IT Wallet più vicino, molte domande ancora aperte

“Il Decreto per l’avvio ai lavori formale di IT Wallet, atteso da diverso tempo dagli attori del mercato dell’identità digitale, segna un punto fermo nella strategia italiana: il Governo punta ufficialmente sulla costruzione in-house del suo IT Wallet, riportando esclusivamente in mano pubblica la gestione dell’identità digitale (almeno fino all’eventuale arrivo del primo IT Wallet privato)”. Lo afferma Giorgia Dragoni, Direttrice dell’Osservatorio Digital Identity del Politecnico di Milano, commentando il decreto del Governo per l’avvio ai lavori formale di IT Wallet, che segna il primo passo ufficiale verso la validazione del nuovo strumento del wallet per la gestione dell’identità digitale degli utenti, in linea con la strategia europea che sta guidando la revisione del Regolamento eIDAS verso la creazione di European Digital Identity (EUDI) Wallet.

“Il Governo si è prefisso l’obiettivo di lanciare l’IT Wallet prima dell’estate 2024, per poi farlo convergere nel framework EUDI Wallet obbligatorio a partire dal 2026 – dice Dragoni -. I tempi per la realizzazione sono quindi piuttosto stretti e questo decreto dovrebbe rendere più snello il processo implementativo”.

“Da qui in avanti si aprono tante domande sui prossimi mesi – prosegue la ricercatrice -. Lato utenti, come recepiranno questa novità gli italiani? Quanto diffusa e ampia sarà l’adozione di questo strumento potenzialmente rivoluzionario per la gestione della propria identità? Lato offerta, in che modo verranno risolti i limiti sulla user experience dell’app IO, applicativo base per l’accesso a IT Wallet? Si farà tesoro delle lessons learned degli 8 anni di vita dei sistemi precedenti, SPID e CIE? Sul mercato in generale, che ruolo avranno in questo nuovo ecosistema strategico gli attori attualmente coinvolti nell’erogazione di SPID e di altri servizi fiduciari chiave per la digitalizzazione del Paese? Come si integreranno nella offerta del wallet, ammesso che trovino uno spazio in questo nuovo campo da gioco?”

“Si tratta di domande complesse, a cui è difficile dare una risposta definitiva oggi – spiega Giorgia Dragoni -. È però essenziale cominciare a rifletterci sin da ora, proprio in questo periodo di intense trasformazioni e turbolenze che ridisegneranno il mercato dell’identità digitale del prossimo futuro”.

Cosa è l’IT Wallet. Il modello del wallet per la gestione dell’identità digitale e di tutte le credenziali associate a un individuo viene delineato per la prima volta nel giugno 2021 dalla Commissione europea, aprendo la fase di revisione del Regolamento eIDAS.  In Italia, intorno alla seconda metà del 2022, cominciano a circolare notizie su alcune sperimentazioni di PagoPA relativamente a una primissima versione del wallet italiano, che verso la fine dello stesso anno sarà ribattezzato IT Wallet.

Il progetto pilota italiano prosegue nei mesi successivi, capitalizzando anche i risultati raggiunti dai consorzi europei (Nobid, Potential, EU Digital Identity Wallet Consortium, Digital Credential 4 Europe) che stanno sviluppando diversi prototipi di wallet conformi al regolamento eIDAS. Si arriva a questo punto alle ultime notizie apparse sulla Stampa, che annunciano un imminente rilascio di IT Wallet tramite un aggiornamento dell’app IO.

Per la prima fase su ampia scala (che dovrebbe durare fino all’estate 2024), saranno rese disponibili all’interno di IT Wallet le versioni digitali della patente di guida, della tessera sanitaria (TS) e della carta europea della disabilità.

Per i primi mesi, tuttavia, questi documenti saranno utilizzabili esclusivamente per interazioni offline (per esempio, esibire la patente in un controllo delle FFOO, presentare la TS in farmacia o in ospedale). Sarà quindi possibile lasciare a casa la patente e mostrare l’app del wallet per dimostrare alla pattuglia di controllo di essere in possesso di una patente valida.

Richiederà invece decisamente più tempo l’adozione della versione digitale di questi documenti anche per l’accesso a servizi online, in quanto l’implementazione tecnologica sia per gli enti pubblici sia per le aziende private è ancora tutta da costruire.

