A regra da União Europeia para deepfakes entra em vigor, focando na ferramenta, não na fraude

O Artigo 50 da Lei de IA da UE aplica-se a partir de 2 de agosto de 2026. Provedores de sistemas generativos devem marcar suas saídas de forma legível por máquina; qualquer pessoa que utilize um deepfake deve declará-lo. O fraudador que o utiliza contra um banco ignora ambas as obrigações, e a regulamentação é escrita sabendo que eles o farão.

A versão resumida

• O Regulamento (UE) 2024/1689, a Lei de IA, aplica-se a partir de 2 de agosto de 2026. O Artigo 50 exige que os sistemas de IA que geram áudio, imagem, vídeo ou texto marquem suas saídas em um formato legível por máquina para que possam ser detectadas como artificialmente geradas.
• Qualquer pessoa que utilize um deepfake deve divulgar que o conteúdo é artificial. O Artigo 3(60) define um deepfake como conteúdo de IA que se assemelha a pessoas, lugares ou eventos reais que “pareceria falsamente a uma pessoa ser autêntico ou verdadeiro”.
• A violação do Artigo 50 acarreta multas de até EUR 15 milhões ou 3% do faturamento anual global, o que for maior. Sistemas já no mercado antes de 2 de agosto têm até 2 de dezembro de 2026 para cumprir a obrigação de marcação.
• A lista de alto risco da mesma Lei exclui expressamente a verificação biométrica 1:1, a verificação que confirma que uma pessoa é quem ela afirma ser. A ferramenta que ataca a verificação de identidade é regulamentada; a própria verificação é deixada para funcionar.

Deepfakes são agora uma entrada permanente nas avaliações de fraude dos reguladores

Em 30 de julho de 2026, a Gambling Commission da Grã-Bretanha publicou uma avaliação de risco que nomeia vídeos deepfake e trocas de rosto entre os métodos usados para contornar verificações de identidade, e classifica o risco de documentos de identidade no topo de sua escala. Um deepfake é um vídeo, áudio ou imagem gerado por IA que imita de forma convincente uma pessoa real.

Essa avaliação é um exemplo de um padrão mais amplo. Uma verificação construída para comparar um rosto com um documento presume que o rosto na câmera pertence a uma pessoa viva. Modelos generativos quebraram essa suposição, e a quebraram de forma barata: a ferramenta que produz um efeito de filme pode produzir um cliente sintético, e a verificação não consegue diferenciar apenas olhando.

A resposta da União Europeia veio dentro de sua lei geral de inteligência artificial, e não em um estatuto de fraude. O Regulamento (UE) 2024/1689, a Lei de IA, é a primeira lei abrangente de IA de um grande regulador. A maior parte de seu peso recai sobre sistemas de alto risco: dispositivos médicos, ferramentas de contratação, pontuação de crédito. Ele também traz um conjunto de deveres de transparência, no Artigo 50, voltados para as ferramentas generativas comuns que todos usam agora. Essas obrigações se aplicaram a partir de 2 de agosto de 2026.

A escolha de design que vale a pena notar é onde a obrigação se encontra. A Lei não proíbe deepfakes. Ela exige que a ferramenta marque o que produz e que o usuário divulgue o que utiliza. A razão declarada da Comissão Europeia é o direito de saber, registrado pela Comissária responsável quando o Código de Conduta de apoio foi publicado em 10 de junho de 2026.

Os europeus têm o direito de saber se o que veem, ouvem ou leem foi feito ou alterado por IA, especialmente quando tal conteúdo pode moldar o debate público. A transparência é como protegemos a confiança.

Henna Virkkunen, Vice-Presidente Executiva para Soberania Tecnológica, Segurança e Democracia, Comissão Europeia. Declaração de 10 de junho de 2026

O Artigo 50 divide o trabalho: provedores marcam, implementadores divulgam

O Artigo 50 do Regulamento (UE) 2024/1689 impõe duas principais obrigações a dois atores diferentes. Um provedor, a empresa que constrói ou fornece um sistema de IA generativa, deve garantir que suas saídas “sejam marcadas em um formato legível por máquina e detectáveis como artificialmente geradas ou manipuladas”. Um implementador, quem usa o sistema, deve divulgar um deepfake como artificial.

