La Global Digital Collaboration (GDC) Conference 2026 reunió a principios de septiembre a la comunidad de identidad digital y confianza en Palexpo, Ginebra. La conferencia fue organizada por la Confederación Suiza, coorganizada por unas cuarenta organizaciones, y se desarrolló en más de 140 sesiones repartidas en hasta ocho tracks paralelos.
El pasado mes de octubre publicamos diez conclusiones del ENISA Trust Services and eID Forum. Ese foro es el lugar donde Europa desarrolla en detalle su propia agenda. Ginebra es un contexto distinto: la premisa de partida allí es que las credenciales digitales (pasaportes, permisos de conducir, comprobantes de pago, cualificaciones profesionales…) tendrán que funcionar entre distintos sistemas jurídicos, no solo entre fronteras dentro de uno solo.
La lista de coorganizadores ya indica el tipo de evento del que se trata: organismos intergubernamentales (Comisión Europea, UIT, CEPE, Banco Mundial, OMS), organismos de normalización (ISO, IEC, ETSI, CEN-CENELEC, W3C, FIDO Alliance, OpenID Foundation, GlobalPlatform, EMVCo, GSMA, Cloud Signature Consortium) y fundaciones de código abierto (Linux Foundation, OpenWallet Foundation, LF Decentralized Trust, MOSIP, Eclipse Foundation), todos reunidos en la misma sala.
El primer día marcó el tono. La Oficina Federal de Justicia suiza abrió el evento junto con la ministra brasileña de Gestión e Innovación en los Servicios Públicos y ponentes de los sectores de aviación y plataformas digitales. Un panel del Global Digital Collaboration Council (con Smart Africa, el Gobierno de Canadá y representantes del sector financiero y tecnológico) sostuvo que el liderazgo público-privado es hoy un requisito previo para este tipo de infraestructura, no una opción adicional. Las sesiones abarcaron desde pilotos de wallet transfronterizos a gran escala, pasando por el modelo de gobernanza «Sovereign Trust» de Smart Africa, hasta la conexión entre Singapur y Shanghái para credenciales de registro empresarial, y una sesión de la CEPE/OMC que cifró en seis billones de dólares al año el coste de la fricción comercial.
Namirial participó en el panel «The invisible partners that are indispensable to drive adoption», junto con otros proveedores de la comunidad de intermediarios (diapositivas y notas disponibles a petición).
La propia posición de Suiza merece atención porque enmarca todo el evento: su ley de E-ID se aprobó por referéndum en septiembre de 2025 por un margen muy ajustado; el wallet swiyu está en beta pública desde marzo de 2025, ahora con un sandbox independiente para que emisores y verificadores realicen pruebas; y el lanzamiento en producción se ha aplazado a 2027. Suiza también tiene intención de crear en Ginebra una fundación como sede permanente de la GDC: terreno neutral para una conversación auténticamente global.
A continuación, las diez cosas que consideramos relevantes, y qué significa cada una de ellas para las organizaciones que tendrán que operar en este panorama.
1 – La identidad digital ha dejado de ser un asunto regulatorio exclusivamente europeo
Los permisos de conducir móviles, las credenciales de viaje digitales, los certificados sanitarios que ya conectan a más de ochenta países a través de la OMS, los documentos comerciales verificables, las credenciales educativas y los sistemas de identidad a escala poblacional en el Sur Global se trataron todos como temas centrales, no como casos secundarios.
Una sesión conjunta UE-India puso este punto en evidencia con precisión. El Digital Identity Wallet de la UE, exigido por el Reglamento (UE) 2024/1183, y la infraestructura digital nacional de la India se desarrollaron de forma totalmente independiente, pero ambos se sustentan en la misma lógica subyacente: un emisor, un titular, un verificador, un registro legible por máquina de quién está autorizado a emitir qué, y la divulgación únicamente del atributo necesario. Los formatos técnicos – SD-JWT VC e ISO mdoc – se están convirtiendo en un verdadero estándar global, pero las normas sobre quién responde cuando algo sale mal no son en absoluto globales. Esa brecha, y no el debate sobre formatos, es la verdadera cuestión estratégica de los próximos tres años.
Qué significa esto: una organización que hoy desarrolla soluciones para una única jurisdicción está en realidad construyendo sobre un formato que muy probablemente viajará entre distintos países. El marco normativo no viajará con él automáticamente, por lo que se necesita una planificación aparte. Precisamente por eso nuestra plataforma de wallet está construida sobre un núcleo común de emisión y verificación, de modo que un cliente no quede atado a las suposiciones de una sola región.
2 – Los estándares aportan interoperabilidad. No aportan responsabilidad.
