Jorge Prates, presidente-executivo da AARB, destaca maior segurança jurídica e simplificação da emissão de certificados digitais, mas defende critérios claros de responsabilidade, investimentos em tecnologia e acompanhamento da qualidade biométrica
A publicação da Instrução Normativa nº 38/2026 pelo Instituto Nacional de Tecnologia da Informação (ITI) representa uma nova etapa na modernização dos procedimentos de identificação de requerentes de certificados digitais da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil).
Em vigor desde 20 de outubro de 2026, a regulamentação amplia a possibilidade de utilização de documentos digitais na identificação por videoconferência, atualiza procedimentos de validação documental, modifica requisitos de proteção contra ataques de injeção biométrica e altera o índice mínimo de qualidade das impressões digitais.
Para as Autoridades de Registro (ARs), responsáveis pelo atendimento e pela identificação dos solicitantes de certificados digitais, as mudanças têm efeitos diretos sobre os procedimentos operacionais, os investimentos tecnológicos e a distribuição de responsabilidades na cadeia de certificação.
Em entrevista ao Crypto ID, Jorge Prates, presidente-executivo da Associação das Autoridades de Registro do Brasil (AARB), avalia que a nova regulamentação atende a uma demanda do setor, especialmente ao eliminar divergências sobre a aceitação de documentos digitais.
Ao mesmo tempo, o executivo chama a atenção para os custos de adequação, a necessidade de capacitação dos Agentes de Registro e o acompanhamento dos resultados dos sistemas biométricos.
Documentos digitais ganham reconhecimento expresso na videoconferência
Uma das principais alterações da IN nº 38 está no artigo 38 da IN nº 36/2026, que regulamenta a identificação de requerentes por videoconferência.
Com a nova redação, o solicitante pode encaminhar antecipadamente uma cópia de seu documento de identificação, físico ou digital, acompanhada de uma fotografia facial. Durante o atendimento, deverá informar seu CPF e apresentar o documento encaminhado, que será analisado e validado antes da emissão do certificado digital.
A norma também revoga o artigo 70 da IN nº 36, que estabelecia a apresentação obrigatória de documento físico nessa modalidade.
Para Jorge Prates, a mudança resolve um problema de interpretação que vinha provocando tratamentos diferentes entre as cadeias de certificação.
“A IN nº 38/2026 traz um ganho importante de segurança jurídica. Ao admitir expressamente o documento digital na videoconferência, como a CNH digital e a Carteira de Identidade Nacional, o ITI encerra uma divergência de interpretação que vinha gerando procedimentos diferentes entre as cadeias e insegurança para as Autoridades de Registro.”
Segundo o presidente-executivo da AARB, a alteração tende a reduzir encaminhamentos desnecessários ao atendimento presencial, além de diminuir desistências, retrabalho e tempo de atendimento.
A regulamentação, entretanto, não significa a aceitação automática de qualquer fotografia, reprodução digitalizada ou arquivo eletrônico. Permanecem obrigatórias as verificações de autenticidade documental e de identidade previstas nas regras da ICP-Brasil.
Prates também destaca a importância da participação das entidades representativas no aperfeiçoamento da regulamentação.
“Destaco também a abertura do ITI ao diálogo com o setor: a norma responde a uma demanda concreta, levada pelas entidades representativas a partir da experiência de quem está na ponta do atendimento.”
Validação por QR Code, NFC e chip poderá ocorrer antes da videoconferência
Outro avanço operacional é a possibilidade de antecipar verificações de autenticidade em documentos que incorporam tecnologias verificáveis.
A nova redação permite que a validação de QR Code, MRZ (zona de leitura por máquina), NFC, chips eletrônicos e tecnologias semelhantes seja realizada antes ou durante a videoconferência.
Mesmo quando a validação ocorre antecipadamente, permanece obrigatório confrontar os dados com o documento apresentado pelo requerente durante o atendimento.