A obrigação do provedor é a infraestrutural. A marcação deve ser incorporada ao próprio sistema, e a Lei pede que as soluções técnicas sejam “eficazes, interoperáveis, robustas e confiáveis, na medida do tecnicamente viável”. “Legível por máquina” é a frase operacional: a marca é destinada a software, para que outros sistemas possam detectar conteúdo sintético sem a necessidade de um humano examiná-lo. A Lei não prescreve uma tecnologia. Marcas d'água e metadados de proveniência são os dois candidatos nos quais o trabalho de padrões da indústria convergiu.

A obrigação do implementador é a visível. Quem publica um deepfake deve declarar que o conteúdo é artificial, “o mais tardar no momento da primeira interação ou exposição”. Duas outras obrigações completam o conjunto. Sistemas que interagem com pessoas, como chatbots, devem se identificar como IA, a menos que isso seja óbvio, e empresas que executam reconhecimento de emoção ou categorização biométrica em pessoas devem informá-las.

Cada obrigação possui exceções, e elas merecem ser lidas. A marcação não é exigida onde a IA executa “uma função assistiva para edição padrão”, portanto, um retoque de foto não é um deepfake. Usos autorizados por lei para detectar ou investigar crimes estão isentos em toda a linha. A arte recebe atenção incomum: onde um deepfake faz parte de uma obra “evidentemente artística, criativa, satírica, fictícia ou análoga”, a divulgação só precisa ocorrer de forma “que não prejudique a exibição ou o prazer da obra”. O texto escrito por IA sobre assuntos de interesse público deve ser divulgado, a menos que um editor humano o tenha revisado e alguém detenha a responsabilidade editorial.

O preço da não conformidade é estabelecido no Artigo 99(4): multas de até EUR 15 milhões ou 3% do faturamento anual global total, o que for maior. Este é o nível médio da Lei, abaixo dos EUR 35 milhões e 7% reservados para práticas proibidas e acima do nível de 1% para o fornecimento de informações enganosas. A fiscalização cabe às autoridades nacionais de vigilância do mercado, os órgãos dos estados-membros que fiscalizam as regras de produtos.

A Lei chega em etapas, e 2 de agosto de 2026 foi a principal

O Artigo 113 do Regulamento (UE) 2024/1689 escalona a entrada em vigor da lei. Proibições de práticas proibidas de IA aplicaram-se a partir de 2 de fevereiro de 2025; obrigações para modelos de IA de propósito geral a partir de 2 de agosto de 2025. O regulamento como um todo, incluindo o Artigo 50, aplica-se a partir de 2 de agosto de 2026. Uma categoria de dever de alto risco segue em 2 de agosto de 2027.

Uma questão transitória é específica para o dever de marcação. De acordo com a orientação da Comissão Europeia, um sistema generativo já colocado no mercado antes de 2 de agosto de 2026 tem até 2 de dezembro de 2026 para cumprir o requisito de marcação legível por máquina, e o conteúdo gerado antes de 2 de agosto não precisa de rótulo retroativo. As obrigações de divulgação para os implementadores não têm tal período de carência. Elas começam a partir de 2 de agosto.

Os textos de apoio chegaram pouco antes do prazo. A Comissão publicou o Código de Conduta voluntário sobre a marcação e rotulagem de conteúdo gerado por IA em 10 de junho de 2026; assiná-lo é uma forma de demonstrar conformidade, embora “meios alternativos equivalentemente adequados” permaneçam abertos. Orientações da Comissão que esclarecem o escopo e fornecem exemplos práticos o acompanham.

