Perícia digital na Europa: relatório da Europol aponta ferramentas defasadas, falta de padrões e cuidados no uso de IA

A Agência da União Europeia para a Cooperação Policial (Europol) e a Comissão Europeia publicaram em 16 de outubro de 2026 o relatório “Digital forensics: gap analysis”, uma análise das lacunas da perícia digital nos países do bloco, e a conclusão é que as polícias europeias não conseguem acompanhar com ferramentas, recursos e conhecimento a velocidade das mudanças tecnológicas, da criptografia às criptomoedas, o que, segundo o documento, ameaça a confiabilidade da prova e a cooperação entre os países.

De onde vem o relatório

O trabalho responde ao roteiro para acesso legal e efetivo a dados pelas forças de segurança, adotado pela Comissão Europeia em 24 de junho de 2025, que tem a perícia digital entre suas seis áreas de ação e registra que as autoridades nacionais sofrem com grave falta de recursos e de capacidade para esse tipo de exame.

As conclusões vieram de consultas, reuniões e questionários com os interessados e com especialistas do Centro Europeu de Combate ao Crime Cibernético (EC3) da Europol, complementados por documentos de projetos e artigos científicos, e o relatório adota a definição de perícia digital do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST), que inclui busca autorizada, cadeia de custódia, validação, uso de ferramentas validadas, repetibilidade, relatório e, eventualmente, depoimento de perito.

Ferramentas caras, fechadas e pouco testadas

O documento diz que as empresas europeias têm uma parcela pequena do mercado de ferramentas comerciais de perícia digital, embora sejam mais baratas, e cobrem uma parte pequena dos aparelhos existentes, enquanto as soluções comerciais ficam obsoletas rápido, são caras e muitas vezes desenvolvidas fora da União Europeia.

As ferramentas comerciais costumam usar formatos de dados proprietários, que impedem encadear o trabalho de vários programas sobre a mesma prova, e por isso os peritos perdem muito tempo preparando dados, e o relatório defende formatos padronizados por organismos de normalização como o Instituto Europeu de Normas de Telecomunicações (ETSI), que poderiam levar a cadeia de custódia registrada dentro dos próprios dados.

A validação das ferramentas é muito fragmentada, com cada país aplicando os próprios critérios de teste, e o relatório recomenda que a União Europeia crie um órgão independente para testar e validar as ferramentas de perícia, comerciais ou não, já que testar exige comprar uma grande variedade de aparelhos e carregá-los com dados variados, um trabalho caro e demorado que hoje se repete em cada polícia.

A cadeia de custódia ainda é manual

Apesar das normas ISO/IEC 27037:2012, sobre identificação, coleta, aquisição e preservação da prova digital, e ISO/IEC 27042:2015, sobre análise e interpretação, o relatório considera incompleta a padronização, principalmente na documentação da cadeia de custódia e na coleta de provas em ambientes como a nuvem e a internet das coisas.

Na nuvem, os dados ficam espalhados por vários lugares, o investigador não controla o equipamento, a prova pode ser apagada automaticamente e é preciso depender do provedor para copiar os dados, e manter uma cadeia de custódia confiável fica difícil quando a prova é coletada por terceiros ou em outros países, sem acesso a imagens completas de disco nem aos registros da infraestrutura.

O relatório observa que a prova digital passa por muitas mãos, dos primeiros policiais no local aos laboratórios, investigadores, promotores e provedores de nuvem, e que, segundo pesquisadores, o registro da cadeia de custódia ainda é feito quase todo à mão, com risco de erro e de documentação faltando.

Fabricantes, veículos e internet das coisas

Os fabricantes de aparelhos, muitos de fora da União Europeia, costumam resistir a informar como extrair dados, e o relatório considera cada vez menos sustentável depender de falhas de segurança específicas de cada aparelho para fazer a extração, porque o resultado é incerto e a existência dessas falhas também pode ser aproveitada por criminosos.

Nos veículos, os peritos relatam formatos proprietários, criptografia, dados guardados na nuvem e pouca cooperação das montadoras, e a ferramenta europeia European Vehicle Forensics Framework (EVFF), gratuita para as polícias, analisa imagens do sistema multimídia dos carros, mas não faz a aquisição dos dados.

Para a internet das coisas, o documento diz que ainda não há ferramentas, técnicas nem boas práticas específicas, e cita como exemplo as câmeras de segurança domésticas, que guardam as gravações em servidores do fornecedor, em geral em outro país, o que torna a coleta mais complexa, demorada ou até impossível.

Criptomoedas e casos perdidos na Justiça

No rastreamento de criptomoedas, os países dependem de ferramentas de empresas americanas, o que o relatório trata como problema de soberania, porque dados sensíveis são compartilhados com essas empresas, e o preço das licenças anuais deve subir muito nos próximos anos.

O documento afirma ainda que os profissionais se acostumaram a depender das ferramentas comerciais e nem sempre sabem interpretar corretamente os resultados, o que já leva tribunais a rejeitar casos por falta de prova confiável, e cita dois casos na França nos últimos meses, e diz que, por isso, a Europol testou com a Eurojust, no verão europeu de 2026, um programa de capacitação chamado [Block]Chain of Evidence.

Regras para a IA na perícia

Sobre inteligência artificial, o relatório alerta que sistemas usados sem controle podem comprometer a cadeia de custódia, a reprodutibilidade e a admissibilidade da prova, e defende uma plataforma controlada, com registro de cada ação da IA, documentação e verificação humana.

Segundo o documento, a perícia tradicional se baseia na cadeia de custódia e na repetibilidade, enquanto a IA trabalha com probabilidade e contexto, e por isso a análise deve poder ser repetida e conferida manualmente, o arquivo analisado não pode ser alterado pela IA e uma resposta 99% correta não serve se o raciocínio e os passos por trás dela não puderem ser demonstrados.

O relatório lembra que técnicas antiforenses usadas por criminosos podem confundir a IA e levar a resultados errados, e que o uso da tecnologia tem de seguir o regulamento europeu de IA (AI Act), o regulamento geral de proteção de dados (GDPR), as normas ISO/IEC e o marco de gestão de riscos de IA do NIST.

Treinamento e certificação

A falta de procedimentos padronizados e de reconhecimento mútuo da qualificação dos peritos entre os países atrapalha a cooperação, e o relatório pede treinamentos por público, de policiais de primeiro atendimento a promotores e juízes, que precisam entender, avaliar e apresentar a prova digital em juízo, e registro obrigatório da formação, com certificados e prazos de validade.

A conclusão é que, sem uma ação coordenada, as lacunas em padronização, desenvolvimento de ferramentas, governança da IA e treinamento vão aumentar, e que a prioridade deve ser padronizar, usar soluções europeias, dar transparência à IA e criar plataformas compartilhadas.