A IN nº 38 também introduz uma hipótese de verificação adicional por um segundo Agente de Registro quando não existir mecanismo oficial para validar as tecnologias verificáveis do documento.
Essa medida acrescenta uma camada de conferência humana aos procedimentos em que determinados recursos tecnológicos não podem ser validados pelos mecanismos oficiais.
Para as ARs, a mudança permite reorganizar etapas do atendimento, mas exige atenção à forma como as evidências de identificação e validação são incorporadas ao processo de emissão.
Deepfakes e ataques de injeção biométrica exigem investimentos tecnológicos
A atualização normativa também alcança os mecanismos destinados à prevenção de fraudes nos processos de videoconferência e de Autoridade de Registro Eletrônica (AR Eletrônica).
A IN nº 38 estabelece a aplicação de meios de prevenção e detecção de ataques de injeção biométrica para impedir que o requerente ou um atacante externo introduzam no processo de identificação um fluxo de vídeo previamente gravado ou artificialmente gerado.
Diferentemente dos ataques de apresentação, nos quais uma imagem ou vídeo falso é exibido diante de uma câmera, os ataques de injeção podem introduzir conteúdo manipulado diretamente no fluxo digital recebido pelo sistema.
Por essa razão, a identificação remota demanda controles complementares, que incluem detecção de vivacidade, proteção dos mecanismos de captura e prevenção de manipulação dos fluxos biométricos.
Para Prates, a evolução regulatória precisa considerar as condições econômicas e operacionais das Autoridades de Registro.
“Os desafios são relevantes e precisam ser enfrentados com equilíbrio. O primeiro é o custo tecnológico: liveness, bloqueio de câmeras virtuais e detecção de ataques de injeção biométrica são indispensáveis, mas exigem investimentos que pesam especialmente sobre as ARs de menor porte.”
O executivo também ressalta que a eficácia dos controles depende da preparação dos profissionais responsáveis pela identificação.
“O segundo é a capacitação: o Agente de Registro precisa estar preparado para validar documentos digitais e identificar indícios de manipulação de mídia, o que demanda treinamento contínuo e critérios claros de avaliação.”
A questão envolve tanto os investimentos em soluções tecnológicas quanto a necessidade de estabelecer procedimentos padronizados para reconhecer documentos válidos, identificar inconsistências e encaminhar situações suspeitas.
AR Eletrônica também passa por atualização
As mudanças não se limitam à identificação conduzida por um Agente de Registro durante a videoconferência.
A IN nº 38 altera os artigos 57 e 58 da IN nº 36/2026, que tratam dos aplicativos utilizados na modalidade de AR Eletrônica.
A regulamentação retira a referência exclusiva ao documento físico nos requisitos de captura e determina a validação automática do documento de identificação por aplicativos e bases oficiais.
A AR Eletrônica permite a emissão autoassistida de certificados digitais de pessoa física, mediante procedimentos automatizados de identificação e validação, observadas as condições regulatórias aplicáveis.
A ampliação da utilização de documentos digitais nessa modalidade exige que as soluções tecnológicas consigam combinar a verificação de autenticidade documental com os controles biométricos e de integridade do processo.
Quem responde quando a tecnologia falha?
Entre os pontos destacados por Jorge Prates, a distribuição de responsabilidades entre os participantes da cadeia de certificação merece atenção especial.
As Autoridades de Registro executam procedimentos de identificação e integram uma estrutura na qual também atuam Autoridades Certificadoras (ACs) e prestadores especializados em soluções de biometria, validação documental e segurança.
Essa organização cria interdependências operacionais, especialmente quando as tecnologias utilizadas pelas ARs são contratadas, disponibilizadas ou administradas por outros participantes.
Para o presidente-executivo da AARB, é necessário estabelecer uma divisão mais precisa das atribuições.
“O terceiro, e talvez o mais sensível, é a responsabilidade. Hoje a AR responde pela identificação, mas atua sobre soluções tecnológicas que não controla. A AARB defende uma matriz de responsabilidades clara entre AC, AR e prestadores de serviço.”