Data	Regra	Status
1 de agosto de 2024	A Lei de IA entra em vigor — Regulamento (UE) 2024/1689, publicado no Jornal Oficial em 12 de julho de 2024, em vigor no vigésimo dia após.	Aprovado
2 de fevereiro de 2025	Práticas proibidas banidas — Capítulos I e II aplicam-se: pontuação social, certas práticas de manipulação e raspagem.	Aprovado
2 de agosto de 2025	Deveres do modelo de IA de propósito geral — O Capítulo V aplica-se a provedores de modelos de propósito geral colocados no mercado a partir desta data.	Aprovado
10 de junho de 2026	Código de Conduta publicado — Código voluntário sobre a marcação e rotulagem de conteúdo gerado por IA; comunicado de imprensa da Comissão IP/26/1328.	Aprovado
2 de agosto de 2026	O Artigo 50 se aplica — O regulamento como um todo se aplica. As obrigações de marcação, divulgação de deepfake, identificação de chatbot e aviso de reconhecimento de emoções estão ativas. Multas de até EUR 15 milhões ou 3%.	Em vigor
2 de dezembro de 2026	Período de carência de marcação termina — Sistemas colocados no mercado antes de 2 de agosto de 2026 devem cumprir a obrigação de marcação legível por máquina, de acordo com a orientação da Comissão.	Futuro
2 de agosto de 2027	Os deveres de alto risco do Artigo 6(1) se aplicam — A última parcela: classificação de alto risco para produtos sob a legislação de segurança existente da UE.	Futuro

A mesma Lei se recusa a classificar a verificação de identidade como de alto risco

O Anexo III do Regulamento (UE) 2024/1689 lista a identificação biométrica remota entre os usos de IA de alto risco, mas traça um limite. A listagem “não incluirá sistemas de IA destinados a serem usados para verificação biométrica cujo único propósito seja confirmar que uma pessoa natural específica é a pessoa que ela afirma ser”. Uma verificação de identidade 1:1 não está na lista de alto risco.

A distinção feita pelos redatores é entre pesquisar e confirmar. Um sistema de identificação biométrica remota escaneia rostos em um banco de dados para descobrir quem é alguém, geralmente sem o envolvimento da pessoa. Isso é de alto risco, com todo o aparato de avaliação de conformidade que se segue. Uma verificação biométrica responde a uma pergunta mais restrita: esta pessoa é aquela a quem pertence este passaporte, esta conta, esta reivindicação? A pessoa se apresenta e afirma uma identidade; o sistema a confirma ou a recusa. Isso fica fora da entrada.

O limite é uma linha de escopo, não uma isenção da lei. Um provedor de verificação ainda responde ao restante da Lei onde ela se aplica, à lei de proteção de dados e às regras setoriais de cada cliente que atende. E a Lei mantém dois usos vizinhos firmemente na lista de alto risco, reconhecimento de emoções e categorização biométrica por atributos sensíveis, ambos os quais também carregam deveres de divulgação do Artigo 50 quando implementados.

Lido em conjunto com os deveres de rotulagem, o mapa da Lei para a verificação de identidade é simétrico. A ferramenta generativa que pode fabricar um rosto deve marcar sua saída. A ferramenta de verificação que confirma um rosto é deixada fora da lista de alto risco para fazer seu trabalho. O documento que o deepfake ataca e a verificação que o lê são ambos, no esquema da Lei, infraestruturas que valem a pena manter legíveis. O outro novo livro de regras de identidade da Europa faz a mesma aposta na direção oposta: o regulamento antilavagem de dinheiro aceita um documento ou uma identidade eletrônica como rotas alternativas para verificação e se recusa a classificá-los.

Uma obrigação de rotulagem vincula os conformes, e essa é a questão em aberto que ela carrega

O Artigo 50, em vigor desde 2 de agosto de 2026, não impede que um fraudador gere um deepfake. Uma pessoa que usa vídeo sintético para fraudar um banco já estava cometendo crimes e não honrará uma obrigação de rotulagem. O que a regra constrói é uma infraestrutura de proveniência, carregada pela maioria dos sistemas conformes.

Os reguladores já usaram essa estrutura antes: coloque a obrigação onde a conformidade pode realmente ser obtida, para que a ausência do sinal esperado se torne informativa. Se os sistemas generativos convencionais marcam sua saída de forma legível por máquina, o conteúdo sintético não marcado se torna a anomalia, e o software no lado receptor tem algo para testar. A avaliação da Gambling Commission sobre IA em ambos os lados da verificação de identidade descreveu o lado atacante; o Artigo 50 é a primeira tentativa de fazer esse lado se anunciar.

