A regra europeia sobre 'deepfakes' está em vigor e recai sobre a ferramenta, não sobre a fraude

O Artigo 50 da Lei da IA da UE aplica-se a partir de 2 de agosto de 2026. Os fornecedores de sistemas generativos devem marcar a sua produção de forma legível por máquina; qualquer pessoa que implemente um 'deepfake' deve declará-lo. O fraudador que o utiliza contra um banco ignora ambos os deveres, e o regulamento foi redigido sabendo que o fará.

A versão curta

• O Regulamento (UE) 2024/1689, a Lei da IA, aplica-se a partir de 2 de agosto de 2026. O Artigo 50 exige que os sistemas de IA que geram áudio, imagem, vídeo ou texto marquem a sua produção num formato legível por máquina para que possa ser detetada como gerada artificialmente.
• Qualquer pessoa que implemente um 'deepfake' deve divulgar que o conteúdo é artificial. O Artigo 3(60) define um 'deepfake' como conteúdo de IA que se assemelha a pessoas, lugares ou eventos reais que “pareceria falsamente a uma pessoa ser autêntico ou verdadeiro”.
• A violação do Artigo 50 acarreta multas de até 15 milhões de euros ou 3% do volume de negócios anual mundial, o que for superior. Os sistemas já no mercado antes de 2 de agosto têm até 2 de dezembro de 2026 para cumprir o dever de marcação.
• A lista de alto risco da mesma Lei exclui expressamente a verificação biométrica 1:1, a verificação que confirma que uma pessoa é quem afirma ser. A ferramenta que ataca a verificação de identidade é regulada; a verificação em si é deixada para funcionar.

'Deepfakes' são agora uma entrada permanente nas avaliações de fraude dos reguladores

Em 30 de julho de 2026, a Gambling Commission da Grã-Bretanha publicou uma avaliação de risco que nomeia vídeos 'deepfake' e troca de rostos entre os métodos usados para contornar as verificações de identidade, e classifica o risco de documentos de identidade no topo da sua escala. Um 'deepfake' é um vídeo, áudio ou imagem gerado por IA que imita de forma convincente uma pessoa real.

Essa avaliação é uma instância de um padrão mais amplo. Uma verificação construída para comparar um rosto com um documento assume que o rosto na câmara pertence a uma pessoa viva. Modelos generativos quebraram essa suposição, e quebraram-na de forma barata: a ferramenta que produz um efeito de filme pode produzir um cliente sintético, e a verificação não consegue diferenciar apenas olhando.

A resposta da União Europeia chegou dentro da sua lei geral de inteligência artificial, e não num estatuto de fraude. O Regulamento (UE) 2024/1689, a Lei da IA, é a primeira lei abrangente de IA de um grande regulador. A maior parte do seu peso recai sobre sistemas de alto risco: dispositivos médicos, ferramentas de contratação, pontuação de crédito. Também inclui um conjunto de deveres de transparência, no Artigo 50, direcionados às ferramentas generativas comuns que todos usam agora. Esses deveres aplicam-se a partir de 2 de agosto de 2026.

A escolha de design a notar é onde o dever se situa. A Lei não proíbe 'deepfakes'. Exige que a ferramenta marque o que faz e que o utilizador divulgue o que implementa. A razão declarada pela Comissão Europeia é um direito de saber, registado pelo Comissário responsável quando o Código de Conduta de apoio foi publicado em 10 de junho de 2026.

Os europeus têm o direito de saber se o que veem, ouvem ou leem foi feito ou alterado por IA, especialmente quando tal conteúdo pode moldar o debate público. A transparência é como protegemos a confiança.

Henna Virkkunen, Vice-Presidente Executiva para a Soberania Tecnológica, Segurança e Democracia, Comissão Europeia. Declaração de 10 de junho de 2026

O Artigo 50 divide o trabalho: fornecedores marcam, implementadores divulgam

O Artigo 50 do Regulamento (UE) 2024/1689 impõe dois deveres principais a dois atores diferentes. Um fornecedor, a empresa que constrói ou fornece um sistema de IA generativa, deve garantir que as suas saídas “são marcadas num formato legível por máquina e detetáveis como artificialmente geradas ou manipuladas”. Um implementador, quem usa o sistema, deve divulgar um 'deepfake' como artificial.

