Identità digitale europea, perché il wallet sarà molto più di un’app

EUDI Wallet, euro digitale, Business Wallet e Cyber Resilience Act stanno convergendo verso un modello nel quale identità, attributi, pagamenti e sicurezza non sono più funzioni separate. Ma parlare genericamente di “wallet” rischia di confondere strumenti giuridicamente e tecnicamente diversi. Ecco come si sta ridisegnando l’infrastruttura europea della fiducia digitale.

La parola wallet è ormai utilizzata nel diritto europeo per indicare oggetti molto diversi. C’è il portafoglio europeo di identità digitale, destinato a custodire e presentare dati identificativi e attestazioni di attributi. C’è il futuro ecosistema dell’euro digitale, nel quale un’interfaccia di pagamento consentirà all’utente di utilizzare moneta di banca centrale in forma digitale. Ci sono i wallet per cripto-attività, che pongono problemi diversi sul piano della custodia e della cybersecurity. Dal novembre 2025 esiste, infine, anche una proposta della Commissione per gli European Business Wallets, pensati per permettere alle imprese di identificarsi, dimostrare poteri di rappresentanza e scambiare documenti e credenziali con effetti giuridici transfrontalieri.

EUDI Wallet, euro digitale e Business Wallet: strumenti diversi

Trattare questi strumenti come declinazioni di uno stesso prodotto sarebbe però un errore. L’EUDI Wallet non è un conto di pagamento. L’euro digitale non è una cripto-attività. Il Business Wallet non è semplicemente la versione aziendale di un’app di autenticazione. Un software wallet per asset digitali può invece ricadere, in presenza dei relativi presupposti, nella disciplina orizzontale del Cyber Resilience Act. Ciò che accomuna queste architetture è un elemento più profondo: l’Unione europea sta cercando di costruire uno strato digitale nel quale l’identità del soggetto, la legittimità dell’operazione e l’affidabilità tecnica del mezzo possano essere verificate attraverso regole e standard interoperabili.

Le due dinamiche oggi più visibili sono ormai prossime alla fase operativa. Gli Stati membri devono mettere a disposizione almeno un EUDI Wallet entro la fine del 2026. Nel frattempo l’Eurosistema ha aperto la selezione degli esercenti che parteciperanno al progetto pilota dell’euro digitale, previsto nella seconda metà del 2027. Dall’11 settembre 2026 sono inoltre già applicabili gli obblighi di reporting del Cyber Resilience Act per le vulnerabilità attivamente sfruttate e gli incidenti gravi relativi ai prodotti con elementi digitali. Le fonti che hanno dato origine a questa analisi mostrano bene la contemporaneità dei tre processi: identità digitale, sperimentazione dei pagamenti in euro digitale e rafforzamento della disciplina di sicurezza dei wallet stanno avanzando nello stesso momento.

Dall’identificazione elettronica al controllo dell’identità digitale

Il punto di partenza è il regolamento (UE) 2024/1183, spesso indicato come eIDAS 2, che ha modificato il regolamento n. 910/2014 introducendo il quadro europeo di identità digitale. La discontinuità rispetto all’eIDAS originario è sostanziale. Il sistema precedente era costruito soprattutto attorno al riconoscimento transfrontaliero dei mezzi nazionali di identificazione elettronica e ai servizi fiduciari. Con il nuovo quadro il baricentro si sposta sull’utente e su una vera infrastruttura di credenziali.

L’articolo 5 bis del regolamento stabilisce che ogni Stato membro deve fornire almeno un European Digital Identity Wallet entro ventiquattro mesi dall’entrata in vigore degli atti di esecuzione rilevanti. La Commissione indica conseguentemente la fine del 2026 come orizzonte per il rollout. L’utilizzo del wallet resterà volontario, mentre la sua accettazione diventerà obbligatoria in una serie di contesti pubblici e privati previsti dal regolamento.

