Che cos'è una parte affidataria nell'ecosistema EUDI Wallet?

Il ruolo non è nuovo. La vostra organizzazione è già una parte affidataria ogni volta che controlla un passaporto, una visura camerale o un diploma. Ciò che cambia è che il controllo non è più una persona che legge un documento, ma una risposta automatica di cui potete fidarvi in pochi secondi.

Parte affidataria è un ruolo, non un tipo di azienda. La stessa organizzazione può essere parte affidataria in un processo ed emittente in un altro: un'università chiede allo studente un documento d'identità al momento dell'iscrizione e alla fine gli rilascia un diploma. Ciò che vi rende parte affidataria in un dato momento è semplicemente il fatto che siete voi a chiedere, verificare e decidere.

Il cambiamento importante riguarda la provenienza della prova. Oggi è la persona che avete davanti a doversi far carico di dimostrare che un documento è autentico, e siete voi a sostenere il costo di valutarlo. Con un wallet la prova è firmata dall'organizzazione che possiede già quel dato di fatto, quindi la verifica diventa un calcolo anziché una valutazione soggettiva.

Per questo vale la pena capire il ruolo anche se nulla vi obbliga ancora ad assumerlo. Quando un cliente può dimostrare chi è in pochi secondi, ogni processo che continua a richiedere un caricamento e un controllo manuale, al confronto, inizia a sembrare lento.

Quando il vostro servizio chiede dei dati, la richiesta non arriva in silenzio. Il wallet apre una schermata che indica il nome dell'organizzazione richiedente, elenca esattamente quali dati vengono richiesti e riporta la finalità che quell'organizzazione ha registrato per essi. Nulla viene condiviso finché la persona non tocca lo schermo per approvare.

Il nome su quella schermata non lo scrivete voi. Proviene dal certificato che avete ricevuto al momento della registrazione, ed è per questo che il wallet può presentarlo come un dato verificato e non come una semplice affermazione. Una richiesta proveniente da un soggetto non registrato non riesce nemmeno a generare quella schermata.

La persona può rifiutare, e può farlo ogni volta anziché una volta per tutte. I wallet conservano inoltre uno storico di che cosa è stato condiviso e con chi, quindi la decisione resta consultabile in seguito invece di sparire in una casella di posta. Il consenso smette di essere una casella da spuntare e diventa qualcosa che l'utente può davvero esaminare.

Per la vostra organizzazione è proprio questo il punto. La truffa ormai nota, una pagina convincente che chiede la copia di un passaporto, smette di funzionare quando le persone sono abituate a vedere un nome verificato prima di condividere qualsiasi cosa. Chiedere tramite il wallet vi colloca dal lato affidabile di questa abitudine, e le richieste che appaiono legittime vengono portate a termine più spesso.

In pratica l'elenco è meno astratto di quanto sembri. Comprende banche al dettaglio, istituti di pagamento e assicurazioni, operatori mobili che attivano nuovi abbonati, fornitori di energia e acqua, compagnie aeree e ferroviarie, ospedali, farmacie e casse malattia, università ed enti d'esame, e le amministrazioni pubbliche che già gestiscono un login nazionale. Se oggi il vostro onboarding prevede un documento d'identità perché una norma lo impone, quasi certamente rientrate nell'ambito di applicazione.

Accettare il wallet non significa sostituire ciò che avete. Significa offrire il wallet come una delle modalità con cui una persona può identificarsi laddove già chiedete un'identificazione forte, accanto ai metodi che supportate oggi. I clienti esistenti mantengono il loro percorso di accesso e i nuovi ne ottengono uno più rapido.

Vale la pena segnarsi le date. Gli Stati membri rilasciano i propri wallet dalla fine del 2026, le regole sulla registrazione come parte affidataria si applicano da dicembre 2026 e l'obbligo di accettare il wallet arriva alla fine del 2027. La registrazione dipende da un'autorità nazionale e da decisioni interne su quali dati vi servono, quindi il calendario è più stretto di quanto suggerisca una sola data nel 2027.

Tutti gli altri possono accettare il wallet volontariamente, e moltissimi lo faranno. Quando un cliente ha già con sé dati identitari e aziendali verificati, chiedergli invece di caricare una scansione è un passo indietro che noterà.

Non esiste un'unica applicazione wallet europea. Ogni Stato membro ne mette a disposizione almeno una, alcuni ne avranno diverse, e i vostri clienti si presenteranno con quella rilasciata dal loro paese. Un'organizzazione con clienti in una manciata di paesi non si integra quindi con una sola controparte, ma con un insieme di controparti in movimento.

Gli standard sottostanti sono comuni, ed è questo che rende tutto ciò possibile. A differire è tutto ciò che sta intorno: ogni wallet ha i propri trust anchor, il proprio profilo nazionale, il proprio ambiente di test e il proprio calendario di rilasci. Superare un test con un wallet dice ben poco su quello successivo.

La prima integrazione è raramente quella costosa. Il costo sta negli anni successivi: seguire gli aggiornamenti delle specifiche, ripetere i test quando un wallet nazionale rilascia una nuova versione, monitorare le modifiche delle trust list e tenere validi i certificati in ogni paese in cui siete stabiliti. È una voce di manutenzione nel bilancio, non una voce di progetto.

Un modo semplice per dimensionarlo è contare due cose: il numero di Stati membri da cui provengono i vostri clienti e il numero di rilasci che ciascuno di quei wallet pubblicherà probabilmente in un anno. Moltiplicateli e otterrete il numero di volte in cui qualcuno del vostro team dovrà interrompere quello che sta facendo. È quella cifra, e non la realizzazione iniziale, il vero fulcro della decisione se costruire o acquistare.