Ómnibus Digital UE: O Que Muda no KYC com a IA

A 27 de julho de 2026 — seis dias antes do prazo de aplicação de alto risco da Lei de IA da UE — o Ómnibus Digital sobre IA entrou em vigor. Com um único regulamento, a UE alargou o horizonte de conformidade para sistemas de IA de alto risco independentes em 16 meses, de 2 de agosto de 2026 para 2 de dezembro de 2027.

Para as equipas de conformidade em serviços financeiros e verificação de identidade, a reação foi previsível: alívio, seguido de recalibração dos prazos de projeto. Ambas as reações são compreensíveis. Nenhuma é a correta.

Este artigo explica o que o Ómnibus Digital realmente alterou, o que não alterou, e por que razão a prorrogação não é nem um presente nem um alívio para organizações que gerem verificação biométrica ou avaliação de risco por IA em fluxos de KYC.

O que o Ómnibus Digital Alterou

O Ómnibus Digital sobre IA foi publicado no Jornal Oficial da UE a 24 de julho de 2026 e entrou em vigor três dias depois. Altera a Lei de IA em três áreas específicas, com impacto principal no calendário de implementação dos sistemas de IA de alto risco do Anexo III.

Novos prazos de conformidade:

Categoria de sistema	Prazo original	Novo prazo
IA de alto risco independente (Anexo III)	2 de agosto de 2026	2 de dezembro de 2027
IA de alto risco em produtos regulados	2 de agosto de 2026	2 de agosto de 2028
IA de alto risco em autoridades públicas	2 de agosto de 2026	2 de agosto de 2030

A prorrogação de 16 meses para sistemas independentes do Anexo III é a alteração mais relevante para o setor de verificação de identidade e KYC. Os sistemas de identificação biométrica, modelos de pontuação de crédito e ferramentas de deteção de fraude baseadas em IA utilizadas em serviços financeiros enquadram-se todos no Anexo III.

O que não se alterou:

As obrigações de transparência do Artigo 50 já estão em vigor desde 2 de agosto de 2026. Qualquer sistema de IA que interaja com pessoas singulares de forma não evidente — incluindo chatbots durante o onboarding de clientes — deve informar o utilizador de que está a interagir com uma IA. O dever de literacia em IA do Artigo 4 também se manteve no calendário original e é atualmente exigível.

Que Sistemas KYC São Afetados

Nem toda a tecnologia de verificação de identidade se enquadra na categoria de alto risco. Compreender o limite é mais importante agora do que antes do Ómnibus, pois as organizações precisam de priorizar cuidadosamente os seus roteiros de conformidade.

Excluídos da designação de alto risco:

A verificação facial padrão no onboarding de clientes — onde um sistema confirma que a pessoa que apresenta um documento é a mesma que nele figura — está explicitamente excluída. Trata-se de verificação biométrica (correspondência 1:1), e a cláusula de exclusão do Anexo III aplica-se diretamente. A maioria dos fluxos KYC voltados para o consumidor enquadra-se nesta categoria.

Analisámos esta distinção em detalhe no nosso artigo anterior sobre a Lei de IA da UE e o seu stack KYC, escrito antes de o Ómnibus alterar o calendário de aplicação.

Sujeitos às obrigações de 2 de dezembro de 2027:

• Modelos de pontuação de crédito e de risco: Os sistemas de IA que avaliam a solvabilidade creditícia ou geram pontuações de risco que afetam a elegibilidade para produtos financeiros estão listados no Anexo III, Ponto 5(b).
• Identificação biométrica (correspondência 1:N): Qualquer sistema que identifique um indivíduo desconhecido comparando-o com uma base de dados de identidades conhecidas enquadra-se diretamente na designação de alto risco.
• Monitorização AML e de transações por IA: Os sistemas automatizados que geram alertas de risco ou sinalizam transações suspeitas de forma a informar decisões sobre relações com clientes estão sujeitos a obrigações completas de alto risco.
• IA agêntica em fluxos de conformidade: Esta é a categoria que mais provavelmente surpreenderá as organizações. Os agentes de IA autónomos que processam processos KYC, recolhem dados complementares, avaliam riscos e geram recomendações de conformidade sem supervisão humana contínua em cada etapa abrangem simultaneamente múltiplas categorias do Anexo III. As organizações que implementam agentes de conformidade autónomos precisam de incorporar desde o início a explicabilidade, registos de auditoria e mecanismos de supervisão humana — e não adicioná-los depois.

Por Que Razão 16 Meses Não Chegam se Se Começar Tarde

Aqui está o que a ilusão do calendário de conformidade oculta. Atingir a conformidade com as obrigações de alto risco do Anexo III não é uma questão de assinalar caixas nas semanas anteriores a um prazo. As obrigações incluem:

• Documentação técnica: Um registo completo do objetivo, lógica de design, dados de treino, métricas de desempenho e limitações conhecidas de cada sistema. Para sistemas de IA já em produção, esta documentação raramente existe e tem de ser reconstituída a partir de registos de engenharia, fichas de modelo e contratos com fornecedores.
• Avaliações de conformidade: Para certas categorias do Anexo III, é necessária uma avaliação independente por terceiros antes da implementação. Os organismos de avaliação de conformidade acreditados na Europa já têm agenda para 2027.
• Registo na base de dados da Lei de IA: Os sistemas de IA de alto risco devem ser registados no registo gerido pela UE antes da implementação. Esta base de dados está operacional desde 2 de agosto de 2026.
• Sistemas de monitorização pós-mercado: As obrigações contínuas de registo de incidentes, acompanhamento do desempenho e notificação devem ser estabelecidas como processos operacionais ativos.
• Mecanismos de supervisão humana: O regulamento exige que os utilizadores de sistemas de IA de alto risco mantenham a capacidade de supervisionar, interpretar e contrariar as saídas do sistema. Isto não pode ser adicionado economicamente a sistemas de produção já em funcionamento.

