PSD3 e PSR: O Que os PSP Devem Saber Sobre KYC

Em 23 de abril de 2026, o Parlamento Europeu, o Conselho e a Comissão Europeia chegaram a um acordo definitivo sobre a Diretiva de Serviços de Pagamento 3 (PSD3) e o seu Regulamento de Serviços de Pagamento (PSR) associado. A primeira vaga de execução — abrangendo a autenticação forte de clientes, a responsabilidade por fraude e o open banking — está prevista para o final de 2026.

Essa janela é mais curta do que parece. A verificação de identidade está no centro do cumprimento do PSR, e as empresas que continuam a tratar o onboarding como um evento pontual estão prestes a arcar com as consequências jurídicas e financeiras dessa escolha.

O Que Mudou entre PSD2 e PSD3

A PSD2 introduziu a autenticação forte de clientes (SCA) em 2018. Ela reforçou a camada de autenticação, mas deixou uma lacuna crítica: praticamente nada dizia sobre a qualidade das verificações de identidade que deveriam preceder a abertura de uma conta de pagamento.

A PSD3 e o PSR fecham essa lacuna.

O PSR traz três mudanças que a PSD2 não contemplava:

Primeiro, a responsabilidade por fraude torna-se simétrica. Ao abrigo do PSR, a responsabilidade é partilhada entre o PSP do ordenante e o PSP do beneficiário. Se uma instituição receptora omite a triagem de transações recebidas ou não detetou uma contraparte fraudulenta durante o onboarding, pode ser responsabilizada pelas perdas resultantes.

Segundo, suspensão automática da SCA para PSP com elevada taxa de fraude. Se a taxa de fraude de um PSP em transações eletrónicas remotas ultrapassar 0,13%, a isenção de autenticação de baixo risco é suspensa automaticamente, sem período de carência.

Terceiro, o reembolso por fraude de transferência autorizada (APP) é normalizado. Os bancos e PSP devem reembolsar os consumidores manipulados para autorizar transferências fraudulentas nos casos em que o PSP não detetou padrões de engenharia social ou não aplicou os avisos de fraude exigidos. A responsabilidade recai especificamente na falha da camada de monitorização.

Cada uma dessas mudanças tem uma implicação direta para a pilha de verificação de identidade — e não apenas para a camada de autenticação.

O KYC no Onboarding É Agora a Primeira Linha de Defesa Legal

Ao abrigo do PSR, o que você sabe sobre o seu cliente no momento da abertura da conta determina a sua responsabilidade por tudo o que acontece depois.

Um PSP que realiza uma verificação fraca no onboarding — aceitando a digitalização de um documento sem deteção de vivacidade, omitindo a consulta de sanções ou validando uma identidade sintética — não pode depois alegar ter agido de boa-fé quando essa conta é utilizada para fraude APP. A falha no onboarding torna-se prova retroativa de controlos inadequados.

Isso desloca a conversa de cumprimento de "o que o cliente autorizou?" para "o que o PSP sabia antes de aprovar a conta?".

Três falhas no onboarding tornam-se particularmente onerosas ao abrigo do PSR:

Falha no Onboarding	Exposição à Responsabilidade PSR
Sem verificação nome-IBAN na abertura de conta	Responsabilidade pelas fraudes de saída habilitadas por essa conta
Sem consulta de sanções em tempo real	Responsabilidade por transações ligadas a partes sancionadas
Sem deteção de vivacidade biométrica	Impossibilidade de se defender perante reclamações de identidade sintética

As ameaças de deepfakes ao onboarding bancário atingiram uma escala que torna inevitável o quadro de responsabilidade do PSR. Ao abrigo do PSR, essas perdas acarretam responsabilidade institucional, exceto se os controlos de onboarding puderem demonstrar a sua adequação.

A Monitorização em Tempo Real É uma Obrigação Legal

O PSR impõe três categorias de controlos operacionais: verificação nome-IBAN, monitorização comportamental e de dispositivos em tempo real, e triagem de transações recebidas pelos PSP receptores. Não são boas práticas. São obrigações base que geram responsabilidade direta se estiverem ausentes.