Dos sistemas pueden coincidir perfectamente en cómo formatear y comprobar una credencial, y aun así dejar completamente abierto quién compensa a un banco, un comercio o un ciudadano que confió en ella y perdió dinero. Dentro de la UE, eIDAS 2.0 responde a esto para las credenciales emitidas como «cualificadas»: responsabilidad definida, órganos supervisores designados, auditorías obligatorias. Fuera de ese ámbito, la respuesta es en gran medida inexistente.
La conferencia de Ginebra generó mucho trabajo valioso sobre conformidad – si una credencial cumple con una especificación técnica – a través de sesiones organizadas conjuntamente con la OpenID Foundation, el Cloud Signature Consortium y la Comisión. Sin embargo, conformidad y responsabilidad son cuestiones distintas. Un trust registry puede confirmar que un emisor está autorizado, pero no puede decir quién paga cuando el proceso falla.
Qué significa esto: si su modelo de negocio depende de la aceptación transfronteriza, pregúntese desde el principio quién asume la pérdida, no solo si la credencial se podrá procesar técnicamente. Como prestador de servicios de confianza cualificado, la responsabilidad es algo que ya asumimos como parte de la cadena supervisada: forma parte de lo que un cliente adquiere con nosotros, no es una ocurrencia posterior.
3 – El verdadero tema de este año fueron los trust registries, no los formatos de credenciales
Cada credencial, ya sea un pasaporte, un título académico, un formulario aduanero o una licencia profesional, depende de una pregunta que ningún formato puede responder por sí solo: ¿está este emisor realmente autorizado a emitirla, en este preciso momento? Una Trust Registries Task Force (codirigida en parte por un gran proveedor de plataformas y un programa nacional de identidad) propuso un modelo federado: las plataformas de wallet implementan la confianza, pero los registros nacionales y sectoriales existentes conservan su autoridad.
Las sesiones paralelas mostraron este patrón repitiéndose por todas partes: identidad, educación, viajes, comercio, registro de empresas; y mostraron a las autoridades de tráfico de Norteamérica y Australasia negociando en vivo un marco de reconocimiento mutuo de permisos de conducir, uno de los pocos precedentes funcionales de reconocimiento entre regiones enteras. El grupo de trabajo concluyó admitiendo que la pregunta más difícil sigue abierta: ¿quién gestiona un trust registry global, y con qué autoridad?
Qué significa esto: la federación es la arquitectura correcta, pero alguien tiene que seguir siendo la raíz de confianza para cada sector concreto. Nosotros ya operamos hoy dentro de la infraestructura de trust lists (publicación, supervisión, revocación), por lo que para nosotros esta es la estructura operativa con la que trabajamos a diario, no una cuestión de investigación futura.
4 – Tener la pasarela de wallet no equivale a gestionar todo el recorrido KYC
Las fechas son lo que hace esto concreto. Los Estados miembros de la UE deben poner los wallets a disposición antes del 24 de diciembre de 2026. A partir del 10 de julio de 2027, las nuevas normas contra el blanqueo de capitales (Reglamento (UE) 2024/1624) endurecen las comprobaciones de identidad. A partir del 24 de diciembre de 2027, bancos, operadores de telecomunicaciones, servicios públicos y plataformas muy grandes deberán aceptar el wallet allí donde la autenticación fuerte sea legalmente exigida, con un registro de partes usuarias vigente desde esa misma fecha.
El resultado es un sistema muy complejo: 27 wallets nacionales, varios wallets privados, cuatro formas distintas de presentar una credencial, tres formatos de datos, un único catálogo de tipos de credenciales y, solo en el sector financiero, del orden de cinco mil partes usuarias que necesitan integrarse.
Un conector puro asume que la credencial ya está en el wallet, lista para presentarse. Todo lo anterior a ese punto (probar quién es alguien con el nivel de garantía adecuado, conectar con fuentes autorizadas, vincular la credencial a un teléfono, gestionar la pérdida de un dispositivo, volver a verificar cuando algo cambia…) es un problema de ciclo de vida, y apenas está resuelto a nivel de todo el sector. La firma o el sello que hace que una transacción sea jurídicamente vinculante se sitúa en el extremo opuesto de esa misma cadena, seguido de la auditoría y la gestión de disputas.
Qué significa esto: quien posea todo el recorrido, desde el onboarding hasta la firma, es quien carga con el nivel de garantía por el que la parte usuaria realmente está pagando. Precisamente en torno a esto está estructurada nuestra plataforma: Namirial Onboarding establece la identidad al nivel de garantía requerido, el Wallet Gateway absorbe la complejidad del protocolo, y nuestros servicios de firma cierran la transacción. Una única cadena responsable, no cinco proveedores que reconciliar después de que algo falle.
