Interoperabilidade em produção: porque 27 wallets não somam uma identidade europeia

Construir uma carteira de identidade digital é um problema resolvido. Vários Estados-Membros já lançaram a sua. A França tem a France Identité, a Áustria tem a eAusweise, a Itália tem a IT-Wallet, e Portugal tem uma abordagem nacional a ganhar forma através da ARTE e da INCM. A engenharia é conhecida, as normas existem, os fornecedores estão prontos.

O problema não resolvido começa no momento em que uma wallet emitida num país encontra uma entidade num outro. É aí que o quadro europeu de identidade digital cumpre a promessa ou passa a ser 27 aplicações nacionais com um logótipo comum.

O Regulamento (UE) 2024/1183 entrou em vigor a 20 de maio de 2024.1 Os actos de execução que se seguiram puseram o contador a andar. A consequência prática é dezembro de 2026: cada Estado-Membro tem de disponibilizar pelo menos uma EUDI Wallet certificada a cidadãos e residentes. Cerca de doze meses depois, as entidades obrigadas na banca, telecomunicações, saúde, energia, transportes, educação e nas grandes plataformas online passam a ter de a aceitar.4

Dois prazos, doze meses de intervalo. O primeiro é um prazo de engenharia. O segundo é um prazo de interoperabilidade, e é muito mais difícil.

O progresso rumo ao primeiro é desigual de uma forma que devia preocupar quem está a planear o segundo. Um levantamento publicado em abril de 2026 encontrou quatro Estados-Membros com ambientes de sandbox públicos, catorze com projectos anunciados e nada público para testar, sete a actualizar aplicações nacionais existentes, e um punhado, Portugal incluído, com aplicações existentes e sem caminho confirmado de actualização para EUDI Wallet.3 A oito meses do prazo, a maior parte da Europa não tinha um ambiente onde uma entidade estrangeira pudesse testar.

A distância entre conformidade e funcionamento

Uma wallet pode estar totalmente conforme e falhar no terreno. Conformidade significa que cumpre um esquema de certificação. Funcionamento significa que um cidadão português consegue abrir conta bancária na Alemanha, assinar um contrato de arrendamento em Espanha ou inscrever-se numa universidade finlandesa sem que ninguém na cadeia tenha de fazer um telefonema.

Entre esses dois estados há problemas que nenhum Estado-Membro resolve sozinho.

Os registos de confiança têm de concordar sobre o que estão a afirmar.

Quando uma entidade alemã recebe uma atestação de uma wallet portuguesa, precisa de responder a duas perguntas em milissegundos. Esta wallet está de facto certificada? O emissor deste atributo em concreto está de facto autorizado a emiti-lo? Responder a isto exige listas de confiança legíveis por máquina, actualizadas e mutuamente reconhecidas. Cada falha nessa cadeia transforma-se numa brecha de segurança ou numa transacção recusada.

Os níveis de garantia não significam o mesmo em todos os sítios.

O quadro define baixo, substancial e elevado. Na prática, a prova que cada Estado-Membro aceita para chegar a "elevado" reflecte a sua própria infra-estrutura de identidade e a sua tradição jurídica. Um país com um cartão de identificação maduro e um registo biométrico chega a garantia elevada por um caminho que um país sem essas bases não consegue replicar. A etiqueta atravessa fronteiras. A prova que a sustenta não atravessa, pelo menos não sem explicação.

Os esquemas de atributos divergem.

Um nome deixa de ser uma cadeia de caracteres simples assim que se cruza uma fronteira. Apelidos compostos, patronímicos, diacríticos e regras de transliteração diferem todos. Os formatos de endereço diferem mais. As qualificações profissionais diferem ainda mais: uma cédula de enfermagem, uma inscrição na ordem dos advogados ou uma carta profissional de pesado carregam semântica nacional que um modelo de dados comum consegue achatar sem conseguir reconciliar por completo.

A revogação é um problema de sistemas distribuídos com uma restrição de privacidade.

Alguém perde o telemóvel. Um emissor descobre um registo fraudulento. Uma qualificação caduca. Todas as entidades da Europa precisam de saber, depressa, sem que nenhuma delas fique a saber quais atestações uma pessoa em concreto está a apresentar noutros sítios. Resolver isto sem construir uma infra-estrutura de verificação com capacidade de vigilância é genuinamente difícil, e as especificações continuam a evoluir neste ponto.2

O que os Large-Scale Pilots ensinaram de facto

Seis consórcios de Large-Scale Pilots trabalharam cenários transfronteiriços reais: pagamentos, carta de condução móvel, qualificações profissionais, credenciais académicas, viagens e saúde electrónica. O valor não esteve em provar o conceito. Esteve em documentar os modos de falha.

