In un web pieno di bot, dimostrare di essere umani diventa il nuovo passaporto

Con l’aumento di agenti artificiali online, diventa necessario passare dalle identità digitali alle credenziali di identità umana, capaci di dimostrare che dietro un’azione digitale c’è una persona reale e responsabile. Oggi gran parte del traffico web è già non umano, e la generative AI ha moltiplicato i contenuti prodotti dalle macchine. I vecchi metodi per distinguere persone e bot non funzionano più. Per questo si stanno sviluppando nuove credenziali progettate per verificare la presenza umana, non l’account, e per garantire responsabilità e autenticità nel nuovo ecosistema digitale.

Credenziali di identità umana contro i vecchi sistemi anti-bot

Prima dell’avvento dell’AI, l’umanità online veniva verificata soprattutto attraverso la difficoltà: i CAPTCHA chiedevano agli utenti di dimostrare di essere persone reali risolvendo puzzle, interpretando testi distorti o selezionando la casella “Non sono un robot”. Oggi però i modelli di apprendimento automatico sono in grado di superare la maggior parte di questi test, spesso meglio degli esseri umani. Nel frattempo, filtri video e vocali sempre più sofisticati permettono ai bot di chattare in tempo reale, impersonare utenti, rispondere automaticamente ai messaggi e persino accedere alle email o ai canali di messaggistica. Per questo molti gruppi interdisciplinari di ricercatori nel campo della sicurezza, dell’identità e della privacy stanno studiando nuove soluzioni per creare credenziali di identità umana che verifichino la presenza di un individuo reale, garantendo al tempo stesso la tutela della privacy.

Le nuove credenziali di identità umana verificherebbero la presenza di un individuo reale. Sarebbero univoche, limitate a una per persona per ciascun emittente, e progettate in modo che l’attività digitale associata non possa essere correlata tra diversi fornitori di servizi.

Gli agenti di intelligenza artificiale stanno infatti portando al collasso l’attribuzione univoca dell’identità digitale: diventa sempre più difficile stabilire se un agente stia agendo come una persona (impersonificazione), per conto di una persona (delegato) o al posto di una persona (sostituto). Oggi gli agenti IA che prendono appunti si presentano regolarmente alle riunioni su Zoom come sostituti dei loro utenti umani.

Per questo dobbiamo iniziare a immaginare il futuro come un ecosistema in cui esistono agenti attivi umani, necessari per interagire e differenziarsi dagli agenti attivi artificiali.

Identità digitali e credenziali di umanità non sono la stessa cosa

Sta emergendo una proliferazione di sistemi di credentificazione dell’identità, che non vanno confusi con le identità digitali: sono concetti distinti, e comprenderne la differenza è fondamentale.

Le identità digitali sono strumenti di autenticazione riferiti a individui specifici, spesso emessi o riconosciuti da stati sovrani. Funzionano come una patente di guida o un passaporto: servono a rispondere a una domanda precisa — chi è la persona giuridicamente responsabile? Nella loro forma migliore, le identità digitali semplificano l’accesso ai servizi pubblici, la firma di documenti, la verifica dei requisiti e, in generale, riducono gli ostacoli amministrativi. Le persone le utilizzano perché, senza di esse, molte attività diventano difficili o impossibili.

Nella migliore delle ipotesi, le identità digitali semplificano l’accesso ai servizi pubblici, la firma di documenti, la verifica dei requisiti e, in generale, riducono gli ostacoli amministrativi. Le persone finiscono per utilizzarle perché, senza quella credenziale, molte attività quotidiane diventano difficili o impossibili. Le credenziali di personalità sono invece diverse: sono progettate per bilanciare sicurezza e anonimato, garanzia e privacy.

Il loro scopo è dimostrare che esiste una persona reale, umana, identificata in modo univoco all’interno di un determinato sistema; una persona che possiede specifici attributi (ad esempio “ha più di 18 anni”) o che ha l’autorità per utilizzare un servizio o svolgere determinate operazioni, senza tuttavia rivelarne l’identità civile. Il mercato privato delle credenziali di prova di umanità sta crescendo rapidamente: molte aziende vedono l’opportunità di rispondere alle nuove esigenze normative e antifrode, offrendo al tempo stesso agli utenti la possibilità di evitare la divulgazione della propria identità civile.