5 – Business wallet: obligatorio en Europa, impulsado por incentivos en otros lugares
Una sesión trazó un contraste muy claro: en Europa, el business wallet llega porque la regulación lo exige. En Estados Unidos, sin un mandato comparable, el sector privado está construyendo la misma capacidad porque resulta comercialmente útil. Ambos enfoques sustituyen el papeleo manual de «conozca su empresa» por registros digitales instantáneamente verificables. Si los dos enfoques llegarán realmente a interoperar es una cuestión genuinamente sin resolver.
Los problemas difíciles están claramente identificados: quién puede delegar autoridad en quién dentro de una empresa, hasta qué nivel por debajo del consejo de administración llega esa cadena de delegación, cómo se integra con los sistemas de gestión de accesos existentes, y cómo se conecta con registros autorizados como los registros mercantiles nacionales. El identificador verificable de entidad jurídica (LEI) de GLEIF surgió repetidamente como ancla global para la identidad corporativa.
Qué significa esto: sea cual sea la vía por la que se llegue, mandato o incentivo, la cadena de delegación es el punto donde más difícil resulta asignar la responsabilidad, porque alguien tiene que responder de lo que hace un agente autorizado que se extralimita. Este es un componente central de lo que integramos en las atestaciones de mandato y delegación para empresas, no solo para particulares.
6 – La firma desde un wallet llega al escenario principal
Dos sesiones destacaron: una sobre la ejecución de firmas electrónicas cualificadas directamente desde un wallet, eliminando el paso separado de adquirir un certificado independiente; la otra, organizada junto con el Cloud Signature Consortium y TeleTrusT, sobre arquitectura de firma remota y en la nube alineada tanto con las normas de la UE como con la propia ley de firma de Suiza, un ejemplo real, no hipotético, de reconocimiento que va más allá del derecho de la UE.
Presentar una credencial demuestra un hecho. Firmar crea una obligación legal. Contratos, aperturas de cuenta, mandatos y trámites administrativos terminan todos con una firma, y se supone que los ciudadanos deben obtener esa capacidad a través de sus wallets. Buena parte del debate público sobre los wallets se detiene en la pregunta «¿la credencial es válida?», mientras que la transacción en sí no se detiene ahí.
Qué significa esto: una estrategia de wallet que termina en la verificación está incompleta. Nuestros servicios de firma están diseñados para cerrar precisamente esa brecha: convertir un atributo verificado en una firma jurídicamente vinculante y auditable, dentro de la misma cadena.
7 – La demanda ha llegado, también desde agentes de software
La verificación de edad se trató como un tema completo por derecho propio, incluidas sesiones que se preguntaban primero si un control de edad está siquiera justificado antes de darlo por hecho. Demostraciones en vivo mostraron credenciales de edad emitidas por bancos completando un checkout en línea y una credencial gubernamental aceptada en un terminal de pago físico: transacciones reales, no simples diapositivas.
El desarrollo más destacado tuvo que ver con los agentes de IA que actúan en nombre de las personas. Varias sesiones convergieron en un mismo planteamiento que conviene recordar: Know Your Agent (KYA). Extiende el «know your business» de la misma manera en que este extendió el «know your customer»: cuando un agente de software realiza una transacción, hay que establecer quién es el agente, bajo qué autoridad actúa y dentro de qué límites: identidad organizativa verificada, un mandato acotado y auditable, y evidencia de intención que se sostenga también a posteriori. Un agente puede actuar íntegramente dentro de un mandato válido y aun así causar una pérdida, razón precisamente por la que esto es tanto una cuestión de responsabilidad como técnica.
Qué significa esto: cualquier empresa que planee dejar que agentes realicen transacciones en su nombre, o aceptar transacciones de agentes de otras personas, necesita ya esta capa de identidad y mandato, no una vez que los agentes ya estén en producción. Es una extensión natural del trabajo sobre mandato y delegación descrito antes, y algo hacia lo que ya estamos avanzando.
8 – Reconocimiento mutuo, no armonización, y una «Europa» más amplia que la UE
El resultado de mayor calado de la conferencia no fue una especificación técnica. Una declaración de intenciones hacia un marco de confianza paneuropeo estableció un grupo de colaboración permanente, explícitamente un foro de concertación, no un nuevo regulador ni un organismo de normalización.
Su alcance es más amplio que el de la UE: la UE y el Espacio Económico Europeo, Suiza, el Reino Unido, Ucrania y otros países candidatos a la adhesión, y en principio los cuarenta y seis Estados miembros del Consejo de Europa. Lo que comparten no es una única normativa, sino un marco común de derechos: el Convenio Europeo de Derechos Humanos y los estándares de protección de datos del Consejo de Europa. Los principios de diseño declarados favorecen el reconocimiento mutuo frente al control centralizado, la privacidad por defecto, los estándares abiertos y un modelo concebido para poder exportarse a otros lugares. La evidencia detrás de este impulso es contundente: un estudio de la OCDE sobre los países del G7 no encontró un único estándar internacional compartido por todos ellos, y una encuesta británica reveló que casi cuatro de cada cinco proveedores de verificación digital señalan la diversidad regulatoria como un obstáculo para operar internacionalmente.
