eIDAS 2 e il Portafoglio europeo di identità digitale: l'identità che cambia accesso, KYC e firma

C'è un momento, in ogni rivoluzione amministrativa, in cui lo Stato smette di chiederti chi sei e comincia a darti gli strumenti per dimostrarlo da solo. Quel momento, in Europa, ha una data: dicembre 2026. Entro fine 2026 ogni Stato membro dovrà mettere a disposizione dei propri cittadini almeno un Portafoglio europeo di identità digitale, l'EUDI Wallet (Commissione europea, digital-strategy.ec.europa.eu). Un'app sul telefono che custodisce la carta d'identità, la patente, la tessera sanitaria, le lauree, i certificati, e che permette di firmare un contratto e aprire un conto in banca senza muoversi dal divano.

Sembra una comodità. È, in realtà, un atto di sovranità. Per la prima volta lo strumento con cui ti identifichi davanti a una banca americana, a una piattaforma cinese o a un'amministrazione tedesca non lo fornisce la piattaforma: lo fornisce l'Europa, e lo controlli tu. L'Avvocato del Diavolo, come sempre, non si accontenta della brochure. Vediamo cosa cambia davvero, e dove sono le crepe.

1. eIDAS 2: la norma che riscrive l'identità digitale del continente

Il punto di partenza è il Regolamento (UE) 2024/1183, comunemente chiamato eIDAS 2, che modifica il precedente Regolamento eIDAS del 2014 istituendo il quadro europeo di identità digitale. È entrato in vigore il 20 maggio 2024 (Commissione europea, digital-strategy.ec.europa.eu). Non è una direttiva da recepire con calma e fantasia nazionale: è un regolamento, direttamente applicabile in tutti i 27 Stati membri.

Il primo eIDAS aveva un difetto strutturale: i sistemi di identità digitale nazionali esistevano, ma erano isole. Lo SPID italiano non parlava con l'equivalente francese, la firma qualificata tedesca viveva in un mondo a parte. Il risultato era che l'identità digitale europea, sulla carta riconosciuta ovunque, nella pratica si fermava al confine. eIDAS 2 cambia il paradigma: non più solo schemi nazionali notificati fra Stati, ma un portafoglio in mano al cittadino, costruito su standard comuni, interoperabile per disegno.

La logica giuridica è quella che gli inglesi chiamano self-sovereign: i dati non stanno in un registro centrale che chiunque può interrogare, stanno nel tuo dispositivo, e sei tu a decidere quali mostrare, a chi, e quando. Una banca che ti chiede di provare la maggiore età non dovrebbe ricevere la tua data di nascita, ma soltanto un attestato che conferma "sì, ha più di diciotto anni". Su questa promessa — la divulgazione selettiva — torneremo, perché è anche il punto più dibattuto.

2. Cosa custodisce il Portafoglio: attributi qualificati e credenziali

Il Portafoglio non è un contenitore generico. È un'architettura di credenziali con valore legale graduato. Al suo interno convivono almeno tre famiglie di oggetti.

La prima è il PID, i dati di identificazione della persona: il nucleo certificato dallo Stato — nome, cognome, data di nascita, codice identificativo — equivalente digitale del documento d'identità. La seconda sono le attestazioni elettroniche di attributi (le EAA): patente, tessera sanitaria, titoli di studio, qualifiche professionali, dati di conto bancario, abilitazioni. Quando queste sono rilasciate da un soggetto pubblico o da una fonte autentica, diventano attestazioni qualificate, con un grado di affidabilità rafforzato. La terza è la capacità di firma.

Il portafoglio consente di conservare e gestire i propri eID nazionali insieme ad attributi e credenziali verificate — patente, diplomi, qualifiche professionali, informazioni sul conto bancario — e di condividerli in modo selettivo e sicuro (Commissione europea, digital-strategy.ec.europa.eu). La grammatica tecnica di tutto questo — formati, protocolli, standard di scambio fra chi emette, chi detiene e chi verifica — è scritta nell'Architecture and Reference Framework (ARF), il documento tecnico di riferimento pubblicato e aggiornato su GitHub dalla Commissione, che cresce di versione in parallelo con gli atti di esecuzione (github.com/eu-digital-identity-wallet).

3. Gli atti di esecuzione: il diavolo nei Regolamenti attuativi

Un regolamento quadro, da solo, non fa funzionare niente. Servono gli atti di esecuzione (Commission Implementing Regulations) che traducono i principi in specifiche operative. E qui il calendario è fitto.