Il salto concettuale è importante perché il portafoglio non contiene soltanto un’identità in senso stretto. Può ricevere e conservare person identification data e attestazioni elettroniche di attributi, consentendone successivamente la presentazione a una relying party. Un diploma, una patente, un titolo professionale o la dimostrazione di un requisito anagrafico possono quindi essere trattati come attestazioni verificabili, senza che sia necessario ripetere ogni volta l’intero processo di acquisizione documentale. È precisamente questa funzione che i progetti pilota europei hanno sperimentato nei servizi pubblici, nel settore bancario, nei pagamenti, nelle telecomunicazioni, nell’istruzione, nei trasporti e nella sicurezza sociale. La sperimentazione ha coinvolto oltre 350 soggetti pubblici e privati appartenenti a 26 Stati membri, oltre a Norvegia, Islanda e Ucraina.

Dal punto di vista tecnico il modello non coincide, quindi, con una semplice autenticazione federata. Il wallet diventa un ambiente nel quale possono essere emesse, conservate e presentate credenziali verificabili secondo specifiche comuni. L’Architecture and Reference Framework, la reference implementation open source e gli standard tecnici sviluppati nell’ambito del Toolbox europeo costituiscono il livello di interoperabilità sul quale dovranno poggiare le implementazioni nazionali.

Selective disclosure: l’identità non è più un pacchetto indivisibile di dati

Uno degli aspetti più interessanti dell’EUDI Wallet è la divulgazione selettiva. Nelle tradizionali procedure di identificazione digitale, il servizio riceve spesso un set relativamente ampio di informazioni, anche quando ne sarebbe sufficiente una sola. Per stabilire che una persona abbia più di diciotto anni, ad esempio, non è necessariamente necessario comunicare nome, data esatta di nascita, luogo di nascita e altri dati anagrafici.

Il regolamento 2024/1183 pretende che il wallet consenta all’utente di selezionare e presentare i dati necessari mantenendo il controllo sulla loro divulgazione. Lo stesso principio è già alla base della soluzione europea per la verifica dell’età, costruita sulle specifiche dell’EUDI Wallet: il servizio può ricevere la conferma del superamento di una determinata soglia senza acquisire l’intera identità dell’interessato.

La conseguenza sul piano della protezione dei dati è tutt’altro che marginale. La minimizzazione non è più soltanto un criterio che il titolare deve applicare organizzativamente. Può diventare una proprietà dell’architettura. Il sistema è progettato affinché la transazione consenta di presentare soltanto l’informazione necessaria allo specifico scopo.

La modifica degli atti di esecuzione intervenuta nel luglio 2026 rende questa impostazione ancora più evidente. Il regolamento di esecuzione (UE) 2026/1731 ha introdotto prescrizioni specifiche per l’immagine del volto. Se una relying party ne richiede la divulgazione, il wallet deve avvertire l’utente che la richiesta comporta la condivisione di dati biometrici e deve ottenere una conferma espressa e specifica. Lo stesso regolamento limita la conservazione dell’immagine da parte della relying party ai casi nei quali sia effettivamente necessaria o imposta dalla legge.

Questo è un passaggio significativo anche sul piano della regolazione tecnologica. Il legislatore non si limita a stabilire che l’interessato debba essere informato. Traduce l’esigenza giuridica in un comportamento dell’interfaccia.

Chi chiede i dati deve identificarsi

Il controllo non riguarda soltanto l’utente. Il nuovo sistema introduce obblighi anche per chi utilizza il wallet come fonte di informazioni. L’articolo 5 ter del regolamento eIDAS, dedicato alle wallet-relying parties, prevede un sistema di registrazione. Il soggetto che vuole fare affidamento sul portafoglio per fornire un servizio digitale deve indicare, tra l’altro, chi è e per quale finalità intende utilizzare il wallet. Deve inoltre specificare quali dati intende richiedere.

Il punto decisivo è contenuto nella regola successiva: la relying party non può chiedere dati diversi da quelli dichiarati in sede di registrazione. Deve inoltre identificarsi nei confronti dell’utente prima della transazione.

Il modello inizia così ad assomigliare a una trust infrastructure bidirezionale. Non è soltanto il cittadino a dover dimostrare chi è. Anche il servizio che domanda i dati deve essere riconoscibile e verificabile.