A manifestação coloca em discussão não apenas a execução dos procedimentos, mas também a responsabilidade pela configuração das soluções, pela manutenção de controles de segurança, pelo tratamento de falhas e pela comprovação da conformidade dos processos.
Outro ponto levantado pela associação é a avaliação das emissões realizadas durante a passagem entre os requisitos anteriores e os novos.
Prates defende que o ITI esclareça como esses procedimentos serão tratados nas auditorias, considerando as mudanças sucessivas introduzidas nas regras de identificação ao longo de 2026.
Qualidade biométrica: índice mínimo de impressão digital cai de 70 para 40
Uma das alterações tecnicamente mais relevantes da IN nº 38 está na atualização do documento Procedimentos para Identificação Biométrica na ICP-Brasil (DOC-ICP-05.03), que passa à versão 4.1.
A regulamentação reduz de 70 para 40 o índice mínimo de qualidade das impressões digitais, aferido pelo padrão NFIQ 2.0, após a compressão WSQ.
O NFIQ 2.0, desenvolvido pelo National Institute of Standards and Technology (NIST), dos Estados Unidos, é uma metodologia de avaliação da qualidade de imagens de impressões digitais, relacionada ao desempenho esperado dos sistemas de reconhecimento biométrico.
A pontuação varia de 0 a 100, com valores mais elevados indicando maior qualidade estimada da imagem para reconhecimento. Sua metodologia está associada à norma internacional ISO/IEC 29794-4.
A redução do limite regulamentar permite que determinadas impressões digitais anteriormente rejeitadas pelo critério de qualidade possam ser aceitas na etapa de captura.
É importante distinguir, entretanto, a qualidade da imagem dos critérios utilizados para confirmar a identidade do requerente. A diminuição da pontuação mínima NFIQ 2.0 não significa, por si só, uma redução dos limiares de comparação biométrica.
O documento técnico da ICP-Brasil mantém requisitos de desempenho biométrico relacionados às taxas de falsa aceitação (FAR) e de verdadeira aceitação (TAR), que são métricas distintas do índice de qualidade da imagem.
Para Jorge Prates, a alteração pode contribuir para a inclusão de pessoas que apresentam dificuldades na captura de impressões digitais.
“Quanto ao novo limiar mínimo de qualidade das impressões digitais, entendemos o objetivo de incluir pessoas com digitais desgastadas, como idosos e trabalhadores braçais. É essencial, porém, que essa flexibilização seja acompanhada de indicadores de fraude e da manutenção dos níveis de acurácia do sistema biométrico. A AARB vai acompanhar esses resultados de perto junto ao ITI.”
A observação do presidente-executivo da AARB introduz uma questão importante para a avaliação da medida: o acompanhamento dos resultados operacionais.
A aceitação de imagens com pontuações inferiores ao patamar anteriormente exigido pode diminuir rejeições na captura, mas a efetividade dessa alteração depende também do desempenho dos algoritmos de comparação, das características das bases biométricas e dos controles de segurança aplicados ao processo.
Assim, o monitoramento de indicadores de qualidade, rejeição e possíveis ocorrências de fraude será relevante para avaliar os efeitos da mudança ao longo do tempo.
Modernização da identificação exige equilíbrio entre eficiência e segurança
A IN nº 38 integra um conjunto de atualizações introduzidas pelo ITI em 2026 para aperfeiçoar os procedimentos de confirmação de identidade e emissão de certificados digitais.
A nova regulamentação aproxima as práticas da ICP-Brasil da utilização crescente de documentos digitais, permite reorganizar etapas de validação e atualiza exigências relacionadas à prevenção de fraudes biométricas.
Na avaliação de Jorge Prates, os benefícios da modernização podem alcançar tanto os cidadãos quanto as Autoridades de Registro, desde que a implementação considere as diferentes condições operacionais dos participantes da infraestrutura.