Una prima tornata, adottata nel novembre 2024, copre certificazione, funzionalità di base, dati di identificazione della persona e attestazioni elettroniche. Una seconda, di marzo 2025, affronta l'identity matching transfrontaliero, la verifica delle attestazioni, le violazioni di sicurezza e la certificazione dei wallet. Una terza, di maggio 2025, introduce l'archiviazione elettronica, la gestione della firma qualificata da remoto e la validazione delle firme avanzate (fonte ricognitiva: eudi.dev, da verificare nei testi ufficiali pubblicati sull'EUR-Lex). Restano sul tavolo decine di "topics" tecnici aperti, che la Commissione e il Gruppo di cooperazione europeo sull'identità digitale (EDICG) hanno il compito di chiudere per finalizzare l'ARF (da verificare).

Per un'impresa che dovrà accettare il wallet, questo significa una cosa precisa: le regole del gioco non sono ancora tutte scritte. Chi sta progettando l'integrazione oggi lo fa su uno standard in movimento. È un avvertimento, non un consiglio di risultato.

4. La prova sul campo: i Large Scale Pilot

L'Europa, stavolta, non ha legiferato al buio. Prima del lancio sono stati avviati quattro grandi progetti pilota (Large Scale Pilots), co-finanziati dalla Commissione, per testare il wallet su casi d'uso reali e transfrontalieri.

POTENTIAL ha lavorato su sei settori — servizi pubblici, banca, telecomunicazioni, patente di guida mobile, firma elettronica, sanità — sperimentando l'apertura di un conto bancario, la registrazione di SIM, la firma qualificata e la ricetta elettronica, da aprile 2023 a settembre 2025. NOBID, che riunisce Paesi nordici e baltici insieme a Italia e Germania, ha pilotato l'uso del wallet per autorizzare pagamenti; la riunione conclusiva del consorzio si è tenuta a Roma il 26 giugno 2025 (NOBID Consortium, nobidconsortium.com). DC4EU ha coperto istruzione e sicurezza sociale, EWC i titoli di viaggio digitali.

La lezione che ne è uscita è meno trionfale di quanto i comunicati lascino intendere. La conclusione ricorrente dei piloti è che l'interoperabilità transfrontaliera funziona solo se gli standard comuni vengono applicati con rigore: "POTENTIAL ha dimostrato che l'Europa può raggiungere l'interoperabilità transfrontaliera, ma solo applicando rigorosamente standard comuni" (Biometric Update, novembre 2025, biometricupdate.com). Tradotto dal burocratese: la tecnologia c'è, ma il rischio vero è la frammentazione delle implementazioni nazionali. Ventisette wallet che si dichiarano interoperabili e poi, alla prova del confine, non lo sono.

5. KYC bancario, onboarding e il nodo con l'AMLR

Qui sta il cuore dell'interesse per banche e fintech. L'identificazione del cliente — il KYC, Know Your Customer — è il rito d'ingresso di ogni rapporto bancario: documenti, selfie, video-identificazione, controlli antiriciclaggio. È costoso, lento, e per il cliente fastidioso. Il Portafoglio promette di comprimere tutto questo in pochi secondi.

La saldatura giuridica avviene con il nuovo Regolamento antiriciclaggio (AMLR), approvato nel 2024 e applicabile dal 10 luglio 2027. Ai sensi dell'art. 5f di eIDAS 2, tutti i soggetti obbligati — incluse le istituzioni finanziarie — dovranno accettare il Portafoglio come mezzo di identificazione e autenticazione, e nel quadro dell'AMLR il wallet è considerato il livello di affidabilità più elevato per l'identità digitale (analisi di settore: Namirial, namirial.com; IDnow, idnow.io). L'AMLR adotta un approccio basato sul rischio e tratta l'identificazione conforme a eIDAS come equivalente alla verifica in presenza (da verificare nelle norme tecniche di attuazione, RTS, ancora in elaborazione).

Il punto, per una banca, è duplice. Da un lato un'opportunità: onboarding più rapido, meno frodi documentali, attestazioni provenienti direttamente dalla fonte autentica anziché da un PDF caricato dall'utente. Dall'altro un obbligo: dal 2027 il wallet non sarà un'opzione gradita, sarà un canale da accettare. Chi non si attrezza per riconoscerlo si troverà fuori norma. La distanza tra il dicembre 2026 — wallet disponibile per i cittadini — e il dicembre 2027 — obbligo di accettazione per imprese e PA — è il margine operativo, ed è più stretto di quanto sembri (Commissione europea, digital-strategy.ec.europa.eu).

Tappa	Quando	Cosa significa
eIDAS 2 in vigore	20 maggio 2024	Reg. (UE) 2024/1183 direttamente applicabile
Atti di esecuzione	nov. 2024 – mag. 2025	Specifiche tecniche in più tornate; topics ancora aperti
Wallet disponibile	entro fine 2026	Ogni Stato deve offrire almeno un wallet
Obbligo di accettazione	entro fine 2027	Imprese, PA, VLOP e soggetti obbligati AMLR devono accettarlo su richiesta

6. La firma elettronica qualificata esce dalla chiavetta

Capitolo che vale, da solo, il prezzo del biglietto per chi lavora con i contratti. La firma elettronica qualificata (QES) è, ai sensi di eIDAS, equivalente legale della firma autografa: massimo livello di affidamento, stesso valore probatorio. Finora richiedeva un certificato qualificato e, spesso, un dispositivo fisico — smart card, token USB — o procedure di firma remota macchinose.

