A Global Digital Collaboration (GDC) Conference 2026 reuniu, no início de setembro, a comunidade de identidade digital e confiança digital no Palexpo, em Genebra. A conferência foi organizada pela Confederação Suíça, coorganizada por cerca de quarenta organizações, e se estendeu por mais de 140 sessões distribuídas em até oito trilhas paralelas.
Em outubro passado, publicamos dez conclusões do ENISA Trust Services and eID Forum. Aquele fórum é o local onde a Europa trata em detalhe sua própria agenda. Genebra é um contexto diferente: a premissa de trabalho ali é que as credenciais digitais (passaportes, carteiras de motorista, comprovantes de pagamento, qualificações profissionais…) terão que funcionar entre diferentes sistemas jurídicos, e não apenas entre fronteiras dentro de um único sistema.
A lista de coorganizadores já indica o tipo de evento: organismos intergovernamentais (Comissão Europeia, UIT, UNECE, Banco Mundial, OMS), organizações de padronização (ISO, IEC, ETSI, CEN-CENELEC, W3C, FIDO Alliance, OpenID Foundation, GlobalPlatform, EMVCo, GSMA, Cloud Signature Consortium) e fundações de código aberto (Linux Foundation, OpenWallet Foundation, LF Decentralized Trust, MOSIP, Eclipse Foundation), todos reunidos na mesma sala.
O primeiro dia deu o tom. O Escritório Federal Suíço de Justiça abriu os trabalhos ao lado da Ministra brasileira da Gestão e da Inovação em Serviços Públicos e de palestrantes dos setores de aviação e plataformas digitais. Um painel do Global Digital Collaboration Council (com Smart Africa, o Governo do Canadá e representantes das áreas financeira e tecnológica) defendeu que a liderança público-privada é hoje um pré-requisito para esse tipo de infraestrutura, não mais uma opção. As sessões variaram desde pilotos de carteiras digitais transfronteiriças em grande escala, passando pelo modelo de governança “Sovereign Trust” da Smart Africa, até a conexão entre Singapura e Xangai para credenciais de registro empresarial, além de uma sessão da UNECE/OMC que estimou em seis trilhões de dólares por ano o custo do atrito comercial.
A Namirial participou do painel “The invisible partners that are indispensable to drive adoption”, ao lado de outros fornecedores da comunidade de intermediários (slides e anotações disponíveis mediante solicitação).
A própria posição da Suíça merece destaque, pois enquadra todo o evento: sua lei sobre E-ID foi aprovada por referendo em setembro de 2025 com margem muito estreita; a carteira swiyu está em beta pública desde março de 2025, agora com um sandbox separado para testes de emissores e verificadores; e o lançamento em produção foi adiado para 2027. A Suíça também pretende criar em Genebra uma fundação como sede permanente da GDC: um terreno neutro para um diálogo genuinamente global.
A seguir, os dez pontos que consideramos relevantes e o que cada um deles significa para as organizações que terão que operar nesse cenário.
1 – A identidade digital deixou de ser apenas uma questão regulatória europeia
Carteiras de motorista digitais, credenciais de viagem digitais, certificados de saúde que agora conectam mais de oitenta países por meio da OMS, documentos comerciais verificáveis, credenciais educacionais e sistemas de identidade em escala populacional no Sul Global foram todos tratados como temas centrais, não como casos marginais.
Uma sessão conjunta UE-Índia deixou esse ponto muito claro. A carteira europeia de identidade digital, exigida pelo Regulamento (UE) 2024/1183, e a infraestrutura digital nacional da Índia foram construídas de forma totalmente independente, mas ambas se apoiam na mesma lógica subjacente: um emissor, um titular, um verificador, um registro legível por máquina de quem está autorizado a emitir o quê, e a divulgação apenas do atributo necessário. Os formatos técnicos – SD-JWT VC e ISO mdoc – estão se tornando um verdadeiro padrão global, mas as regras sobre quem é responsável quando algo dá errado não são nada globais. Essa lacuna, e não o debate sobre formatos, é a verdadeira questão estratégica dos próximos três anos.
O que isso significa: uma organização que hoje desenvolve para uma única jurisdição está, na prática, construindo sobre um formato que muito provavelmente vai circular entre diferentes países. O conjunto de regras não vai acompanhá-lo automaticamente, por isso é necessário um planejamento separado. É exatamente por isso que nossa plataforma de carteira digital é construída sobre um núcleo comum de emissão e verificação, para que um cliente não fique preso às premissas de uma única região.
2 – Os padrões garantem interoperabilidade. Não garantem responsabilidade.
