IN ITI 36/2026: análise completa da AR Eletrônica, Match biométrico e 4 Bases Oficiais Nacionais

Existe uma diferença enorme entre uma decisão aprovada em colégio e uma decisão transformada em lei. A primeira move o ponteiro político. A segunda move o ponteiro operacional. Quando o Comitê Gestor da ICP-Brasil aprovou por unanimidade, em 24 de abril de 2026, a Pauta 3 sobre AR Eletrônica e Match biométrico, o setor entendeu que algo importante tinha acontecido. Quando o Diário Oficial da União publicou, na manhã de 04 de maio de 2026, a Instrução Normativa ITI nº 36/2026 reescrevendo praticamente toda a confirmação de identidade na infraestrutura brasileira de chaves públicas, esse algo importante virou obrigação vinculante.

O artigo abaixo traz a primeira leitura completa, pública e em português direto da IN ITI nº 36/2026, com a intenção explícita de servir como referência para Autoridades Certificadoras, Autoridades de Registro, agentes de registro, equipes jurídicas, contadores, empresários, profissionais de TI e cidadãos que precisem entender exatamente o que mudou e quando começa a valer.

São sete capítulos, 73 artigos e dezenas de disposições técnicas específicas. O texto cobre desde os cinco métodos admissíveis de confirmação de identidade até o detalhamento da AR Eletrônica em pessoa física via aplicativo móvel, passando pelas quatro Bases Oficiais Nacionais admitidas, pelas regras de videoconferência com detecção de deepfake, pelo Módulo Eletrônico de AR para serviços públicos e pela comunicação obrigatória de fraude ao ITI. Vamos por partes.

Contexto e linha do tempo: da Pauta 3 ao DOU

A IN ITI nº 36/2026 não nasceu pronta. Ela é o ponto de chegada de uma trajetória de cinco anos que começou em 2021 com a previsão regulatória da AR Eletrônica, esbarrou em duas tentativas frustradas de fonte biométrica nacional (TSE/CIN e GOV.br), travou por falta de base de dados deduplicada com batimento 1 para N e finalmente destravou em 2026 com o arranjo combinado entre Senatran/Renach (acessada pelo serviço DataValid do Serpro), PSBio (Sistema Biométrico interno da ICP-Brasil) e Passaporte Eletrônico Brasileiro mantido pela Polícia Federal.

Os marcos relevantes:

• 2021 — Comitê Gestor da ICP-Brasil aprova a previsão regulatória da AR Eletrônica como modalidade possível; falta operacionalização.
• 2021-2024 — tentativas via base do TSE e via autenticação biométrica do GOV.br falham por razões técnicas e jurídicas.
• 24 de abril de 2026 — Comitê Gestor aprova por unanimidade a Pauta 3, consolidando os requisitos de confirmação de identidade do requerente, viabilizando operacionalmente a AR Eletrônica e tornando o Match biométrico obrigatório para 100% dos certificados.
• 29 de abril de 2026 — o Diretor-Presidente do ITI assina a Instrução Normativa ITI nº 36/2026 e a IN ITI nº 37/2026.
• 04 de maio de 2026 — ambas são publicadas no DOU nº 81, Seção 1, páginas 4 a 8.
• 05 de maio de 2026 — entrada em vigor (Art. 73 da IN 36 e Art. 4º da IN 37).
• 04 de julho de 2026 — prazo final para entidades da ICP-Brasil atualizarem suas Declarações de Práticas de Certificação (DPCs) e Políticas de Certificados (PCs), conforme Art. 71.
• 05 de agosto de 2026 — entram em vigor a obrigatoriedade da atualização biométrica facial a cada cinco anos (Art. 68), os mecanismos antifraude específicos da videoconferência (Art. 69) e a obrigatoriedade do documento físico em videoconferência (Art. 70).

A IN não opera no vácuo. Ela complementa a Resolução CG ICP-Brasil nº 177/2020 (DOC-ICP-05) sobre identificação do requerente e revoga, em seu Art. 72, a IN ITI nº 16/2020, partes da IN ITI nº 05/2021 e a IN ITI nº 23/2022 — ou seja, consolida e atualiza peças normativas que estavam pulverizadas há mais de cinco anos.

Capítulo I — Disposições Gerais (Arts. 1º a 6º)

O Capítulo I funciona como o “mapa” do regulamento e merece leitura cuidadosa. É nele que estão três definições-base que organizam todos os outros 67 artigos.

Art. 2º — Os cinco métodos admissíveis de confirmação de identidade

O regulamento autoriza, taxativamente, cinco métodos de confirmação de identidade do requerente: (I) comparecimento presencial; (II) videoconferência; (III) uso de certificado ICP-Brasil válido; (IV) Módulo Eletrônico de AR; e (V) AR Eletrônica.

