FINMA Circular 2016/7: Detecção de Vivacidade Obrigatória

O regulador financeiro suíço traçou uma linha clara contra a fraude com inteligência artificial. A partir de 1 de novembro de 2026, a Circular FINMA 2016/7 revisada sobre identificação por vídeo e online está em vigor. A implicação prática para os intermediários financeiros suíços é específica: a detecção de vivacidade deixou de ser uma recomendação de boas práticas. É um requisito legal.

A revisão, adotada em 8 de outubro de 2026 após um processo de consulta iniciado em dezembro de 2025, responde diretamente ao aumento da fraude de identidade gerada por IA. Vídeos deepfake, rostos sintéticos e ataques de injeção contra pipelines biométricas foram citados pela FINMA como fatores que impulsionam a atualização. O regulador não prescreveu uma tecnologia específica, mas deixou claro que a apresentação passiva de um documento ou foto não é mais suficiente para satisfazer o padrão de identificação online.

O Que a Circular Revisada Muda

Três mudanças estão operacionais desde 1 de novembro de 2026.

1. A Detecção de Vivacidade é Agora Obrigatória

Para todos os procedimentos de identificação online, os intermediários financeiros devem incluir a detecção de vivacidade como camada adicional de segurança. O objetivo é confirmar que a pessoa sendo identificada está fisicamente presente e é um ser humano real — não uma fotografia, vídeo pré-gravado ou apresentação sintética gerada por IA.

A FINMA não impôs uma abordagem técnica específica. Testes de vivacidade ativos (onde o usuário realiza um gesto ou segue uma instrução) e testes passivos (onde sinais comportamentais e de sensores são analisados sem ação do usuário) satisfazem ambos os requisitos, desde que o sistema demonstre ser projetado para contrarrestar vetores conhecidos de falsificação e injeção. Dado o ritmo com que os ataques de injeção contra sistemas de detecção de vivacidade se aceleraram, abordagens exclusivamente passivas enfrentarão escrutínio crescente à medida que o modelo de ameaças evolui.

2. O e-ID Suíço é Admitido para Identificação Online

A revisão adiciona uma nova via de identificação usando o e-ID federal suíço, introduzido pela Lei Federal sobre Identidade Eletrônica e Outras Credenciais Eletrônicas. Espera-se que o e-ID seja lançado em 1 de dezembro de 2026 — quatro semanas após a circular entrar em vigor — como credencial opcional e gratuita distribuída via aplicativo de carteira federal suíço.

Segundo a circular revisada, o e-ID pode ser usado para identificação online (não para identificação por vídeo). Os intermediários financeiros que usam o e-ID devem confirmar que a credencial foi emitida para a pessoa que faz a solicitação, verificar que é válida e não foi revogada, verificar o endereço de residência separadamente e confirmar — mediante detecção de vivacidade — que a solicitação de identificação origina do titular da conta.

A via do e-ID não elimina a necessidade de uma transferência bancária para complementar a identificação online. Esse requisito de salvaguarda permanece em vigor.

3. Documentos com Código QR em Pé de Igualdade com Documentos MRZ

A revisão amplia a categoria de documentos de identificação aceitos para incluir qualquer documento com código QR, colocando-o no mesmo nível que documentos com zona de leitura mecânica. A carteira de habilitação suíça, que possui código QR mas não tem MRZ, pode agora ser usada como documento de identificação para identificação online sem necessidade de soluções alternativas.

Comparação: Antes e Depois de 1 de Novembro de 2026

Requisito	Antes de novembro 2026	A partir de 1 de novembro de 2026
Detecção de vivacidade	Recomendada	Obrigatória
e-ID suíço	Não admitido	Admitido para identificação online
Documentos com código QR	Não equiparados	Equiparados com documentos MRZ
Complemento de transferência bancária	Necessário	Ainda necessário
Identificação por vídeo com e-ID	Não aplicável	Não admitida
AEQ avançada para identificação	Não permitida	Ainda não permitida

Quem É Afetado

A Circular 2016/7 revisada aplica-se a todos os intermediários financeiros suíços conforme definido pela Lei de Combate à Lavagem de Dinheiro. Isso inclui bancos, corretores de valores, seguradoras, gestores de ativos, instituições de pagamento e qualquer empresa que realize atividades de intermediação financeira sob supervisão da FINMA.

Também se aplica a empresas que terceirizam seu processo de identificação a um fornecedor externo. Segundo as regras de terceirização da FINMA, o intermediário financeiro permanece responsável pela conformidade do procedimento de identificação independentemente do fornecedor tecnológico que realiza a verificação de vivacidade. Empresas que usam fornecedores de KYC terceiros devem confirmar que os sistemas desses fornecedores atendem ao padrão revisado.

O Período de Transição

Uma transição de um ano aplica-se especificamente aos requisitos de detecção de vivacidade e verificação de residência para identificação online baseada em AEQ (Assinatura Eletrônica Qualificada). As instituições têm até 1 de novembro de 2027 para fazer os ajustes técnicos necessários nos procedimentos de AEQ.

A transição não cobre a via do e-ID. Os intermediários financeiros que optam por adotar a identificação por e-ID a partir de dezembro de 2026 devem cumprir os requisitos revisados completos — incluindo detecção de vivacidade — sem qualquer período de transição.

A transição também não se aplica a novos clientes integrados a partir de 1 de novembro de 2026 sob a identificação online baseada em documentos existente. Para essas sessões de integração, a detecção de vivacidade é imediatamente obrigatória.

