Construindo Verificação de Identidade Segura e Conforme no Mundo da eIDAS 2.0

Ao longo da União Europeia, a eIDAS (identificação eletrônica, autenticação e serviços de confiança) é uma das principais regulamentações que define como cidadãos, empresas e autoridades devem interagir entre si no ambiente digital. Adotada em 2016, a eIDAS estabelece padrões para identificação eletrônica e cria segurança jurídica para interações digitais em toda a União.

A versão atualizada (eIDAS 2.0) trouxe várias características cruciais para o quadro original da eIDAS. Em primeiro lugar, introduziu a Carteira de Identidade Digital Europeia que cada estado-membro da UE deve tornar disponível para seus cidadãos até o final de 2026. A carteira visa simplificar as interações digitais entre fronteiras, permitindo que as pessoas se identifiquem, armazenem e compartilhem dados verificados, bem como acessem serviços públicos e privados.

No entanto, à medida que o processo de integração digital se torna mais padronizado, as empresas precisam pensar não apenas na conformidade, mas também em como seus sistemas de verificação são construídos. O que realmente importa é se os dados sensíveis do usuário podem ser processados sem deixar o perímetro seguro dentro da arquitetura on-premise ou on-device. Para as empresas, isso significa que alinhar os fluxos de trabalho de KYC com o novo quadro é apenas parte da tarefa. Igualmente importante é escolher tecnologias que suportem a conformidade sem armazenar e transmitir dados sensíveis em nenhum lugar.

Entendendo os Níveis de Garantia da eIDAS

As regras da eIDAS padronizaram como os meios de identificação eletrônica devem ser emitidos e utilizados, tornando a integração em serviços digitais mais fácil para os clientes, independentemente do país da UE de onde vêm. O quadro define três Níveis de Garantia (LoA) – cada um contendo um conjunto de padrões para identificação eletrônica. Esses padrões são exatamente o que os provedores de KYC e os fornecedores de verificação de identidade precisam alinhar se desejam se apresentar como conformes com a eIDAS.

O nível “baixo” oferece um grau básico de certeza sobre uma identidade alegada, “substantivo” exige verificações mais rigorosas com menos chances de mau uso, e “alto” visa fornecer a máxima garantia, respaldada pelas proteções mais fortes contra fraude de identidade. As empresas escolhem o nível que precisam com base em sua exposição ao risco, na sensibilidade dos dados que manipulam e em quaisquer outras obrigações regulamentares que se aplicam a seus serviços.

A Principal Força e Fraqueza dos Padrões de Verificação de Identidade da eIDAS

Uma das principais forças dos padrões de verificação de identidade da eIDAS é que eles criam um quadro comum para toda a União Europeia. Em termos práticos, isso significa que uma abordagem de verificação de identidade projetada para alinhar com a eIDAS pode servir como uma base sólida para operar em diferentes estados-membros da UE, em vez de ser reconstruída do zero para cada país.

A principal fraqueza dos padrões de verificação de identidade da eIDAS, em nossa opinião, é que eles não apoiam ativamente o desenvolvimento de tecnologias de verificação on-premise / on-device – aquelas que realmente protegem os dados pessoais dos cidadãos contra violações e garantem fluxos de trabalho de verificação de identidade sem fricção. Quadros que regulamentam o armazenamento e a transmissão podem reduzir o risco, mas não removem a superfície de risco em si. Cada vez que os dados de identidade são coletados ou transferidos, cria-se uma nova oportunidade de vazamento, e a conformidade regulamentar sozinha não pode remover completamente essa vulnerabilidade.

Pode parecer que a eIDAS está construindo um ecossistema de verificação de identidade unificado e seguro em toda a Europa. De muitas maneiras, certamente está criando um mais consistente e conveniente. Mas isso realmente significa segurança? Na OCR Studio, acreditamos que a proteção verdadeira só pode ser fornecida por tecnologias que não exigem que os dados pessoais sejam armazenados ou transmitidos em primeiro lugar. Na verificação de identidade, a arquitetura mais segura não é aquela que lida com dados sensíveis de forma mais cuidadosa, mas aquela que remove a necessidade de manipulá-los em absoluto.

