Relações de Negócio face a Transações Ocasionais

A questão parece administrativa. Na prática, a classificação determina qual o regime de vigilância aplicável a um dado cliente.

Ao abrigo do AMLAR, as relações de negócio desencadeiam obrigações de vigilância contínua — revisão periódica, reavaliação do risco, monitorização permanente. As transações ocasionais abaixo do limiar aplicável (10.000 euros em numerário) não o fazem. O facto de um contacto com um cliente ser classificado como relação de negócio ou transação ocasional determina se a entidade sujeita a obrigações deve manter um perfil de risco contínuo para esse cliente.

A norma do artigo 19.º(9) estabelece:

Os critérios para determinar quando uma série de transações constitui uma relação de negócio
Como as transações vinculadas devem ser identificadas — especificamente, como ligar transações que estão estruturalmente separadas mas funcionalmente unificadas para efeitos de contorno dos limiares

O segundo elemento é a mudança substantiva. O fracionamento — dividir uma transação de elevado valor em várias de menor montante — é uma técnica clássica de branqueamento de capitais. A nova norma exige que as entidades sujeitas a obrigações construam uma lógica de deteção capaz de identificar transações vinculadas em janelas temporais e entre diferentes contrapartes. Tal implica uma deteção de contorno dos limiares integrada na própria camada CDD, e não apenas na monitorização de transações a jusante.

RTS 2: Vigilância da Clientela — Os Detalhes da Verificação de Identidade

A consulta CDD da AMLA de maio de 2026 estabeleceu o quadro geral. A finalização de 1 de outubro consolida requisitos específicos que afetam diretamente o funcionamento da verificação de identidade.

Verificação Não Presencial

A RTS finalizada enumera os métodos aceitáveis de verificação de identidade não presencial. Nem todos os controlos de identidade digital são equivalentes ao abrigo da norma finalizada. Os sistemas de identificação eletrónica que satisfaçam os níveis notificados do eIDAS — substancial ou elevado — e os sistemas equivalentes de supervisores de países terceiros incluídos na lista de reconhecimento da AMLA constituem a via principal.

A verificação por vídeo sem assinatura eletrónica qualificada enquadra-se numa categoria que requer controlos compensatórios documentados. A deteção de vivacidade, a verificação da autenticidade do documento e a vinculação do dispositivo são referidos como elementos que compensam a ausência do estatuto notificado pelo eIDAS. O ónus de documentar esses controlos compensatórios recai sobre a entidade sujeita a obrigações, e não sobre o fornecedor de verificação.

Para os fornecedores de verificação de identidade, isto cria um mundo a dois níveis. Os fornecedores qualificados pelo eIDAS e os que beneficiam de equivalência reconhecida de países terceiros ocupam o nível superior. Os fornecedores fora desse quadro podem continuar a ser utilizados, mas a entidade sujeita a obrigações deve documentar por que razão os controlos compensatórios são suficientes e manter evidências da sua eficácia continuada ao longo do tempo.

Vigilância Simplificada

A norma finalizada estabelece condições específicas para a aplicação da vigilância simplificada. A categorização de baixo risco baseada apenas no tipo de cliente — por exemplo, "instituição financeira regulada" — não é por si só suficiente. Os fatores de risco especificados no Anexo I do AMLAR devem ser avaliados em cada caso, e a decisão de vigilância simplificada deve ser documentada e revista periodicamente.

Disposições Transitórias para Clientes Existentes

A remediação dos clientes existentes segue um calendário em duas vias estabelecido no texto finalizado:

Clientes de risco mais elevado: no prazo de um ano a contar da entrada em vigor
Todos os outros clientes: no prazo de cinco anos a contar da entrada em vigor

O prazo de cinco anos pode parecer confortável. Para entidades com grandes bases de clientes existentes, completar a remediação em cinco anos enquanto se gere a integração contínua é uma questão de capacidade dos sistemas, e não apenas de cumprimento de prazos.

RTS 3: Controlos à Escala do Grupo — A Complexidade Transfronteiriça

A terceira norma introduz requisitos sem equivalente nos atuais quadros nacionais de combate ao branqueamento. É a área que provavelmente gerará o trabalho de conformidade estrutural mais significativo para os grupos financeiros.