As organizações que tinham 12 meses de preparação antes do Ómnibus Digital estão bem posicionadas para dezembro de 2027. As que aguardavam o prazo original como catalisador e arquivaram os preparativos quando foi anunciada a prorrogação não ganharam nada.

O Problema de Classificação da IA Agêntica

O Ómnibus Digital não resolve a questão mais importante para as organizações que constroem infraestrutura KYC moderna: como classificarão os reguladores os agentes de IA autónomos que abrangem múltiplas tarefas sem aprovação humana em cada decisão?

Como descrito na nossa análise da automatização KYC agêntica, um agente de IA que recebe um processo KYC, recupera autonomamente dados complementares, avalia fatores de risco, verifica listas de PEP e sanções, e gera uma recomendação de conformidade — tudo num único fluxo automatizado — toca simultaneamente múltiplas categorias do Anexo III.

O Gabinete Europeu de IA indicou que está a desenvolver orientações sobre sistemas multiuso e agênticos. Nenhuma clarificação vinculativa foi incluída no Ómnibus Digital. Isto cria um problema prático: na ausência de orientações oficiais, a abordagem conservadora e juridicamente defensável é tratar todo o fluxo agêntico como de alto risco se qualquer componente o fosse de forma isolada.

A Sobreposição com a AMLA que Duplica os Riscos

O regulamento AMLA introduz autoridade de supervisão direta a nível da UE sobre as maiores entidades obrigadas em serviços financeiros e prestadores de serviços de criptoativos.

As diretrizes de monitorização contínua da AMLA criam requisitos de documentação técnica e supervisão que se sobrepõem substancialmente ao que a Lei de IA exige. As organizações que tratem estes quadros como projetos de conformidade separados produzirão documentação redundante e perderão oportunidades de satisfazer ambos os quadros com um único processo integrado.

Três Ações Antes do Final de 2026

O prazo de 2 de dezembro de 2027 está a 16 meses. Aqui está o que as organizações que gerem operações KYC e verificação de identidade devem priorizar antes do final deste ano.

1. Completar um Inventário de Sistemas de IA

Mapear cada sistema de IA no stack de conformidade em função das categorias do Anexo III. Incluir sistemas de fornecedores externos — a Lei de IA atribui obrigações tanto a fornecedores como a utilizadores. Muitas organizações ainda não têm um inventário completo da IA que realmente executam em produção.

2. Iniciar a Documentação Técnica Agora

Para qualquer sistema classificado ou potencialmente classificável como de alto risco, começar imediatamente a construir o pacote de documentação técnica exigido pelo Artigo 11. Os organismos de avaliação de conformidade que irão rever estes pacotes já têm agendas para 2027.

Os padrões de liveness biométrico multimodal que emergem em 2026 serão incorporados nas expetativas de avaliação de conformidade. Documente já como os seus sistemas de verificação biométrica cumprem ou superam estes padrões.

3. Incorporar a Supervisão nos Sistemas Agênticos

As organizações que constroem ou adquirem ferramentas KYC agênticas devem exigir — por contrato e por design técnico — que esses sistemas incluam saídas explicáveis, registos de auditoria completos e capacidades significativas de substituição humana em pontos de decisão definidos.

As organizações que cumprirão confortavelmente em dezembro de 2027 são as que tratam a prorrogação como uma janela de preparação, não como um adiamento.

Perguntas Frequentes

O Ómnibus Digital significa que já não preciso de agir sobre a conformidade com a Lei de IA da UE em 2026?

Não. As obrigações de transparência do Artigo 50 e o dever de literacia em IA do Artigo 4 já estão em vigor. A prorrogação aplica-se especificamente às obrigações completas de alto risco para os sistemas independentes do Anexo III.

A verificação biométrica KYC padrão é classificada como de alto risco?

A verificação biométrica padrão 1:1 no onboarding — confirmar que uma pessoa corresponde ao seu documento de identidade — está excluída da designação de alto risco. Os sistemas que realizam identificação 1:N (correspondência com uma base de dados) e a IA utilizada para pontuação de crédito ou avaliação de risco são classificados como de alto risco.

Quando se aplica o requisito de registo para sistemas de alto risco?

A base de dados de registo está operacional desde 2 de agosto de 2026. Os novos sistemas de alto risco devem registar-se antes da implementação. O prazo de 2 de dezembro de 2027 rege quando o quadro completo de conformidade se aplica aos sistemas já em operação no momento do Ómnibus.

A prorrogação aplica-se a fornecedores fora da UE que servem mercados da UE?

Sim. A Lei de IA aplica-se a fornecedores que colocam sistemas de IA no mercado da UE independentemente da sua localização. Os fornecedores não-UE de sistemas de IA de alto risco utilizados na UE estão sujeitos ao mesmo prazo de 2 de dezembro de 2027.

Como é que o Ómnibus Digital interage com o regulamento AMLA?

São quadros regulatórios paralelos com requisitos técnicos sobrepostos. As organizações abrangidas por ambos devem construir uma arquitetura de conformidade unificada em vez de os tratar como projetos separados.

O que exige realmente o dever de literacia em IA do Artigo 4?

Os utilizadores de sistemas de IA devem garantir que o pessoal que opera ou supervisiona ferramentas de IA tem compreensão suficiente do seu funcionamento, das suas limitações e dos riscos que comportam. Isto aplica-se independentemente de o sistema de IA específico ser classificado como de alto risco. Em vigor desde 2 de agosto de 2026.