Transformação do setor financeiro em Portugal 2027–2030

Entre julho de 2027 e o fim de 2028, as instituições financeiras portuguesas vão ter de cumprir, quase em simultâneo, o novo Regulamento AML, as obrigações de alto risco do AI Act, a aceitação obrigatória da Carteira Europeia de Identidade Digital, o ciclo de liquidação T+1 e as novas regras de pagamentos. Tudo isto por cima de DORA e do novo Regime Jurídico da Cibersegurança, que já se aplicam. 

O risco não está na regulação. Está em tratá-la como sete projetos separados, com sete inventários de riscos, sete matrizes de controlo e sete pacotes de evidência sobre os mesmos processos.

1. Branqueamento de capitais: o novo centro de gravidade 

O AMLR aplica-se a 10 de julho de 2027. Regras que hoje vivem na Lei n.º 83/2017 e nos avisos do Banco de Portugal passam a ser diretamente aplicáveis, com menos espaço para interpretação nacional. A partir de 2028, a AMLA supervisiona diretamente as entidades de maior risco transfronteiriço e compara práticas entre Estados-Membros. 

Para os conselhos de administração, a pergunta deixa de ser “temos políticas?” e passa a ser “conseguimos prová-lo com dados?”. 

2. Identidade digital: o KYC tem data marcada 

Até ao final de 2026, Portugal tem de disponibilizar a Carteira Europeia de Identidade Digital. A 24 de dezembro de 2027, bancos, instituições de pagamento e de moeda eletrónica têm de a aceitar quando o cliente a apresentar. 

São cinco meses depois do AMLR. Quem desenhar o onboarding para um regime e a diligência para outro vai fazer o trabalho duas vezes. Com a Chave Móvel Digital e a infraestrutura de autenticação do Estado, Portugal parte à frente. A vantagem só se materializa se o KYC for redesenhado a partir da carteira, e não com a carteira colada ao processo atual. 

3. Resiliência operacional: acabou a fase do projeto 

O DORA aplica-se desde janeiro de 2025. O Decreto-Lei n.º 125/2025 está em vigor desde abril de 2026, com o CNCS como autoridade nacional. Para as entidades financeiras, o DORA é o regime de referência. Para os seus prestadores críticos, grupos e entidades não financeiras, a NIS2 chega por outro caminho. 

O que se segue não é implementar. É provar: testes de resiliência, registos de incidentes, gestão efetiva de terceiros críticos. Quem implementou para o prazo vai descobrir que implementou para a inspeção, não para o incidente. 

4. Inteligência artificial: o adiamento não é uma pausa 

O Omnibus adiou as obrigações de alto risco do AI Act para 2 de dezembro de 2027. Adiou o prazo, não o âmbito. No setor financeiro, há dois casos de uso expressamente classificados como alto risco e um terceiro que apanha banca e seguros por igual. 

Banca. Credit scoring e avaliação de solvabilidade de particulares: decisão de crédito ao consumo e crédito à habitação, limites de cartão, ofertas pré-aprovadas nos canais digitais. A deteção de fraude fica expressamente fora do alto risco, e a monitorização de transações para AML também não consta da lista. Não ficam fora da governação: o supervisor continua a esperar que o modelo seja explicável, validado e testado. 

Seguros. Avaliação de risco e pricing em seguros de vida e de saúde: underwriting automatizado, análise de questionários clínicos por modelos, ajustamento de prémios. Automóvel, habitação e gestão de sinistros não estão na lista de alto risco. Um chatbot de apoio a sinistros fica sujeito às obrigações de transparência, não às de alto risco. 

Transversal. Recrutamento e gestão de pessoas: triagem de CV, seleção de candidatos, avaliação de desempenho. Também é alto risco, e existe em quase todas as instituições, muitas vezes dentro de ferramentas de fornecedores que ninguém inventariou. 

Nos casos de crédito e de seguros de vida e saúde, quem utiliza o sistema tem ainda de fazer uma avaliação de impacto nos direitos fundamentais antes de o pôr em produção. 

Faltam catorze meses para ter inventário de modelos, responsável por cada caso de uso e controlos que a auditoria interna consiga testar. Depois da qualidade dos dados, o maior obstáculo à IA não é tecnológico. É não saber quem responde quando o modelo erra. 

5. Pagamentos: um mercado que já resolveu metade do problema 

A PSD3 e o novo Regulamento de Serviços de Pagamento vão reforçar a autenticação forte, a responsabilidade por fraude e a qualidade das APIs. Os textos estão fechados, mas ainda sem data de publicação. Com cerca de 21 meses de transição, a aplicação não deverá acontecer antes de meados de 2028. O Open Finance, através do FiDA, continua em negociação e pode chegar mais estreito do que foi proposto. 

Portugal tem uma particularidade que os roteiros europeus ignoram. A inovação em pagamentos passou por um esquema doméstico, o MB WAY, com cerca de 7 milhões de utilizadores, e não pelas APIs da PSD2. A pergunta estratégica não é abrir dados. É garantir que, quando os esquemas europeus se interligarem, a instituição continua a ser dona da relação com o cliente e da responsabilidade pela fraude. 

6. Mercados e ativos digitais: menos espaço, mais disciplina 

O período transitório do MiCA terminou em Portugal a 1 de julho de 2026. Quem presta serviços de criptoativos sem autorização deixou de poder operar. A 11 de outubro de 2027, a liquidação de valores mobiliários na UE passa a T+1, o que obriga intermediários e sociedades gestoras a rever processos de post-trade, câmbios e gestão de liquidez. 

Não é o tema mais mediático. É onde os erros operacionais aparecem primeiro. 

A fundação: dados 

Todas as frentes dependem da mesma coisa: dados governados, documentados e rastreáveis. Monitorização de transações, reporte ao supervisor, modelos de IA e verificação do beneficiário falham no mesmo ponto quando ninguém sabe de onde vem o dado. 

Os maiores orçamentos dos próximos anos não vão ser para a regulação. Vão ser para corrigir os dados que a regulação expõe. 

O fio condutor para o sucesso 

Integrar programas não chega. É preciso integrar o modelo de controlo: um inventário de riscos, uma matriz de controlos mapeada a vários regimes, testada uma vez e reportada muitas. Um único conjunto de evidência perante o Banco de Portugal, a CMVM, a ASF, o CNCS e a AMLA. 

A questão não é se a mudança vem. É se a instituição a vai conseguir demonstrar.