O parágrafo único do mesmo artigo estabelece um princípio de paridade muito relevante: os métodos diversos do presencial “devem assegurar nível de segurança equivalente à forma presencial, garantindo a validação das informações de identificação biográficas e biométricas, mediante o emprego de tecnologias eletrônicas seguras de comunicação, interação, documentação e tratamento biométrico”. Em outras palavras: a videoconferência, o Módulo Eletrônico de AR e a AR Eletrônica não podem ser meros “atalhos” do presencial — precisam alcançar nível equivalente de segurança.

Art. 3º — O que toda confirmação de identidade precisa conter

O Art. 3º lista os quatro elementos mínimos de qualquer confirmação: (I) apresentação e verificação da documentação exigida; (II) coleta e verificação biométrica; (III) consulta à base de dados da Lista Negativa das ACs; e (IV) assinatura ou confirmação da origem e integridade do Termo de Titularidade. Esses quatro itens passam a ser não-negociáveis em qualquer canal — do presencial à AR Eletrônica.

O parágrafo 2º do mesmo artigo formaliza a obrigatoriedade do liveness detection: a coleta biométrica do requerente, a ser submetida à verificação, deve garantir que a biometria seja de uma pessoa viva presente no momento da prova de identidade, “com uso de liveness detection, e que não haja sinais de fraude comportamental e simbólica”. É um endurecimento substancial em relação à norma anterior, que tratava o liveness como recomendação.

Art. 5º — As quatro Bases Oficiais Nacionais

Esse é um dos artigos mais importantes da IN inteira, porque resolve a confusão terminológica que dominou o mercado entre janeiro e abril de 2026. O texto literal diz que as Bases Oficiais Nacionais admitidas na ICP-Brasil para fins de batimento biométrico e biográfico são:

1. Base de dados da Carteira Nacional de Identidade — CIN, mantida pela Secretaria de Governo Digital do MGI.
2. Base de dados da Identificação Civil Nacional — ICN, mantida pelo Tribunal Superior Eleitoral.
3. Base de dados da Carteira Nacional de Habilitação, mantida pela Secretaria Nacional de Trânsito (Senatran).
4. Base de dados da Infraestrutura Pública Digital de Identificação Civil, prevista no Art. 18 do Decreto nº 12.069/2024, mantida pela Secretaria de Governo Digital do MGI.

Note duas ausências relevantes da lista: o PSBio não é Base Oficial Nacional — ele é o Sistema Biométrico interno da ICP-Brasil, deduplicado e com batimento 1:N nativo, usado como camada complementar; e o passaporte não é Base Oficial Nacional em sentido geral — entra como rota alternativa específica para a AR Eletrônica via Art. 58 §3º.

Art. 6º — O dossiê do titular

Toda emissão gera um dossiê eletrônico do titular contendo: dados biográficos e biométricos; cópias de todos os documentos apresentados; resultados das consultas de verificação e validação; gravações da videoconferência, quando aplicável; Termos de Titularidade; e trilhas de auditoria. As ACs devem manter os arquivos de imagem de todos os dados biométricos coletados associados ao dossiê. Esse arquivo é a fonte de verdade para auditoria e investigação de fraude.

Capítulo II — Métodos e procedimentos para confirmação da identidade (Arts. 7º a 35)

O Capítulo II é o mais extenso e cobre identificação de pessoa física, identificação de pessoa jurídica, identificação de equipamentos e aplicações, e procedimentos para pedidos de novas chaves. Para fins de análise, vou destacar os pontos com impacto prático imediato.

Art. 8º — Documentos aceitos para identificação de pessoa física

O Art. 8º lista os documentos exigíveis: CIN ou outro Registro de Identidade para brasileiros; Carteira Nacional de Estrangeiro (CNE) para estrangeiro domiciliado no Brasil; ou Passaporte para estrangeiro não domiciliado no Brasil. Ainda determina consulta ao CPF, verificação de enquadramento como PEP ou autoridade do Judiciário/MP, e coleta biométrica obrigatória (impressão digital + face no presencial; mínimo facial em videoconferência, Módulo Eletrônico de AR ou AR Eletrônica).

Dois detalhes operacionais são críticos. Primeiro, o §5º: todos os documentos utilizados no processo de confirmação devem ser validados nas bases de dados e aplicativos oficiais. Segundo, o §7º: é vedada a emissão de certificados para pessoas físicas com situação cadastral “cancelada”, “nula” ou “falecida” junto à Receita Federal. Esse mesmo conceito vale para PJ no Art. 14 §3º (vedada emissão para PJ “Baixada” ou “Nula”).

