A Infraestrutura da Obediência: Carteiras Digitais, Biometria e o Panóptico que Ninguém Votou

Em julho de 2026, três vetores de vigilância convergem em velocidade inédita. Na União Europeia, os 27 Estados-membros correm para disponibilizar a EUDI Wallet — a carteira de identidade digital que cada país é obrigado a oferecer — até o fim do ano. Nos Estados Unidos, a Clearview AI fecha com o ICE, em junho, o maior contrato de reconhecimento facial de sua história, enquanto o próprio governo apaga do ar sua política de supervisão. E em Bruxelas, um ex-eurodeputado que investigava abusos do spyware Pegasus descobre que seu próprio telefone foi hackeado durante os trabalhos da comissão parlamentar criada para combater exatamente esse tipo de espionagem.

Nenhum desses eventos, isoladamente, configura uma conspiração. Juntos, porém, revelam um padrão estrutural: a infraestrutura técnica de vigilância cresce mais rápido do que qualquer mecanismo democrático capaz de limitá-la. A questão não é se alguém pretende construir um panóptico global — é se o panóptico se constrói sozinho, por inércia burocrática, incentivo econômico e omissão legislativa.

Carteiras digitais: a conveniência que rastreia

O Regulamento eIDAS 2.0 (Regulação UE 2024/1183), em vigor desde maio de 2024, obriga cada Estado-membro a oferecer ao menos uma carteira digital certificada até o final de 2026. A obrigação recai sobre os Estados — não, ao menos formalmente, sobre o cidadão. A EUDI Wallet promete armazenar documentos, autenticar identidades e produzir assinaturas eletrônicas com “divulgação seletiva”: o usuário poderia, em tese, provar que tem mais de 18 anos sem revelar a data de nascimento.

O design soa elegante. A implementação, nem tanto.

Em 18 de junho de 2026, um compromisso entre os Estados-membros passou a permitir — sem obrigar — que cada país deixe o usuário optar por não incluir a imagem facial na carteira [1]. Críticos alertam que a pressão institucional para fornecê-la tornará a “opcionalidade” ilusória. Criptógrafos independentes questionam o modelo de certificação: os mesmos governos que emitem a carteira também certificam sua segurança, criando um conflito de interesse que nenhuma auditoria externa resolve [2]. Organizações de direitos digitais como a Epicenter.works advertem que, sem governança rigorosa, a carteira pode se tornar o maior banco de dados biométricos centralizados da história europeia.

A partir do fim de 2027, bancos, telecomunicações, plataformas digitais e serviços de saúde serão obrigados a aceitar a EUDI Wallet como autenticação [3]. O que hoje é conveniência amanhã pode ser requisito — e quem não tiver smartphone, conectividade ou disposição para entregar dados biométricos ficará de fora.

Há, é justo dizer, um contra-argumento técnico sério: a divulgação seletiva, se implementada com rigor criptográfico, exporia menos dados do que o modelo atual, em que o cidadão fotografa o documento inteiro para cada verificação. A promessa não é falsa — o risco está em quem controla a arquitetura e em quão real será a alternativa não digital.

Euro digital: a moeda que sabe onde você almoçou

Em 14 de julho de 2026, o Banco Central Europeu anunciou a seleção de 36 prestadores de serviços de pagamento — incluindo Deutsche Bank, UniCredit, Revolut, Stripe e Adyen — para um piloto de 12 meses previsto para o segundo semestre de 2027 [4]. Uma eventual emissão está projetada para 2029, condicionada à aprovação de um marco legal pelos colegisladores europeus [5].

O BCE declara que o euro digital complementará o dinheiro físico e que o Eurosistema não identificará usuários individuais nem compras específicas. Compromissos institucionais, porém, não são garantias técnicas. Economistas e advogados de privacidade apontam três riscos estruturais: o monitoramento de padrões de gasto por autoridades, a possibilidade de “dinheiro programável” com restrições por categoria de compra, e a erosão progressiva do anonimato que o dinheiro em espécie ainda garante. Um limite de detenção por pessoa — em discussão na casa dos poucos milhares de euros, oficialmente para evitar “corridas bancárias digitais” — também define, na prática, o teto de autonomia financeira fora do sistema bancário.