Gli atti tecnici di esecuzione rafforzano ulteriormente il meccanismo. Il regolamento 2024/2979 impone la registrazione delle transazioni effettuate con le relying parties, comprese quelle non concluse. Il registro deve contenere almeno data e ora, identificazione della controparte e tipologia dei dati richiesti o presentati.

L’articolo 5 bis del regolamento eIDAS prevede inoltre funzionalità che consentono all’utente di richiedere la cancellazione dei dati alla relying party e persino di segnalarla all’autorità nazionale competente per la protezione dei dati quando riceva una richiesta ritenuta illecita o sospetta. Le relative interfacce sono disciplinate dal regolamento di esecuzione 2024/2982.

Non è difficile cogliere la portata di questa impostazione. L’identità digitale non viene progettata esclusivamente come strumento di autenticazione. Diventa anche un punto dal quale l’utente può ricostruire e, almeno in parte, governare il modo in cui la propria identità è stata utilizzata.

Un’architettura regolatoria fatta di codice, certificazione e standard

Un errore sarebbe leggere eIDAS 2 come una disciplina esclusivamente giuridica. Gran parte dell’effettività del nuovo sistema dipende infatti dagli atti di esecuzione e dall’Architecture and Reference Framework.

Il primo nucleo adottato alla fine del 2024 comprende cinque regolamenti di esecuzione: il regolamento 2024/2977 sui dati di identificazione personale e sugli attestati elettronici di attributi; il 2024/2979 sull’integrità e sulle funzionalità fondamentali; il 2024/2980 sulle notifiche relative all’ecosistema; il 2024/2981 sulla certificazione e il 2024/2982 sui protocolli e sulle interfacce.

La loro natura tecnica non deve indurre a considerarli secondari. Sono proprio questi atti a trasformare principi generali come interoperabilità, controllo dell’utente e sicurezza in specifiche implementabili.

La certificazione, in particolare, è parte integrante del modello di fiducia. Il regolamento 2024/2981 costruisce il framework di certificazione attorno a requisiti funzionali, di cybersecurity e di data protection. Il concetto di wallet solution comprende non soltanto l’applicazione, ma la combinazione di software, hardware, servizi, configurazioni, istanze del wallet e componenti crittografiche sicure.

La distinzione è rilevante. Quando l’identità digitale produce effetti giuridici transfrontalieri non è sufficiente che l’interfaccia sia affidabile. Deve esserlo l’intera catena attraverso cui le credenziali vengono emesse, conservate, presentate e validate.

Il regolamento 2026/1731 conferma la natura evolutiva dell’architettura. A meno di due anni dal primo pacchetto di atti tecnici, la Commissione è già intervenuta per riallinearli all’evoluzione dell’ARF e degli standard, introducendo fra l’altro requisiti aggiornati sui meccanismi crittografici e l’EU Digital Identity Wallet Trust Mark.

Questa dinamica è destinata a proseguire. Nel nuovo diritto digitale europeo lo standard tecnico non è più semplicemente uno strumento di attuazione a valle della legge. Diventa parte della stessa architettura regolatoria.

EUDI Wallet ed euro digitale: due infrastrutture diverse, che possono incontrarsi

È qui che il tema dell’identità incontra quello dei pagamenti. Il progetto dell’euro digitale è entrato, dal novembre 2025, in una nuova fase orientata alla preparazione tecnica, al coinvolgimento del mercato e al sostegno del processo legislativo. A settembre 2026 l’Eurosistema ha aperto una call rivolta agli operatori dell’e-commerce e del mobile commerce per partecipare al pilot previsto nella seconda metà del 2027. Sarà una sperimentazione di dodici mesi e utilizzerà una versione beta dell’euro digitale. Sono già stati selezionati 36 payment service providers.

Occorre però mantenere molto netta la distinzione tra i due ecosistemi. L’EUDI Wallet gestisce identità e credenziali. L’euro digitale, qualora venga emesso, sarà una forma digitale di moneta di banca centrale destinata ai pagamenti retail.