O painel que fechou o bloco de interoperabilidade na LisbonID 2026 disse o mesmo no título. Yann Bouan, da Idakto, Ivan Marin, da Procivis, Florent Tournois, da ANTS, e Carlos A. Pina, do NOSi, sentaram-se com David Kelts para falar do que falha em produção, ao lado de André Vasconcelos, da ARTE, a apresentar a abordagem portuguesa à wallet. Ninguém discutiu protocolos.

O resultado que se repete em todos os pilotos é que as falhas se concentram nas fronteiras organizacionais, não no código. Uma wallet comunica com uma entidade. Ambas estão tecnicamente conformes. A transacção falha porque as duas partes interpretam de forma diferente um campo opcional, assumem coisas diferentes sobre a actualidade de uma lista de confiança, ou têm caminhos de escalamento diferentes quando algo corre mal.

Ninguém tem culpa e nada é corrigido, porque a falha não tem um dono partilhado.

É exactamente a classe de problema que a documentação não resolve e que só o tráfego real revela. É também por isso que os quinze meses que faltam até ao prazo de aceitação pelo sector privado pesam mais do que os dezoito que passaram.

O que já aprendemos com implementações nacionais

A Europa não parte do zero, e a evidência útil vem dos países que lançaram infra-estrutura nacional de identidade há anos e depois tiveram de viver com ela.

Portugal tem o Cartão de Cidadão há duas décadas. O cartão, o middleware que o faz funcionar em vários sistemas operativos e browsers, a cadeia de autenticação por trás da Autenticação.gov e mais tarde a Chave Móvel Digital formam em conjunto uma das implementações de eID nacional mais longas da Europa. A Caixa Mágica Software desenvolveu e manteve o middleware do Cartão de Cidadão, o que significa que as lições difíceis estão documentadas e não são teóricas: o que falha quando um fabricante de browsers muda o modelo de segurança, o que acontece à adopção quando uma actualização de driver falha numa distribuição, e quanto do peso de suporte cai no emissor em vez de cair em quem consome a identidade.

Cabo Verde oferece uma lição diferente. O NOSi construiu uma plataforma nacional de identidade e serviços digitais num Estado pequeno e com recursos limitados. A limitação acabou por ser esclarecedora. Quando não se pode construir sistemas paralelos para cada ministério, constrói-se uma camada de identidade e faz-se com que tudo a consuma. Carlos A. Pina descreve isto como uma experiência que vai além da tecnologia. A expressão é precisa. A construção técnica foi a metade menor do trabalho. Convencer instituições a abdicar dos seus próprios registos de utilizadores foi a metade maior.

A ANTS em França acompanhou a transição de um eID centrado no cartão para um eID centrado na wallet de dentro da autoridade emissora. Florent Tournois coloca a questão em termos de adopção, confiança e impacto, e não de implementação, o que reflecte o que acontece depois do lançamento: uma wallet que os cidadãos instalam e nunca abrem cumpriu o regulamento e falhou a missão.

O padrão é o mesmo nos três casos. A tecnologia entra em produção. O problema de adopção é cultural e institucional, e leva anos.

Onde a gestão de confiança encaixa na arquitectura

A gestão de confiança é a parte menos vistosa da pilha europeia de identidade e a parte com maior probabilidade de determinar se ela funciona.

David Kelts, da Decipher ID, defende que os ecossistemas de wallet e de login precisam de gestão de confiança como componente de primeira linha, não como detalhe de configuração. O argumento é directo. Numa federação entre duas partes, a confiança é um contrato. Num ecossistema aberto com milhares de emissores e milhões de entidades, a confiança tem de ser descobrível, verificável e revogável à velocidade da máquina, o que a torna um serviço operacional com requisitos de disponibilidade e um processo de resposta a incidentes.

Antonio Maio, da INCM, chega ao mesmo território pelo lado da garantia. Os níveis de garantia só são úteis se as práticas que os sustentam forem auditáveis e comparáveis. Uma entidade que aceita "substancial" de 27 fontes diferentes está implicitamente a confiar em 27 conjuntos diferentes de práticas de registo, regras de verificação de identidade e procedimentos de vinculação. Torná-los comparáveis é uma tarefa de governação com uma superfície técnica, e não o contrário.

A implicação incómoda é que a Europa está a implantar um sistema cujo elo mais fraco não é a criptografia nem a biometria. É a higiene dos registos: se as listas de confiança estão correctas, se as revogações se propagam, se o estado de certificação está actualizado, e se há alguém de prevenção quando não está.

O que as entidades devem fazer nos próximos doze meses

Se a sua organização cai na obrigação de aceitação, o erro a evitar é tratar isto como um exercício de compras que arranca quando o prazo se aproxima.

