O que é C2PA? Content Credentials: como funciona, serviços compatíveis, verificação e diferença da marca d'água (watermark)

A foto que você viu na internet foi mesmo tirada com uma câmera, ou foi criada ou editada com IA? O C2PA tenta responder a esse tipo de dúvida com um "registro de como o conteúdo foi produzido". Essas informações passaram a acompanhar imagens criadas no ChatGPT e fotos tiradas com o Google Pixel, e já começam a aparecer como rótulos nas redes sociais. Este guia explica como o C2PA funciona, quais serviços são compatíveis, como verificar, quais são os limites e a diferença em relação a marcas d'água digitais (watermarks) como o SynthID, com base em informações oficiais de 9 de outubro de 2026.

O que é o C2PA

C2PA (Coalition for Content Provenance and Authenticity) é o nome de uma organização que cria padrões técnicos para indicar a procedência (de onde veio) e a autenticidade de conteúdos digitais, e também do padrão que ela criou. A organização foi fundada em fevereiro de 2021 por Adobe, Arm, BBC, Intel, Microsoft e Truepic.

As informações de procedência anexadas de acordo com o padrão C2PA são geralmente chamadas de Content Credentials (credenciais de conteúdo). Como a tabela nutricional de um alimento, elas permitem verificar "quando, por quem, com qual ferramenta e como" um conteúdo foi criado e editado.

Em outubro de 2026, o comitê diretor do C2PA reúne 11 empresas: Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok e Truepic. Entre os membros gerais também há empresas e organizações japonesas, como Canon, Nikon, Fujifilm, NHK e NTT Docomo.

Relação entre C2PA e CAI

Um nome que costuma aparecer junto com o C2PA é a CAI (Content Authenticity Initiative). A CAI é uma iniciativa lançada pela Adobe em 2019 que oferece ferramentas de código aberto para implementar o padrão C2PA e promove sua adoção. A divisão de papéis é: o C2PA "cria o padrão", e a CAI "difunde o padrão".

Como funciona: um "registro de procedência" assinado é anexado ao arquivo

No C2PA, o conteúdo recebe um registro de procedência chamado manifesto. O manifesto contém informações como as seguintes.

Asserções: informações individuais, como as operações de criação e edição, as ferramentas ou IAs usadas e a câmera que fez a foto
Declaração (claim): o conjunto das asserções, assinado digitalmente pelo criador (emissor)
Hash do conteúdo: um valor calculado a partir do conteúdo do arquivo. Se o conteúdo for alterado, o valor deixa de coincidir, o que permite perceber adulterações

Como a assinatura digital usa certificados, é possível confirmar quem anexou o registro. A cada nova edição, o manifesto anterior é mantido e um novo registro é acrescentado, de modo que o histórico de edições pode ser rastreado.

Proteção para quando os metadados se perdem

Como o manifesto é guardado como informação complementar do arquivo, ele pode se perder com uma captura de tela ou ao salvar o arquivo novamente. Para compensar esse ponto fraco, o padrão C2PA também define um mecanismo (Durable Content Credentials) que permite localizar um manifesto armazenado a partir de uma marca d'água digital ou de uma impressão digital (fingerprint, características calculadas a partir do conteúdo).

Versão mais recente do padrão

A versão 2.4 do padrão, publicada em abril de 2026, acrescentou campos específicos para indicar o uso de IA e passou a permitir incorporar a procedência também em textos, como documentos HTML e Markdown. Além disso, desde 2025 existe um programa de conformidade que certifica produtos que implementam o padrão corretamente.

Principais formas de suporte

Os principais casos de suporte confirmados nas informações oficiais de cada empresa são os seguintes.

OpenAI: anexa Content Credentials às imagens geradas no ChatGPT e em outros serviços. Em imagens e áudios, também insere a marca d'água SynthID, do Google.
Google: anexa Content Credentials a todas as fotos JPEG tiradas com a câmera do Pixel 10, que podem ser verificadas no Google Fotos. O recurso "Sobre esta imagem" da Pesquisa também usa as informações C2PA. No YouTube, vídeos gravados com câmera e sem edição exibem a indicação "Capturado com uma câmera".
Microsoft: anexa automaticamente Content Credentials a todas as imagens geradas no Azure OpenAI.
Adobe: oferece o app "Adobe Content Authenticity" e uma extensão para o Chrome que permitem anexar e verificar Content Credentials.
Redes sociais: o LinkedIn exibe um ícone em imagens e vídeos com informações C2PA. O TikTok e a Meta (Facebook, Instagram e Threads) leem as informações C2PA e também rotulam conteúdos gerados por IA criados em outros serviços.
Câmeras e smartphones: a Leica M11-P foi anunciada em 2023 como a primeira câmera com Content Credentials integradas. A linha Galaxy S25, da Samsung, anexa Content Credentials a imagens editadas com IA.
Infraestrutura de distribuição: a Cloudflare oferece um recurso que preserva as Content Credentials na conversão de imagens.