L’Eurosistema punta a essere tecnicamente pronto per una possibile prima emissione nel 2029, assumendo che il regolamento europeo venga adottato. La decisione sull’emissione resterà comunque successiva all’approvazione della disciplina legislativa. Al 24 settembre 2026 la procedura europea sul regolamento istitutivo non è infatti conclusa: il Parlamento ha compiuto nel luglio 2026 un passaggio importante verso i negoziati interistituzionali, ma la procedura legislativa ordinaria è ancora in corso.

Anche il pilot deve essere letto correttamente. Non significa che nel 2027 verrà già introdotta moneta avente corso legale. La beta impiegata nella sperimentazione non avrà quella natura. L’obiettivo è verificare funzionalità tecnica, processi operativi e user experience in condizioni realistiche.

La possibile convergenza con il wallet di identità riguarda piuttosto le funzioni che precedono e circondano il pagamento. Identificazione del pagatore, onboarding, autenticazione, rappresentanza, verifica di attributi e gestione delle credenziali possono essere integrate con un’infrastruttura europea di identità digitale. Non significa che la moneta venga “conservata dentro l’EUDI Wallet” nello stesso senso in cui vi viene custodito un attestato. Significa che si riduce la distanza tecnica fra identità affidabile e operazione di pagamento.

L’offline cambia la natura del progetto euro digitale

Un ulteriore elemento merita attenzione. La BCE sta lavorando anche sulla possibilità di effettuare pagamenti in euro digitale offline. Nell’agosto 2026 ha avviato un confronto sugli standard relativi all’impiego di componenti hardware sicuri degli smartphone, in particolare embedded Secure Elements ed eSIM.

La questione è più importante di quanto possa apparire. Una CBDC retail interamente dipendente dalla connettività avrebbe caratteristiche profondamente differenti rispetto al contante. L’offline capability cerca invece di portare alcune proprietà del pagamento fisico nell’ambiente digitale. Ciò pone però problemi di sicurezza particolarmente delicati, perché il sistema deve prevenire usi duplicati e manipolazioni pur in assenza di una verifica online istantanea.

È anche qui che si comprende perché la regolazione dei wallet non possa essere separata dalla sicurezza dell’hardware e del software che li esegue.

Il Cyber Resilience Act è già entrato nel vivo

Il terzo tassello è il regolamento (UE) 2024/2847, Cyber Resilience Act. La disciplina generale sarà applicabile dall’11 dicembre 2027, ma una delle parti più operative del regolamento è già entrata in applicazione: dall’11 settembre 2026 i fabbricanti devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.

Il meccanismo è scandito da tempi particolarmente stretti. L’early warning deve essere trasmesso entro 24 ore dalla conoscenza dell’evento. La notifica principale è prevista entro 72 ore. Per una vulnerabilità attivamente sfruttata il rapporto finale deve essere presentato entro quattordici giorni da quando diventa disponibile una misura correttiva o di mitigazione. Per un incidente grave, invece, il rapporto finale deve arrivare entro un mese dalla notifica delle 72 ore.

Dall’11 settembre è operativa anche la Single Reporting Platform gestita da ENISA. Il modello è quello del report once: il fabbricante trasmette la segnalazione attraverso un’unica piattaforma, dalla quale l’informazione viene resa disponibile alle autorità competenti secondo il circuito delineato dal regolamento.

Per il mondo dei wallet si tratta di un passaggio essenziale. Il CRA si applica ai prodotti con elementi digitali messi a disposizione sul mercato quando la loro finalità prevista o l’uso ragionevolmente prevedibile comportano una connessione logica o fisica a un dispositivo o a una rete. Tra i prodotti classificati come “importanti” dall’allegato III compaiono, tra l’altro, sistemi di gestione dell’identità e software o hardware per la gestione degli accessi privilegiati.

Non significa che ogni wallet ricada automaticamente nella medesima categoria. La qualificazione dipende dalle caratteristiche del prodotto e dalle altre discipline eventualmente applicabili. Il considerando 33 del CRA affronta però espressamente gli European Digital Identity Wallets: nella misura in cui i relativi prodotti rientrano nel campo di applicazione del regolamento, i provider devono rispettare sia i requisiti orizzontali del CRA sia quelli specifici previsti da eIDAS.