O dever do fornecedor é o infraestrutural. A marcação tem de ser integrada no próprio sistema, e a Lei exige que as soluções técnicas sejam “eficazes, interoperáveis, robustas e fiáveis, na medida em que isso seja tecnicamente viável”. Legível por máquina é a frase operatória: a marca destina-se a software, para que outros sistemas possam detetar conteúdo sintético sem que um humano tenha de o examinar. A Lei não prescreve uma tecnologia. Marcas d'água e metadados de proveniência são os dois candidatos em que o trabalho de padrões da indústria convergiu.

O dever do implementador é o visível. Quem publica um 'deepfake' deve dizer que o conteúdo é artificial, “o mais tardar no momento da primeira interação ou exposição”. Dois deveres adicionais completam o conjunto. Sistemas que interagem com pessoas, como 'chatbots', devem identificar-se como IA, a menos que isso seja óbvio, e as empresas que executam reconhecimento de emoções ou categorização biométrica em pessoas devem informá-las.

Cada dever tem exceções, e vale a pena lê-las. A marcação não é exigida quando a IA desempenha “uma função de assistência para edição padrão”, portanto, um retoque de foto não é um 'deepfake'. Usos autorizados por lei para detetar ou investigar crimes estão isentos em toda a linha. A arte recebe um cuidado incomum: quando um 'deepfake' faz parte de uma obra “evidentemente artística, criativa, satírica, ficcional ou análoga”, a divulgação só precisa acontecer de uma forma “que não prejudique a exibição ou o usufruto da obra”. O texto escrito por IA sobre assuntos de interesse público deve ser divulgado, a menos que um editor humano o tenha revisto e alguém tenha responsabilidade editorial.

O preço da não conformidade é estabelecido no Artigo 99(4): multas de até 15 milhões de euros ou 3% do volume de negócios anual total mundial, o que for superior. Este é o nível intermédio da Lei, abaixo dos 35 milhões de euros e 7% reservados para práticas proibidas e acima do nível de 1% para o fornecimento de informações enganosas. A fiscalização cabe às autoridades nacionais de vigilância do mercado, os organismos dos Estados-Membros que fiscalizam as regras dos produtos.

A Lei chega em fases, e 2 de agosto de 2026 foi a principal

O Artigo 113 do Regulamento (UE) 2024/1689 escalona a entrada em vigor da lei. As proibições de práticas de IA proibidas aplicaram-se a partir de 2 de fevereiro de 2025; as obrigações para modelos de IA de uso geral a partir de 2 de agosto de 2025. O regulamento como um todo, incluindo o Artigo 50, aplica-se a partir de 2 de agosto de 2026. Uma categoria de dever de alto risco segue em 2 de agosto de 2027.

Uma questão transitória para o dever de marcação especificamente. De acordo com as orientações da Comissão Europeia, um sistema generativo já colocado no mercado antes de 2 de agosto de 2026 tem até 2 de dezembro de 2026 para cumprir o requisito de marcação legível por máquina, e o conteúdo gerado antes de 2 de agosto não necessita de etiqueta retroativa. Os deveres de divulgação para os implementadores não têm tal período de carência. Eles começam a partir de 2 de agosto.

Os textos de apoio foram publicados pouco antes do prazo. A Comissão publicou o Código de Conduta voluntário sobre a marcação e rotulagem de conteúdo gerado por IA em 10 de junho de 2026; assiná-lo é uma forma de demonstrar conformidade, embora “meios alternativos equivalentemente adequados” permaneçam abertos. As diretrizes da Comissão que clarificam o âmbito e fornecem exemplos práticos acompanham-no.