Vale registrar o outro lado: o desenho prevê um modo offline pensado para funcionar como dinheiro — pagamentos ponto a ponto sem intermediário rastreando a transação em tempo real. Se essa promessa se sustentará no código final é, hoje, uma questão em aberto. O euro digital ainda não existe. Mas a arquitetura que o sustentará já está sendo construída — e cada decisão técnica tomada agora definirá o grau de vigilância financeira por décadas.

Clearview AI: 60 bilhões de rostos sem consentimento

Enquanto a Europa debate, os Estados Unidos praticam. A Clearview AI — empresa que raspou, segundo estimativas da própria companhia e de reportagens, mais de 60 bilhões de imagens da internet — assinou em 11 de fevereiro de 2026 um contrato de US$ 225 mil com a Alfândega e Proteção de Fronteiras (CBP). Isso se soma aos US$ 9,2 milhões contratados pela agência de imigração ICE em 2025 [6].

E o ritmo acelerou: em junho de 2026, segundo reportagens da Biometric Update e do FedScoop, o ICE fechou um novo contrato de US$ 3,75 milhões com a Clearview — o maior de reconhecimento facial de sua história — no mesmo período em que o Departamento de Segurança Interna (DHS) retirou de seu site a política interna de supervisão dessa tecnologia [7].

As consequências jurídicas se acumulam, mas não freiam os contratos. Reguladores do Reino Unido, Itália, França e Austrália já multaram a Clearview por violações ao GDPR. E o custo humano tem nome: em julho de 2025, Angela Lipps, avó de 50 anos do Tennessee, foi presa e passou mais de cinco meses encarcerada depois que a polícia de West Fargo, na Dakota do Norte, a apontou como suspeita de fraude bancária com base numa correspondência facial da Clearview — num estado que ela diz nunca ter visitado. O caso, revelado pela CNN em março de 2026, foi arquivado; a polícia admitiu “alguns erros” [8]. Organizações de liberdades civis documentam outros casos de prisão indevida por reconhecimento facial ao longo de 2026.

O capitalismo de vigilância — o modelo que transforma dados biométricos extraídos sem consentimento em produto vendido a governos — não é uma teoria acadêmica. É um modelo de negócios com faturamento rastreável e vítimas identificáveis.

Pegasus no Parlamento: quem vigia os vigias?

Em 3 de julho de 2026, o Citizen Lab confirmou que Stelios Kouloglou — ex-eurodeputado e membro suplente da Comissão PEGA, criada especificamente para investigar abusos de spyware na UE — teve o telefone infectado pelo Pegasus por volta de outubro de 2022 e novamente em março de 2023 [9]. Ou seja: enquanto investigava a espionagem, era espionado. O Citizen Lab não atribuiu o ataque a um governo específico.

“O fato de o dispositivo de Stelios Kouloglou ter sido infectado com um spyware invasivo que só governos conseguem adquirir, enquanto ele atuava na comissão de inquérito que investigava o abuso de spyware por países europeus, levanta sérias preocupações sobre a integridade da fiscalização independente no mais alto nível na Europa.” — Elina Castillo Jiménez, Amnistia Internacional [10]

A Amnistia classificou o caso como sinal de “inação dolorosa” da UE e exigiu investigação independente e implementação das recomendações da Comissão PEGA — que, três anos depois do relatório parlamentar, seguem em boa parte no papel.

O fabricante do Pegasus, a NSO Group, também colhe as primeiras consequências judiciais. Em maio de 2025, um júri federal na Califórnia condenou a empresa a pagar cerca de US$ 167 milhões em danos punitivos ao WhatsApp por hackear aproximadamente 1.400 usuários da plataforma — jornalistas, ativistas, diplomatas e dissidentes [11]. Foi a primeira vez que a companhia foi responsabilizada; ela recorre.