La sovrapposizione non è quindi accidentale. L’Europa sta consapevolmente costruendo una sicurezza “a strati”: requisiti generali di cybersecurity del prodotto e requisiti speciali legati alla natura fiduciaria dell’identità digitale.

Dal security by design al vulnerability management lungo il ciclo di vita

Il CRA cambia anche il modo in cui va considerata la sicurezza di un’applicazione. La conformità non si esaurisce nella sicurezza al momento del rilascio. Il regolamento pretende che la cybersecurity accompagni progettazione, sviluppo, produzione e gestione delle vulnerabilità durante il periodo di supporto.

Questo approccio è particolarmente adatto ai wallet perché il rischio non è statico. Una vulnerabilità crittografica, una compromissione del dispositivo, un errore nella gestione delle chiavi o un problema in una libreria di terze parti possono alterare l’affidabilità di un prodotto inizialmente conforme. L’identità digitale richiede quindi una governance continua delle componenti e delle dipendenze software.

Il CRA include, tra i processi richiesti ai fabbricanti, anche la gestione delle vulnerabilità e della distinta base software. L’uso di una Software Bill of Materials assume rilievo proprio perché consente di sapere rapidamente quali prodotti incorporino una componente compromessa. In un ecosistema nel quale wallet, SDK, moduli crittografici e servizi di verifica utilizzano catene software complesse, questa capacità di tracciamento diventa parte della resilienza operativa.

Quattro wallet, quattro funzioni giuridiche differenti

Per evitare equivoci è utile tenere distinti i quattro modelli che oggi ricorrono nel dibattito europeo.

La distinzione non è puramente terminologica. Determina chi emette lo strumento, quale bene o diritto vi è associato, il regime di responsabilità, la disciplina di sicurezza e gli eventuali obblighi di accettazione.

Il Business Wallet potrebbe essere il vero acceleratore B2B

La proposta sugli European Business Wallets, presentata dalla Commissione nel novembre 2025, merita particolare attenzione perché estende la logica delle credenziali verificabili alla vita delle imprese.

La proposta COM(2025) 838 prevede un framework armonizzato attraverso cui operatori economici e soggetti pubblici possano identificarsi, autenticarsi e scambiare dati con effetti giuridici transfrontalieri. Il wallet dovrebbe inoltre supportare la gestione dei poteri di rappresentanza e dei mandati.

Il problema affrontato è molto concreto. Oggi un’impresa che opera in più Stati membri può essere costretta a dimostrare ripetutamente la propria esistenza, i poteri del rappresentante, iscrizioni in registri, autorizzazioni o altre qualità giuridiche. La digitalizzazione dei documenti non risolve necessariamente il problema se ogni amministrazione continua a richiedere PDF o scansioni e a verificarli separatamente.

Il Business Wallet punta invece alla portabilità della fiducia. Il dato non dovrebbe essere soltanto digitale: dovrebbe essere verificabile, interoperabile e utilizzabile attraverso i confini nazionali.

La proposta è ancora nel procedimento legislativo ordinario. Nel luglio 2026 è stato pubblicato anche il parere del Comitato economico e sociale europeo e, allo stato attuale, il fascicolo risulta ancora in attesa della posizione del Parlamento in prima lettura. Non sarebbe quindi corretto presentare il Business Wallet come un sistema già definitivamente disciplinato.

Se il progetto arriverà a maturazione, le applicazioni B2B e B2G potrebbero essere notevoli: partecipazione a gare, onboarding bancario, rappresentanza societaria, scambio documentale, autorizzazioni amministrative e compliance transfrontaliera sono esempi nei quali il costo della verifica dell’identità organizzativa resta ancora elevato.

Identità e pagamento: la vera innovazione è togliere attrito, non aggiungere un’altra app

La riuscita dell’intero progetto europeo dipenderà meno dal numero di applicazioni installate e più dalla capacità di evitare una nuova frammentazione.

