A Carteira EUDI na Banca: Abertura de Conta, Autenticação, Pagamentos e Responsabilidade

Os bancos vão cruzar-se com a Carteira Europeia de Identidade Digital em três momentos: quando o cliente abre conta, quando entra na app ou aprova uma operação e, possivelmente, quando paga. Cada uso cai sob uma lei diferente, com um prazo diferente e perguntas em aberto diferentes.

Este artigo separa os três usos, explica o que cada lei exige e reúne o que os bancos ainda estão a perguntar aos reguladores.

Três Usos, Três Leis

O Que Muda para o Cliente

Ajuda imaginar o lado do cliente antes de olhar para a lei.

Um cliente em 2028 quer abrir conta num banco de outro Estado-Membro. Hoje, isso significa normalmente fotografar o passaporte, tirar uma selfie e por vezes esperar por uma revisão manual. Com a carteira, a app do banco mostra um pedido: o banco pede nome, data de nascimento, nacionalidade e morada para a abertura de conta. O cliente vê exatamente o que é pedido, aprova no telemóvel e o processo continua. Não é carregada nenhuma foto de documento.

Uma semana depois, o cliente entra na app do banco. Ao lado do método de autenticação do banco, há a opção de entrar com a carteira. O cliente escolhe-a, confirma com a biometria do telemóvel e entra.

Mais tarde, o cliente aprova uma transferência elevada. O banco mostra o montante e o beneficiário. O cliente confirma na carteira, que associa a aprovação a esses dados.

Cada passo cai sob uma regra diferente. O primeiro é diligência devida ao abrigo do Regulamento de branqueamento. O segundo é autenticação forte ao abrigo do eIDAS 2.0. O terceiro é autorização de pagamento ao abrigo da DSP2 e, mais tarde, do Regulamento dos Serviços de Pagamento. Os bancos têm de tratar os três, mesmo que o cliente veja uma só carteira.

Abertura de Conta

As normas finais de diligência devida da AMLA aceitam a identificação eletrónica com nível de garantia substancial ou elevado do eIDAS, incluindo a Carteira EUDI, para verificar um cliente. Vários fornecedores que analisaram o texto descrevem a verificação remota por documento e selfie como uma alternativa que os bancos têm de justificar.

Para os bancos, a carteira oferece uma abertura de conta mais limpa: dados de identidade assinados por um Estado-Membro, partilhados com o consentimento do cliente, sem foto de documento para analisar. O limite é a cobertura. As carteiras vão chegar país a país a partir de dezembro de 2026, mas a adoção vai levar tempo.

Autenticação Forte

O artigo 5.º-F do eIDAS 2.0 é a obrigação mais firme. Até 24 de dezembro de 2027, as entidades privadas que por lei ou contrato têm de usar autenticação forte passam a ter de aceitar a carteira quando o utilizador o pede. Bancos, prestadores de serviços de pagamento e instituições de moeda eletrónica estão claramente abrangidos.

Isto levanta questões práticas. Pode um banco deixar o cliente usar a carteira como um dos fatores de autenticação? Precisa de um acordo de subcontratação com cada fornecedor de carteira? A OneSpan defendeu que as regras podem ser lidas nesse sentido. A Stibbe lembra que a DSP2 exige também a ligação dinâmica, em que o montante e o beneficiário ficam associados à autenticação. As carteiras têm de suportar isso nos pagamentos.

Pagamentos

A especificação de pagamentos da carteira, conhecida como TS12, define como uma carteira faz a autenticação forte em pagamentos com cartão e por conta e em mandatos de pagamento. Dá aos bancos uma forma normalizada de aceitar uma aprovação feita com a carteira.

O Regulamento dos Serviços de Pagamento vai substituir grande parte da DSP2. O acordo político data de 27 de novembro de 2025. Segundo a Sopra Steria, o Conselho e a comissão ECON do Parlamento aprovaram o compromisso final na primavera de 2026, com publicação esperada no segundo semestre e cumprimento previsto para cerca de 2028. Vários fornecedores descrevem o novo Regulamento como permitindo a autenticação delegada, em que um prestador de pagamentos se apoia num terceiro, como uma carteira. Convém confirmar o texto final quando for publicado.

Como Funciona a Integração

Para a equipa de tecnologia de um banco, aceitar a carteira envolve algumas peças.