• Decida o que precisa realmente de verificar. A maioria das entidades recolhe em excesso por hábito. O quadro torna a divulgação selectiva prática, o que significa que pode perguntar se alguém tem mais de dezoito anos em vez de pedir a data de nascimento. Pode perguntar se reside num Estado-Membro em vez de pedir a morada. Cada atributo que não pede é um atributo que não tem de proteger, justificar ou explicar a um regulador.
• Planeie a falha parcial, não só o sucesso. Desenhe o caminho para o cidadão cuja apresentação de wallet falha às 23:00 de domingo. Se a alternativa é uma fila de suporte que abre na segunda-feira, construiu um sistema que serve o percurso ideal e abandona todos os outros. As alternativas não são um extra, são a diferença entre um sistema de identidade e uma demonstração.
• Teste cedo contra wallets de fora do seu país. Uma entidade que só testa contra a wallet nacional vai descobrir os problemas transfronteiriços em produção. O transfronteiriço é a razão de ser do quadro, por isso pertence à matriz de testes desde o início.
• Instrumente as falhas. Registe que atestações falham, de que emissores, em que passo. A interoperabilidade transfronteiriça vai melhorar através de ciclos de retorno entre entidades e emissores, e não se contribui para um ciclo que não se mede.
• Trate a conversão como métrica de segurança. Um fluxo de verificação que bloqueia fraude e bloqueia também um quinto dos utilizadores legítimos não tornou a organização mais segura. Transferiu o custo das perdas por fraude para clientes desistentes, onde é mais difícil de ver e mais fácil de ignorar.

A responsabilidade é a pergunta sem resposta

Todos os sistemas de identidade acabam por enfrentar a mesma pergunta, e não é técnica. Quando uma verificação está errada e alguém perde dinheiro, quem paga?

Numa federação fechada a resposta está num contrato. Um banco e o seu fornecedor de verificação acordam responsabilidades, definem o padrão de diligência e atribuem preço ao risco. Os juristas resolvem isso antes de o sistema entrar em produção.

Um ecossistema europeu aberto não tem essa estrutura. Uma entidade espanhola aceita uma atestação de uma wallet portuguesa, emitida por uma autoridade portuguesa, certificada por um organismo português de avaliação da conformidade, a correr em hardware de um fabricante que nenhuma das partes escolheu. A transacção corre mal. Talvez o registo por trás da atestação fosse fraudulento. Talvez uma revogação não se tenha propagado. Talvez a entidade tenha interpretado mal um campo opcional.

Onde reside atualmente a responsabilidade

O regulamento estabelece obrigações e estruturas de supervisão.1 Não produz uma resposta limpa sobre quem absorve uma perda concreta numa falha transfronteiriça concreta. Até haver jurisprudência não vai haver. Essa incerteza tem consequências práticas desde já.

As equipas de risco atribuem preço à incerteza de forma conservadora. Um banco que não consegue determinar a sua exposição ao aceitar uma atestação estrangeira vai aceitá-la a contragosto, acrescentar controlos compensatórios por cima e encaminhar essas transacções para revisão manual. A experiência de utilização que resulta disso é pior do que a do caminho nacional, o que anula o objectivo. Multiplique isto por 27 Estados-Membros e o quadro entrega interoperabilidade técnica com relutância comercial em cima.

Há um segundo cenário a planear. Os prazos em grandes programas públicos de tecnologia derrapam.5 Este envolve 27 esforços independentes de entrega com pontos de partida diferentes. Se um número relevante de Estados-Membros chegar atrasado, as entidades ficam com a obrigação de aceitar wallets que não existem de forma uniforme. O resultado provável é uma Europa a duas velocidades durante algum tempo, em que os fluxos com wallet funcionam bem entre um punhado de países bem preparados e recaem em captação de documento em todos os outros.

Planear para esse cenário não é pessimismo. É a diferença entre uma implementação que degrada com elegância e uma que surpreende quem a montou.

A pergunta que decide o resultado

A interoperabilidade técnica é um problema de engenharia resolúvel, e a Europa vai resolvê-lo em boa parte. A versão 3.0 do Architecture and Reference Framework chegou em julho de 2026 com um quadro de conformidade para wallets, o que é mais do que o ecossistema teve em qualquer momento anterior.2 Os esquemas de certificação estão a tomar forma. Os pilotos encontraram a maior parte das falhas evidentes.

A pergunta mais difícil é de governação. Quando uma transacção transfronteiriça falha, de quem é a falha? Quando as práticas de um emissor se revelam mais fracas do que o nível de garantia que declara, quem o suspende, e com que rapidez? Quando um Estado-Membro não cumpre o prazo, o que acontece aos cidadãos dos Estados que cumpriram? Nenhuma destas perguntas tem hoje resposta limpa, e nenhuma delas é técnica.

Esta é a conversa que vale a pena ter numa sala e não numa caixa de comentários. Precisa de quem emite credenciais, de quem as aceita, de quem as certifica e de quem as ataca, a discutir no mesmo sítio à mesma hora.