Art. 9º — Segunda verificação por AGR distinto

Em três situações a IN exige uma segunda verificação por AGR distinto do que realizou a etapa de identificação: (I) documentos impressos sem barramentos ou aplicações oficiais para verificação; (II) requerentes não cadastrados no PSBio, exceto quando a emissão for por AR Eletrônica ou Módulo Eletrônico de AR; e (III) Pessoas Expostas Politicamente. O parágrafo único determina que essa segunda verificação deve ocorrer antes do início da validade do certificado, sob pena de revogação automática.

Art. 25 — Coleta, verificação biométrica e atualização de cinco anos

Esse artigo detém boa parte da engenharia operacional do batimento biométrico. Determina que a interface da AR para o AGR deve permitir consulta pelo CPF (indexador), com coleta das biometrias do requerente, comparadas obrigatoriamente contra o Sistema Biométrico ICP-Brasil ou contra Bases Oficiais Nacionais.

O parágrafo 2º descreve dois procedimentos específicos da emissão presencial: (I) titular com impressão digital previamente cadastrada exige verificação (match) da impressão digital, registrada no dossiê; (II) titular com apenas biometria facial registrada exige nova coleta de impressões digitais para complementar o cadastro biométrico.

O parágrafo 3º introduz a regra dos cinco anos: nova captura biométrica facial e atualização cadastral devem ser realizadas se a biometria existente no PSBio tiver mais de cinco anos. Vale para validações presenciais e por videoconferência. Pelo Art. 68, essa exigência é obrigatória a partir de 90 dias da entrada em vigor da IN — portanto a partir de 05/08/2026.

Art. 27 — DataValid CNH em 100% das emissões

Texto literal do artigo: “Os dados cadastrais e biométricos do requerente devem ser validados junto à base da Carteira Nacional de Habilitação — CNH via Datavalid em todas as emissões”. O parágrafo único isenta apenas as ACs públicas (órgãos e entidades da Administração Direta da União, Estados, DF e Municípios, bem como suas autarquias e fundações públicas) em emissões presenciais com batimento da impressão digital, exclusivamente para o público interno.

Essa é uma das mudanças mais profundas da IN. Até agora, a consulta à base CNH via Datavalid era prática corrente em parte do mercado, mas não estava expressamente obrigatória como regra geral em toda a ICP-Brasil. Agora é.

Art. 28 — Verificação de e-mail por OTP

Pequeno em extensão, grande em impacto. O artigo determina que: (I) o mesmo endereço de e-mail não poderá ser vinculado a mais de um CPF; (II) a comprovação da posse do e-mail deverá ser realizada por meio de envio de código OTP (One-Time Password); (III) o sistema da AC deverá validar o código OTP em tempo real e registrar o resultado no dossiê. Isso encerra de vez a prática de uso de e-mails compartilhados em emissões ICP-Brasil.

Art. 29 — Validação no PSBio é condição de emissão

A emissão do certificado, ou seu início de validade, fica condicionada à validação dos dados biométricos na base do PSBio ou em seu cache, sendo vedada a emissão de certificado digital com verificação biométrica realizada exclusivamente na base local da AC. Isso fecha definítivamente a porta para emissões ilhadas em base interna.

Art. 31 — Procedimentos reforçados para PEPs e autoridades do Judiciário/MP

Para Pessoas Expostas Politicamente, autoridades do Poder Judiciário e do Ministério Público, é obrigatório: (I) segunda verificação por Agente de Registro da AC; (II) batimento da impressão digital na base do PSBio; (III) coleta de documento de identidade mesmo com batimento positivo no PSBio; (IV) adoção de procedimentos de segurança adicionais. Combinado com o Art. 56 (que veda AR Eletrônica para esses públicos), forma um anel de proteção reforcado em torno de identidades de alto risco.

Capítulo III — Identificação por Videoconferência (Arts. 36 a 45)

Esse capítulo eleva substancialmente a barreira técnica da identificação remota assistida. Reflete diretamente a preocupação do ITI com fraudes baseadas em deepfake e injeção biométrica, que cresceram em 2024-2025 conforme ferramentas de IA generativa baratearam.