Como verificar as informações C2PA

É possível verificar se um arquivo tem informações C2PA das seguintes formas.

Site Verify: ao enviar uma imagem ou outro arquivo ao site de verificação mantido pela CAI (contentcredentials.org/verify), o registro de procedência é exibido.
Extensão de navegador: com a extensão da Adobe para o Chrome, é possível verificar as informações de imagens em páginas da web.
Indicações em cada serviço: é possível verificar nos detalhes do Google Fotos, no "Sobre esta imagem" da Pesquisa, no ícone "CR" do LinkedIn e nos rótulos de IA da Meta e do TikTok, entre outros.
Ferramenta de verificação da OpenAI: para saber se uma imagem ou um áudio é da OpenAI, use openai.com/verify.

Limites e cuidados do C2PA

O C2PA é um mecanismo poderoso, mas tem os seguintes limites.

As informações se perdem com facilidade: ao fazer uma captura de tela ou converter o arquivo, as informações de procedência podem se perder. Muitos serviços removem as informações complementares no envio.
Ausência de informações não significa que o conteúdo é falso: o suporte ao C2PA é opcional. O YouTube também deixa claro que a ausência do rótulo não significa que o conteúdo foi alterado.
Não garante a veracidade: o C2PA mostra a procedência, ou seja, "quem registrou ter criado o conteúdo e como". Ele não indica se o conteúdo em si é verdadeiro.
Falhas de implementação podem ocorrer: foi noticiado que, em 2025, encontrou-se um problema em câmeras da Nikon que permitia assinar imagens que não eram fotos originais da câmera, e que o serviço relacionado foi suspenso.
A adoção ainda está em andamento: os produtos certificados pelo programa de conformidade ainda são poucos.

Diferença em relação à marca d'água digital (watermark)

Além do C2PA, outra forma de indicar a origem de conteúdos de IA é a marca d'água digital (watermark), como o SynthID, do Google.

C2PA: um registro assinado anexado ao arquivo. Mostra em detalhes o histórico da criação à edição, mas se perde quando as informações complementares são apagadas
Marca d'água digital: um sinal invisível incorporado aos pixels da imagem, à forma de onda do áudio etc. Tende a permanecer mesmo que as informações complementares sejam apagadas, mas indica apenas, mais ou menos, se o conteúdo "foi criado com uma IA compatível"

As duas tecnologias se complementam, e a OpenAI e o Google combinam ambas. A marca d'água digital é explicada em detalhes em "O que é SynthID", e as diferenças entre os métodos, em "Comparação de marcas d'água digitais (watermarks) de IA".

Movimentos regulatórios

Regulamentações que exigem a indicação de conteúdos criados com IA também impulsionam a adoção do C2PA.

UE: o artigo 50 da Lei de IA estabelece a obrigação de os fornecedores de IA generativa indicarem seus resultados de forma identificável por máquina como gerados por IA. O artigo 50 se aplica desde 2 de agosto de 2026. No entanto, a alteração da Lei de IA aprovada em 2026 (o Digital Omnibus) concedeu um prazo de carência até 2 de dezembro de 2026 para a obrigação de marcação identificável por máquina apenas aos sistemas de IA já colocados no mercado antes dessa data. O código de conduta que indica os métodos concretos foi concluído em junho de 2026.
Califórnia (EUA): a Lei de Transparência de IA (SB 942) teve sua data de vigência alterada para 2 de agosto de 2026 pela lei de alteração de 2025 (AB 853). Ela exige que grandes fornecedores de IA generativa incorporem indicações invisíveis em imagens, vídeos e áudios e ofereçam uma ferramenta de verificação gratuita.
Japão: no Japão, com a participação de veículos de imprensa e outras organizações, estão em andamento testes do "Originator Profile (OP)", uma tecnologia que permite confirmar quem publica sites e conteúdos.

Resumo

O C2PA é um padrão internacional que deixa no arquivo, como registro assinado, o histórico de como um conteúdo foi criado e editado. Grandes empresas como OpenAI, Google, Microsoft e Adobe já o suportam, e ele está se espalhando também para câmeras e redes sociais.

No entanto, as informações podem se perder, e a ausência delas não prova que o conteúdo é falso. O mais realista é tratar a indicação do C2PA como uma das pistas de avaliação e usá-la junto com a verificação de marcas d'água digitais e da origem.