O Contexto de Ameaça por Trás da Revisão

A decisão da FINMA de exigir a detecção de vivacidade reflete um ambiente de ameaças que mudou significativamente desde que a Circular 2016/7 original foi redigida em 2016. Aquela versão abordava o risco de envio fraudulento de documentos e substituição de identidade por uma pessoa apresentando documentos de outra.

A revisão de 2026 aborda uma ameaça diferente: a criação de identidades que nunca envolveu um documento real ou uma pessoa real em nenhuma etapa. Rostos sintéticos gerados por IA generativa, combinados com injeção de câmeras virtuais para contornar o pipeline de câmera, produzem apresentações que os primeiros sistemas de vivacidade passiva não foram projetados para detectar.

A abordagem biométrica multimodal que emerge como padrão da indústria — combinando análise de geometria facial, sinais de microexpressão, imagens infravermelhas e padrões comportamentais do dispositivo em uma pontuação de risco composta — representa a direção técnica que os reguladores agora esperam. O requisito da FINMA não prescreve esse método específico, mas cria uma obrigação legal de demonstrar que a abordagem usada é capaz de detectar apresentações sintéticas modernas.

O Que as Equipes de Compliance Devem Fazer Agora

Para as equipes de compliance das instituições financeiras suíças, o prazo de 1 de novembro introduz um conjunto concreto de ações a serem tomadas.

Audite seu fornecedor de identificação atual. Pergunte explicitamente se o sistema de detecção de vivacidade deles aborda ataques de injeção além de ataques de apresentação. São vetores de ameaça distintos. Um sistema que detecta uma foto impressa como não-viva pode ainda falhar contra uma câmera virtual alimentando um vídeo deepfake diretamente no pipeline de identificação.

Revise seus contratos de terceirização. Se você usa um fornecedor de KYC terceiro, seu contrato de terceirização deve especificar que o fornecedor opera no nível ou acima do padrão exigido pela circular revisada da FINMA. Documente essa especificação explicitamente.

Prepare-se para o e-ID. O e-ID suíço é lançado em 1 de dezembro de 2026. A adoção inicial será baixa, mas crescente. Construa agora seu processo de identificação por e-ID para não ter problemas quando os clientes começarem a apresentar essas credenciais.

Atualize sua política de aceitação de documentos. Se você tem rejeitado a carteira de habilitação suíça como documento de identificação devido à ausência de MRZ, essa posição não é mais necessária. Documentos com código QR estão agora explicitamente aceitos.

A camada de agentes autônomos de identidade da Joinble foi projetada exatamente para essa postura de compliance: verificação contínua, cadeias de decisão documentadas e um modelo de risco atualizável que pode incorporar novas informações de ameaças à medida que as expectativas supervisórias da FINMA evoluem.

A Suíça no Panorama Europeu de KYC

A Suíça não é um Estado-membro da UE e não aplica diretamente o eIDAS 2.0. Mas a direção da regulamentação suíça tem se alinhado cada vez mais com os padrões europeus — especialmente na ênfase em identidade digital, detecção de vivacidade e admissão de credenciais eletrônicas emitidas pelo governo para o processo de integração.

A Lei de Transparência da Suíça que entrou em vigor em 1 de outubro de 2026 e a Circular 2016/7 revisada que a segue um mês depois representam um ciclo coerente de atualização de compliance para os serviços financeiros suíços. Equipes com funções de compliance com recursos insuficientes sentirão o peso cumulativo dessas duas mudanças juntas.

Perguntas Frequentes

A detecção de vivacidade é obrigatória para toda abertura de conta remota na Suíça desde 1 de novembro de 2026? Sim. A Circular 2016/7 revisada torna a detecção de vivacidade obrigatória para todos os procedimentos de identificação online. A transição de um ano aplica-se apenas ao ajuste técnico da identificação online baseada em AEQ, não à integração online padrão baseada em documentos.

O que constitui detecção de vivacidade conforme segundo a FINMA? A FINMA não exigiu uma tecnologia específica. O padrão é funcional: o sistema deve confirmar que uma pessoa viva está presente e deve ser projetado para contrarrestar vetores conhecidos de falsificação e ataques de injeção. A FINMA não prescreve entre vivacidade ativa e passiva, mas o sistema deve contrarrestar de forma demonstrável as ameaças modernas de identidade sintética.

O e-ID suíço pode ser usado para identificação por vídeo? Não. A circular revisada permite o e-ID suíço apenas para identificação online. A identificação por vídeo está excluída porque o próprio documento e-ID não possui nem MRZ nem código QR, ambos necessários para as verificações de documentos na identificação por vídeo.

O período de transição se aplica a novos clientes integrados a partir de 1 de novembro? A transição de um ano aplica-se especificamente a procedimentos de identificação online baseados em AEQ que precisam de ajuste técnico. Novos clientes integrados via identificação online baseada em documentos a partir de 1 de novembro de 2026 requerem detecção de vivacidade imediatamente.

E se meu fornecedor de KYC ainda não atender ao padrão revisado? Os intermediários financeiros são responsáveis segundo as regras de terceirização da FINMA pela conformidade dos procedimentos terceirizados. Se seu fornecedor de KYC não atender ao padrão revisado, você está em não-conformidade independentemente de onde a lacuna se origina. Revise os contratos com fornecedores e exija certificação de conformidade com a circular revisada.

A circular revisada afeta os procedimentos de identificação por vídeo? A detecção de vivacidade é principalmente exigida para identificação online. A identificação por vídeo já incluía revisão humana, que abordava a verificação de presença de forma diferente. A circular também esclarece quais tipos de documentos são aceitos para cada procedimento, mas o requisito de detecção de vivacidade é a mudança central para a identificação online.