Lei IA da UE agosto 2026: O que muda no seu stack KYC

A Lei de Inteligência Artificial da União Europeia entra na sua fase mais determinante no dia 2 de agosto de 2026. A partir dessa data, as disposições que regulam os sistemas de IA de alto risco tornam-se exequíveis em todos os estados-membros — e as sanções por incumprimento não são hipotéticas.

Existe, no entanto, um problema sério na forma como este prazo está a ser apresentado nos círculos de conformidade: grande parte das orientações que circulam no setor fintech e de verificação de identidade interpreta incorretamente o que a regulação exige na prática.

Eis o erro específico que vai apanhar muitas organizações desprevenidas — e o que a interpretação correta implica para o seu stack KYC.

A Cláusula Que Toda a Gente Ignorou

Quando a Lei IA da UE foi publicada, as equipas de conformidade começaram a classificar os seus sistemas em relação ao Anexo III — a lista de aplicações de IA de alto risco. A biometria aparece em destaque nessa lista, e muitos fornecedores de KYC concluíram que os seus sistemas de correspondência facial e verificação documental estavam sujeitos ao quadro completo de conformidade de alto risco.

Essa conclusão está incorreta para a maioria dos fluxos de trabalho KYC.

O Anexo III exclui explicitamente os sistemas de IA "destinados a ser utilizados para verificação biométrica cujo único objetivo seja confirmar que uma determinada pessoa singular é quem afirma ser". Trata-se de uma comparação 1:1 — o sistema compara uma imagem submetida com um documento de referência para confirmar a identidade. Não está classificado como de alto risco.

O que É de alto risco é a identificação biométrica: comparar um indivíduo desconhecido com uma base de dados para determinar quem é (comparação 1:N). A identificação biométrica remota em tempo real em espaços de acesso público está expressamente proibida pelo Artigo 5.º. Os sistemas de identificação remota diferida são de alto risco e estão sujeitos ao quadro completo.

A implicação para a maioria dos fluxos de trabalho KYC é significativa. A correspondência facial no onboarding de clientes — o núcleo da maioria dos pipelines de verificação de identidade digital — não cai na categoria de alto risco pelo simples facto de ser uma verificação biométrica.

O Que É Realmente de Alto Risco no Seu Stack KYC

A distinção não significa que a verificação de identidade escape completamente à Lei IA. Vários componentes de um stack de conformidade típico qualificam-se como de alto risco ao abrigo do Anexo III:

Modelos de Scoring de Crédito e Risco

Os sistemas de IA que avaliam a solvabilidade ou estabelecem pontuações de crédito estão explicitamente listados no Anexo III, Ponto 5(b). Se o seu processo de onboarding inclui um scoring de risco automatizado que influencia o acesso ao crédito ou a elegibilidade para produtos financeiros, esse componente é de alto risco.

Deteção de Fraude e Monitorização de Transações AML

Os sistemas de IA utilizados para avaliar se uma pessoa singular representa um risco de criminalidade financeira — incluindo análise comportamental, modelos de monitorização de transações e motores de scoring de fraude — podem qualificar-se como de alto risco dependendo do contexto de implementação. A regra prática: se o seu sistema de IA produz decisões que afetam materialmente o acesso de uma pessoa a serviços financeiros, trate-o como de alto risco até que uma revisão jurídica diga o contrário.

Triagem de Listas de Vigilância com Decisões Autónomas

Se um sistema de IA faz triagem de indivíduos contra listas de sanções ou bases de dados de PPE e gera decisões autónomas de rejeição ou retenção sem revisão humana estruturada, os componentes de identificação e tomada de decisão atraem o escrutínio do Anexo III.

Sistemas que Integram a Carteira EUDI

À medida que a Carteira de Identidade Digital Europeia se aproxima do seu prazo de implementação em dezembro de 2026, os sistemas KYC que a integrem enfrentarão obrigações combinadas ao abrigo do eIDAS 2.0 e da Lei IA em simultâneo.