Data	Regra	Estado
1 de agosto de 2024	A Lei da IA entra em vigor — Regulamento (UE) 2024/1689, publicado no Jornal Oficial em 12 de julho de 2024, em vigor no vigésimo dia após.	Aprovado
2 de fevereiro de 2025	Práticas proibidas banidas — Capítulos I e II aplicam-se: pontuação social, certas práticas de manipulação e 'scraping'.	Aprovado
2 de agosto de 2025	Deveres do modelo de IA de uso geral — O Capítulo V aplica-se aos fornecedores de modelos de uso geral colocados no mercado a partir desta data.	Aprovado
10 de junho de 2026	Código de Conduta publicado — Código voluntário sobre a marcação e rotulagem de conteúdo gerado por IA; comunicado de imprensa da Comissão IP/26/1328.	Aprovado
2 de agosto de 2026	O Artigo 50 aplica-se — O regulamento como um todo aplica-se. Os deveres de marcação, divulgação de 'deepfake', identificação de 'chatbot' e aviso de reconhecimento de emoções estão em vigor. Multas até 15 milhões de euros ou 3%.	Em vigor
2 de dezembro de 2026	Período de carência de marcação termina — Os sistemas colocados no mercado antes de 2 de agosto de 2026 devem cumprir o dever de marcação legível por máquina, de acordo com as orientações da Comissão.	Futuro
2 de agosto de 2027	Os deveres de alto risco do Artigo 6(1) aplicam-se — A última tranche: classificação de alto risco para produtos sob a legislação de segurança da UE existente.	Futuro

A mesma Lei recusa-se a classificar a verificação de identidade como de alto risco

O Anexo III do Regulamento (UE) 2024/1689 lista a identificação biométrica remota entre os usos de IA de alto risco, mas depois estabelece um limite. A listagem “não incluirá sistemas de IA destinados a ser utilizados para verificação biométrica cujo único objetivo seja confirmar que uma pessoa singular específica é a pessoa que afirma ser”. Uma verificação de identidade 1:1 não está na lista de alto risco.

A distinção feita pelos redatores é entre procurar e confirmar. Um sistema de identificação biométrica remota examina rostos contra uma base de dados para descobrir quem é alguém, tipicamente sem o seu envolvimento. Isso é de alto risco, com todo o aparato de avaliação de conformidade que se segue. Uma verificação biométrica responde a uma questão mais restrita: esta pessoa é aquela a quem pertence este passaporte, esta conta, esta reivindicação? A pessoa apresenta-se e afirma uma identidade; o sistema confirma-a ou recusa-a. Isso fica fora da entrada.

O limite é uma linha de âmbito, não uma isenção da lei. Um fornecedor de verificação ainda responde ao resto da Lei onde aplicável, à lei de proteção de dados e às regras setoriais de cada cliente que serve. E a Lei mantém dois usos vizinhos firmemente na lista de alto risco, reconhecimento de emoções e categorização biométrica por atributos sensíveis, ambos os quais também acarretam deveres de divulgação do Artigo 50 quando implementados.

Lida em conjunto com os deveres de rotulagem, o mapa da Lei da verificação de identidade é simétrico. A ferramenta generativa que pode fabricar um rosto deve marcar a sua produção. A ferramenta de verificação que confirma um rosto é deixada fora da lista de alto risco para fazer o seu trabalho. O documento que o 'deepfake' ataca e a verificação que o lê são ambos, no esquema da Lei, infraestruturas que vale a pena manter legíveis. O outro novo conjunto de regras de identidade da Europa faz a mesma aposta na direção oposta: o regulamento anti-branqueamento de capitais aceita um documento ou uma identidade eletrónica como rotas alternativas para a verificação e recusa-se a classificá-los.

Um dever de rotulagem vincula os conformes, e essa é a questão aberta que acarreta

O Artigo 50, em vigor desde 2 de agosto de 2026, não impede um fraudador de gerar um 'deepfake'. Uma pessoa que usa vídeo sintético para defraudar um banco já estava a cometer crimes e não honrará um dever de rotulagem. O que a regra constrói é uma infraestrutura de proveniência, levada pela maioria conforme das ferramentas.

Os reguladores já usaram essa estrutura antes: colocar a obrigação onde a conformidade pode realmente ser obtida, para que a ausência do sinal esperado se torne informativa. Se os sistemas generativos convencionais marcarem a sua produção de forma legível por máquina, o conteúdo sintético não marcado torna-se a anomalia, e o software no lado recetor tem algo para testar. A avaliação da Gambling Commission sobre a IA em ambos os lados da verificação de identidade descreveu o lado atacante; o Artigo 50 é a primeira tentativa de fazer com que esse lado se anuncie.