Art. 37 — Requisitos técnicos da solução de videoconferência

O parágrafo 1º do Art. 37 enumera nove exigências para a solução tecnológica utilizada pela AC. Cinco delas são particularmente sensíveis:

• Inciso I — Liveness detection obrigatório: detecção de vivacidade do requerente para minimizar manipulação de rosto e voz em montagens de vídeo conhecidas como deepfake, com emprego de meios de detecção de ataque de apresentação.
• Inciso II — Detecção de injeção biométrica: meios de prevenção e detecção de ataques que injetam, de forma indetectável, um fluxo de vídeo previamente gravado ou artificialmente gerado. Exigível após 90 dias (Art. 69).
• Inciso III — Bloqueio de câmeras virtuais: detecção e bloqueio de drivers de câmeras virtuais, detecção de integridade e bloqueio de dispositivos comprometidos. Exigível após 90 dias (Art. 69).
• Inciso IV — Questionários sequenciais aleatórios: scripts obrigatórios em sequência aleatória, de modo que a sequência de perguntas não possa ser prevista.
• Inciso IX — Criptografia ponta-a-ponta: preservação da integridade e confidencialidade da comunicação audiovisual entre o AGR e o requerente.

Adicionalmente, a videoconferência precisa ser gravada com data e hora sincronizadas com a Fonte Confiável do Tempo (FCT) da ICP-Brasil, ter duração suficiente para integral observância dos procedimentos e ser testada periodicamente por entidades independentes.

Art. 38 — Documento físico em videoconferência

Ao iniciar a videoconferência, o requerente deve apresentar a versão física do documento de identificação anteriormente enviado por foto. Os incisos I e III do Art. 38 (envio prévio de fotografia + apresentação do físico em tempo real) tornam-se obrigatórios após 90 dias (Art. 70). A leitura automática de QR Code, MRZ, NFC ou Chip embarcado, quando disponível, deve ser realizada durante a sessão.

Art. 39 — Verificação biométrica 1:1 em videoconferência

A verificação biométrica em videoconferência é sempre 1:1 (uma face contra um registro específico). O parágrafo 3º do Art. 39 detalha os três desfechos possíveis com base em scores de probabilidade retornados pelas Bases Oficiais Nacionais ou serviços integrados como o Datavalid:

• Probabilidade altíssima → processo prossegue para emissão.
• Probabilidade alta → análise complementar por segundo agente especializado.
• Probabilidade média → processo redirecionado para emissão presencial.

Se o requerente não estiver cadastrado em Base Oficial Nacional, o processo de identificação por videoconferência deve ser interrompido e o requerente encaminhado à emissão presencial.

Art. 42 — OTP por canal distinto na videoconferência

Durante a sessão, deve ser enviado ao requerente um código OTP único e descartável por canal distinto da videoconferência (e-mail, SMS ou aplicativo móvel). O procedimento só se considera completo após o requerente informar o código. É mais uma camada de proteção contra automatização de fraude e prova adicional de presença real.

Art. 45 — Treinamento específico do AGR

O Agente de Registro deve receber treinamento específico e periódico para realizar identificação remota assistida, aplicar mecanismos de detecção de ataque de apresentação e identificar indícios de manipulação de mídia. Esse treinamento deve ser avaliado — ou seja, não basta participar, é preciso demonstrar capacidade.

Capítulo IV — Módulo Eletrônico de AR (Arts. 46 a 50)

O Módulo Eletrônico de AR é uma modalidade pouco discutida no debate público mas extremamente estratégica para o setor público e para integrações B2B regulamentadas. O Art. 46 lista quem pode operar nesse modelo:

• ARs dos órgãos gestores de pessoas, na emissão de certificados para servidores públicos federais (ativa e militares), servidores públicos estaduais e do DF (com sistema de gestão de pessoal individualizado e cadastro biométrico auditável) e empregados públicos federais de empresas estatais dependentes do orçamento federal vinculados ao SIGEPE.
• ARs de Bancos Múltiplos ou Caixa Econômica Federal.
• Serventias extrajudiciais vinculadas a uma AR.
• ARs dos conselhos de classes profissionais regulamentados por lei.
• ARs com acesso eletrônico às bases de dados das juntas comerciais para o Balcão Único de Abertura de Empresas.
• Órgão de Identificação ou Detran dos Estados e do DF, para emissão conjunta com a CIN ou a CNH.

O Art. 47 estabelece os requisitos comuns de qualquer Módulo Eletrônico de AR: vinculação a AC credenciada, registros de trilha de auditoria, auditoria pré-operacional pelo ITI, comunicação por protocolos seguros, obtenção automática de dados sem alteração, requisição assinada por AGR autorizado, identificação biométrica prévia no PSBio, consulta obrigatória à Lista Negativa, e listas atualizadas de funcionários autorizados como Agentes de Registro.