Os Requisitos de Conformidade Aplicáveis a Partir de 2 de Agosto

Para os sistemas de IA que se qualificam como de alto risco, o dia 2 de agosto não é uma data de planeamento — é a data em que a conformidade já deve existir. As medidas exigidas incluem:

Sistema de Gestão da Qualidade (Artigo 17.º)

Os sistemas de IA de alto risco devem funcionar sob um sistema de gestão da qualidade documentado que abranja conceção, desenvolvimento, testes, monitorização e governação.

Quadro de Gestão de Riscos (Artigo 9.º)

É exigido um processo contínuo e documentado de gestão de riscos, que identifique os riscos previsíveis ao longo do ciclo de vida do sistema.

Documentação Técnica (Artigo 11.º)

Os fornecedores devem manter documentação técnica abrangente antes de colocar o sistema no mercado, incluindo objetivo pretendido, fontes de dados de treino, métricas de desempenho e limitações conhecidas.

Avaliação de Conformidade (Artigo 43.º)

A maioria dos sistemas do Anexo III pode ser autocertificada — o que significa que uma auditoria interna face aos requisitos é suficiente. A avaliação por terceiros só é obrigatória para sistemas de identificação biométrica. Esta distinção é crucial: as organizações que investem recursos significativos em auditorias externas para sistemas KYC padrão de correspondência facial estão provavelmente a sobrestimar o que é exigido.

Registo na Base de Dados da UE (Artigo 71.º)

Os sistemas de IA de alto risco devem ser registados na base de dados pública da UE antes da implementação. Esta etapa é frequentemente esquecida — trata-se de um pré-requisito para o funcionamento legal.

Supervisão Humana (Artigo 14.º)

Os sistemas de alto risco devem ser concebidos para permitir uma supervisão humana significativa. Isto não exige que cada decisão passe por um revisor humano — exige que o sistema seja concebido de forma a que os humanos possam compreender, monitorizar e intervir quando necessário.

Para as organizações que constroem sistemas KYC agênticos que encaminham a maioria das decisões de verificação de forma autónoma, o requisito de supervisão humana merece atenção específica. Um sistema multi-agente sem um caminho de escalada documentado terá dificuldade em satisfazer o Artigo 14.º.

O Quadro de Sanções

A Lei IA cria uma estrutura de sanções a três níveis:

Infração	Sanção Máxima
Sistemas de IA proibidos (Artigo 5.º)	35 milhões € ou 7% do volume de negócios global
Incumprimento de alto risco (Anexo III)	15 milhões € ou 3% do volume de negócios global
Informação falsa às autoridades	7,5 milhões € ou 1% do volume de negócios global

As autoridades de supervisão nacionais — e não o Gabinete Europeu de IA — gerem a aplicação para os sistemas do Anexo III. Para os serviços financeiros, isto significa os mesmos reguladores que supervisionam a conformidade AML e prudencial.

A Intersecção com as Normas CDD da AMLA

A Lei IA não existe isoladamente. As Normas Técnicas de Diligência Devida com o Cliente da AMLA estão previstas para a Comissão Europeia a 10 de julho de 2026 — semanas antes da data de aplicação de 2 de agosto. Definirão precisamente como a verificação de identidade deve funcionar ao abrigo da lei AML da UE.

Onde a Lei IA regula o próprio sistema de IA, as normas CDD da AMLA regulam o resultado de verificação de identidade que esse sistema foi concebido para produzir. Um sistema KYC que cumpre os requisitos da Lei IA mas não produz a profundidade de verificação exigida pelas normas da AMLA é tecnicamente conforme mas substantivamente incumpridor.

Os dois quadros são complementares e em grande medida simultâneos. As equipas de conformidade que os tratam como fluxos de trabalho separados estão a criar um risco de execução evitável.

Seis Ações Antes de 2 de Agosto

1. Classifique os seus sistemas agora. Documente se cada componente de IA é verificação biométrica (1:1, não de alto risco) ou identificação biométrica (1:N, alto risco). Obtenha validação jurídica.

2. Audite os seus modelos de scoring e antifraude. Qualquer módulo de IA que produza pontuações que influenciem o acesso ao crédito ou a serviços financeiros qualifica-se provavelmente como de alto risco.