Dois sistemas podem concordar perfeitamente sobre como formatar e verificar uma credencial, e ainda assim deixar completamente em aberto quem indeniza um banco, um comerciante ou um cidadão que confiou nela e perdeu dinheiro. Dentro da UE, o eIDAS 2.0 responde a isso para credenciais emitidas como “qualificadas”: responsabilidade definida, órgãos de supervisão nomeados, auditorias obrigatórias. Fora desse perímetro, a resposta é, em grande parte, inexistente.
A conferência de Genebra produziu um bom trabalho sobre conformidade – se uma credencial atende a uma especificação técnica – por meio de sessões realizadas em conjunto com a OpenID Foundation, o Cloud Signature Consortium e a Comissão. No entanto, conformidade e responsabilidade são questões diferentes. Um trust registry pode confirmar que um emissor está autorizado, mas não pode dizer quem paga quando o processo falha.
O que isso significa: se o seu modelo de negócio depende da aceitação transfronteiriça, pergunte desde cedo quem arca com o prejuízo, e não apenas se a credencial será tecnicamente processável. Como prestador de serviços de confiança qualificado, a responsabilidade é algo que já assumimos como parte da cadeia supervisionada: está embutida no que um cliente compra de nós, não é algo pensado depois do fato.
3 – O verdadeiro tema deste ano foram os trust registries, não os formatos de credenciais
Toda credencial – um passaporte, um diploma, um formulário aduaneiro, uma licença profissional – depende de uma pergunta que nenhum formato responde sozinho: esse emissor está realmente autorizado a emiti-la, agora mesmo? Uma Trust Registries Task Force (co-liderada em parte por um grande provedor de plataformas e um programa nacional de identidade) propôs um modelo federado: as plataformas de carteira implementam a confiança, mas os registros nacionais e setoriais existentes mantêm sua autoridade.
Sessões paralelas mostraram esse padrão se repetindo em toda parte: identidade, educação, viagens, comércio, registro empresarial; e mostraram autoridades de trânsito da América do Norte e da Australásia negociando ao vivo um marco de reconhecimento mútuo para carteiras de motorista, um dos poucos precedentes funcionais de reconhecimento entre regiões inteiras. O grupo de trabalho encerrou admitindo que a pergunta mais difícil continua em aberto: quem administra um trust registry global e sob qual autoridade?
O que isso significa: a federação é a arquitetura correta, mas alguém ainda precisa ser a raiz de confiança para cada setor específico. Já operamos hoje dentro da infraestrutura de listas de confiança (publicação, supervisão, revogação), portanto, para nós, essa é a estrutura operacional com a qual trabalhamos diariamente, e não uma questão de pesquisa futura.
4 – Ter o gateway da carteira não equivale a gerenciar toda a jornada de KYC
As datas são o que tornam isso concreto. Os Estados-membros da UE devem disponibilizar as carteiras até 24 de dezembro de 2026. A partir de 10 de julho de 2027, novas regras de combate à lavagem de dinheiro (Regulamento (UE) 2024/1624) reforçam as verificações de identidade. A partir de 24 de dezembro de 2027, bancos, operadoras de telecomunicações, serviços públicos e plataformas muito grandes deverão aceitar a carteira sempre que a autenticação forte for legalmente exigida, com um registro de partes usuárias em vigor a partir da mesma data.
O resultado é um sistema extremamente complexo: 27 carteiras nacionais, várias carteiras privadas, quatro formas diferentes de apresentar uma credencial, três formatos de dados, um único catálogo de tipos de credenciais e, somente nos serviços financeiros, cerca de cinco mil partes usuárias que precisam se conectar.
Um conector puro pressupõe que a credencial já está na carteira, pronta para ser apresentada. Tudo o que vem antes desse ponto (comprovar quem é alguém no nível de garantia correto, conectar-se a fontes autorizadas, vincular a credencial a um telefone, lidar com um dispositivo perdido, reverificar quando algo muda…) é um problema de ciclo de vida, e está apenas parcialmente resolvido em toda a indústria. A assinatura ou o selo que tornam uma transação juridicamente vinculante ficam na outra ponta dessa mesma cadeia, seguidos por auditoria e tratamento de disputas.
O que isso significa: quem for dono de toda a jornada, do onboarding até a assinatura, carrega o nível de garantia pelo qual a parte usuária realmente está pagando. É exatamente em torno disso que nossa plataforma está estruturada: o Namirial Onboarding estabelece a identidade no nível de garantia exigido, o Wallet Gateway absorve a complexidade do protocolo, e nossos serviços de assinatura fecham a transação. Uma única cadeia responsável, e não cinco fornecedores para reconciliar depois que algo dá errado.