Brasil: a ANPD acorda — mas o relógio corre

No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) — que é autarquia de natureza especial (independente) desde a Lei 14.460/2022 e teve sua conversão em Agência consolidada em 2025-2026 — elegeu reconhecimento facial e decisões automatizadas como prioridades de fiscalização para o biênio 2026-2027 [12].

O caso mais emblemático já vinha de antes: em 18 de fevereiro de 2025, a ANPD instaurou processos de fiscalização contra 23 clubes de futebol pelo uso de reconhecimento facial na venda de ingressos e na entrada de estádios, apontando falhas de transparência e tratamento inadequado de dados de crianças e adolescentes [13]. Convém a precisão: a biometria em si é exigida por lei — a Lei Geral do Esporte (Lei 14.597/2023) impõe identificação biométrica em arenas com mais de 20 mil lugares. O que a ANPD questiona não é a coleta autorizada, mas como ela é feita e informada.

O problema é o ritmo. Mais de um ano depois, apuração da Agência Lupa (maio de 2026) mostrou que apenas um dos 23 clubes havia sido efetivamente intimado; os demais processos seguem abertos [14]. A pergunta sobre a capacidade operacional da Agência deixou de ser retórica.

O Estatuto Digital da Criança e do Adolescente (Lei 15.211/2025), em vigor desde 17 de março de 2026, impõe exigências rigorosas de verificação de idade e privacidade por padrão. Mas o projeto de lei de inteligência artificial (PL 2338/2023) segue tramitando na Câmara sem aprovação — deixando a ANPD como principal barreira institucional contra a expansão biométrica desregulada.

EU AI Act: o que 2 de agosto realmente muda

A data de 2 de agosto de 2026 circula como marco de uma “fiscalização plena” do AI Act. É preciso ler as letras miúdas. O que entra em vigor nessa data são os poderes de fiscalização da Comissão sobre modelos de IA de propósito geral (GPAI), com multas de até €15 milhões ou 3% do faturamento global (Art. 101) [15]. As proibições de práticas do Art. 5 — incluindo a raspagem indiscriminada de rostos para bancos de dados e o reconhecimento biométrico em tempo real em espaços públicos, este geralmente proibido, mas com exceções para desaparecidos, ameaça terrorista e crimes graves — já valem desde 2 de fevereiro de 2025.

E aqui está a virada que muda a leitura da matéria: em 29 de junho de 2026, o Conselho da UE deu aval final ao “Digital Omnibus” sobre IA [16], que:

• adia as obrigações de sistemas de alto risco (Anexo III) de 2/8/2026 para 2 de dezembro de 2027 (e as embarcadas em produtos, do Anexo I, para 2/8/2028);
• **posterga a marcação/*watermarking* de conteúdo gerado por IA (Art. 50(2)) para 2 de dezembro de 2026**;
• cria nova proibição para geração de imagens íntimas não consentidas e material de abuso infantil (“nudifiers”), a partir de 2/12/2026.

A justificativa oficial é pragmática — faltam padrões técnicos para tornar as regras operáveis. O efeito, porém, é eloquente: às vésperas de o AI Act “pegar”, a UE adiou por dezesseis meses justamente as salvaguardas de alto risco. A arquitetura de vigilância avança no calendário; o freio, recua.

O que não sabemos — e deveríamos perguntar

• A EUDI Wallet preservará alternativas não digitais reais, ou a “opcionalidade” será apenas formal?
• Quais intermediários do euro digital terão acesso a dados de pagador, valor e finalidade — e por quanto tempo poderão retê-los?
• Quantos contratos com empresas de vigilância biométrica como a Clearview AI existem em agências federais além de ICE e CBP — e com que supervisão, agora que o DHS retirou a sua do ar?
• A ANPD, que levou mais de um ano para intimar um único dos 23 clubes, tem estrutura para fiscalizar os milhares de outros operadores de biometria no país?
• Por que a UE precisou adiar as próprias regras de alto risco — falta de padrões técnicos ou falta de vontade política?