Un cittadino non ha bisogno semplicemente di un altro wallet sul telefono. Un’impresa non trae particolare beneficio dal sostituire dieci portali con dieci portali che chiedono dati provenienti dallo stesso wallet. Il valore emerge quando il processo viene riprogettato.

Si può immaginare, ad esempio, l’apertura di una relazione finanziaria. Una parte delle informazioni sull’identità potrebbe provenire da credenziali affidabili. Determinati attributi potrebbero essere presentati in maniera selettiva. Il soggetto che richiede i dati sarebbe identificabile come relying party. La transazione rimarrebbe tracciabile nel wallet. Una volta completata l’identificazione, lo stesso ambiente digitale potrebbe interagire con l’infrastruttura di pagamento.

Questa è la differenza tra digitization e digital transformation. Scannerizzare il documento e caricarlo su un portale digitalizza il supporto. Rendere verificabile l’attributo alla fonte modifica il processo.

E la DeFi? L’integrazione finanziaria non significa omogeneità

Lo sviluppo parallelo dei mercati decentralizzati aggiunge un ulteriore elemento. Un recente lavoro della BCE ha analizzato la relazione tra politica monetaria tradizionale e tassi di lending nella DeFi, utilizzando dati on-chain relativi ad Aave. Il risultato è interessante perché mostra una trasmissione esistente, ma non lineare. Sul lungo periodo i tassi DeFi tendono a convergere verso i rendimenti privi di rischio della finanza tradizionale, mentre nel breve possono prevalere dinamiche specifiche legate a leverage e deleveraging del mercato crypto.

Il punto è utile anche per leggere l’evoluzione dei wallet. L’integrazione crescente tra finanza digitale e tradizionale non elimina le differenze tra infrastrutture. La presenza di una user experience apparentemente simile non rende equivalenti un deposito bancario, una stablecoin, un euro digitale o una posizione in un protocollo decentralizzato.

Al contrario, quanto più le interfacce convergono, tanto più diventa importante che l’architettura regolatoria renda comprensibile che cosa vi sia dietro l’interfaccia.

Il rischio più sottovalutato: concentrare fiducia significa concentrare impatto

L’EUDI Wallet promette di ridurre l’esposizione inutile dei dati. Nello stesso tempo, però, una infrastruttura capace di concentrare identità, qualifiche e credenziali diventa inevitabilmente un elemento ad alto impatto.

La questione non può essere risolta con il solo argomento della sicurezza crittografica. La resilienza richiede almeno quattro livelli: sicurezza del dispositivo, sicurezza dell’applicazione, affidabilità dell’ecosistema degli issuer e capacità delle relying parties di richiedere e trattare correttamente gli attributi. A questi si aggiunge il problema dell’ingegneria sociale. Un wallet tecnicamente sicuro non impedisce necessariamente all’utente di autorizzare consapevolmente una richiesta che non comprende.

Per questo la qualità dell’interfaccia diventa una componente della sicurezza. L’avvertimento specifico previsto nel 2026 per la divulgazione dell’immagine del volto ne è un buon esempio. In un ecosistema basato sul consenso all’atto della presentazione, la differenza tra una schermata comprensibile e una richiesta opaca può incidere quanto una specifica crittografica.

L’interoperabilità è anche una questione di governance

Un altro elemento spesso trascurato è che l’interoperabilità non coincide con l’adozione dello stesso formato di dati. Occorre anche stabilire chi possa emettere una determinata attestazione, come venga verificata la sua validità, come si gestiscano sospensione e revoca e come sia possibile stabilire che una relying party sia effettivamente quella che dichiara di essere.

È per questo che il sistema comprende registri, certificati, notifiche e meccanismi di autenticazione delle parti dell’ecosistema. Il problema non è soltanto trasferire un attributo da A a B. È permettere a B di sapere che l’attributo sia autentico e ad A di sapere a chi lo sta consegnando.

Questo aspetto sarà particolarmente delicato per gli attributi ad alto valore economico. Un titolo professionale o un potere di rappresentanza societaria non possono essere trattati come semplici campi di database. La validità deve poter essere verificata in relazione all’emittente e, quando necessario, allo stato corrente della credenziale.