È comunque importante sottolineare che per il momento le credenziali presenti in IT Wallet avranno validità legale solo in Italia. Tuttavia, dal momento in cui eIDAS 2.0 entrerà in vigore, gli Stati membri avranno 24 mesi di tempo per sviluppare ed erogare wallet di identità digitale che possano essere utilizzati in maniera interoperabile anche per accedere a servizi fisici e digitali di altri Paesi. Da quel momento, quindi, IT Wallet potrà diventare un vero e proprio EUDI Wallet.

A regime, in conformità al regolamento eIDAS, tutte le PA e anche diverse aziende private dovranno rendere possibile l’accesso ai propri servizi tramite IT Wallet (e tutti gli altri wallet accreditati a livello comunitario). In questo obbligo ricadono quindi:

–        i fornitori di servizi digitali per cui è richiesta l’autenticazione forte dell’utente, come quelli dell’ambito finance, utility, telco e trasporti;

–        le “very large online platforms” (come identificate dal Digital Services Act, tra cui Amazon, Apple, Facebook, Google, Instagram, TikTok e X/Twitter e altri).

Le novità introdotte dal Decreto e i punti salienti

Secondo quanto appreso dal Comunicato stampa del CdM e da alcune indiscrezioni trapelate sulla bozza del nuovo Decreto, i punti di interesse sono molteplici.

In primis, si conferma l’avvio formale dei lavori di IT Wallet, affidati all’Istituto Poligrafico e Zecca dello Stato (IPZS) e a PagoPa. Per snellire i processi implementativi del progetto, è stato modificato l’assetto societario degli attori coinvolti, con la Presidenza del Consiglio dei Ministri che attribuisce il 100% delle quote di PagoPa dividendole tra IPZS e Poste (in seguito, maggiori approfondimenti).

In secondo luogo, lo scenario che si prospetta per i prossimi anni non sarà solo confinato a un unico applicativo di IT Wallet pubblico: molto probabilmente sarà possibile anche per soggetti privati sviluppare, accreditare e in seguito offrire agli utenti il proprio IT Wallet conforme alla normativa europea.

Questo elemento era già accennato nel testo di eIDAS 2.0 e ora viene anticipato anche nel Decreto italiano, rendendo così possibile un’offerta più articolata e variegata di wallet di identità digitale, allo stesso modo sicuri ma con funzionalità e caratteristiche eventualmente diverse, rispondenti a esigenze settoriali o di casi d’uso specifici.

Per esempio, potremmo vedere IT Wallet specifici per il riconoscimento dei dipendenti di un’azienda, contenenti anche certificazioni e badge dedicati, così come IT Wallet per viaggiatori frequenti, con all’interno certificati sanitari di vaccinazioni e biglietti aerei, validati sempre da documenti di riconoscimento.

In terzo luogo, Il modello di business di questi applicativi è però ancora tutto da definire, e qui la sfida è tutt’altro che banale. I principi del rispetto della privacy degli utenti nell’utilizzo delle loro credenziali riducono fortemente le strade percorribili per raggiungere la sostenibilità economica del modello: per chi emette delle credenziali (per esempio, la banca che riconosce il proprio cliente e ne rilascia una con le sue informazioni di riconoscimento certificate) non dovrebbe essere possibile vedere quante volte l’utente le utilizza e su quali servizi. Da qui la sfida per disegnare flussi di remunerazione coerenti all’interno dell’ecosistema di aziende.

Secondo quanto dichiarato nel Comunicato stampa, questo elemento sarà chiarito nei prossimi mesi da futuri Decreti.

Infine, secondo le ultime indiscrezioni uscite sulla Stampa, la spesa per lo sviluppo di IT Wallet pubblico ammonterà a 102 milioni di euro per i prossimi 3 anni. Questi fondi deriveranno principalmente dalle risorse del PNRR (Missione 1, “Digitalizzazione, innovazione, competitività e cultura”).

La cessione di PagoPa a Poligrafico e Poste Italiane

Ci sono stati movimenti importanti anche sull’assetto societario degli attori coinvolti in questa sperimentazione. In concomitanza con l’avvio dei lavori, la Presidenza del Consiglio dei Ministri attribuisce le proprie quote di PagoPA S.p.A. (interamente partecipata dal Ministero dell’Economia e delle Finanze – MEF) in misura maggioritaria all’Istituto Poligrafico e Zecca dello Stato (anch’esso interamente partecipato dal MEF), e in misura minoritaria a Poste S.p.A., (il cui 35% è in mano a Cassa Depositi e Prestiti, poco più del 29% in mano al MEF e il restante 36% diviso tra investitori istituzionali e privati).