A arquitetura precede a intenção

Não é necessário invocar uma “cabala global” para entender o risco. Basta observar a mecânica: identidade digital de oferta obrigatória + moeda rastreável + reconhecimento facial em expansão + spyware sem controle = infraestrutura de vigilância total disponível para qualquer governo que decida usá-la. A diferença entre capacidade técnica e uso efetivo é uma decisão política — e decisões políticas são reversíveis, mas só enquanto ainda houver quem as questione.

A pergunta que a Arcavox deixa ao leitor não é se existe uma conspiração para vigiar todos. É mais incômoda: quando a infraestrutura estiver pronta, quem decidirá como usá-la — e com base em qual mandato democrático?

---

Referências

[1] Biometric Update. “EUDI Wallet biometric compromise draws privacy concerns.” Jun. 2026. https://www.biometricupdate.com/202606/eudi-wallet-biometric-compromise-draws-privacy-concerns

[2] Biometric Update. “Cryptographers warn about EUDI Wallet privacy.” Dez. 2024. https://www.biometricupdate.com/202412/cryptographers-warn-about-eudi-wallet-privacy

[3] Freshfields. “The EUDI Wallet is coming: what businesses need to know.” 2026. https://www.freshfields.com/en/our-thinking/blogs/technology-quotient/the-eudi-wallet-is-coming-what-businesses-need-to-know-102mvuy

[4] Banco Central Europeu. “ECB selects 36 payment service providers to join digital euro pilot.” 14 jul. 2026. https://www.ecb.europa.eu/press/pr/date/2026/html/ecb.pr260714~8cd07d9d45.en.html

[5] BCE. “Digital euro — progress.” 2026. https://www.ecb.europa.eu/euro/digital_euro/progress/html/index.en.html

[6] Immigration Policy Tracking Project. “Reported ICE/CBP contracts with Clearview AI.” https://immpolicytracking.org/policies/reported-ice-contracts-with-clearview-ai-for-facial-recognition-technology/

[7] FedScoop / Biometric Update. “CBP strengthens tactical targeting with Clearview AI; DHS removes oversight policy.” Jun. 2026. https://www.biometricupdate.com/

[8] CNN. “Police used AI facial recognition to arrest a Tennessee woman for crimes committed in a state she says she’s never visited.” 29 mar. 2026. https://www.cnn.com/2026/03/29/us/angela-lipps-ai-facial-recognition

[9] Citizen Lab. “Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus.” Report 194, 3 jul. 2026. https://citizenlab.ca/research/member-of-committee-investigating-spyware-hacked-with-pegasus/

[10] Amnistia Internacional. “Europe: Brazen hacking of former MEP investigating Pegasus abuses…” 3 jul. 2026. https://www.amnesty.org/en/latest/news/2026/07/europe-brazen-hacking-of-former-mep-investigating-pegasus-abuses-exposes-painful-inaction-over-spyware/

[11] Amnesty International. “Ruling against NSO Group in WhatsApp case a ‘momentous win against spyware abuse’.” Mai. 2025. https://www.amnesty.org/en/latest/news/2025/05/ruling-against-nso-group-in-whatsapp-case-a-momentous-win/

[12] ANPD. “Mapa de Temas Prioritários 2026-2027.” Dez. 2025. https://www.gov.br/anpd

[13] ANPD. “ANPD fiscaliza uso de sistema de reconhecimento facial na venda de ingressos e na entrada de estádios por 23 clubes de futebol.” 18 fev. 2025. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-fiscaliza-uso-de-sistema-de-reconhecimento-facial-na-venda-de-ingressos-e-na-entrada-de-estadios-por-23-clubes-de-futebol

[14] Agência Lupa. “Responsável por fiscalizar redes, ANPD abriu só um processo em 2026.” 28 mai. 2026. https://www.agencialupa.org/noticias/2026/05/28/responsavel-por-fiscalizar-redes-anpd-abriu-so-um-processo-em-2026/

[15] Comissão Europeia. “Guidelines for providers of general-purpose AI models.” 2026. https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers

[16] Conselho da UE. “Artificial Intelligence: Council gives final green light to simplify and streamline rules.” 29 jun. 2026. https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/