Qué significa esto: el grupo es no vinculante por diseño, por lo que sus ideas solo importarán si las instituciones y el sector las asumen realmente. Lo vemos como el lugar natural para definir los términos de responsabilidad transjurisdiccional que faltan en el punto dos, y tenemos intención de seguir participando activamente en él en lugar de esperar a un estándar terminado que implementar.
9 – Pagos: el wallet se convierte en una herramienta de autenticación, pero la responsabilidad sigue sin resolverse
Los pagos atravesaron prácticamente todos los debates: redes de tarjetas e infraestructuras de pago nacionales en los mismos paneles, marcos account-to-account, y credenciales de pago digitales analizadas desde varios ángulos.
La dirección regulatoria es clara: la Comisión Europea quiere que el wallet de la UE se trate como equivalente a la autenticación reforzada del cliente en el marco de las normas de pago, y el camino técnico para ello se está definiendo. Lo que no está resuelto es quién asume la pérdida cuando falla. El Parlamento y el Consejo alcanzaron un acuerdo político sobre las nuevas normas de servicios de pago a finales de noviembre de 2025, con los textos publicados en abril de 2026; se espera la publicación formal en el segundo semestre de 2026, tras lo cual las normas se aplicarán unos 21 meses después, realistamente en 2028, con el detalle definido posteriormente por los reguladores bancarios.
Mientras tanto, el sector no espera: EMVCo lleva tiempo desarrollando una especificación de Digital Payment Credential con aportaciones de la FIDO Alliance, la OpenID Foundation, la OpenWallet Foundation y el W3C. La iniciativa EPI ha superado los cincuenta millones de usuarios registrados y ha pasado de las transferencias entre particulares a las tiendas y al pago en línea, y un piloto del euro digital con unos treinta y seis proveedores de servicios de pago está previsto que se desarrolle a lo largo de la segunda mitad de 2027.
Qué significa esto: una credencial de pago solo funciona si emisores, wallets, redes y reguladores convergen en un único modelo compartido en lugar de en varios modelos que compiten entre sí: este es un ámbito en el que el sector puede avanzar por delante de la regulación sin socavarla. Lo que aportamos es la parte que un stack de pagos no puede generar por sí mismo: una cadena supervisada y con responsabilidad definida, desde la verificación de identidad hasta la firma.
10 – El European Business Wallet: una oportunidad real, aún en fase de definición
El European Business Wallet constituye un reto genuinamente nuevo, no una extensión del wallet personal. Propuesto por la Comisión el 19 de noviembre de 2025 como parte de un paquete más amplio de simplificación digital, su propósito es permitir que una empresa gestione quién puede representarla, intercambie documentos oficiales a través de un canal de entrega seguro cualificado, y sea localizable en un directorio gestionado por la Comisión, todo ello anclado al identificador de la UE ya existente de la empresa. Las acciones realizadas a través del wallet tendrían el mismo peso legal que las realizadas en papel. Un aspecto crucial es que no impone ninguna obligación a las propias empresas: los organismos públicos deben admitirlo, pero las empresas eligen si utilizarlo, razón precisamente por la que su adopción dependerá de argumentar su valor, y no de un mandato.
Qué significa esto específicamente para nosotros: no hemos esperado a que la especificación se estabilizara. Llevamos trabajando en capacidades de business wallet desde las primeras etapas: onboarding organizativo, atestaciones de mandato y delegación, y sellos y firmas cualificadas para personas jurídicas y no solo para particulares. Un detalle de la posición del Consejo merece atención: su tendencia hacia exigir una autorización previa y un alto nivel de garantía para los proveedores favorece a las organizaciones que ya operan hoy bajo supervisión, frente a los nuevos entrantes que parten de cero.
La perspectiva de Namirial, en resumen
Poseer todo el recorrido, desde el onboarding, la emisión y verificación de credenciales, hasta la firma final, el registro de auditoría y el archivo, importa más que poseer un único eslabón de la cadena. La conformidad está cerca de resolverse, pero la responsabilidad transfronteriza no lo está, y los pagos serán el primer asunto sensible. Nuestro propio marco de referencia es eIDAS y la UE, pero estos no marcan el límite de dónde pretendemos operar.
La próxima Global Digital Collaboration Conference está prevista del 7 al 9 de septiembre de 2027, en Ginebra. Estamos deseando volver a participar y contribuir una vez más.