Os Arts. 49 e 50 detalham dois cenários específicos: solicitação via Balcão Único de Abertura de Empresas (com autenticação por certificado ICP-Brasil válido ou batimento 1:1 em PSBio/TSE/base oficial federal/estadual/DF) e solicitação em conjunto com CIN ou CNH (com identificação biométrica prévia na base do órgão emissor e consentimento expresso para compartilhamento). Ambos exigem que a AC opere obrigatoriamente como Prestador de Serviço de Confiança (PSC) de armazenamento de chaves — ou seja, certificado em nuvem.

Capítulo V — AR Eletrônica (Arts. 51 a 59)

Esse é o coração regulatório da IN para o público geral. Vale a pena ler com atenção máxima.

Art. 51 — Restrição à pessoa física

Texto literal: “A emissão por AR Eletrônica é restrita a certificado de pessoa física e deve utilizar canal eletrônico automatizado e sem intervenção humana, baseando-se na validação biométrica em bases reconhecidas pela ICP-Brasil”. Confirma o que vinha sendo dito desde a aprovação da Pauta 3: AR Eletrônica gera e-CPF, não gera Selo Eletrônico (e-CNPJ). Para pessoa jurídica, o caminho continua sendo a AR tradicional.

Art. 52 — Restrição à AC com instalações operacionais

A modalidade AR Eletrônica é restrita a Autoridade Certificadora com instalações operacionais, recursos de segurança lógica e de pessoas compatíveis com a atividade de certificação. Não é algo que qualquer entidade pode operar — exige estrutura formal de AC.

Art. 53 — Aplicativo móvel da AC

A emissão por AR Eletrônica deve ser realizada exclusivamente por meio de dispositivo móvel, com aplicativo guiado da AC, dotado de mecanismos de segurança que garantam autenticidade, integridade e confidencialidade das informações capturadas. Ou seja: não é navegador, não é web app, não é integração de terceiros — é aplicativo móvel proprietário da AC.

Art. 54 — Autorização prévia do ITI

O início da operação de cada AC na modalidade AR Eletrônica está condicionado à autorização pelo ITI, que verificará a disponibilização do aplicativo nas plataformas oficiais (Apple App Store, Google Play). Não é auto-credenciamento — cada AC precisa ser autorizada individualmente.

Art. 55 — Chave privada em Prestador de Serviço de Confiança

A chave privada do certificado emitido por AR Eletrônica deve ser gerada e mantida por Prestador de Serviço de Confiança (PSC). Em outras palavras: o e-CPF emitido por AR Eletrônica é sempre certificado em nuvem (A3 PSC), não em arquivo (A1) nem em token (A3 token).

Art. 56 — Vedação para PEPs e autoridades do Judiciário/MP

Texto literal: “É vedada a emissão de certificado na modalidade de AR Eletrônica para Pessoas Expostas Politicamente — PEP ou autoridades do Poder Judiciário e do Ministério Público”. Esse público mantém emissão pelo presencial, por videoconferência ou por uso de certificado válido pré-existente, com os procedimentos reforçados do Art. 31.

Art. 57 — Requisitos técnicos do aplicativo móvel

O artigo lista nove exigências técnicas para o aplicativo guiado da AC: (I) criptografia ponta-a-ponta com sistemas da AC; (II) verificação de integridade do aplicativo e do ambiente de execução, com bloqueio de root/jailbreak; (III) identidade do dispositivo móvel única, imutável e atestada por elemento identificador de hardware; (IV) captura em tempo real de imagens; (V) captura de fotografia do documento de identificação físico; (VI) captura biométrica facial e de impressão digital; (VII) liveness detection obrigatório anti-deepfake; (VIII) prevenção e detecção de injeção biométrica; (IX) testes periódicos por entidades independentes.

O parágrafo único estabelece um redirecionamento automático: na impossibilidade de detecção de vivacidade pelo requerente, ele deve ser direcionado para outra modalidade de emissão de certificado, por meio da qual seja possível a coleta da biometria da impressão digital.

Art. 58 — Fluxo de emissão por AR Eletrônica

O Art. 58 é tecnicamente o dispósitivo mais relevante para a operação diária. O caput descreve cinco etapas mínimas:

1. Autorização expressa do requerente para todo o processo de identificação.
2. Validação automática do documento de identificação físico em aplicativos e bases oficiais.
3. Batimento biométrico positivo em base de dados da CIN, da ICN (TSE) ou da IPD.
4. Observância dos critérios mínimos da verificação biométrica e biográfica, admitindo-se exclusivamente o conceito equivalente à altíssima probabilidade.
5. Batimento negativo na Lista Negativa do PSBio.

Note que apenas a altíssima probabilidade é aceita em AR Eletrônica — “alta” ou “média” têm caminhos diferentes (análise por segundo agente ou redirecionamento para presencial), conforme o Art. 39 §3º.