• Registo. O banco regista-se como entidade que confia na carteira no seu Estado-Membro e declara que dados vai pedir e porquê. Recebe credenciais que provam esse registo junto da carteira.
• Protocolo de apresentação. As carteiras apresentam dados com protocolos normalizados baseados no OpenID for Verifiable Presentations para uso online. No uso presencial, seguem normas ISO. Os sistemas do banco enviam um pedido e recebem uma resposta assinada.
• Listas de confiança. Para confirmar que os dados foram emitidos por um Estado-Membro ou fornecedor legítimo, o banco verifica as assinaturas em listas de confiança mantidas ao abrigo do eIDAS. Isto substitui a inspeção visual de documentos por verificação criptográfica.
• Tratamento dos dados. O banco guarda a prova da verificação e os dados de que precisa, de acordo com as regras de conservação do branqueamento e de proteção de dados.

A maioria dos bancos não vai construir tudo isto sozinha. Fornecedores de verificação de identidade, prestadores de serviços de confiança e fornecedores de sistemas bancários estão a acrescentar a aceitação da carteira aos seus produtos. Para muitos bancos, a escolha prática é que parceiro usar e como manter a possibilidade de mudar.

Dois Modelos de Pagamento

Há duas grandes formas de a carteira entrar nos pagamentos.

• Cartões dentro da carteira. Os cartões de pagamento existentes são digitalizados e guardados na carteira, como já fazem hoje as carteiras comerciais dos telemóveis. A carteira passa a ser mais um sítio onde guardar um cartão. Este modelo encaixa nos sistemas de cartões atuais, mas acrescenta pouco ao que as carteiras comerciais já oferecem.
• A carteira como camada de autenticação. O cliente paga com os meios de sempre, como cartão, transferência ou pagamento instantâneo. Usa a carteira para se autenticar e aprovar o pagamento. A TS12 foi pensada para este caso, incluindo os mandatos de pagamento.

A maioria dos bancos vê o segundo modelo como mais realista no curto prazo. Aproveita o ponto mais forte da carteira, a identidade e a autenticação de confiança, sem competir de frente com as apps de pagamento estabelecidas.

O Que Disseram os Bancos Alemães

A 16 de outubro de 2026, a Deutsche Kreditwirtschaft, que reúne as associações de bancos alemãs, apresentou a sua posição sobre a carteira alemã d-you. Aceita a carteira na abertura de conta e como autenticação forte. Quer regras claras sobre quem responde quando a carteira falha. Rejeita qualquer obrigação de oferecer pagamentos através dela.

Esta posição resume bem onde estão muitos bancos europeus. Identidade e autenticação: sim. Responsabilidade: por resolver. Pagamentos: não como obrigação.

O Que Dizem os Pilotos

Os pilotos de grande escala testam usos bancários e de pagamento desde 2023. Na Global Digital Collaboration Conference, em Genebra, em setembro de 2026, Marie Austenaa, SVP Identity Solutions da Mastercard e co-líder do domínio de pagamentos no consórcio WE BUILD, falou sobre a carteira na banca de retalho e nos pagamentos. O Banca Transilvania apresentou a sua visão sobre a forma como a carteira pode mudar a autenticação com cartão e o checkout.

O fio comum é que os pagamentos com a carteira são possíveis, mas ainda não são um modelo de negócio. Identidade e autenticação vêm primeiro.

O Que os Clientes Sabem

O conhecimento é baixo. Num inquérito da Fourthline a 6.000 adultos em seis países, publicado em 2026, só 3% disseram saber alguma coisa sobre a Carteira EUDI. O mesmo inquérito mostra que 78% aceitariam uma verificação mais lenta se reduzisse o risco de fraude. Os bancos vão ter de explicar a carteira, não apenas integrá-la.

As Opções de Responsabilidade em Cima da Mesa

A responsabilidade é a questão que os bancos levantam mais vezes. Quando um cliente se autentica com a carteira e a operação se revela fraudulenta, quem paga?

O setor está a discutir várias opções.

• O banco assume o risco, como hoje. A carteira é tratada como mais um método de autenticação. O banco continua responsável perante o cliente ao abrigo das regras de pagamentos. É simples, mas deixa os bancos desconfiados de depender de uma ferramenta que não controlam.
• A responsabilidade segue a falha. Se falhou a carteira ou o seu emissor, são eles que suportam a perda. Se falharam os sistemas do banco, é o banco. É mais justo, mas exige regras claras e provas para decidir onde ocorreu a falha.
• Repartição contratual. Os bancos acordam termos com os fornecedores de carteiras ou com os Estados-Membros. Com 27 carteiras nacionais, negociar com cada uma é pesado.

O Regulamento dos Serviços de Pagamento também muda a responsabilidade em alguns casos de fraude. Segundo a análise da Sopra Steria, uma autenticação forte bem-sucedida deixa de contar como prova de negligência do cliente. Isso aumenta o que está em jogo para qualquer método de autenticação que o banco aceite, incluindo a carteira.