A perspectiva apresentada pela AARB coloca três aspectos no centro dessa transição: a capacidade das ARs de incorporar novos controles tecnológicos, a preparação dos profissionais responsáveis pela identificação e a definição das responsabilidades entre os integrantes da cadeia de certificação.
A implementação também abre espaço para acompanhamento técnico de questões que ainda merecem maior detalhamento institucional, especialmente os fundamentos que levaram à redução do índice mínimo NFIQ 2.0, os critérios de auditoria aplicáveis às emissões realizadas durante a transição regulatória e a distribuição de responsabilidades entre ARs, ACs e fornecedores de tecnologia.
Esses aspectos não afastam os avanços introduzidos pela regulamentação, mas serão relevantes para avaliar seus resultados.
Ao permitir maior utilização de documentos digitais sem dispensar a validação documental e biométrica, a ICP-Brasil procura conciliar procedimentos de emissão mais acessíveis com a manutenção da confiabilidade que caracteriza sua estrutura de certificação.
O desafio será demonstrar, na operação cotidiana das Autoridades de Registro, que a simplificação do atendimento pode avançar acompanhada de controles técnicos verificáveis, responsabilidades bem definidas e segurança na identificação dos titulares de certificados digitais.
Sobre AARB
Fundada em 2014, a Associação das Autoridades de Registro do Brasil AARB é fruto dos anseios dos representantes das Autoridades de Registro da ICP-Brasil e tem por objetivo defender os interesses do segmento perante os poderes da república, sociedade civil organizada, bem como a massificação da certificação digital no País.
Entidade de direito privado e sem fins lucrativos, a AARB é mantida exclusivamente por seus associados. Além dos interesses mencionados, compete a AARB disseminar a cultura da tecnologia ICP-Brasil e agregar benefícios e vantagens aos seus associados.
Leia a coluna da AARB aqui no Crypto ID!
Validade do Certificado Digital exige renovação antecipada para evitar interrupções nas rotinas fiscais
Comissão da Câmara aprova projeto que equipara assinatura digital ao reconhecimento de firma
INSS Empresa reforça uso do certificado digital ICP-Brasil no acesso a dados previdenciários
A nova estrutura do ITI e o avanço para um ecossistema de confiança digital mais amplo
ICP-Brasil: a engrenagem invisível da confiança digital no Brasil
A ICP-Brasil é a infraestrutura que sustenta a confiança das transações digitais no país. É ela que permite que assinaturas eletrônicas qualificadas tenham validade jurídica robusta, garantindo autoria, integridade, autenticidade e proteção criptográfica das informações.
No centro desse ecossistema está o Instituto Nacional de Tecnologia da Informação, o ITI, que atua como Autoridade Certificadora Raiz da ICP-Brasil. É o órgão responsável por coordenar, supervisionar e manter as regras que fazem toda a cadeia funcionar de forma interoperável e segura.
A estrutura opera como uma cadeia hierárquica de confiança. As Autoridades Certificadoras emitem os certificados digitais, enquanto as Autoridades de Registro validam presencial ou remotamente a identidade do titular antes da emissão. É esse processo que garante o caráter personalíssimo do certificado digital.
Mas a ICP-Brasil vai além da emissão de certificados. O ecossistema envolve entidades especializadas em carimbo do tempo, atributos digitais e serviços de confiança, criando uma arquitetura capaz de proteger contratos, sistemas, equipamentos, aplicações e identidades no ambiente eletrônico.
Na prática, a ICP-Brasil funciona como uma espécie de “infraestrutura invisível” da economia digital brasileira. Ela está por trás de assinaturas de contratos, processos judiciais eletrônicos, prontuários médicos, operações bancárias, emissão de notas fiscais e inúmeras transações que exigem elevado nível de segurança e validade jurídica.
Tudo isso é sustentado por normas técnicas, auditorias, homologações e processos rígidos de governança definidos pelo Comitê Gestor da ICP-Brasil, formando uma das maiores infraestruturas nacionais de confiança digital do mundo.
Acesse aqui a coluna sobre a ICP-Brasil!