Il Portafoglio può contenere un certificato qualificato e generare una firma qualificata direttamente dallo smartphone, senza dispositivo fisico (sintesi di settore: qualified-electronic-signature.com). Per un cittadino significa firmare un atto, un contratto di mutuo, un mandato professionale con il telefono che ha già in tasca. Per uno studio legale, per un notaio, per un'impresa, significa che la firma con pieno valore legale smette di essere un attrito tecnico e diventa un gesto. Va detto con onestà deontologica: il valore legale dipende dalla corretta qualificazione del certificato e dalla conformità del processo, non dalla comodità dell'app. La forma resta sostanza.

7. L'obbligo per le grandi piattaforme, e i nodi di privacy

C'è un fronte in cui il Portafoglio diventa arma geopolitica. Le piattaforme online di dimensioni molto grandi — le VLOP designate ai sensi dell'art. 33 del Digital Services Act, da Amazon a Google a TikTok — sono tenute ad accettare il wallet, su richiesta dell'utente, per l'autenticazione (analisi: SSL.com, ssl.com). L'utente sceglie liberamente: la piattaforma non può imporre questo canale, ma non può nemmeno rifiutarlo. È il ribaltamento del rapporto di forza. Per accedere a un servizio non sei più costretto a consegnare la tua identità alla piattaforma; gliela mostri quel tanto che serve, con uno strumento europeo.

Ed eccoci alla crepa, perché l'Avvocato del Diavolo la cerca sempre. La promessa è la divulgazione selettiva: provare di essere maggiorenne senza rivelare la data di nascita. Ma una parte della dottrina tecnica avverte che il trattamento opzionale della divulgazione selettiva in eIDAS 2 indebolisce la sovranità dell'utente, perché la certificazione del wallet non la richiede come obbligatoria, e che mancano garanzie sufficienti di non tracciabilità delle attestazioni e dei PID (letteratura accademica su arXiv, arxiv.org, da verificare). In altre parole: se la funzione che protegge la privacy è facoltativa, rischia di restare sulla carta.

Il rovescio della medaglia di un'identità così potente è che diventa un punto unico. Un wallet che apre conti, firma contratti, accede a servizi pubblici e autentica sulle piattaforme è anche un bersaglio unico, e un potenziale snodo di correlazione dei comportamenti. La governance europea ha scritto i principi giusti — minimizzazione dei dati, controllo dell'utente, ai sensi dell'art. 5, par. 1, lett. c) del GDPR — ma la differenza la farà l'attuazione, non la dichiarazione d'intenti.

8. L'Italia: dall'IT-Wallet all'EUDI Wallet

Il nostro Paese non parte da zero. Il sistema IT-Wallet è stato istituito con il decreto-legge 2 marzo 2024, n. 19, convertito dalla legge 29 aprile 2024, n. 56: un portafoglio pubblico nazionale accessibile tramite l'app IO, affiancabile da wallet privati accreditati (Dipartimento per la trasformazione digitale, innovazione.gov.it; AgID, agid.gov.it). Dal 4 dicembre 2024 i cittadini possono caricare patente, tessera sanitaria e carta europea della disabilità; dal 2025 si sono aggiunti ISEE, titoli di studio, certificati di residenza e altro (Agenda Digitale, agendadigitale.eu).

Il punto di approdo è l'integrazione: nel 2026 il Wallet italiano dovrà allinearsi all'EUDI Wallet europeo, con un rollout esteso all'intera popolazione previsto entro il 2027 (da verificare nei tempi definitivi). Per Antonio Salerno e per chiunque assista imprese, questo significa che l'identità con cui il cliente aprirà un conto, firmerà un mandato o accederà a un servizio sarà presto la stessa con cui lo farà a Lisbona o a Tallinn. Una sola identità, ventisette giurisdizioni.

La sovranità tecnologica, di cui Duarte parla da queste pagine, qui prende corpo. Non è un proclama: è un'infrastruttura. Chi possiede l'identità digitale possiede la porta d'ingresso dell'economia. Per anni quella porta l'hanno tenuta le piattaforme americane — accedi con Google, accedi con Apple. eIDAS 2 prova a riprendersela e a darla al cittadino. Se ci riuscirà davvero dipenderà dal rigore dell'attuazione, dalla serietà delle garanzie di privacy e dalla volontà degli Stati di non costruire ventisette isole travestite da continente. L'Avvocato del Diavolo tifa per l'idea. E controlla i dettagli.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 27 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.