O limiar SCA de 0,13% torna a questão da monitorização ainda mais determinante. Um PSP que atualiza as pontuações de risco de noite em vez de em tempo real provavelmente ultrapassará o limiar antes de os seus sistemas detetarem a acumulação. Nesse ponto, a isenção SCA de baixo risco desaparece em todas as transações, não apenas nas sinalizadas.

O argumento operacional para o KYC perpétuo nunca foi tão sólido: a monitorização contínua e orientada por eventos elimina o desfasamento entre um gatilho de risco e a resposta do controlo. Ao abrigo do PSR, esse desfasamento tem um custo financeiro direto.

A Carteira EUDI como Instrumento SCA Válido

O PSR reconhece explicitamente a Carteira de Identidade Digital da UE (EUDI Wallet) como instrumento SCA válido. Isso cria uma oportunidade de cumprimento significativa para os PSP que ajam cedo.

No âmbito do eIDAS 2.0, a Carteira EUDI contém atributos de identidade assinados criptograficamente — nome, data de nascimento, nacionalidade, NIF — emitidos por autoridades governamentais. Um PSP que aceita uma credencial da Carteira EUDI durante o onboarding obtém um substituto legalmente equivalente à verificação tradicional de documentos de identidade, com a vantagem adicional de que a credencial não pode ser replicada nem falsificada sem quebrar a cadeia de confiança nacional.

Isso também satisfaz os requisitos SCA em simultâneo. A mesma apresentação da Carteira EUDI que confirma a identidade pode servir como fator SCA — reduzindo duas obrigações de cumprimento a uma única interação.

O prazo de implantação da Carteira EUDI em dezembro de 2026 e a primeira vaga de execução do PSR chegam quase ao mesmo tempo. Para os PSP que integrem a aceitação da Carteira EUDI antes do início da execução, o cumprimento da PSD3/PSR e do eIDAS 2.0 tornam-se o mesmo projeto.

O Problema da Fraude por IA que o PSR Visa Resolver

O regime de responsabilidade por fraude do PSR surgiu em resposta a um padrão de ameaça específico: fraude autorizada impulsionada por engenharia social gerada por IA, contrapartes sintéticas e manipulação de identidade em tempo real.

Os ataques de injeção digital — em que fluxos de vídeo sintéticos contornam a API biométrica em vez da câmara — tornaram-se o principal vetor de fraude que visa a verificação de identidade remota. A fraude de identidade sintética custa ao setor financeiro um estimado de 3,1 mil milhões de dólares anuais, e as tomadas de controlo de contas impulsionadas por IA aumentaram 250% em termos anuais.

O PSR desloca a questão de "esta transação foi autorizada?" para "o PSP tinha os controlos para detetar que essa autorização era fraudulenta?". Para a fraude gerada por IA, em que a autorização parece legítima, a questão dos controlos recai diretamente na qualidade da verificação de identidade.

O Que os PSP Devem Ter Antes do Final de 2026

A preparação prática para o cumprimento articula-se em quatro linhas de trabalho:

1. Qualidade da verificação de identidade no onboarding

• Verificação de documentos com análise forense de metadados
• Deteção de vivacidade biométrica resistente a ataques de injeção e certificada PAD
• Consulta de sanções e PPE em tempo real na abertura de conta
• Infraestrutura de verificação cruzada nome-IBAN

2. Monitorização contínua para gestão da taxa de fraude

• Pontuação de risco comportamental e de dispositivos em tempo real
• Reverificação orientada por eventos para gatilhos de alto risco
• Dashboards de taxa de fraude calibrados face ao limiar PSR de 0,13% de SCA
• Escalada automática quando a taxa de fraude se aproxima do limiar de suspensão

3. Integração da Carteira EUDI

• Registo como parte confiante junto da autoridade eIDAS 2.0 nacional (início no terceiro trimestre de 2026)
• Infraestrutura de verificação de credenciais compatível com ARF
• Mapeamento de atributos da carteira para os campos de dados KYC existentes