Para uma equipe de conformidade ou fraude, as consequências são concretas, mas, por enquanto, modestas. As marcas são destinadas a máquinas, então os pipelines de verificação ganham um novo sinal para ler assim que os padrões técnicos se consolidarem; o Código de Conduta é onde essa convergência está acontecendo. Empresas que implementam IA generativa na comunicação com o cliente têm suas próprias obrigações de divulgação a partir de 2 de agosto. E as verificações de identidade continuam funcionando exatamente como antes, porque o regime de rotulagem assume que o atacante mais importante não rotulará.

A questão da proporcionalidade subjacente é a mesma de sempre, com uma nova roupagem. A obrigação recai sobre cada provedor e implementador conforme na União; o dano é causado por atores que a ignorarão. Se a infraestrutura de proveniência justifica essa distribuição de esforço é uma questão que as próprias exceções da Lei reconhecem sem resolver, e as primeiras decisões de fiscalização sob o Artigo 99(4) mostrarão como as autoridades nacionais a pesam. Nenhuma existe ainda. A regra tem oito dias.

Principais pontos

Os deveres estão ativos.

O Artigo 50 do Regulamento (UE) 2024/1689 aplica-se a partir de 2 de agosto de 2026: marcação legível por máquina para provedores, divulgação de deepfake para implementadores, identificação de chatbot e aviso para reconhecimento de emoções.

Existe um período de carência.

Sistemas no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir a obrigação de marcação, de acordo com a orientação da Comissão. As obrigações de divulgação não têm carência.

O nível da multa é de 15 milhões ou 3%.

O Artigo 99(4) estabelece o teto para violações de transparência em EUR 15 milhões ou 3% do faturamento global, o que for maior, fiscalizado pelas autoridades nacionais de vigilância do mercado.

A verificação não está na lista de alto risco.

O Anexo III exclui a verificação biométrica 1:1, a verificação que confirma uma identidade alegada, da entrada de identificação biométrica remota. O reconhecimento de emoções permanece na lista.

A regra constrói um sinal, não um escudo.

Os fraudadores não rotularão seus deepfakes. O valor, se vier, é que a saída principal marcada faz com que o tipo não marcado se destaque para as máquinas que verificam.

Onde a Didit se encaixa: verificações de identidade sob pressão de deepfakes

As obrigações do Artigo 50 recaem sobre provedores e implementadores de sistemas de IA generativa. Realizar uma verificação KYC (conheça seu cliente) é uma função diferente, e comprar verificação não torna ninguém em conformidade com a Lei de IA. Se sua empresa implementa ferramentas generativas na comunicação com o cliente, as obrigações de divulgação acima são suas para cumprir. O que um pipeline de verificação aborda é o outro lado do problema que esta publicação descreve: o cliente sintético que chega no onboarding.

Os módulos se alinham ao ataque. Detecção de Vida Passiva a US$ 0,10 por verificação testa se uma pessoa viva, e não um vídeo reproduzido ou gerado, está na frente da câmera. Correspondência Facial (1:1) a US$ 0,05 por verificação é precisamente a confirmação que o Anexo III descreve: compara a captura ao vivo com o retrato do documento para confirmar que a pessoa é quem ela afirma ser. Verificação de Identidade a US$ 0,15 por verificação lê e valida o próprio documento, e onde o documento possui um chip, Leitura NFC a US$ 0,15 por verificação extrai dados criptograficamente assinados que uma falsificação apresentada na tela não pode fornecer. Os preços atuais estão na página de preços.

O que permanece com você é o julgamento que a Lei deliberadamente deixa em vigor. Sua avaliação de risco decide quais verificações um cliente vê, e seus processos decidem o que acontece quando uma falha. Nenhum módulo de fornecedor lê as marcas legíveis por máquina do Artigo 50 ainda, porque os padrões técnicos ainda estão convergindo. Quando eles se consolidarem, o conteúdo marcado se tornará mais um sinal que um pipeline pode testar. Até então, a detecção de vida e os dados de chip são as defesas em funcionamento.

