Confiança além das fronteiras
Uma carteira nacional prova quem uma pessoa é. Mas a maioria das interações é com e entre organizações, que são complexas, distribuídas e internacionais. A sua realidade é de relações de confiança complexas dentro e entre estruturas empresariais, departamentos, dispositivos, agentes e pessoas. Os dados partilhados devem provar a sua autenticidade e preservar o mesmo significado através de cada fronteira. O consentimento, as permissões e as revogações devem manter-se independentes da partilha de dados e da custódia atual.
Cada organização é uma rede de fronteiras de confiança. As fronteiras nacionais são apenas um tipo. Os departamentos internos, as subsidiárias e as empresas-mãe, e os diferentes domínios de responsabilidade formam, cada um, uma linha onde a confiança muda, e cada linha exige o mesmo: identidade que possa ser aplicada de forma granular, segura e soberana a toda a organização, aos seus dispositivos, agentes, departamentos, serviços e pessoas, e dados que preservem o seu significado através de cada uma dessas linhas.
Limites, não fronteiras
Uma fronteira de confiança é um perímetro onde o nível de confiança muda. Os passaportes, os contratos legais e as firewalls empresariais existem porque a confiança não pode fluir livremente através destas linhas. As fronteiras nacionais são um tipo de fronteira. Os mesmos requisitos surgem em cada fronteira de uma organização, interna e externa.
Entre jurisdições
Duas instituições em sistemas jurídicos diferentes têm de se verificar mutuamente de forma direta, sem nenhuma autoridade partilhada a que recorrer.
Entre organizações
Uma empresa e os seus parceiros, fornecedores e clientes trocam dados através de linhas que nenhuma parte controla isoladamente.
Dentro de uma organização
Os departamentos, as subsidiárias e a empresa-mãe detêm, cada um, o seu próprio âmbito de autoridade, e os dados têm de atravessar essas linhas internas com o seu significado intacto.
Entre a organização e os seus agentes
Os dispositivos, os serviços e os agentes de IA agem em nome da organização, e cada um deve ser verificável como agindo dentro de um âmbito que lhe foi concedido.
Uma identidade, aplicada de forma granular
A identidade organizacional não é uma credencial para a empresa. É identidade aplicada a cada dispositivo, agente, departamento, serviço e pessoa, cada um verificável pelas instituições com que trabalha, sem nenhum fornecedor partilhado no meio.
Granular
A identidade aplica-se a cada dispositivo, agente, departamento, serviço e pessoa, e não a uma única credencial para toda a empresa. Cada um pode ser verificado de forma independente.
Seguro
Identificadores autocertificáveis e registos de auditoria com evidência de adulteração significam que nenhum fornecedor partilhado pode ser comprometido para falsificar ou revogar a identidade.
Escalável
A verificação ponto a ponto não necessita de um registo central, pelo que escala para milhões de organizações sem estrangulamentos.
Soberano
Cada organização controla as suas próprias raízes criptográficas. Ninguém pode revogar ou reter a sua identidade.
Robusto
A rotação de chaves está integrada, pelo que a identidade sobrevive a uma chave comprometida em vez de colapsar com ela.
Resiliente
Sem nenhum ponto único de falha. A malha continua a funcionar quando uma parte está offline ou inacessível.
Descentralizado
Nenhum intermediário detém o fluxo de dados. A confiança é estabelecida bilateralmente, entre as partes que realmente trocam dados.
O que as carteiras nacionais resolvem
A carteira nacional é adequada para aquilo que faz. Responde a uma pergunta, e responde-lhe bem: como uma pessoa prova quem é a uma instituição. Essa é uma pergunta diferente de como as organizações confiam umas nas outras.
Do cidadão à instituição, dentro de um país
Resolvido por conceçãoUma pessoa apresenta a um hospital, a um banco ou a uma autoridade uma credencial emitida pelo Estado, e o verificador confronta-a com um registo que o Estado opera. É exatamente para isso que serve uma carteira nacional, e é o que está concebida para fazer.
Entre Estados-Membros
Resolvido por conceçãoUma credencial emitida num Estado-Membro é reconhecida noutro porque as âncoras de confiança são publicadas em listas: os Estados-Membros assinam as suas próprias listas de confiança, e a Comissão mantém uma lista dessas listas e assina listas de entidades de confiança para o ecossistema da carteira. O verificador percorre a cadeia para obter uma resposta.