Ao abrigo dos artigos 16.º(4) e 17.º(3), os grupos devem implementar:

Quadros de governação unificados aplicáveis a todas as entidades do grupo nos Estados-Membros da UE, exigindo definições coerentes de apetite pelo risco, procedimentos de escalada e estruturas de responsabilidade da gestão de topo. Um grupo não pode ter normas CDD materialmente diferentes na sua filial alemã e na sua filial espanhola.

Mecanismos seguros de partilha de informações dentro do grupo. A informação relevante para o combate ao branqueamento — perfis de risco dos clientes, indicadores de atividade suspeita, resultados de pesquisas em meios adversos — deve poder ser partilhada entre entidades do grupo enquanto cumpre o RGPD. A norma estabelece salvaguardas técnicas e organizacionais para esta partilha intragrupo.

Regras para sucursais e filiais em países terceiros. Quando uma filial ou sucursal do grupo opera numa jurisdição com normas de combate ao branqueamento mais fracas que o AMLAR, o grupo deve aplicar as normas do AMLAR independentemente do direito local. Se o direito local impedir a conformidade com as normas do AMLAR ao nível do grupo, a filial pode ser obrigada a sair desse mercado.

Requisito	Âmbito	Implicação operacional
Governação unificada	Todas as entidades do grupo na UE	Quadro único de política AML necessário
Partilha de informações	Dados AML intragrupo	Infraestrutura técnica e controlos RGPD
Paridade países terceiros	Sucursais em jurisdições mais fracas	Possível reestruturação jurídica ou saída
Remediação: risco elevado	Em 1 ano	Planeamento de capacidade começa já
Remediação: outros clientes	Em 5 anos	Automatização de fluxos de trabalho à escala

A disposição sobre países terceiros tem implicações operacionais significativas para grupos com sucursais no Sudeste Asiático, no Golfo ou em partes da América Latina, onde o direito local restringe frequentemente a partilha transfronteiriça de dados.

O Calendário que Realmente Importa

A submissão de 1 de outubro é o primeiro passo de um processo de quatro etapas antes de estas normas terem efeito jurídico:

Submissão pela AMLA — concluída em 1 de outubro de 2026
Análise e adoção pela Comissão Europeia — sem data fixa; tipicamente 3 a 6 meses
Publicação no Jornal Oficial — ativa o período de entrada em vigor
Entrada em vigor — seis meses após a publicação, conforme proposto pela AMLA

Após a entrada em vigor, a data de aplicação do AMLAR de 10 de julho de 2027 também se mantém. As RTS específicas não substituem a data de aplicação principal do AMLAR. O que fazem é acrescentar requisitos operacionais precisos sobre as obrigações existentes do AMLAR.

Pressuposto de planeamento realista: se a Comissão adotar as normas antes do primeiro trimestre de 2027, a entrada em vigor cairia por volta de meados de 2027. Mas o AMLAR entra em vigor a 10 de julho. As entidades que aguardem que as RTS adquiram efeito jurídico formal antes de começar a implementação não estarão preparadas.

O processo de supervisão direta da AMLA já nomeou a primeira coorte de empresas sob supervisão direta em setembro de 2026. Essas entidades são examinadas com base nestas mesmas normas. O período de graça proposto não lhes é aplicável.

O que Isto Exige dos Sistemas de Verificação de Identidade

O pacote de outubro traduz-se em requisitos concretos de sistema. As equipas de conformidade devem avaliar se a sua infraestrutura atual de verificação de identidade consegue fornecer:

Deteção de transações vinculadas. A RTS sobre relações de negócio exige a identificação de transações vinculadas ao longo do tempo e entre contrapartes. Se o sistema KYC e o sistema de monitorização de transações são separados, trata-se de um problema de arquitetura de dados que agora tem um prazo regulatório.

Documentação de alinhamento com o eIDAS. A RTS CDD coloca o ónus da documentação nas entidades sujeitas a obrigações que utilizam métodos de verificação não qualificados pelo eIDAS. A abordagem técnica do fornecedor KYC — metodologia de deteção de vivacidade, lógica de verificação de documentos, resistência a ataques de injeção — necessita de avaliação documentada face à norma de controlos compensatórios.

Arquitetura de dados de grupo. A partilha de informações à escala do grupo sob um único quadro de governação requer uma solução técnica que satisfaça simultaneamente os requisitos AML e RGPD. As bases de dados de identidade fragmentadas por jurisdição não cumprirão o requisito de controlos à escala do grupo.