Perguntas frequentes

Quando as regras de rotulagem de deepfake da Lei de IA da UE entraram em vigor?

2 de agosto de 2026. O Artigo 113 do Regulamento (UE) 2024/1689 estabelece que o regulamento se aplica a partir dessa data, e as obrigações de transparência do Artigo 50 se aplicam com ele. Existe uma transição: sob a orientação da Comissão Europeia, os sistemas colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir a obrigação de marcação legível por máquina.

O que a Lei de IA define como deepfake?

O Artigo 3(60) do Regulamento (UE) 2024/1689 define um deepfake como “imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, objetos, lugares, entidades ou eventos existentes e que pareceria falsamente a uma pessoa ser autêntico ou verdadeiro”.

Quais são as penalidades por violar o Artigo 50 da Lei de IA?

Nos termos do Artigo 99(4) do Regulamento (UE) 2024/1689, a não conformidade com as obrigações de transparência do Artigo 50 acarreta multas administrativas de até EUR 15 milhões ou, para uma empresa, até 3% do faturamento anual global total do exercício financeiro anterior, o que for maior.

A Lei de IA trata a verificação de identidade como IA de alto risco?

Não a verificação um-para-um. O Anexo III lista os sistemas de identificação biométrica remota como de alto risco, mas afirma que isso “não incluirá sistemas de IA destinados a serem usados para verificação biométrica cujo único propósito seja confirmar que uma pessoa natural específica é a pessoa que ela afirma ser”. Os sistemas de reconhecimento de emoções permanecem na lista de alto risco.

O Código de Conduta sobre rotulagem de conteúdo de IA é obrigatório?

Não. A Comissão Europeia publicou o Código de Conduta sobre a marcação e rotulagem de conteúdo gerado por IA em 10 de junho de 2026 como uma ferramenta voluntária. Assiná-lo é uma forma de demonstrar conformidade com as obrigações de marcação e rotulagem do Artigo 50; os provedores podem, em vez disso, usar meios alternativos equivalentemente adequados.

Leitura relacionada

• A IA está agora em ambos os lados da verificação de identidade em jogos de azar — A avaliação de risco de 30 de julho do regulador do Reino Unido nomeia os deepfakes para os quais esta regra de rotulagem é direcionada.
• A lei da UE permite que cinco anos se passem antes de você verificar novamente quem possui um cliente — O outro instrumento de identidade da UE, elaborado com o mesmo padrão de datas escalonadas.
• A Ásia está transferindo o custo de verificações de identidade fracas para bancos e plataformas — O Japão está aposentando a verificação por upload de fotos à medida que deepfakes superam as verificações de documentos.
• Artigo 26 da AMLR: com que frequência você deve verificar novamente? — O que a UE espera após o onboarding, da mesma geração de livros de regras.

Fontes

1. Regulamento (UE) 2024/1689 que estabelece regras harmonizadas sobre inteligência artificial — Parlamento Europeu e Conselho · EUR-Lex · Artigos 3(60), 50, 99, 113 e Anexo III · aplica-se a partir de 2 de agosto de 2026
2. Comissão publica Código de Conduta sobre a marcação e rotulagem de conteúdo gerado por IA — Comunicado de imprensa da Comissão Europeia IP/26/1328 · 10 de junho de 2026 · fonte da declaração de Virkkunen
3. Orientações sobre obrigações de transparência para provedores e implementadores de certos sistemas de IA — Comissão Europeia · página de política atualizada em 6 de agosto de 2026
4. Obrigações de transparência sob o Artigo 50 da Lei de IA — Perguntas frequentes da Comissão Europeia · fonte para a transição de 2 de dezembro de 2026 e alocação de fiscalização
5. Código de Conduta sobre Transparência de Conteúdo Gerado por IA — Comissão Europeia · rota de conformidade voluntária para as obrigações de marcação e rotulagem

Quem escreveu isso

Tuan Nguyen — Crescimento · Didit

Escreve sobre verificação de identidade, fraude e conformidade na Didit.

Última revisão em 10 de agosto de 2026 contra as fontes acima