5 – Carteira empresarial: obrigatória na Europa, impulsionada por incentivos em outros lugares
Uma sessão traçou um contraste bem nítido: na Europa, a carteira empresarial está chegando porque a regulamentação exige. Nos Estados Unidos, sem um mandato equivalente, o setor privado está construindo a mesma capacidade porque ela é comercialmente útil. Ambas substituem a papelada manual do “know your business” por registros digitais verificáveis instantaneamente. Se as duas abordagens vão realmente interoperar é uma questão genuinamente em aberto.
Os problemas difíceis estão claramente identificados: quem pode delegar autoridade a quem dentro de uma empresa, até que nível abaixo do conselho de administração essa cadeia de delegação se estende, como ela se integra aos sistemas de gerenciamento de acesso existentes, e como se conecta a registros autorizados, como os registros nacionais de empresas. O identificador verificável de entidade legal da GLEIF surgiu repetidamente como âncora global para a identidade corporativa.
O que isso significa: seja qual for o caminho que leve até lá, mandato ou incentivo, a cadeia de delegação é onde a responsabilidade fica mais difícil de alocar, porque alguém precisa responder pelo que faz um agente autorizado, mas que ultrapassa seus limites. Este é um elemento central do que incorporamos às atestações de mandato e delegação para empresas, não apenas para pessoas físicas.
6 – Assinar a partir de uma carteira chega ao palco principal
Duas sessões se destacaram: uma sobre a execução de assinaturas eletrônicas qualificadas diretamente a partir de uma carteira, eliminando a etapa separada de comprar um certificado independente; a outra, realizada com o Cloud Signature Consortium e a TeleTrusT, sobre arquitetura de assinatura remota e em nuvem alinhada tanto às regras da UE quanto à própria lei suíça de assinatura, um exemplo real, não hipotético, de reconhecimento que vai além do direito da UE.
Apresentar uma credencial comprova um fato. Assinar cria uma obrigação legal. Contratos, aberturas de conta, mandatos e requerimentos terminam todos em uma assinatura, e os cidadãos deveriam obter essa capacidade por meio de suas carteiras. Boa parte da conversa pública sobre carteiras para na pergunta “a credencial é válida”, mesmo que a transação em si não pare aí.
O que isso significa: uma estratégia de carteira que termina na verificação está incompleta. Nossos serviços de assinatura foram criados exatamente para fechar essa lacuna: transformar um atributo verificado em uma assinatura juridicamente vinculante e auditável, dentro da mesma cadeia.
7 – A demanda chegou, inclusive de agentes de software
A verificação de idade funcionou como um tema completo em si mesmo, incluindo sessões que perguntavam primeiro se uma verificação de idade é sequer justificada, antes de simplesmente presumir que é. Demonstrações ao vivo mostraram credenciais de idade emitidas por bancos concluindo um checkout online e uma credencial governamental aceita em um terminal de pagamento físico: transações reais, não apenas slides.
O desenvolvimento mais marcante disse respeito a agentes de IA agindo em nome das pessoas. Diversas sessões convergiram para um único enquadramento que vale a pena lembrar: Know Your Agent (KYA). Ele estende o “know your business” da mesma forma que este estendeu o “know your customer”: quando um agente de software realiza uma transação, é preciso estabelecer quem é o agente, sob autoridade de quem ele age e dentro de quais limites: identidade organizacional verificada, um mandato delimitado e auditável, e evidência de intenção que se sustente também posteriormente. Um agente pode agir inteiramente dentro de um mandato válido e ainda assim causar um prejuízo, motivo exato pelo qual isso é uma questão de responsabilidade tanto quanto uma questão técnica.
O que isso significa: qualquer empresa que planeje permitir que agentes realizem transações em seu nome, ou aceitar transações de agentes de outras pessoas, precisa dessa camada de identidade e mandato já agora, e não somente quando os agentes já estiverem em produção. É uma extensão natural do trabalho de mandato e delegação descrito acima, e algo em que já estamos trabalhando.
8 – Reconhecimento mútuo, não harmonização, e uma “Europa” mais ampla do que a UE
O resultado mais relevante da conferência não foi uma especificação técnica. Uma declaração de intenção rumo a um marco de confiança pan-europeu criou um grupo de colaboração permanente, explicitamente um fórum de articulação, não um novo regulador ou organismo de normalização.
Seu escopo é mais amplo do que a UE: a UE e o Espaço Econômico Europeu, a Suíça, o Reino Unido, a Ucrânia e outros candidatos à adesão, e, em princípio, todos os quarenta e seis Estados-membros do Conselho da Europa. O que eles compartilham não é uma regulamentação única, mas um marco comum de direitos: a Convenção Europeia de Direitos Humanos e os padrões de proteção de dados do Conselho da Europa. Os princípios de concepção declarados favorecem o reconhecimento mútuo em detrimento do controle centralizado, a privacidade desde a concepção, os padrões abertos, e um modelo pensado para poder ser exportado a outros lugares. As evidências por trás desse esforço são diretas: um mapeamento da OCDE entre os países do G7 não encontrou um único padrão internacional compartilhado por todos eles, e uma pesquisa britânica constatou que quase quatro em cada cinco provedores de verificação digital apontam a diversidade regulatória como uma barreira para atuar internacionalmente.