3. Formalize o seu sistema de gestão da qualidade. Se as suas práticas de engenharia e QA não estão documentadas de forma a satisfazer o Artigo 17.º, esta é a lacuna mais importante para a maioria das equipas.

4. Registe-se na base de dados da UE. Não o trate como opcional — é um pré-requisito de implementação para sistemas de alto risco.

5. Documente os seus caminhos de escalada humana. Os sistemas KYC agênticos que encaminham decisões de forma autónoma devem demonstrar que a supervisão humana está disponível e pode ser exercida, mesmo que raramente ativada.

6. Separe a defesa contra deepfakes da conformidade com a Lei IA. A escalada dos ataques de injeção de deepfakes no onboarding KYC impulsionou o investimento em deteção de liveness. Essas defesas são operacionalmente essenciais — mas abordam uma categoria de risco diferente regulada por obrigações distintas.

A Janela Está a Fechar

A data de aplicação de 2 de agosto resistiu a todas as negociações políticas sobre os detalhes de implementação da Lei IA. Não há nenhum sinal credível de adiamento.

Oitenta e sete dias são suficientes para completar uma auditoria de classificação e colmatar as lacunas mais significativas em sistemas já bem compreendidos. Não são suficientes para construir um sistema de gestão da qualidade do zero, realizar uma avaliação de conformidade e registar-se na base de dados da UE se nenhuma dessas atividades tiver começado.

Para os serviços financeiros regulados, o prazo efetivo de conformidade não é uma data de calendário. É o momento em que o seu próximo onboarding de cliente ocorre após 2 de agosto enquanto o seu sistema permanece sem classificação.

---

Perguntas Frequentes

A Lei IA da UE aplica-se a empresas não europeias que fazem KYC a cidadãos da UE?

Sim. A Lei IA tem alcance extraterritorial. Qualquer sistema que produza resultados utilizados dentro da UE está sujeito ao regulamento, independentemente de onde o fornecedor esteja constituído. Os fornecedores fintech dos EUA, do Reino Unido e de fora da UE que servem clientes europeus devem cumprir.

A deteção de liveness facial é de alto risco ao abrigo da Lei IA?

A deteção de liveness utilizada como parte da verificação biométrica — confirmando que um rosto submetido corresponde a uma identidade reclamada — não é automaticamente de alto risco. Enquadra-se na isenção de verificação biométrica. No entanto, se for utilizada como parte de um sistema mais amplo que identifica indivíduos desconhecidos ou os triagem contra listas de vigilância, a classificação do sistema mais amplo pode mudar.

A Lei IA exige explicabilidade para as decisões KYC?

Não diretamente. A lei exige transparência e supervisão humana significativa, mas não impõe técnicas específicas de IA explicável. No entanto, o requisito de permitir a supervisão humana efetiva significa na prática que os sistemas cujos resultados não podem ser compreendidos ou contestados por revisores terão dificuldade em satisfazer o Artigo 14.º.

Uma empresa pode autocertificar a conformidade dos seus sistemas de IA KYC?

Na maioria dos casos, sim. A avaliação de conformidade por terceiros só é obrigatória para sistemas de identificação biométrica. Os sistemas KYC padrão de correspondência facial — que utilizam verificação biométrica, não identificação — podem autocertificar-se através de uma auditoria interna face aos requisitos do Anexo III.

Qual é a diferença entre a conformidade com a Lei IA e a conformidade com o eIDAS 2.0 para o KYC?

Regulam camadas diferentes. A Lei IA regula o próprio sistema de IA — como é construído, testado, documentado e monitorizado. O eIDAS 2.0 regula as credenciais de identidade que estão a ser verificadas — especificamente a Carteira EUDI e as normas de garantia de alto nível. Ambos se aplicam aos fornecedores KYC na UE e têm prazos ativos no segundo semestre de 2026.

Quando entraram em vigor as normas sobre modelos GPAI?

As normas sobre modelos de IA de uso geral (GPAI) entraram em vigor em agosto de 2025. Se o seu sistema KYC depende de um modelo de fundação — incluindo LLMs comerciais — os fornecedores desses modelos já devem estar em conformidade. A sua obrigação é garantir que está a utilizar modelos conformes e documentar essa diligência devida.