L’11 agosto 2026 è entrato in vigore il Regolamento di esecuzione (UE) 2026/1731, che aggiorna standard, specifiche e procedure tecniche del portafoglio europeo di identità digitale. È un passaggio meno visibile del lancio di una nuova app, ma molto più importante per chi progetta servizi: senza regole comuni per credenziali, interfacce, verifica e protezione dei dati, un’identità digitale utilizzabile tra Paesi e settori resterebbe soltanto una promessa.
Il quadro EUDI prevede che gli Stati membri mettano a disposizione almeno un wallet entro la fine del 2026. Cittadini, residenti e imprese potranno usarlo per identificarsi, presentare attestazioni e firmare elettronicamente, con una logica diversa dalla semplice scansione di un documento. L’obiettivo è condividere informazioni verificabili e, quando possibile, soltanto gli attributi necessari: per esempio dimostrare di avere un requisito senza consegnare ogni dato presente sulla credenziale.
Per imprese e pubbliche amministrazioni la domanda non è quindi “quando arriverà il wallet?”, ma “i nostri processi sapranno chiedere, ricevere e governare dati verificabili senza replicare le vecchie inefficienze?”.
Non è un contenitore di documenti: è un ecosistema di fiducia
Il portafoglio europeo funziona attraverso ruoli distinti. I wallet provider realizzano e gestiscono le soluzioni offerte dagli Stati membri. Gli issuer emettono dati identificativi o attestazioni digitali, come qualifiche, titoli o autorizzazioni. I service provider, chiamati anche relying party, richiedono e verificano le informazioni necessarie per erogare un servizio.
Questa distinzione cambia il modo di progettare l’onboarding. Oggi molte organizzazioni chiedono all’utente un documento completo, ne estraggono manualmente alcuni dati e ne conservano una copia per dimostrare di aver effettuato il controllo. Nel modello wallet la verifica può diventare più strutturata: il servizio formula una richiesta, l’utente vede quali informazioni sono domandate e presenta un’attestazione verificabile.
Il beneficio potenziale è rilevante, ma non automatico. Un formato digitale non rende corretta una richiesta e una credenziale valida non dimostra che ogni successiva decisione sia lecita. Finalità, proporzionalità, basi giuridiche e tempi di conservazione restano responsabilità dell’organizzazione che usa i dati.
La vera innovazione è chiedere meno dati
Il concetto chiave è la divulgazione selettiva. Invece di mostrare un documento intero, l’utente può presentare uno specifico attributo o una risposta verificabile coerente con il caso d’uso. È un cambio di prospettiva: dal possesso di una copia al controllo di un’informazione.
Il Regolamento di esecuzione 2026/1731 offre un esempio particolarmente delicato sulla fotografia dell’utente. Quando una relying party ne richiede la condivisione, il wallet deve avvertire che si tratta di un dato biometrico e ottenere una conferma esplicita e specifica. Il testo precisa anche che questa conferma tecnica non costituisce da sola una base giuridica per il trattamento. Inoltre, la fotografia non deve essere conservata dal soggetto richiedente, salvo che ciò sia necessario per identificazione o autenticazione e conforme al diritto europeo o nazionale applicabile.
La lezione vale oltre la biometria. Il wallet non autorizza a raccogliere tutto ciò che tecnicamente può presentare. Prima dell’integrazione occorre costruire una matrice tra servizio, finalità, attributo richiesto, fonte, base giuridica, tempo di conservazione e soggetti autorizzati. Se per verificare l’età basta un’informazione “maggiore di”, data di nascita, fotografia e indirizzo possono essere eccedenti.
Interoperabilità non significa integrazione senza progetto
La Commissione europea descrive l’Architecture and Reference Framework come il livello comune che definisce standard, protocolli e formati di scambio tra emittenti, wallet e fornitori di servizi. L’aggiornamento del 2026 allinea il quadro all’evoluzione di questa architettura e introduce riferimenti tecnici per formati, protocolli, trust mark, attestazioni e controlli.
Per un’organizzazione, però, rispettare un protocollo è soltanto una parte del lavoro. Bisogna decidere dove termina la verifica del wallet e dove iniziano i controlli del processo aziendale. Un’attestazione può essere autentica ma non sufficiente per il servizio richiesto; può essere scaduta o revocata; può provenire da un issuer corretto ma riferirsi a un attributo non pertinente.
