A verificação de identidade deixou de ser uma simples verificação de documentos há já algum tempo. Hoje em dia, pode muito bem ser uma decisão impulsionada pela IA, baseada em dezenas de sinais — dados biométricos, impressões digitais de dispositivos, padrões comportamentais, pontuações de risco de terceiros —, sintetizados numa única aprovação automatizada. Essa evolução tornou a deteção de fraudes mais precisa. Também criou um problema de auditabilidade que a maioria das equipas de segurança ainda não avaliou na sua totalidade.
A maioria das organizações consegue explicar como os seus sistemas de identificação funcionam. São muito poucos os que conseguem comprovar o que o sistema processou no momento da decisão, como ponderou esses elementos de prova e se o registo mantém-se inalterado desde. Este artigo aborda as razões pelas quais as pilhas de identidade fragmentadas e baseadas em IA criaram essa lacuna, por que razão o registo de eventos, por si só, não a colmata e como se apresenta uma camada probatória — uma camada que funciona em paralelo com os seus controlos existentes, e não em substituição destes.
A IA transformou a verificação de identidade — mas também alterou o que é necessário comprovar
As decisões relativas à identidade costumavam ser binárias: um documento era autêntico ou falso, e cabia a um perito qualificado tomar essa decisão. Esse modelo já não reflete a forma como a verificação funciona atualmente. Os sistemas modernos calculam um índice de confiança a partir de um conjunto de sinais probabilísticos — verificações de vitalidade, nível de confiança na correspondência facial, contexto do dispositivo, duração da sessão, biometria comportamental — e nenhum desses sinais, por si só, comprova a identidade. Estes sinais acumulam-se e o sistema aprova ou recusa com base na posição em que o valor agregado se situa em relação a um limiar.
Estudo da Gartner sobre os deepfakes gerados por IA mostra por que razão isto é importante em grande escala. A empresa prevê que, dentro de alguns anos, cerca de três em cada dez empresas deixarão de confiar na verificação biométrica facial como medida de controlo autónoma, porque os ataques de deepfake tornam impossível ter a certeza de que o "rosto" do outro lado é de uma pessoa real. A Gartner também assinalou um aumento acentuado nos ataques do tipo «injeção» — conteúdos sintéticos introduzidos diretamente no processo de verificação, em vez de serem apresentados a uma câmara. O efeito prático não se resume apenas ao facto de a fraude se tornar mais difícil de detetar. É que cada aprovação automatizada depende agora de um combinação de sinais, o que torna muito mais difícil reconstruir, meses mais tarde, exatamente por que razão uma decisão foi tomada dessa forma.
Quanto mais sinais e sistemas estiverem envolvidos na tomada de uma única decisão, mais difícil se torna determinar — com segurança, a posteriori — o que aconteceu exatamente.
A lacuna de auditabilidade oculta nas pilhas de identidade modernas
Já são poucas as organizações que recorrem a um único fornecedor para a verificação de identidade. Uma pilha típica reúne um fornecedor de verificação de documentos, um motor biométrico/de verificação de vitalidade, um feed de inteligência de dispositivos, uma plataforma de avaliação de risco de fraude e uma camada interna de orquestração que integra os resultados numa única decisão de aprovação ou rejeição. Cada componente produz o seu próprio resultado, o seu próprio formato e o seu próprio calendário de retenção. A responsabilização estende-se por toda essa cadeia — e o mesmo acontece com as provas.
Estudo da Deloitte A «Digital Trust» aborda esta questão de forma direta: à medida que os ecossistemas digitais se tornaram mais interligados, a responsabilidade pela manutenção da confiança dispersou-se por várias equipas internas e fornecedores externos, em vez de recair sobre um único responsável. Numa pilha de identidades, isso significa que os registos de nenhum fornecedor, por si só, contam toda a história — e conciliar cinco registos parciais após um incidente é um exercício muito diferente de obter um único registo completo.
É aqui que o registo operacional fica discretamente aquém do que os reguladores esperam. Os registos destinam-se à resolução de problemas: informam a sua equipa sobre o que o sistema fez. Por si só, não provam que um registo armazenado não tenha sido alterado desde que foi criado — e é em torno dessa distinção que se baseiam as regras de manutenção de registos. O Regra 17a-4 alterada pela SEC, que regula a manutenção de registos pelas corretoras, exige que as empresas utilizem armazenamento WORM imutável ou um sistema de pista de auditoria — e a pista de auditoria só é válida se a empresa puder reconstruir a versão original de qualquer registo que tenha sido posteriormente alterado ou removido. A entidade reguladora não se limita a perguntar o que o registo diz, mas sim se é possível provar que não foi alterado.