O parágrafo 2º introduz a regra de transição que, na prática, viabiliza o lançamento da AR Eletrônica em 2026:

“O batimento biométrico de que trata o inciso III do caput pode ser substituído pelo batimento positivo na base de dados da Carteira Nacional de Habilitação, por meio do Datavalid, combinado com o batimento biométrico positivo no PSBio, até que uma das bases de dados nele previstas esteja disponível em âmbito nacional.”

— Art. 58 §2º da IN ITI nº 36/2026.

O parágrafo 3º cria a rota alternativa do passaporte:

“Quando a identificação do requerente, na modalidade AR Eletrônica, for realizada com a leitura e verificação automatizada dos dados biográficos e biométricos obtidos do Passaporte Eletrônico Brasileiro, ficam dispensados os incisos II e III do caput.”

— Art. 58 §3º da IN ITI nº 36/2026.

Art. 59 — Trilha de auditoria

Todo o processo referente à emissão por AR Eletrônica deve ser encadeado, assinado digitalmente, armazenado em repositório seguro e auditável. É a base para fiscalização futura pelo ITI e investigação de eventuais incidentes.

Capítulo VI — Comunicação de fraude (Arts. 60 a 65)

O capítulo trata do procedimento obrigatório quando a AR ou a AC concluir ter ocorrido fraude ou tentativa de fraude na identificação biométrica e na emissão de certificado digital.

O Art. 61 estabelece que a comunicação de fraude deve ser realizada pelo preenchimento de campos obrigatórios e opcionais na interface do sistema de comunicação de fraude da AC, conforme o adendo de Métodos de Interface do Serviço de Lista Negativa (ADE-ICP-05.02.B). Pode incluir upload de imagens dos supostos fraudadores. Impressões digitais e face devem ser enviadas pela AC ou PSS ao Sistema Biométrico para inserção no repositório de Lista Negativa biométrica.

Os Arts. 63 a 65 detalham o cancelamento de fraude (por análise da AC, com envio do motivo a comunicafraude@iti.gov.br), a notificação à autoridade policial competente e o envio do dossiê do certificado, dossiês dos AGRs e Boletim de Ocorrência à Diretoria de Auditoria, Fiscalização e Normalização (DAFN) do ITI.

Esse capítulo desenha um pipeline operacional completo: fraude detectada → certificado não emitido (ou revogado) → comunicação ao ITI → inserção na Lista Negativa → B.O. policial → envio do dossiê ao ITI. Quem tentar fraudar e for capturado não sofre apenas a recusa — passa a constar como fraudador na base nacional, o que tende a barrá-lo em qualquer tentativa futura em qualquer AC.

Capítulo VII — Disposições Finais e Transitórias (Arts. 66 a 73)

O capítulo concentra os prazos de adequação e a engenharia de transição.

Art. 66 — Pós-verificação aleatória

As ACs devem realizar pós-verificação dos certificados emitidos, de forma aleatória e distribuída entre tipos de emissão e tipos de certificado. É um mecanismo de auditoria interno que aumenta o custo esperado de qualquer fraude que tenha passado pelos controles de emissão.

Art. 67 — Conformidade com LGPD

Todos os Prestadores de Serviços de Certificação (PSCert) que tiverem acesso aos dados do requerente devem cumprir todas as disposições legais relativas à Lei Geral de Proteção de Dados (LGPD). Trivial em concepção, importante em obrigação — conecta a IN diretamente ao regime LGPD.

Arts. 68, 69 e 70 — Prazo de 90 dias

Três artigos consecutivos estabelecem o mesmo prazo (90 dias da entrada em vigor) para três exigências diferentes:

• Art. 68 — atualização biométrica facial a cada cinco anos (referente ao §3º do Art. 25).
• Art. 69 — mecanismos de segurança referentes à videoconferência previstos nos incisos II e III do §1º do Art. 37 (detecção de injeção biométrica e bloqueio de câmeras virtuais).
• Art. 70 — utilização de documento físico na emissão por videoconferência, nos termos dos incisos I e III do Art. 38.

Como a IN entrou em vigor em 05/05/2026, os três prazos terminam em 05 de agosto de 2026.

Art. 71 — Atualização de DPCs e PCs em 60 dias

As entidades da ICP-Brasil devem atualizar suas Declarações de Práticas de Certificação (DPCs) e Políticas de Certificados (PCs) em conformidade com a IN ITI nº 03/2020 no prazo de 60 dias da entrada em vigor da IN 36 — ou seja, até 04 de julho de 2026.

Art. 72 — Revogações

Ficam revogados: (I) IN ITI nº 16/2020; (II) artigo 1º da IN ITI nº 05/2021; (III) incisos I e II do artigo 4º da IN ITI nº 05/2021; (IV) IN ITI nº 23/2022.