Servono quindi regole applicative chiare: quali emittenti sono accettati, come viene controllato lo stato della credenziale, quali errori richiedono un intervento umano, come si gestiscono indisponibilità e tentativi di frode, quali evidenze vengono registrate e quali informazioni non devono finire nei log.
Quattro cantieri da aprire prima dell’integrazione
1. Mappare i casi d’uso, non partire dalla tecnologia
Occorre individuare i processi in cui l’identificazione o la prova di un requisito creano davvero attrito: accesso a servizi, onboarding di clienti e fornitori, iscrizioni, deleghe, firma di contratti, verifica di qualifiche. Per ogni caso d’uso va definita la decisione che l’attributo deve supportare.
2. Ridisegnare la richiesta dei dati
Il modulo attuale non deve essere trasformato meccanicamente in una richiesta al wallet. È il momento di eliminare campi non necessari, distinguere dati dichiarati da attestazioni verificabili e applicare la minimizzazione già nella schermata di consenso. Il messaggio all’utente deve spiegare con linguaggio comprensibile chi chiede cosa e per quale motivo.
3. Progettare sicurezza e continuità
Il modello di minaccia comprende furto del dispositivo, compromissione delle chiavi, richieste fraudolente, revoca di credenziali, account recovery e indisponibilità dei servizi di verifica. Le procedure di assistenza non possono diventare una scorciatoia debole rispetto al canale principale. Anche i log devono essere utili per audit e incident response senza trasformarsi in un archivio eccessivo di dati personali.
4. Chiarire responsabilità e fornitori
Procurement, IT, security, privacy, compliance e responsabili di processo devono concordare requisiti e responsabilità. Nel contratto con un integratore vanno esplicitati aggiornamento degli standard, gestione delle vulnerabilità, interoperabilità, portabilità, subfornitori, livelli di servizio e supporto agli incidenti. La conformità del componente non sostituisce la governance dell’intero processo.
Una checklist di preparazione per imprese e PA
- Selezionare due o tre processi ad alto attrito e valore misurabile.
- Definire per ogni processo l’attributo minimo necessario e la finalità.
- Classificare l’organizzazione come service provider, issuer o soggetto con più ruoli.
- Verificare dove vengono prese le decisioni e dove vengono conservate le evidenze.
- Prevedere revoca, scadenza, errori, assistenza e canali alternativi accessibili.
- Separare la conferma tecnica dell’utente dalla valutazione della base giuridica.
- Inserire requisiti EUDI, privacy e sicurezza nei capitolati e nelle roadmap applicative.
- Testare l’esperienza con utenti reali, inclusi casi di delega e persone con esigenze di accessibilità.
- Misurare tempi, errori, abbandoni, frodi evitate e quantità di dati non più raccolti.
Questa preparazione è utile anche se l’integrazione non è immediata. Riduce copie documentali, controlli manuali e dipendenze da identità proprietarie; soprattutto, rende esplicite decisioni che oggi sono spesso nascoste in moduli, e-mail e procedure informali.
Il wallet non elimina la fiducia: la rende verificabile
L’EUDI Wallet può semplificare l’accesso ai servizi e restituire all’utente maggiore controllo, ma il risultato dipenderà dalla qualità dei processi costruiti intorno alla tecnologia. Chiedere meno dati, verificare meglio le attestazioni e mantenere chiare le responsabilità sono obiettivi organizzativi prima ancora che tecnici.
Aspettare l’ultimo momento significa integrare il wallet dentro processi progettati per fotocopie e moduli. Prepararsi ora consente invece di ripensare onboarding, deleghe e verifiche con una logica interoperabile, misurabile e coerente con privacy e sicurezza.
Se vuoi valutare dove l’EUDI Wallet può ridurre attrito e rischio nei tuoi servizi, contattami: posso aiutarti a mappare i casi d’uso, definire i requisiti e costruire una roadmap di adozione concreta.
Fonti
- EUR-Lex, Regolamento di esecuzione (UE) 2026/1731, standard e specifiche del portafoglio europeo di identità digitale
- EUR-Lex, Regolamento di esecuzione (UE) 2026/1735, attestazioni elettroniche di attributi
- Commissione europea, European Digital Identity (EUDI) Regulation
- Commissione europea, EU Digital Identity Wallet Pilot implementation
- Commissione europea, specifiche tecniche dell’EU Digital Identity Wallet
Nota di trasparenza: il testo e le immagini associati a questo articolo sono stati realizzati in parte con il supporto di sistemi di intelligenza artificiale e sottoposti a revisione editoriale umana.