Para uma equipa de conformidade ou fraude, as consequências são concretas, mas, por enquanto, modestas. As marcas destinam-se a máquinas, portanto, as condutas de verificação ganham um novo sinal para ler assim que o trabalho de padrões se estabilizar; o Código de Conduta é onde essa convergência está a acontecer. As empresas que implementam IA generativa na comunicação com o cliente têm os seus próprios deveres de divulgação a partir de 2 de agosto. E as verificações de identidade continuam a funcionar exatamente como antes, porque o regime de rotulagem assume que o atacante mais importante não rotulará.

A questão da proporcionalidade subjacente é a questão permanente, com um novo disfarce. O dever recai sobre todos os fornecedores e implementadores conformes na União; o dano é causado por atores que o ignorarão. Se a infraestrutura de proveniência justifica essa distribuição de esforço é uma questão que as próprias exclusões da Lei reconhecem sem resolver, e as primeiras decisões de fiscalização sob o Artigo 99(4) mostrarão como as autoridades nacionais a pesam. Nenhuma existe ainda. A regra tem oito dias.

Pontos chave

Os deveres estão em vigor.

O Artigo 50 do Regulamento (UE) 2024/1689 aplica-se a partir de 2 de agosto de 2026: marcação legível por máquina para fornecedores, divulgação de 'deepfake' para implementadores, identificação de 'chatbot' e aviso para reconhecimento de emoções.

Existe um período de carência.

Os sistemas no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir o dever de marcação, de acordo com as orientações da Comissão. Os deveres de divulgação não têm carência.

O nível de multa é de 15 milhões ou 3%.

O Artigo 99(4) estabelece o teto para violações de transparência em 15 milhões de euros ou 3% do volume de negócios mundial, o que for superior, fiscalizado pelas autoridades nacionais de vigilância do mercado.

A verificação não está na lista de alto risco.

O Anexo III exclui a verificação biométrica 1:1, a verificação que confirma uma identidade reivindicada, da entrada de identificação biométrica remota. O reconhecimento de emoções permanece na lista de alto risco.

A regra constrói um sinal, não um escudo.

Os fraudadores não rotularão os seus 'deepfakes'. O valor, se vier, é que a produção convencional marcada faz com que o tipo não marcado se destaque para as máquinas que verificam.

Onde a Didit se encaixa: verificações de identidade sob pressão de 'deepfakes'

Os deveres do Artigo 50 recaem sobre os fornecedores e implementadores de sistemas de IA generativa. Realizar uma verificação KYC (conheça o seu cliente) é uma função diferente, e comprar verificação não torna ninguém conforme com a Lei da IA. Se a sua empresa implementa ferramentas generativas na comunicação com o cliente, os deveres de divulgação acima são seus para cumprir. O que uma conduta de verificação aborda é o outro lado do problema que esta publicação descreve: o cliente sintético que chega ao 'onboarding'.

Os módulos mapeiam o ataque. A Prova de Vida Passiva a 0,10€ por verificação testa se uma pessoa viva, e não um vídeo reproduzido ou gerado, está à frente da câmara. A Correspondência Facial (1:1) a 0,05€ por verificação é precisamente a confirmação que o Anexo III descreve: compara a captura ao vivo com o retrato do documento para confirmar que a pessoa é quem afirma ser. A Verificação de ID a 0,15€ por verificação lê e valida o próprio documento, e onde o documento possui um chip, a Leitura NFC a 0,15€ por verificação extrai dados criptograficamente assinados que um falso apresentado em ecrã não pode fornecer. Os preços atuais estão na página de preços.

O que permanece consigo é o julgamento que a Lei deliberadamente mantém. A sua avaliação de risco decide quais as verificações que um cliente vê, e os seus processos decidem o que acontece quando uma falha. Nenhum módulo de fornecedor lê as marcas legíveis por máquina do Artigo 50 ainda, porque os padrões técnicos ainda estão a convergir. Quando se estabilizarem, o conteúdo marcado torna-se mais um sinal que uma conduta pode testar. Até então, a prova de vida e os dados do chip são as defesas operacionais.

