A carteira chega em dezembro. Os bancos aceitam um ano depois.

TL;DR. Os Estados-Membros entregam a carteira digital da UE até dezembro de 2026. Os bancos devem aceitá-la até dezembro de 2027. O intervalo é o problema.

Principais conclusões

Duas datas, um intervalo. Comece pelo cronograma, porque quase toda leitura equivocada desta pauta nasce de fundir as duas datas em uma.
Parte confiante é um papel jurídico, não um padrão de integração. Esta é a disposição mais frequentemente ignorada nas leituras técnicas, e é a de maior prazo de maturação.
A carteira não revoga a autenticação forte do cliente. Um erro recorrente nos primeiros decks de planejamento é supor que a aceitação da carteira substitui o regime de autenticação da PSD2.
O que a verificação não diz. Aqui está a parte que surpreende sistematicamente as equipes de identidade, e vale enunciá-la sem rodeios.

Por uma década, os bancos foram donos do login. A instituição emitia a credencial, executava a autenticação, guardava a trilha de auditoria e decidia o que significava "verificado". O Regulamento Europeu de Identidade Digital encerra esse arranjo sem jamais dizê-lo de forma direta. Ele exige que todos os Estados-Membros disponibilizem uma carteira aos cidadãos até dezembro de 2026, e exige que os bancos — nomeados por setor, não por inferência — aceitem essa carteira para autenticação forte do usuário até dezembro de 2027. Entre essas duas datas há um ano em que a credencial existe, os clientes a carregam e a obrigação ainda não pesa. A maioria das instituições trata esse ano como folga. Ele é a janela de construção.

Resumo executivo

Isto é lei consolidada, ao contrário da maior parte da pauta de 2026. O Regulation (EU) 2024/1183 está em vigor. As datas estão fixadas no texto, e não pendentes em trílogo, o que faz deste um dos poucos programas que se pode planejar com confiança.

O banco se torna uma parte confiante. Esse é um papel jurídico definido, com obrigação de registro anexada. É o primeiro regime de identidade em que um banco precisa declarar formalmente, a um órgão de registro público, o que pretende pedir aos clientes.

Aceitação não é estratégia de autenticação. A obrigação é aceitar a apresentação de uma carteira quando o usuário a oferece. O que o banco faz com a garantia resultante — e como a concilia com o próprio modelo de risco — fica a cargo do banco.

A parte difícil é o que acontece depois que a credencial é verificada. Uma apresentação criptograficamente válida diz que o portador é quem o Estado afirma que ele é. Não diz se ele é a pessoa que abriu a conta em 2014.

Duas datas, um intervalo

Comece pelo cronograma, porque quase toda leitura equivocada desta pauta nasce de fundir as duas datas em uma.

O Regulation (EU) 2024/1183 alterou o regulamento eIDAS original, o Regulation (EU) No 910/2014, e entrou em vigor em maio de 2024. Ele deu à Comissão o mandato de adotar atos de execução que especificam como as carteiras são construídas, certificadas, registradas e usadas, e fixou duas obrigações correndo em relógios diferentes.

A primeira recai sobre os Estados-Membros. Até 24 de dezembro de 2026, cada um deve disponibilizar ao menos uma European Digital Identity Wallet a seus cidadãos e residentes. Trata-se de uma obrigação de oferta: o Estado, ou uma parte por ele designada, fornece a carteira, e as pessoas físicas não pagam por ela.

A segunda recai sobre as partes confiantes. Até 24 de dezembro de 2027, sob o Article 5f, as partes confiantes de grande e médio porte legal ou contratualmente obrigadas a usar autenticação forte do usuário para identificação — e que atuam em um dos setores listados, entre eles bancos e serviços financeiros — devem aceitar a carteira quando o usuário pedir voluntariamente para usá-la.

São doze meses de distância, e a ordem importa. A credencial chega primeiro. A obrigação de aceitá-la chega um ano depois.

A maioria dos planos de programa que vi ancora na data de 2027, o que é uma leitura razoável de um prazo de conformidade e uma leitura pobre do risco real. De dezembro de 2026 em diante, os clientes de um banco podem portar uma credencial de identidade digital emitida pelo Estado que o banco ainda não consegue consumir. Concorrentes que conseguem vão usá-la — para tempos de abertura de relacionamento medidos em segundos, e não em dias, e para jornadas de reautenticação que dispensam por completo o upload de documento. O prazo é 2027. A exposição competitiva começa em 2026.