De instituição a instituição, entre jurisdições
Não resolvidoDuas organizações em ordenamentos jurídicos diferentes precisam de se verificar mutuamente, não de verificar um cidadão. E é mais do que isso: uma instituição tem de poder confirmar, ao nível das políticas, que uma pessoa, um papel ou um agente de IA atua dentro de um âmbito que lhe foi delegado, que os dados que partilha são autênticos e transportam consigo o seu significado, e que a parte recetora verifica o pedido contra a sua própria cadeia de credenciais. E depois de os dados se terem movido, uma decisão de consentimento tem de continuar a viajar com eles. Nada disto é o que uma carteira de cidadão foi concebida para responder.
Três raízes de confiança
A diferença vê-se mais facilmente fazendo uma única pergunta a cada sistema: quando um verificador precisa de saber se deve confiar em algo, o que consulta em última instância?
Clique para ampliar
Os Estados nacionais são monopólios naturais da identificação oficial e são poucos, pelo que o modelo centralizado é a forma adequada para uma carteira nacional. O resto do mundo não é assim. Existem milhões de organizações, cada uma com os seus próprios departamentos, dispositivos, agentes e serviços, e trocam dados entre si constantemente. Esse panorama precisa de uma arquitetura diferente, construída para muitos pares e não para um único emissor.
Onde isto está hoje
Os pontos abaixo têm datas, e as datas mudam. Esta é a única secção em que isso acontece.
-
Não existe reconhecimento de carteiras de países terceiros
O reconhecimento de uma carteira fora da UE passaria por um acordo internacional e por atos de equivalência ao abrigo do mecanismo do eIDAS para países terceiros. Não existe tal acordo nem tal ato para nenhum país. Nem para a Suíça, nem para mais ninguém.
-
O pacote Suíça-UE não abrange a identidade digital
O pacote Bilaterals III não contém qualquer elemento de identidade digital. A única via aberta é o reconhecimento mútuo das assinaturas eletrónicas qualificadas, onde ainda não existe instrumento.
-
A Suíça suspendeu os seus próprios trabalhos de ligação
As decisões orçamentais federais de fevereiro de 2026 suspenderam os trabalhos suíços de ligação a sistemas internacionais de e-ID, incluindo a interoperabilidade com a UE.
-
As duas camadas de confiança não têm correspondência publicada
De um lado, autoridades de certificação de acesso com listas de entidades de confiança publicadas pela Comissão. Do outro, um registo de base e um registo de confiança no âmbito do protocolo de confiança suíço. Não existe correspondência publicada entre ambos. É a divergência com menor probabilidade de se fechar por si só, porque quem pode publicar uma âncora de confiança é uma questão jurídica antes de ser técnica.
-
As pessoas coletivas estão a sair da carteira do cidadão
O quadro de arquitetura da UE retirou as carteiras para pessoas coletivas, indicando que o fazia tendo em vista o desenvolvimento de uma carteira empresarial separada. A Comissão propôs desde então alterar o regulamento para que a carteira abranja apenas pessoas singulares. Essa proposta está no Parlamento Europeu e não tem data de aplicação própria, pelo que não deve ser lida nela nenhuma data. O que importa é a direção: a identidade das organizações passa a ter o seu próprio instrumento.
Porque é que a independência de formato importa
Um emissor cuja credencial de referência é canónica, com os formatos de carteira produzidos a pedido na periferia, não está exposto ao que, em tudo isto, diz respeito aos formatos de credencial e aos caminhos de exportação. Acrescentar um segundo destino de exportação altera um caminho de exportação e não é uma reemissão de tudo o que já foi emitido. É uma propriedade da arquitetura e não uma funcionalidade a comprar.
Dito de forma clara: hoje não existe qualquer caminho de exportação duplo construído, e a correspondência com o formato ISO de documento móvel não teve trabalho de conceção. A independência de formato é a forma como Verimesh está arquitetado, não algo que esteja em produção.
Onde o Verimesh está
Em produção hoje
O gateway e a autoridade de certificação central Verimesh funcionam em produção na saúde suíça na HIN, e o SEAL já transporta o tráfego diário de mensagens. As primeiras instituições estão migradas e usam-no, o resto da rede embarca ao longo de 2026. Essa implementação é a base sobre a qual o modelo entre organizações se constrói.
Para onde vamos
O próximo passo é a troca direta entre instituições através de fronteiras, em que cada parte verifica pessoas, papéis e agentes contra a sua própria cadeia de credenciais, e em que os dados partilhados transportam consigo o seu significado. O Verimesh foi construído exatamente para isso, e estamos a embarcar instituições agora. Se trabalha nessa fronteira, vamos falar.
A trabalhar além de uma fronteira de confiança que as carteiras não cobrem?
Se o seu problema são duas instituições em jurisdições diferentes, ou um consentimento que tem de sobreviver à divulgação, é exatamente essa a conversa que temos todas as semanas.