Estrutura de Gestão de Riscos da IA do NIST aponta para a mesma lacuna do ponto de vista da governação da IA, referindo responsável e transparente como características fundamentais de um sistema de IA fiável — não apenas explicáveis em princípio, mas comprovadamente auditáveis na prática.
O custo de não ter essa prova torna-se evidente quando algo corre mal. Estudo da IBM sobre 2025 estimam que o tempo médio que as organizações demoram a identificar e conter uma violação seja de cerca de oito meses — o período mais curto registado em nove anos de acompanhamento, mas ainda assim suficientemente longo para que todas as aprovações efetuadas pela vossa infraestrutura de identidade durante esse período fiquem numa zona cinzenta: são seguras ou foram exploradas? Sem um registo verificável de forma independente, essa questão pode demorar meses a ser respondida, se é que alguma vez poderá ser respondida.
Essa é a questão que o deve manter acordado à noite — não "será que os nossos controlos falharam?", mas sim: Pode comprovar que este registo da decisão não foi alterado desde que a aprovação foi concedida? Para a maioria das organizações, a resposta sincera é «não».
Colmatar as lacunas com registos de decisão verificáveis
A prevenção da fraude e a integridade das provas resolvem dois problemas diferentes. A sua pilha de IDV e pontuação de fraude responde à pergunta "esta identidade é legítima?" no momento da transação. Quase nada nela responde, seis meses depois, à pergunta "consegue provar que o registo dessa decisão não sofreu alterações desde então?". É essa segunda questão que a camada de evidência existe para resolver.
Esta é a função Truth Enforcer funciona. Trata-se de um sistema de integridade de dados apoiado em blockchain, construído com base num modelo de criação, selagem e verificação: gera uma impressão digital criptográfica (hash) de um ficheiro ou registo, ancora essa impressão digital numa blockchain pública num momento específico e, posteriormente, permite que qualquer pessoa verifique de forma independente se o registo sofreu alterações desde então — sem nunca armazenar ou expor o seu conteúdo real. Funciona por baixo de qualquer plataforma de identidade ou motor de deteção de fraudes que tenha gerado a decisão e não afeta a precisão da deteção. Não torna o seu modelo de deteção de fraudes mais inteligente. Isso faz com que o registo o que os vossos sistemas decidiram, e quando, de forma comprovável de forma independente - um registo de auditoria de conhecimento zero que se sustenta perante um auditor interno, uma entidade reguladora ou um advogado da parte contrária.
Antes do seu próximo ciclo de auditoria, avalie a sua própria infraestrutura com base nas seguintes três perguntas:
- É possível reconstituir todas as provas subjacentes a uma aprovação de identidade que ocorreu há seis meses?
- Consegues provar que esse registo não sofreu alterações desde que foi criado?
- Será que um auditor ou uma entidade reguladora aceitaria as suas provas como sendo verificáveis de forma independente — e não apenas coerentes internamente?
Se alguma resposta for incerta, a falha não está nos teus controlos de deteção. Está na tua capacidade de defender as decisões que esses controlos já tomaram.
.
Quer ver como funciona, na prática, a verificação independente da integridade?
Experimente gratuitamente – sem qualquer compromisso:
Verificador da verdade para criadores de PI: https://truth-verifier.com/landing
Verificador da verdade para jornalistas: https://truthverifier.news/landing
Entre em contacto connosco para discutir a implementação do Truth Enforcer numa empresa: https://www.connecting-software.com/truth-enforcer-sign-up/
Por Francisco Rodrigues, Gestor de produtos
"Escrevo sobre a forma como as integrações de software se podem adaptar aos ambientes empresariais e responder às exigências específicas do sector. Quero mostrar às empresas o caminho para simplificar processos, eliminar estrangulamentos e garantir a conformidade, capacitando as equipas e os executivos C-suite com as ferramentas certas."
Leituras relacionadas
Quando os agentes de IA agem, as provas são importantes: criar a camada de integridade para a conformidade com a regulamentação da UE em matéria de IA
A próxima crise de conformidade não começará com um ciberataque – começará com um PDF
O segundo pilar da confiança digital: por que razão a integridade das provas deve fazer parte da carteira EUDI