Compliance vai receber um upgrade de UX?

Há anos que o onboarding digital de clientes em instituições financeiras vive um paradoxo: quanto mais reforçamos o compliance, mais fricção criamos para o utilizador. O Regulamento (UE) 2024/1183 do Parlamento Europeu e do Conselho, de 11 de abril de 2024 (doravante, “eIDAS 2.0”) pode ser o primeiro passo sério para resolver esta tensão.

Os dados disponíveis sobre onboarding digital evidenciam uma tensão relevante: muitos consumidores europeus continuam a abandonar processos de abertura de conta ou de onboarding financeiro por razões associadas à complexidade, duração e exigência documental desses procedimentos. Paralelamente, as instituições financeiras estão sujeitas a obrigações cada vez mais exigentes de identificação, verificação e documentação dos seus clientes, cujo incumprimento pode determinar escrutínio e consequências sancionatórias.

A pergunta que o eIDAS 2.0 coloca é simples: e se compliance e experiência do utente deixassem, finalmente, de estar em conflito?

O Que Muda com o eIDAS 2.0

O eIDAS 2.0 representa uma mudança de paradigma na forma como a União Europeia concebe a identidade digital, com extensão para os setores de transportes, energia, bancário e financeiro, segurança social, saúde, água potável, postais, de infraestruturas digitais, telecomunicação ou educação.

O regime anterior centrava-se no reconhecimento mútuo de sistemas nacionais de identificação eletrónica. Cada Estado-Membro tinha os seus meios, e a interoperabilidade era limitada. O resultado foi uma Europa digitalmente fragmentada, onde abrir uma conta bancária noutro Estado-Membro continuava a ser um processo lento, manual e dependente de documentos físicos.

O eIDAS 2.0 cria uma infraestrutura europeia comum com alcance e aplicabilidade transfronteiriça. O seu instrumento central é a Carteira Europeia de Identidade Digital (“EUDI Wallet”), devendo cada Estado-Membro fornecer, pelo menos, uma carteira acessível às pessoas singulares e coletivas na União, diretamente ou através de uma entidade mandatada ou reconhecida. Através da EUDI Wallet, o utente poderá armazenar e utilizar os seus dados de identificação pessoal, isto é, a sua identidade digital de base, ou Personal Identification Data (“PID”) bem como certificados eletrónicos de atributos, ou Electronic Attestations of Attributes (“EAA”), que permitem comprovar atributos específicos, como qualificações profissionais, profissão, idade, licenças ou poderes de representação.

Enquanto a PID permite comprovar a identidade do utente, os EAA permitem comprovar determinados atributos ou qualidades sem necessidade de divulgação integral da identidade ou de documentos subjacentes. A carteira poderá, assim, ser utilizada para identificação, autenticação e partilha seletiva de dados perante entidades públicas ou privadas que integrem ou estejam obrigadas a aceitar a carteira, nos termos aplicáveis, em qualquer Estado-Membro.

Importa distinguir entre a obrigação de aceitação da EUDI Wallet e a sua utilização pelo utente. O eIDAS 2.0 prevê a aceitação obrigatória da Carteira por organismos públicos, quando exijam identificação eletrónica e autenticação para acesso a serviços em linha, bem como por determinados utilizadores privados sujeitos a requisitos de autenticação forte para identificação em linha, nos termos previstos no Regulamento. Essa aceitação ocorre, contudo, apenas mediante pedido voluntário do utente, não existindo uma obrigação geral de utilização da Carteira pelos cidadãos ou demais utentes.

O princípio subjacente é o do controlo pelo utilizador, uma aproximação ao princípio de “self-sovereignty”: apenas o utente decide o que partilha, com quem e para que finalidade. Pode comprovar que tem mais de 18 anos sem revelar a data de nascimento e apresentar as suas qualificações profissionais sem expor o resto da sua identidade. Esta lógica de divulgação seletiva é simultaneamente uma garantia de privacidade e um mecanismo de eficiência.

Em paralelo com o eIDAS 2.0, a União Europeia aprovou em 2024 um novo pacote legislativo em matéria de prevenção do branqueamento de capitais, o Regulamento (EU) 2024/1624 do Parlamento Europeu e do Conselho, de 31 de maio de 2024 (doravante, (“Regulamento AML”). O Regulamento AML, uma vez aplicável, estabelecerá regras diretamente aplicáveis em todos os Estados-Membros, sem necessidade de transposição, criando pela primeira vez um conjunto uniforme de regras de identificação e verificação de clientes para todas as instituições financeiras europeias.

É aqui que os dois regimes se encontram. O Regulamento AML define o que as instituições devem fazer: identificar o cliente, verificar a sua identidade, compreender a relação de negócio, avaliar o risco inerente àquele cliente e garantir que é efetuado no processo de screening. Por outro lado, o eIDAS 2.0 pode fornecer a infraestrutura para o fazer de forma mais fiável, mais rápida e com menos dependência de processos manuais.

O Que o eIDAS 2.0 Não Resolve

Não obstante o acima exposto, seria um erro ler o eIDAS 2.0 como uma solução completa para o compliance AML. Há limites claros que não podem ser ignorados.

As entidades regulatórias continuam obrigadas a avaliar o risco de branqueamento de capitais e do financiamento do terrorismo, do cliente e da relação de negócio, executar screening, identificar Pessoas Politicamente Expostas, e monitorizar continuamente as transações. A identidade digital resolve a pergunta “quem é?”, não resolve a pergunta “qual é o risco?”, nem como o mitigar devidamente.

Os Desafios da Implementação

A eficácia prática do eIDAS 2.0 dependerá da verificação cumulativa de três pressupostos essenciais: em primeiro lugar, a disponibilização, pelos Estados-Membros, de Carteiras Europeias de Identidade Digital conformes com os requisitos técnicos e jurídicos aplicáveis; em segundo lugar, a sua adoção efetiva pelos cidadãos e demais utentes; e, em terceiro lugar, a integração da Carteira Europeia de Identidade Digital nos processos internos das entidades privadas relevantes. A ausência de qualquer um destes pressupostos poderá comprometer a escala do ecossistema e limitar o impacto prático do novo regime.

Do lado das instituições financeiras, o desafio não é apenas jurídico, é sobretudo operacional. Os sistemas de onboarding foram construídos em torno de documentos físicos, OCR e revisão manual. Integrar a EUDI Wallet exige uma lógica diferente: receber credenciais digitais, validá-las em tempo real e integrar os dados nos sistemas internos de forma auditável.

Existe ainda o risco de fragmentação inicial: diferentes Estados-Membros poderão implementar soluções técnicas distintas, a velocidades diferentes. O objetivo é a interoperabilidade europeia, mas a realidade de curto prazo pode ser uma transição com assimetrias.

Se o ecossistema funcionar o compliance e KYC poderá tornar-se uma componente quase invisível da interação entre cidadãos e instituições. Não porque as exigências regulatórias sejam reduzidas, mas porque o eIDAS 2.0 poderá fornecer uma infraestrutura técnica e jurídica mais adequada ao cumprimento dessas exigências, permitindo processos de identificação e verificação mais fiáveis, eficientes, interoperáveis, com mais privacidade e transfronteiriços.