4. Controlos contra fraude APP e engenharia social

• Avisos em tempo real sobre discrepâncias nome/identificador do beneficiário antes da execução
• Injeção de fricção para padrões de pagamento de alto risco
• Monitorização de transações ligada à pontuação de anomalias comportamentais

O Papel dos Agentes de IA no Cumprimento do PSR

Cumprir o limiar de taxa de fraude do PSR exige uma camada de monitorização que opere à velocidade de máquina. Os processos de revisão manual não conseguem manter uma consciência em tempo real da taxa de fraude em milhares de transações diárias.

Este é o problema operacional que os Agentes de IA da Joinble foram concebidos para resolver. A camada de compliance agêntica monitoriza continuamente os sinais de identidade, aciona a reverificação em eventos de risco definidos, mantém uma taxa de fraude atualizada face ao limiar do PSR e escala de forma autónoma quando a margem diminui. Sem ciclos em lote. Sem atrasos noturnos. Sem surpresas no final do trimestre.

A arquitetura de cumprimento do PSR pressupõe monitorização à velocidade de máquina. Os sistemas KYC estáticos e periódicos não conseguirão manter a postura operacional que o regulamento exige.

Calendário de Cumprimento do PSR

Data	Obrigação
23 de abril de 2026	PSD3 e PSR formalmente acordados
Final de 2026 – T1 2027	Primeira vaga: SCA, responsabilidade por fraude, open banking
T4 2026	Carteiras EUDI implantadas em todos os Estados-Membros da UE
Dezembro de 2027	Aceitação obrigatória da Carteira EUDI para casos de uso SCA
2027–2028	Transposição da PSD3 para o direito nacional pelos Estados-Membros

Perguntas Frequentes

PSD3/PSR substitui os requisitos SCA da PSD2?

Os requisitos SCA da PSD2 mantêm-se e reforçam-se ao abrigo do PSR. O PSR acrescenta o mecanismo de suspensão automática para PSP com taxas de fraude superiores a 0,13% e normaliza o reembolso por fraude APP, nenhum dos quais figurava na PSD2.

O PSR aplica-se a prestadores de serviços de pagamento fora da UE?

O PSR aplica-se a PSP que operam na UE — incluindo empresas com passaporte europeu — quando processam transações envolvendo clientes da UE ou contas de pagamento ligadas à UE. Os PSP de fora da UE que servem clientes europeus devem avaliar a sua exposição ao PSR serviço a serviço.

O que é a fraude APP e por que o PSR a trata especificamente?

A fraude de transferência autorizada (APP) ocorre quando um titular legítimo de conta é manipulado para autorizar um pagamento a uma contraparte fraudulenta. O PSR impõe o reembolso às vítimas de fraude APP e reparte a responsabilidade entre o PSP do ordenante e o do beneficiário consoante qual a instituição cujos controlos falharam em detetar a fraude.

Como a Carteira EUDI ajuda no cumprimento da SCA?

A Carteira EUDI é reconhecida como instrumento SCA válido ao abrigo do PSR. Uma apresentação da carteira inclui um atributo de identidade emitido pelo governo e um fator de posse vinculado ao dispositivo, satisfazendo o requisito SCA de dois fatores numa única interação.

A monitorização da fraude em tempo real é um requisito do PSR ou apenas uma boa prática?

É um requisito. O PSR impõe monitorização comportamental e de dispositivos em tempo real para a prevenção de fraude. A monitorização por ciclos em lote não satisfaz esta obrigação, e os PSP que ultrapassem o limiar de fraude de 0,13% perdem automaticamente a isenção SCA de baixo risco.

O que acontece se um PSP ultrapassar o limiar de fraude SCA de 0,13%?

A isenção de autenticação para transações de baixo risco é suspensa automaticamente, sem período de carência. O PSP deve aplicar SCA completa a todas as transações eletrónicas remotas até a taxa de fraude voltar a ficar abaixo do limiar, aumentando a fricção para toda a base de clientes.