La partita del 2027 non sarà soltanto tecnologica

Tra la fine del 2026 e il 2027 l’Europa entrerà quindi in una fase completamente diversa. Il portafoglio di identità digitale passerà dalla standardizzazione alla diffusione. Gli obblighi di vulnerability reporting del CRA sono già operativi. Il pilot dell’euro digitale porterà l’Eurosistema dentro esperienze di pagamento reali, sia pure con una beta priva di corso legale. Parallelamente continueranno il processo legislativo sul digital euro e quello sugli European Business Wallets.

La questione centrale non sarà più dimostrare che la tecnologia funzioni. Sarà capire se quattro esigenze possano essere conciliate: interoperabilità transfrontaliera, sicurezza, controllo effettivo dell’utente e semplicità di utilizzo.

Un sistema perfettamente sicuro che nessuno usa non produce infrastruttura. Un sistema molto semplice ma opaco nella circolazione dei dati compromette la fiducia. Un wallet formalmente interoperabile ma incapace di inserirsi nei processi delle imprese resta una dimostrazione tecnica.

È per questa ragione che il passaggio più interessante dell’attuale fase europea non riguarda una singola tecnologia. Riguarda il tentativo di trasformare fiducia, identità e autorizzazione in componenti interoperabili dell’economia digitale.

Dal documento al dato verificabile

La prospettiva di medio periodo appare allora più chiara. L’Europa si sta muovendo da un modello basato sul documento digitale verso un modello basato sul dato verificabile.

La differenza è sostanziale. Nel primo caso il soggetto produce un documento e qualcuno deve interpretarlo e verificarlo. Nel secondo un issuer affidabile attesta direttamente un attributo in un formato che un sistema autorizzato può validare automaticamente.

Questo passaggio può incidere sulla pubblica amministrazione quanto sul banking, sul lavoro o sull’e-commerce. Può ridurre i costi di onboarding e quelli della compliance documentale. Può rendere più semplici le operazioni transfrontaliere. Può anche creare nuovi rischi di dipendenza infrastrutturale e nuove forme di esclusione per chi non riesce ad accedere con facilità agli strumenti digitali.

Per questo sarebbe riduttivo leggere l’EUDI Wallet come il successore europeo dello SPID o come la versione digitale di un portafoglio fisico. Il progetto è più ambizioso: costruire uno strato di fiducia interoperabile capace di accompagnare transazioni che oggi richiedono sistemi di identificazione e verifica separati.

Se a questo strato si aggiungeranno un mezzo di pagamento pubblico digitale e, per le imprese, un’infrastruttura europea di identità organizzativa, il risultato sarà una trasformazione molto più profonda della semplice introduzione di nuove app.

Riferimenti essenziali

Banca centrale europea. Digital euro pilot; Call for online and mobile merchants to participate in digital euro pilot now open, 15 settembre 2026; documentazione sull’offline digital euro, agosto 2026.

Commissione europea. EU Digital Identity Wallet Toolbox process e EU Digital Identity Wallet Pilot implementation, per ARF, reference implementation e Large Scale Pilots.

Commissione europea. Proposta COM(2025) 838 final, 19 novembre 2025, Proposal for a Regulation on the establishment of European Business Wallets.

ENISA e Commissione europea. Documentazione sulla CRA Single Reporting Platform e sugli obblighi di segnalazione applicabili dall’11 settembre 2026.

Normativa e atti UE. Regolamento (UE) 2024/1183 sul quadro europeo di identità digitale; regolamenti di esecuzione (UE) 2024/2977, 2024/2979, 2024/2980, 2024/2981 e 2024/2982; regolamento di esecuzione (UE) 2026/1731, che aggiorna quattro degli atti tecnici del 2024; regolamento (UE) 2024/2847, Cyber Resilience Act.

Parlamento europeo. Procedura 2023/0212(COD) sul regolamento per l’istituzione dell’euro digitale e procedura 2025/0358(COD) sugli European Business Wallets, per lo stato aggiornato dei due iter legislativi.