Parte confiante é um papel jurídico, não um padrão de integração

Esta é a disposição mais frequentemente ignorada nas leituras técnicas, e é a de maior prazo de maturação.

Sob o Article 5b, quem pretende confiar em European Digital Identity Wallets deve se registrar no Estado-Membro onde está estabelecido. O registro não é um cadastro em portal de desenvolvedores. Ele identifica a instituição, consigna o Estado-Membro de estabelecimento e o número de registro e — decisivamente — cobre o uso pretendido, incluindo os atributos que a parte confiante vai solicitar.

Seguem três consequências, e nenhuma delas é um problema de engenharia.

O pedido de atributos vira uma posição declarada. O banco precisa decidir, com antecedência e de forma registrada, o que vai pedir aos clientes que divulguem. "Tudo o que a carteira nos der" não é uma resposta disponível. A minimização de dados deixa de ser um princípio defendido pela área de privacidade e passa a ser uma restrição codificada no registro.

Mudanças de produto adquirem dependência de registro. Uma nova jornada que precise de um atributo fora do escopo registrado não é um item de sprint. Qualquer que seja o prazo administrativo em cada Estado-Membro, ele não é o mesmo dia.

Bancos multijurisdicionais se registram em mais de um lugar. Uma instituição estabelecida em vários Estados-Membros lida com vários órgãos de registro. A carteira foi desenhada para ser transfronteiriça — uma carteira alemã funciona com uma parte confiante francesa —, mas a obrigação de registro se prende ao estabelecimento, e a estrutura do grupo determina quantas conversas isso significa.

Tabela 1: onde o banco se posiciona antes e depois

Dimensão	Identidade de propriedade do banco (hoje)	EUDI Wallet (Article 5f)
Quem emite a credencial	O banco, após sua própria abertura de relacionamento	O Estado-Membro ou um provedor designado
Quem decide que ela é válida	O banco, contra seus próprios registros	O banco, contra a assinatura e o status do emissor
O que o cliente controla	Pouco; o banco detém o relacionamento	Quais atributos são liberados, a cada apresentação
O que o banco deve fazer	O que seu apetite de risco sustentar	Aceitar uma apresentação quando o usuário pedir
Precondição para participar	Nenhuma além de seus próprios sistemas	Registro como parte confiante sob o Article 5b
Custo de pedir mais dados	Uma decisão interna de produto	Uma alteração de escopo registrado e declarado

A carteira não revoga a autenticação forte do cliente

Um erro recorrente nos primeiros decks de planejamento é supor que a aceitação da carteira substitui o regime de autenticação da PSD2. Não substitui.

A autenticação forte do cliente prevista na Directive (EU) 2015/2366 e nas normas técnicas regulatórias do Commission Delegated Regulation (EU) 2018/389 continua a reger como os prestadores de serviços de pagamento autenticam pagadores e autorizam transações. A obrigação do Article 5f é sobreposta a isso, não substituída por isso. O banco ainda precisa cumprir suas obrigações de SCA; precisa, além disso, aceitar uma carteira quando o cliente a oferece para autenticação forte do usuário.

A pergunta prática, portanto, não é "a carteira substitui nossos fatores de SCA", mas "o que uma apresentação de carteira contribui para uma autenticação conforme à SCA, e o que ainda precisamos fazer por conta própria". É uma pergunta de arquitetura com resposta concreta, e vale resolvê-la antes do prazo em vez de durante ele, porque os dois regimes foram redigidos por instrumentos distintos com finalidades distintas e se encontram dentro do seu serviço de autenticação.

Há uma armadilha correlata no modelo de responsabilidade. No arranjo atual, o banco emite a credencial e, portanto, detém a maior parte dos modos de falha. No novo, a credencial é emitida em outro lugar e verificada pelo banco. Verificação que falha em aberto, status de revogação desatualizado no emissor ou apresentação reproduzida em replay são modos de falha com os quais a instituição tem pouco histórico, e a alocação de perdas entre provedor de carteira, emissor e parte confiante é exatamente o tipo de questão que se resolve devagar e caro depois do primeiro incidente.