O que isso significa: o grupo é, por natureza, não vinculante, de modo que suas ideias só terão peso se instituições e o setor as adotarem de fato. Vemos isso como o local natural para definir os termos de responsabilidade entre jurisdições que faltam no segundo ponto, e pretendemos continuar nos engajando ativamente, em vez de esperar por um padrão finalizado para implementar.
9 – Pagamentos: a carteira se torna uma ferramenta de autenticação, mas a responsabilidade continua em aberto
Os pagamentos permearam praticamente todas as discussões: redes de cartões e infraestruturas nacionais de pagamento nos mesmos painéis, estruturas conta a conta, e credenciais de pagamento digitais discutidas sob vários ângulos.
A direção regulatória é clara: a Comissão Europeia quer que a carteira da UE seja tratada como equivalente à autenticação forte do cliente sob as regras de pagamento, e o caminho técnico para isso está se consolidando. O que ainda não está definido é quem arca com o prejuízo quando algo falha. O Parlamento e o Conselho chegaram a um acordo político sobre as novas regras de serviços de pagamento no final de novembro de 2025, com os textos publicados em abril de 2026; a publicação formal é esperada para o segundo semestre de 2026, após o que as regras passam a valer cerca de 21 meses depois, realisticamente em 2028, com os detalhes finos definidos posteriormente pelos reguladores bancários.
Enquanto isso, o setor não está esperando: a EMVCo vem desenvolvendo uma especificação de Digital Payment Credential com contribuições da FIDO Alliance, da OpenID Foundation, da OpenWallet Foundation e do W3C. A iniciativa EPI já ultrapassou cinquenta milhões de usuários registrados e avançou das transferências entre pessoas para lojas e checkout online, e um piloto do euro digital com cerca de trinta e seis provedores de serviços de pagamento deve ocorrer ao longo do segundo semestre de 2027.
O que isso significa: uma credencial de pagamento só funciona se emissores, carteiras, redes e reguladores convergirem para um único modelo compartilhado, em vez de vários modelos concorrentes: esse é um espaço em que o setor pode avançar à frente da regulamentação sem enfraquecê-la. O que trazemos é a parte que uma stack de pagamentos não consegue gerar sozinha: uma cadeia supervisionada e responsável, da verificação de identidade até a assinatura.
10 – A European Business Wallet: uma oportunidade real, ainda em construção
A European Business Wallet (EBW) representa um desafio genuinamente novo, não uma extensão da carteira pessoal. Proposta pela Comissão em 19 de novembro de 2025 como parte de um pacote mais amplo de simplificação digital, seu objetivo é permitir que uma empresa gerencie quem pode representá-la, troque documentos oficiais por meio de um canal de entrega seguro qualificado, e seja encontrada em um diretório mantido pela Comissão, tudo ancorado ao identificador da UE já existente da empresa. As ações realizadas por meio da carteira teriam o mesmo peso legal que ações realizadas em papel. Fundamentalmente, ela não impõe nenhuma obrigação às próprias empresas: os órgãos públicos devem apoiá-la, mas as empresas escolhem se vão utilizá-la, motivo exato pelo qual a adoção dependerá de demonstrar seu valor, e não de um mandato.
O que isso significa especificamente para nós: não esperamos a especificação se consolidar. Trabalhamos em capacidades de carteira empresarial desde os estágios iniciais: onboarding organizacional, atestações de mandato e delegação, e selos e assinaturas qualificadas para pessoas jurídicas, não apenas para pessoas físicas. Um detalhe da posição do Conselho merece destaque: sua orientação em direção à exigência de autorização prévia e de um alto nível de garantia para provedores favorece organizações que já operam hoje sob supervisão, em vez de novos entrantes começando do zero.
A perspectiva da Namirial, em resumo
Ser dono de toda a jornada, do onboarding, da emissão e verificação de credenciais, até a assinatura final, a trilha de auditoria e o arquivamento, importa mais do que ser dono de um único elo da cadeia. A conformidade está próxima de ser resolvida, mas a responsabilidade transfronteiriça não está, e os pagamentos serão a primeira questão sensível. Nosso próprio referencial é o eIDAS e a UE, mas isso não marca o limite de onde pretendemos atuar.
A próxima Global Digital Collaboration Conference está agendada para 7 a 9 de setembro de 2027, em Genebra. Estamos ansiosos para participar e contribuir mais uma vez.