Art. 73 — Vigência

“Esta Instrução Normativa entra em vigor em 05 de maio de 2026.”

Match biométrico em 100% das emissões: o fim do “altamente recomendado”

Combinando o Art. 27 (DataValid CNH obrigatório em 100% das emissões), o Art. 25 (verificação biométrica como condição de emissão) e o Art. 58 §2º (regra de transição CNH/DataValid + PSBio), a IN 36/2026 promove o Match biométrico de recomendação forte para obrigação transversal. O efeito prático é que ninguém mais emite certificado ICP-Brasil sem comprovação biométrica robusta — ainda que o caminho do batimento varie por modalidade.

O Match biométrico tem dois sabores possíveis:

• Match em base com 1:N nativo (PSBio, passaporte): basta um match para satisfazer a obrigação de unicidade.
• Match em base sem 1:N nativo (CNH/DataValid via Senatran): exige Match adicional no PSBio para garantir o batimento 1 para N.

Mais detalhes na análise específica em Match biométrico vira obrigatório para 100% dos certificados ICP-Brasil.

As quatro Bases Oficiais Nacionais explicadas

O Art. 5º lista quatro bases. Para o público que vai usar a AR Eletrônica nos próximos meses, é importante entender o estado de cada uma:

• CIN (Carteira Nacional de Identidade) — aproximadamente 51 milhões de cidadãos cadastrados em abril de 2026, ainda em expansão sob a coordenação da Secretaria de Governo Digital. Conforme a IPDIC universalizar a CIN, ela tende a se tornar a base primária do batimento da AR Eletrônica.
• ICN (Identificação Civil Nacional, mantida pelo TSE) — universo potencial de aproximadamente 155 milhões de eleitores. Foi a primeira base candidata da AR Eletrônica e não se viabilizou em 2021-2024 por razões técnico-jurídicas; agora figura como Base Oficial Nacional, mas ainda demanda integração operacional para uso na ICP-Brasil.
• CNH/Senatran — aproximadamente 70 milhões de pessoas individualizadas, acessada via serviço DataValid do Serpro. Pelo Art. 27, é validação obrigatória em 100% das emissões ICP-Brasil. Pelo Art. 58 §2º, é também a base primária operacional da AR Eletrônica em fase de transição, combinada com o PSBio.
• IPD (Infraestrutura Pública Digital de Identificação Civil) — prevista no Art. 18 do Decreto nº 12.069/2024 e mantida pela SGD/MGI. Ainda em construção; aparece como base primária futura.

Para um aprofundamento dos números e da arquitetura operacional, veja Bases oficiais da AR Eletrônica: 70mi CNH + 20mi PSBio + 13mi passaporte e DataValid não é base biométrica — o mapa oficial das fontes.

Calendário de adequação: 60 dias e 90 dias

A IN 36/2026 estabelece dois prazos de transição que devem entrar no calendário de qualquer AC, AR ou operação ICP-Brasil de forma destacada.

04/07/2026 — Prazo de 60 dias

Pelo Art. 71, todas as entidades da ICP-Brasil devem ter atualizado suas DPCs e PCs até 04 de julho de 2026. Isso significa: revisão textual, alinhamento com novos métodos do Art. 2º, incorporação das Bases Oficiais Nacionais do Art. 5º, descrição do fluxo de AR Eletrônica do Capítulo V, validação pelo ITI e republicação.

05/08/2026 — Prazo de 90 dias

Pelos Arts. 68, 69 e 70, tornam-se obrigatórios em 05 de agosto de 2026: a atualização biométrica facial a cada 5 anos, os mecanismos antifraude específicos da videoconferência (detecção de injeção biométrica e bloqueio de câmeras virtuais) e a obrigatoriedade do documento físico em videoconferência. Implica investimento em tecnologia (provedores de detecção de fraude), atualização de bases de dados e treinamento adicional de Agentes de Registro.

O que muda para Autoridades Certificadoras

Para uma Autoridade Certificadora, a IN 36/2026 implica revisão profunda de quatro frentes:

• Documental — reescrita de DPCs e PCs em 60 dias, com aprovação pelo ITI.
• Tecnológica — integração com DataValid CNH em 100% dos fluxos, integração com PSBio para batimento 1:N, adoção de provedores de liveness 3D, detecção de injeção biométrica e bloqueio de câmeras virtuais. Para AR Eletrônica especificamente, desenvolvimento ou aquisição de aplicativo móvel guiado conforme requisitos do Art. 57 e autorização prévia do ITI.
• Operacional — treinamento específico e avaliado para AGRs (Art. 45), implementação do procedimento de Lista Negativa (Capítulo VI), pós-verificação aleatória de certificados (Art. 66) e atualização do dossiê conforme novos requisitos.
• Comercial — reposicionamento de produtos no novo regime; comunicação ao mercado sobre o que muda na prática; alinhamento com canal de AR (presencial vs videoconferência vs Eletrônica).