O que a verificação não diz

Aqui está a parte que surpreende sistematicamente as equipes de identidade, e vale enunciá-la sem rodeios.

Uma apresentação de carteira dá garantia criptográfica de que um conjunto de atributos foi emitido por uma autoridade confiável ao portador da carteira, e de que o portador está presente. Ela diz, com alta confiança, que essa pessoa é quem o Estado afirma que ela é.

Ela não diz que essa pessoa é o cliente que abriu a conta.

Para a abertura de relacionamento, essa distinção pouco importa — a carteira chega perto do ideal, e a comprovação de identidade que hoje exige digitalização de documento, prova de vida e revisão manual colapsa em uma única apresentação. Para uma carteira de clientes existente, importa enormemente. Vincular uma identidade digital emitida pelo Estado a uma conta aberta em 2014 contra um passaporte já vencido, sob um nome que pode ter mudado, é um problema de correspondência de registros. É o mesmo trabalho de resolução de entidades que os programas de open finance e de dados de clientes redescobrem sem parar, e ele não fica mais fácil porque a credencial de entrada é criptograficamente excelente.

Instituições que tratam a integração da carteira como um projeto de canal vão construir um fluxo de apresentação funcional e depois descobrir que a falha interessante é a taxa de correspondência contra seu próprio cadastro-mestre de clientes. Esse trabalho tem prazo longo e nenhuma dependência de qualquer ato de execução. Pode começar agora.

Tabela 2: em que a construção realmente se decompõe

Frente de trabalho	Depende da existência da carteira?	Pode começar agora
Registro como parte confiante em cada Estado-Membro de estabelecimento	Órgão de registro em operação	Definir o escopo de atributos que você vai declarar
Verificação de apresentação, lista de confiança e tratamento de revogação	Sim, para testes ponta a ponta	Seleção de protocolo e desenho do serviço
Vincular uma identidade verificada a um registro de cliente existente	Não	Sim — este é o caminho crítico
Conciliar a aceitação da carteira com as obrigações de SCA	Não	Sim
Responsabilidade, incidentes e disputas de uma credencial que você não emitiu	Não	Sim
Revisão de minimização de atributos nas jornadas existentes	Não	Sim

Quatro das seis não esperam por nada.

O manual de operação

Seis movimentos, na ordem em que eu os sequenciaria.

Nomeie o responsável. Isto atravessa identidade, abertura de relacionamento, pagamentos e jurídico, o que na maioria dos bancos significa que não fica com ninguém. A aceitação da carteira fracassa como iniciativa federada.
Defina o escopo de atributos antes que o órgão de registro pergunte. O registro declara o que você vai solicitar. Calcule o mínimo que sustenta suas jornadas, porque o escopo declarado é mais fácil de ampliar deliberadamente do que de estreitar depois de uma revisão de privacidade.
Comece agora o problema de vinculação. Casar uma identidade estatal com um registro de cliente existente é a frente de cauda mais longa e menos dependências. É também a que determina se a aceitação será uma boa experiência ou uma fila de atendimento.
Escreva a conciliação com a SCA. Documente como uma apresentação de carteira interage com seus fatores de autenticação existentes e onde os regimes se encontram. Faça isso como registro de decisão de arquitetura, não como slide.
Modele os modos de falha que você nunca teve. Revogação desatualizada, indisponibilidade do emissor, verificação falhando em aberto. Você não emitiu essa credencial; presuma que os modos de falha não estão sob seu controle e projete de acordo.
Use o intervalo de doze meses de forma deliberada. As carteiras estão vivas a partir de dezembro de 2026. Trate 2027 como o ano em que você opera a capacidade, não o ano em que a constrói.

Os bancos passaram a era do open banking aprendendo que uma interface obrigatória raramente é só uma interface. É a mesma lição chegando por outro instrumento. As instituições que lerem o Article 5f como um chamado de integração vão entregar um fluxo de apresentação conforme no prazo e continuarão incapazes de responder à única pergunta que importa no balcão: a pessoa que segura esta carteira é a pessoa cuja conta você está prestes a abrir?