Biometria, privacy e prova di umanità online

Si basano su informazioni legate al corpo fisico, su sistemi fondati sull’unicità biometrica. Gli utenti forniscono una qualche forma di dato biometrico univoco – tono e timbro della voce, impronte digitali, espressioni del volto – come prova di autenticità. Ad esempio, l’azienda World utilizza l’iride dell’utente tramite il suo Orb proprietario: la scansione viene convertita in un codice crittografico univoco che genera una credenziale di umanità non replicabile.
https://world.org/it-it/world-id

I sistemi biometrici possono essere molto sicuri: falsificare una voce tokenizzata e criptata è decisamente più complesso che contraffare una patente di guida. Tuttavia, non sono infallibili e possono escludere alcune persone. Non tutti hanno caratteristiche biometriche utilizzabili — ad esempio, alcune persone non hanno occhi — e il riconoscimento facciale può perdere affidabilità con l’avanzare dell’età. Anche i grandi sistemi nazionali mostrano limiti. Il sistema di identità digitale indiano Aadhaar, che utilizza dati biometrici per diversi processi di verifica, ha registrato problemi di autenticazione che in alcuni casi hanno avuto conseguenze gravi per gli utenti. Siamo ancora agli inizi di questo immenso mercato, e la tecnologia deve maturare per garantire inclusività, affidabilità e sicurezza su larga scala.

Un altro esempio è BrightID, una rete sociale dedicata all’identità digitale. Ti permette di dimostrare alle applicazioni che sei una persona reale e che utilizzi un solo account.

Il ruolo degli Stati e il mercato delle credenziali

Che ruolo avranno gli Stati sovrani?

Chi sarà autorizzato a rilasciare credenziali e a decidere quali e quanti dati biometrici, prove sociali o documenti siano necessari? I sondaggi recenti indicano che l’opinione pubblica americana è favorevole a forme più avanzate di credenziali in ambito finanziario o sanitario, ma molto meno al loro utilizzo sui social network.

Anche in questo caso entra in gioco l’economia politica. La prova di identità tenderà a trasformarsi in un vero e proprio mercato. Gli emittenti privati di credenziali avranno forti incentivi ad espandersi e a promuovere l’adozione su larga scala dei propri sistemi. Le economie di scala potrebbero migliorare la qualità dei servizi, ma comportano anche il rischio di un “oligopolio delle credenziali”, con pochi grandi attori dominanti o con reti di interdipendenze difficili da controllare.

Il problema non è tanto – o non solo – tecnologico, ma riguarda la capacità di accertare che l’utente sia una persona reale e la legittimità del processo di verifica, che deve essere riconosciuta dalle istituzioni. Un esempio significativo: il fondatore di Humanity Protocol ha ammesso che, dei circa nove milioni di ID umani emessi dalla rete, solo un milione era stato effettivamente verificato come appartenente a persone reali.

Quali credenziali di umanità potranno guidare il mercato

Quali saranno le credenziali di umanità leader del mercato?

La sfida consiste nel combinare unicità (una persona reale) e identità (questa persona specifica) senza costringere l’utente a rivelare la propria identità civile completa, garantendo così un elevato livello di privacy. È plausibile, ritengo, che saranno necessarie prove multiple: nessun singolo dato biometrico, documento governativo o dispositivo hardware potrà diventare l’unico metodo di riconoscimento. L’approccio più promettente non è un ID universale o un registro globale, ma un ecosistema plurale di credenziali, basato su standard aperti e su una molteplicità di emittenti.

Questa direzione è coerente con quanto suggerito dal National Institute of Standards and Technology (NIST), che indica la necessità di architetture interoperabili, modulari e capaci di adattarsi ai diversi livelli di sicurezza richiesti dai vari settori.

Alcuni settori, come quello bancario e sanitario, richiederanno livelli di sicurezza molto elevati e attributi specifici; altri invece potranno adottare requisiti più leggeri. Tra i casi più avanzati di identità digitale a livello governativo spicca quello dell’Estonia. Il sistema estone combina autenticazione crittografica con registri di controllo obbligatori, che consentono a ogni cittadino di verificare chi ha avuto accesso ai suoi dati e in quale momento.

Sicuramente il mercato delle credenziali di umanità, basato sulla combinazione di diversi dati biometrici e conforme alle normative di ciascun paese, rappresenta uno dei settori più promettenti e redditizi dei prossimi anni.