O que muda para Autoridades de Registro

Para uma AR, a IN 36/2026 muda a forma de operar em quatro pontos:

• Treinamento e avaliação de AGRs — os agentes precisam ser treinados em detecção de fraude visual e biométrica e devem ser avaliados — não basta certificar uma vez.
• Procedimentos reforçados para PEPs — segunda verificação, documento de identidade adicional, batimento da impressão digital no PSBio.
• Verificação de e-mail por OTP — novo passo obrigatório em todo o fluxo, com unicidade e-mail/CPF.
• Reorientação de canais — como a AR Eletrônica não emite Selo Eletrônico (PJ) e exclui PEPs e magistrados, o canal presencial e a videoconferência ganham especialização adicional.

O que muda para o cidadão e para empresas

Do lado da demanda, o efeito mais visivel e a abertura de tres caminhos paralelos para emissão de e-CPF, com diferentes níveis de atrito:

• AR Eletrônica — aplicativo móvel da AC, sem agente humano, em poucos minutos. Disponivel para quem tem cadastro em CNH/PSBio (ou passaporte eletrônico). Excludente para PEPs, magistrados e MP.
• Videoconferência — com AGR humano em tempo real, agendamento, gravacao, OTP em canal distinto, documento físico apresentado à câmera e mecanismos antifraude reforçados a partir de 05/08/2026.
• Presencial — mantém-se como opção premium e como caminho obrigatório para quem não consegue concluir o liveness ou não está em base biométrica oficial.

Para empresas, a IN não muda o caminho do Selo Eletrônico (e-CNPJ V12) — ele continua sendo emitido pela rota tradicional pelo representante legal usando seu e-CPF. O que muda é que a emissão de e-CPF do representante pode acontecer agora pela AR Eletrônica em poucos minutos pelo celular, e a partir desse e-CPF a emissão do Selo Eletrônico flui em sequência. Ou seja: o gargalo de tempo na emissão do certificado pessoal (que muitas vezes era o atraso para emitir o certificado da empresa) tende a desaparecer.

Para quem é cliente tradicional de Autoridade de Registro (PEP, magistrado, servidor do Judiciário, MP, profissional regulado por conselho de classe), as rotas presencial e por videoconferência continuam — com os procedimentos reforçados que tornam o atendimento mais rígido em qualidade, mas sem retirar o canal.

Conclusão

A Instrução Normativa ITI nº 36/2026 é o documento jurídico mais importante para a infraestrutura de identidade digital brasileira nesta década. Ela consolida cinco anos de discussão pública e privada, organiza um vocabulário comum (cinco métodos, quatro Bases Oficiais Nacionais, regra de transição, rota alternativa do passaporte), endurece os controles antifraude em videoconferência diante de IA generativa, abre formalmente a porta da AR Eletrônica para 70+ milhões de brasileiros e estabelece prazos curtos (60 e 90 dias) que vão redefinir como Autoridades Certificadoras, Autoridades de Registro e o próprio cidadão se relacionam com certificado digital.

Para Leandro Albertini, fundador do Selo Eletrônico e do Certificado Campinas, que atua com certificação digital ICP-Brasil desde 2016, a IN 36/2026 marca o momento em que a janela aberta pela Pauta 3 deixa de ser um anuncio e passa a ser uma engenharia operacional palpável. Quem dominar primeiro a engenharia — saber qual base se aplica em qual fluxo, conhecer o calendário de adequação ao milímetro, treinar AGRs no novo padrão, posicionar comunicação e produto para o novo universo elegivel — vai acumular vantagem composta em escala, custo e confiança. O Grupo Meta ID já opera nesse padrão e mantém o domínio areletronica.com.br reservado para o público que quer entrar pela porta nova.

O conteúdo oficial da IN está disponível para verificação no portal da Imprensa Nacional pelos códigos 05152026050400004 a 05152026050400008. Recomendamos a leitura na íntegra a quem responde formalmente por operação ICP-Brasil. Este artigo permanece como guia introdutório e referência rápida.

Leandro Albertini

Empresário e fundador do Selo Eletrônico e do Certificado Campinas. Atua com certificação digital ICP-Brasil desde 2016, com mais de 100.000 emissões realizadas e 11.020 avaliações no Google.

LinkedIn Site