Perguntas frequentes

Quando exatamente um banco tem de aceitar a carteira?
Até 24 de dezembro de 2027, no caso de partes confiantes de grande e médio porte legal ou contratualmente obrigadas a usar autenticação forte do usuário e que atuam em um setor listado, o que inclui bancos e serviços financeiros. A obrigação separada dos Estados-Membros de disponibilizar ao menos uma carteira corre um ano antes, até 24 de dezembro de 2026.

Isto está consolidado ou as datas podem mudar?
O Regulation (EU) 2024/1183 está em vigor e as datas constam do texto adotado, não de uma proposta em negociação. Isso o torna materialmente mais firme do que a maior parte daquilo contra o que os bancos hoje planejam, e é uma das razões pelas quais esta pauta recompensa o trabalho antecipado.

Aceitar uma carteira significa que podemos aposentar nossa própria autenticação?
Não. A obrigação é aceitar a apresentação de uma carteira quando o usuário pede voluntariamente para usá-la. Clientes que não possuem carteira, ou que não desejam usá-la, continuam a ser atendidos, e os requisitos de autenticação forte do cliente da PSD2 seguem aplicáveis às jornadas de pagamento de qualquer forma.

A que o registro do Article 5b de fato nos compromete?
A registrar-se no Estado-Membro onde você está estabelecido, identificar a instituição e declarar o uso pretendido, incluindo os atributos que pretende solicitar. O efeito prático é que sua posição de minimização de dados vira registro público e restrição a mudanças futuras de produto.

Não estamos estabelecidos na UE. Isso nos alcança?
A obrigação de aceitação do Article 5f se prende às partes confiantes que atuam nos setores listados dentro do arcabouço da União, e a obrigação de registro se prende ao Estado-Membro de estabelecimento. A estrutura do grupo e o local de estabelecimento de cada entidade regulada determinam a resposta, o que é uma questão jurídica a resolver cedo, e não técnica.

Qual é a coisa mais útil para começar neste trimestre?
Resolução de entidades entre uma identidade emitida pelo Estado e seu cadastro-mestre de clientes. Não depende de carteiras, atos de execução ou órgãos de registro, é a frente com maior probabilidade de determinar se a aceitação funciona na prática, e é a que ninguém assume por padrão.

Referências

European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1183 amending Regulation (EU) No 910/2014 as regards establishing the European Digital Identity Framework. Bruxelas: Jornal Oficial da União Europeia. Disponível em: European Parliament and Council of the European Union, 2024..
European Commission, 2026. European Digital Identity Wallet. Bruxelas: Direção-Geral de Redes de Comunicação, Conteúdos e Tecnologias. Disponível em: European Commission, 2026..
European Commission, 2026. EUDI Wallet Architecture and Reference Framework. Bruxelas: Comissão Europeia. Disponível em: European Commission, 2026..
European Parliament and Council of the European Union, 2015. Directive (EU) 2015/2366 on payment services in the internal market (PSD2). Bruxelas: Jornal Oficial da União Europeia. Disponível em: European Parliament and Council of the European Union, 2015..
European Commission, 2018. Commission Delegated Regulation (EU) 2018/389 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication. Bruxelas: Jornal Oficial da União Europeia. Disponível em: European Commission, 2018..
OpenID Foundation, 2026. OpenID for Verifiable Presentations. San Ramon: OpenID Foundation. Disponível em: OpenID Foundation, 2026..

Última revisão 2026-08-08.

Republicar este artigo

A carteira chega em dezembro. Os bancos aceitam um ano depois. — Sebastien Rousseau

Os Estados-Membros entregam a carteira digital da UE até dezembro de 2026. Os bancos devem aceitá-la até dezembro de 2027. O intervalo é o problema.

Este artigo está licenciado sob Creative Commons Attribution 4.0 International. A republicação exige atribuição à URL canônica.

A carteira chega em dezembro. Os bancos aceitam um ano depois. — Sebastien Rousseau

Os Estados-Membros entregam a carteira digital da UE até dezembro de 2026. Os bancos devem aceitá-la até dezembro de 2027. O intervalo é o problema.

Originally published at https://sebastienrousseau.com/pt-br/2026-08-01-eudi-wallet-eidas-2-banks-relying-party-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER