Um gerente de operações recebe uma solicitação de abertura de conta. O rosto do solicitante aparece na tela durante a prova de vida, os documentos parecem legítimos, e o sistema retorna aprovação automática. Semanas depois, a instituição descobre que nenhuma daquelas informações era real. O rosto foi sintetizado por inteligência artificial, os documentos foram forjados por modelos generativos e o indivíduo por trás da operação sequer existe.
Segundo o Identity Fraud Report 2025-2026, publicado pela Sumsub em novembro de 2025 com base na análise de mais de quatro milhões de tentativas de fraude, o uso de deepfakes e identidades sintéticas cresceu 126% no Brasil entre 2024 e 2025. O país concentra quase 39% de todos os deepfakes detectados na América Latina, e a taxa de ocorrência é cinco vezes maior do que nos Estados Unidos.
A sofisticação que muda a natureza do problema
O que diferencia a fraude atual das versões anteriores não é apenas o volume, mas a complexidade das técnicas empregadas. O mesmo relatório da Sumsub aponta um aumento de 180% no que classifica como fraudes sofisticadas, aquelas que combinam múltiplas camadas de ataque: identidades sintéticas montadas a partir de dados reais e fictícios, deepfakes multimodais que integram vídeo, áudio e documentos falsos, manipulação de telemetria de dispositivos e engenharia social coordenada.
O relatório Deepfakes 2026, divulgado pela Veriff em maio de 2026, traz um dado que ilustra bem o abismo entre a velocidade do ataque e a capacidade de defesa: 80% dos brasileiros entrevistados afirmaram já ter encontrado deepfakes online, a maior taxa entre todos os mercados pesquisados. No entanto, a precisão de detecção humana ficou em 0,08 numa escala de 0 a 1, praticamente equivalente a uma decisão aleatória. Ou seja, as pessoas reconhecem que o problema existe, mas são incapazes de identificá-lo quando ele se apresenta de fato.
A resposta regulatória brasileira: a Instrução Normativa ITI nº 36
Diante da escalada de sofisticação, o Brasil deu um passo regulatório importante. Em maio passado, o Instituto Nacional de Tecnologia da Informação publicou a Instrução Normativa nº 36, que reformulou os requisitos de identificação para a emissão de certificados digitais ICP-Brasil.
A norma estabelece que a confirmação de identidade deverá combinar documentos oficiais, biometria, consulta a bases públicas nacionais, lista negativa de fraudadores, dossiê eletrônico com trilha de auditoria e, nos casos de validação remota, mecanismos obrigatórios contra deepfake e injeção biométrica.
Até então, a emissão de certificados digitais já exigia verificação presencial ou por videoconferência, mas sem a obrigatoriedade de camadas anti-deepfake. A nova norma reconhece que a confiança no documento digital depende da integridade de todo o processo de validação, desde a captura da identidade até o armazenamento dos registros que comprovam cada etapa.
A gestão documental como infraestrutura de defesa
O debate sobre deepfakes costuma se concentrar na biometria e nos sistemas de reconhecimento facial. No entanto, a fraude documental é a outra face do mesmo problema. De nada adianta validar que o rosto pertence a uma pessoa real se o documento que acompanha a operação foi forjado. Ainda segundo o relatório da Sumsub, documentos falsificados ou alterados ainda representam 50% de todas as tentativas de fraude analisadas globalmente.
É nesse ponto que a gestão documental inteligente se posiciona como camada estratégica de defesa. Um documento digital com rastreabilidade, metadados verificáveis, assinatura com certificado ICP-Brasil e trilha de auditoria completa oferece um nível de verificabilidade que um PDF estático jamais alcançará. Quando cada etapa do ciclo de vida do documento é registrada, desde a captura e classificação até o armazenamento e o acesso, torna-se possível detectar inconsistências que escapariam a uma análise pontual.
A captura inteligente de documentos, baseada em tecnologias como OCR avançado e processamento de documentos com inteligência artificial, adiciona outra camada ao permitir a extração automatizada de dados, a classificação por tipo documental e a verificação cruzada com bases externas. Integrada a um sistema de gestão documental robusto, essa tecnologia transforma o documento de um objeto passivo num elo ativo da cadeia de conformidade. Cada informação extraída pode ser confrontada, cada assinatura pode ser verificada e cada alteração pode ser rastreada.
De fato, o problema não será resolvido apenas com mais investimento em biometria ou inteligência artificial aplicada à detecção de rostos sintéticos. A defesa precisa ser estrutural, incorporando a governança documental como pilar. Empresas que já operam com gestão documental integrada, com captura inteligente, workflow de validação, metadados padronizados e trilhas de auditoria, possuem uma vantagem que vai além da eficiência operacional: elas conseguem demonstrar, com evidências rastreáveis, a legitimidade de cada operação. Quando até os documentos são alvo de desconfiança, a capacidade de provar a verdade é o ativo mais valioso.