Fluxos de trabalho automatizados de remediação. Remediar os clientes existentes à escala dentro dos prazos transitórios não é viável manualmente para qualquer organização de dimensão significativa. Um sistema capaz de identificar os clientes que requerem remediação, classificá-los por nível de risco e executar fluxos de trabalho de re-verificação de forma automática é o que o requisito operacional implica.

A plataforma de agentes de IA autónomos da Joinble está concebida para este modelo operacional: manutenção contínua de identidade, reescalagem automática do risco, geração de trilhas de auditoria e arquitetura de dados compatível com grupos, construída para o ambiente AMLAR.

Preparar-se Antes das RTS Entrarem em Vigor

A extensão do AMLAR às entidades obrigadas não financeiras e as diretrizes de monitorização contínua publicadas em junho de 2026 foram blocos preparatórios. O pacote de outubro é a estrutura portante do quadro de conformidade europeu pós-2027.

Passos práticos para as equipas de conformidade agora:

Mapear os métodos CDD atuais face à enumeração da verificação não presencial na RTS finalizada. Identificar lacunas onde os controlos compensatórios necessitarão de documentação formal.
Auditar a deteção de transações vinculadas nos sistemas atuais. A lógica de monitorização abrange uma janela de 30 dias para a deteção de fracionamento? Cruza linhas de produtos?
Inventariar as entidades do grupo por jurisdição e avaliar o risco da norma sobre países terceiros. Identificar filiais ou sucursais onde o direito local possa entrar em conflito com os requisitos do AMLAR à escala do grupo.
Dimensionar a tarefa de remediação. Extrair uma amostra da base de clientes existente, segmentar por nível de risco e estimar o volume que requer remediação num ano face a cinco anos.

O dia 10 de julho de 2027 já era visível ao longe. O 1 de outubro de 2026 tornou a obrigação específica.

Perguntas Frequentes

Quais são as três RTS da AMLA submetidas em 1 de outubro de 2026? A AMLA submeteu três projetos finais de normas técnicas de regulamentação à Comissão Europeia: uma sobre classificação e identificação de relações de negócio e transações vinculadas; uma sobre vigilância da clientela incluindo verificação não presencial e identificação eletrónica; e uma sobre políticas AML à escala do grupo e controlos internos.

Quando é que as RTS da AMLA de outubro de 2026 se tornam juridicamente vinculativas? Ainda não são lei. Após adoção pela Comissão Europeia e publicação no Jornal Oficial, entram em vigor. A AMLA propôs que a aplicação comece seis meses após a entrada em vigor. O AMLAR subjacente aplica-se a partir de 10 de julho de 2027 independentemente deste prazo.

A RTS CDD altera o funcionamento prático da verificação de identidade digital? Sim. O texto finalizado enumera os métodos aceitáveis de verificação não presencial. A identificação eletrónica notificada pelo eIDAS e os equivalentes reconhecidos constituem a via principal. Outros métodos exigem que a entidade sujeita a obrigações documente controlos compensatórios específicos — deteção de vivacidade, análise forense de documentos, vinculação de dispositivo — e mantenha evidências da sua eficácia continuada.

O que é a RTS de controlos de grupo e quem é afetado? Aplica-se a grupos regulados com múltiplas entidades na UE. Exige governação AML unificada, partilha segura de informações intragrupo e — criticamente — a aplicação das normas do AMLAR a filiais e sucursais em países terceiros com regras AML mais fracas. Os grupos com presença global enfrentam o trabalho de conformidade estrutural mais significativo.

De quanto tempo dispõem as empresas para remediar os clientes existentes ao abrigo das novas RTS CDD? As disposições transitórias são de dois níveis: clientes de risco mais elevado no prazo de um ano a contar da entrada em vigor, e todos os outros clientes no prazo de cinco anos. O prazo de cinco anos requer fluxos de trabalho de remediação automatizados para qualquer organização com uma grande base de clientes existente.

Como podem os agentes de IA apoiar a conformidade com as RTS da AMLA? A deteção de transações vinculadas, a monitorização contínua, a remediação automatizada e os requisitos de arquitetura de dados à escala do grupo no pacote de outubro de 2026 são operacionalmente intensivos a qualquer escala significativa. As plataformas de agentes de IA concebidas para a gestão contínua da identidade — substituindo ciclos de revisão periódica por um estado de risco em tempo real e gerando automaticamente registos prontos para auditoria — representam a arquitetura operacional que o ambiente AMLAR exige.

Emily Carter

Partilhar

O Pacote RTS da AMLA em Outubro: Três Normas, Um Prazo