Perguntas frequentes

Quando entraram em vigor as regras de rotulagem de 'deepfake' da Lei da IA da UE?

2 de agosto de 2026. O Artigo 113 do Regulamento (UE) 2024/1689 estabelece que o regulamento se aplica a partir dessa data, e as obrigações de transparência do Artigo 50 aplicam-se com ele. Existe uma transição: de acordo com as orientações da Comissão Europeia, os sistemas colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir o dever de marcação legível por máquina.

O que a Lei da IA define como 'deepfake'?

O Artigo 3(60) do Regulamento (UE) 2024/1689 define um 'deepfake' como “conteúdo de imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, objetos, lugares, entidades ou eventos existentes e pareceria falsamente a uma pessoa ser autêntico ou verdadeiro”.

Quais são as penalidades por violar o Artigo 50 da Lei da IA?

Nos termos do Artigo 99(4) do Regulamento (UE) 2024/1689, a não conformidade com as obrigações de transparência do Artigo 50 acarreta multas administrativas de até 15 milhões de euros ou, para uma empresa, até 3% do volume de negócios anual total mundial do exercício financeiro anterior, o que for superior.

A Lei da IA trata a verificação de identidade como IA de alto risco?

Não a verificação um-para-um. O Anexo III lista os sistemas de identificação biométrica remota como de alto risco, mas declara que isso “não incluirá sistemas de IA destinados a ser utilizados para verificação biométrica cujo único objetivo seja confirmar que uma pessoa singular específica é a pessoa que afirma ser”. Os sistemas de reconhecimento de emoções permanecem na lista de alto risco.

O Código de Conduta sobre a rotulagem de conteúdo de IA é obrigatório?

Não. A Comissão Europeia publicou o Código de Conduta sobre a marcação e rotulagem de conteúdo gerado por IA em 10 de junho de 2026 como uma ferramenta voluntária. Assiná-lo é uma forma de demonstrar conformidade com as obrigações de marcação e rotulagem do Artigo 50; os fornecedores podem, em vez disso, usar meios alternativos equivalentemente adequados.

Leitura relacionada

• A IA está agora em ambos os lados da verificação de identidade no jogo — A avaliação de risco do regulador do Reino Unido de 30 de julho nomeia os 'deepfakes' a que esta regra de rotulagem se destina.
• A lei da UE permite que cinco anos passem antes de reverificar quem possui um cliente — O outro instrumento de identidade da UE, redigido com o mesmo padrão de datas escalonadas.
• A Ásia está a transferir o custo das verificações de identidade fracas para bancos e plataformas — O Japão está a retirar a verificação por upload de fotos à medida que os 'deepfakes' superam as verificações de documentos.
• Artigo 26 do AMLR: com que frequência deve reverificar? — O que a UE espera após o 'onboarding', da mesma geração de livros de regras.

Fontes

1. Regulamento (UE) 2024/1689 que estabelece regras harmonizadas em matéria de inteligência artificial — Parlamento Europeu e Conselho · EUR-Lex · Artigos 3(60), 50, 99, 113 e Anexo III · aplica-se a partir de 2 de agosto de 2026
2. A Comissão publica o Código de Conduta sobre a marcação e rotulagem de conteúdo gerado por IA — Comunicado de imprensa da Comissão Europeia IP/26/1328 · 10 de junho de 2026 · fonte da declaração de Virkkunen
3. Orientações sobre as obrigações de transparência para fornecedores e implementadores de determinados sistemas de IA — Comissão Europeia · página de política atualizada em 6 de agosto de 2026
4. Obrigações de transparência ao abrigo do Artigo 50 da Lei da IA — FAQ da Comissão Europeia · fonte para a transição de 2 de dezembro de 2026 e alocação de fiscalização
5. Código de Conduta sobre Transparência de Conteúdo Gerado por IA — Comissão Europeia · via de conformidade voluntária para os deveres de marcação e rotulagem

Quem escreveu isto

Tuan Nguyen — Crescimento · Didit

Escreve sobre verificação de identidade, fraude e conformidade na Didit.

Última revisão em 10 de agosto de 2026 contra as fontes acima