O Caso de Negócio

A conformidade é a razão pela qual a maioria dos bancos vai aceitar a carteira. Não é o único benefício.

• Abertura de conta mais barata. Dados assinados por um Estado-Membro precisam de menos revisão manual do que uma foto de documento e uma selfie.
• Menos pedidos abandonados. Uma aprovação rápida no telemóvel é mais rápida do que fotografar documentos com boa luz.
• Alcance transfronteiriço. Um banco pode abrir contas a clientes de outros Estados-Membros com o mesmo processo, o que ajuda a crescer para lá do mercado de origem.
• Menos fraude na abertura de conta. A verificação criptográfica é mais difícil de falsificar do que imagens, numa altura em que os deepfakes e os ataques de injeção aumentam.
• Dados de melhor qualidade. Nomes, datas e moradas chegam num formato estruturado e verificado, o que reduz as correções posteriores.

O caso depende da adoção. Nos primeiros anos, a maioria dos clientes não vai ter carteira. Os bancos que construírem a aceitação cedo vão colher os benefícios à medida que a adoção cresce, em vez de começarem do zero em dezembro de 2027.

O Que Significa para os Bancos Portugueses

Os bancos portugueses partem à frente de muitos congéneres europeus. Os clientes já usam a Chave Móvel Digital e o Cartão de Cidadão, ambos notificados com nível elevado e disponíveis através do Autenticação.gov. A abertura de conta à distância com estas credenciais é familiar para os clientes e para as equipas de compliance.

Há ainda três frentes de trabalho. Primeiro, Portugal não tinha publicado nome nem data para a sua Carteira EUDI em outubro de 2026, pelo que os bancos ainda não podem testar com uma carteira nacional. Segundo, a obrigação de aceitação abrange carteiras de todos os Estados-Membros, não só a portuguesa, por isso os bancos que servem residentes estrangeiros ou a diáspora precisam de testes transfronteiriços. Terceiro, o lado dos pagamentos do ecossistema português, construído em torno da SIBS e dos seus sistemas nacionais, vai ter de decidir como a autenticação com a carteira convive com os métodos existentes.

A Multicert, empresa de serviços de confiança da SIBS, já integrou a prova de identidade remota nos seus serviços qualificados e preparou-se para as novas regras de testes biométricos da ETSI. Infraestrutura local deste tipo dá opções aos bancos portugueses quando escolhem parceiros.

Perguntas a Fazer a Um Parceiro de Integração da Carteira

• Com que carteiras nacionais já testou e em que sandboxes?
• Como trata o registo como entidade que aceita a carteira em cada Estado-Membro onde operamos?
• Suporta tanto a apresentação online como o uso presencial?
• Como vai suportar a autenticação de pagamentos TS12 e a ligação dinâmica?
• Que prova de cada verificação guarda, onde e durante quanto tempo?
• Com que rapidez consegue acrescentar uma nova carteira nacional quando for lançada?

Plano de Ação para 2027

• Fazer uma análise de lacunas. Comparar os processos atuais de abertura de conta e autenticação com o que exigem o Regulamento de branqueamento e o artigo 5.º-F.
• Registar o banco como entidade que aceita a carteira no Estado-Membro de origem e decidir que atributos são necessários.
• Testar em sandboxes com mais do que uma carteira nacional. Interoperabilidade e integração são as áreas onde as falhas aparecem primeiro.
• Definir o âmbito. Abertura de conta e autenticação são obrigatórias. Os pagamentos são opcionais por agora. Convém que seja uma escolha deliberada.
• Tratar a responsabilidade com as equipas jurídica e de risco. Mapear o que acontece quando uma credencial da carteira está errada, comprometida ou revogada.
• Preparar a comunicação com os clientes. Com 3% de conhecimento, a app do banco e os balcões vão ser o primeiro contacto da maioria dos clientes com a carteira.
• Manter a alternativa. Os clientes sem carteira vão precisar de outro caminho durante anos.
• Medir desde o primeiro dia. Acompanhar quantos clientes escolhem a carteira, quantos concluem cada percurso e como se comparam as taxas de fraude com as outras vias. Esses números vão decidir quanto mais investir depois de dezembro de 2027.
• Partilhar o que se aprende. Os bancos que avançam primeiro vão influenciar a forma como supervisores e fornecedores de carteiras veem os problemas. Fóruns do setor, pilotos e conferências como a LisbonID , em maio de 2027, são os sítios onde essas lições circulam. Os bancos que só observam vão herdar decisões tomadas por outros.

Perguntas Frequentes