Como Construir uma Verificação de Identidade Segura e Conforme

Como cada nível de garantia da eIDAS é amplamente construído em torno do princípio de minimizar o armazenamento e a transferência de dados pessoais, tecnologias on-premise / on-device são a forma mais eficaz de construir um sistema de verificação de identidade que seja ao mesmo tempo conforme e genuinamente seguro. Do ponto de vista tecnológico, esses sistemas superam as arquiteturas que dependem de infraestrutura em nuvem ou servidores externos, pois não são vulneráveis a falhas de terceiros e podem operar mesmo sem uma conexão de internet estável.

Abaixo, usando três dos principais padrões da eIDAS como exemplos, mostramos como as tecnologias modernas on-device atendem plenamente a esses requisitos de verificação de identidade:

“A pessoa pode ser considerada como estando em posse de evidências reconhecidas pelo Estado-Membro em que o pedido de meios de identificação eletrônica está sendo feito e representando a identidade alegada”

Para verificar que o usuário é o legítimo detentor do documento, os sistemas de verificação geralmente realizam verificações de selfie para ID, comparando a selfie do apresentador com a foto do ID. Os sistemas on-device realizam as mesmas verificações com a mesma precisão, sem transmitir dados biométricos sensíveis em nenhum lugar. Alguns sistemas on-device também são capazes de detectar ataques de apresentação quando os fraudadores usam recapturas de tela e fotocópias – isso garante que o usuário esteja realmente presente.

“As evidências podem ser consideradas autênticas, ou existir de acordo com uma fonte autoritativa e as evidências parecem ser válidas”

Para atender a este requisito, um sistema de verificação de identidade deve ser capaz de avaliar se o documento apresentado pelo usuário parece autêntico e válido. Algumas soluções on-device fazem isso combinando reconhecimento de ID com tecnologias de forensics de documentos. Com base em uma única foto do documento, elas podem detectar várias manipulações, incluindo deepfakes, IDs geradas por IA e IDs morfadas. Elas também podem verificar períodos de validade e cross-validar dados do VIZ, MRZ e NFC para identificar inconsistências que possam indicar fraude ou manipulação.

“Manter, na medida do permitido pela lei nacional ou por outros arranjos administrativos nacionais, e proteger registros por tanto tempo quanto forem necessários para o propósito de auditoria e investigação de violações de segurança, e retenção, após o que os registros devem ser destruídos com segurança”

Este requisito não é sobre armazenar todos os dados pessoais por padrão, mas sobre manter o sistema passível de auditoria. O desafio real é arquitetônico: como os dados de identidade podem ser processados localmente enquanto a rastreabilidade é preservada? Em nossa opinião, os dados não devem ser transferidos para processamento, mas apenas para fins de auditoria estritamente limitados e seguros. Abordagens futuras podem incluir registro seletivo, registros de auditoria criptografados ou mecanismos que preservam a capacidade de auditoria sem expor dados pessoais brutos. Isso não é uma limitação do modelo on-device, mas um desafio mais amplo para a próxima geração de sistemas de verificação de identidade.

Como você pode ver, tecnologias on-premise atendem plenamente aos principais requisitos da eIDAS enquanto evitam a principal fraqueza do quadro. Como elas não exigem armazenamento ou transmissão de dados, elas fornecem uma proteção muito mais forte contra vazamentos de dados pessoais do que as abordagens alternativas. Tais tecnologias podem suportar fluxos de trabalho de verificação de identidade em qualquer nível de garantia exigido, desde “baixo” até “alto”.

A Arquitetura On-Premise Vai Além da Conformidade com a eIDAS

Atender aos requisitos da eIDAS é essencial para qualquer empresa que opera na UE. No entanto, a conformidade sozinha não é suficiente para garantir a proteção real dos dados dos clientes. Para construir um KYC verdadeiramente seguro, as empresas precisam olhar além da conformidade formal e prestar atenção às características técnicas das soluções de verificação de identidade que utilizam. Em nossa opinião, a escolha mais segura não é um fornecedor que apenas minimiza a coleta de dados pessoais, mas aquele que remove a necessidade de coletar e transmitir esses dados em todos os estágios.