Questo articolo è frutto di un lavoro svolto a quattro mani da Pierluigi Pilla insieme a Luigi Castaldo, Wallet Ecosystem Director in Namirial.
Un compleanno e un avvertimento
«Compio 41 anni, ma non ho voglia di festeggiare. La nostra generazione sta esaurendo il tempo a disposizione per salvare l’Internet libero che i nostri padri hanno costruito per noi.»
— Pavel Durov, fondatore di Telegram, in un post pubblicato su X nel giorno del suo compleanno, il 10 ottobre 2025 [1]
Nel giorno in cui ha compiuto 41 anni, Pavel Durov si è rifiutato di festeggiare. Tra le «misure distopiche» elencate nel suo messaggio di compleanno, insieme ai controlli obbligatori dell’età in Australia e alle proposte di scansionare i messaggi privati nell’UE, un elemento occupava il primo posto: le identità digitali governative. Il suo avvertimento ha cristallizzato un crescente disagio all’interno della comunità tecnologica.
L’Internet libero, sosteneva, non sta scomparendo da un giorno all’altro. Viene rimodellato da scelte progettuali e politiche che rendono l’identificazione persistente l’impostazione predefinita. I sistemi di identità digitale sostenuti dai governi vengono sempre più spesso presentati come infrastrutture neutrali, strumenti per la sicurezza, la conformità e l’efficienza.
Eppure l’identità non è mai soltanto un’infrastruttura tecnica. Una volta incorporata, redistribuisce il potere, ridefinisce l’accesso e restringe lo spazio dell’anonimato. La domanda non è se l’identità digitale funzioni, ma perché la sua espansione sembri così spesso la fine di qualcosa a cui facciamo fatica a dare un nome.
Prima di andare oltre, tenete a mente una domanda. Ritornerà, sotto forme diverse, in ogni episodio di questa storia: quando diciamo no all’identità digitale, dove va a finire l’identità?
Perché non scompare. Si sposta.
Il marchio della bestia
L’ansia è più antica, e più strana, degli attuali dibattiti politici. Quando la Georgia introdusse le carte d’identità elettroniche all’inizio degli anni 2010, la resistenza non provenne dagli avvocati esperti di privacy. Provenne dalle comunità religiose ortodosse, nelle quali i nuovi documenti dotati di chip venivano descritti come il «marchio della bestia» del Libro dell’Apocalisse, un segno di sottomissione morale irreversibile e di controllo totale.
Molti cittadini si rifiutarono semplicemente di accettare le carte. La pressione fu tanto concreta che, nel 2013, un ministro del governo promise pubblicamente di eliminare il numero 666 dai numeri di identificazione [2]. È facile sorridere davanti alla teologia. È più difficile liquidare l’intuizione che vi sta sotto: un sistema di identità, una volta accettato, non può essere facilmente restituito.
Lo stesso timore, nel linguaggio costituzionale
Negli Stati Uniti, la stessa intuizione parla un linguaggio costituzionale. La Electronic Frontier Foundation ha costantemente contestato i wallet di identità digitale sostenuti dal governo e le patenti di guida su dispositivi mobili per ragioni legate alle libertà civili, mettendo in guardia contro l’espansione progressiva delle funzioni, la fiducia centralizzata e la graduale erosione dell’anonimato attraverso l’infrastruttura, anziché mediante una censura esplicita [3].
Un’obiezione teologica e una costituzionale, nate in continenti diversi, convergono su un unico timore: i sistemi di identità digitale raramente rimangono facoltativi. Una volta adottati, diventano prerequisiti.
E quando l’accesso ai servizi digitali dipende da un’identità autorizzata dallo Stato, l’architettura diventa silenziosamente governance.
L’altra metà della storia
L’opposizione, tuttavia, racconta soltanto metà della storia. Parallelamente, un’ampia coalizione di governi, istituzioni e operatori industriali promuove l’identità digitale come un aggiornamento necessario del livello di fiducia di Internet.
Nell’Unione Europea, eIDAS 2.0 e l’EUDI Wallet mirano a fornire credenziali interoperabili e sostenute dallo Stato per l’autenticazione, i pagamenti, le firme e l’accesso ai servizi pubblici e privati, sostituendo l’attuale ecosistema frammentato degli accessi e riducendo la dipendenza dalle identità controllate dalle piattaforme [4].
A livello globale, l’iniziativa Identification for Development (ID4D) della Banca Mondiale presenta l’identità digitale come un prerequisito per l’inclusione economica: un’identità portabile e verificabile come biglietto di accesso ai servizi bancari, all’assistenza sanitaria, all’istruzione e alla protezione sociale [5].
Le agenzie delle Nazioni Unite la descrivono sempre più spesso come un’infrastruttura pubblica digitale, fondamentale quanto le strade o i sistemi di pagamento.
Un’ambizione, due architetture
Non si tratta più soltanto di progetti. I sistemi nazionali di identità digitale operano già su larga scala e due di essi, messi uno accanto all’altro, definiscono l’intero dibattito.
L’eID dell’Estonia sostiene quasi tutti i servizi pubblici, eppure il Paese non dispone di alcun database centrale dei propri cittadini: i dati rimangono federati tra i registri separati dei diversi enti e vengono scambiati attraverso una dorsale sottoposta ad audit, X-Road, mentre le chiavi private sono conservate sulla carta o sul dispositivo dell’utente [6].
Aadhaar, in India, ha registrato oltre un miliardo di residenti all’interno di un database biometrico centralizzato [7], un risultato straordinario in termini di inclusione che ha anche generato controversie documentate riguardo agli errori di esclusione e alla concentrazione dei dati. Stessa ambizione, risposte opposte alla medesima domanda architetturale, vale a dire dove dovrebbero risiedere i dati e le chiavi, e, significativamente, preoccupazioni opposte.
Ciò suggerisce qualcosa che il dibattito polarizzato continua a ignorare: forse i rischi dell’identità digitale non sono intrinseci, ma dipendono dal modo in cui viene costruita.
Chi teme di più il wallet? I suoi stessi architetti
Ed è qui che la storia prende la sua svolta più istruttiva.
Chiedete chi abbia scritto la critica tecnicamente più devastante del wallet europeo di identità digitale e la risposta non è Durov, non è la EFF e non è un pulpito di Tbilisi.
È un gruppo di ricercatori che ha trascorso la propria carriera costruendo sistemi di identità digitale. In un recente white paper, «Identità digitale europea: un’occasione mancata?» [8], i ricercatori di SolidLab, Università di Gand e imec, sostengono che il wallet EUDI, così come è attualmente specificato, rischi di ricentralizzare la fiducia anziché redistribuirla.
La critica prende di mira precise scelte architetturali e normative: il ricorso a flussi basati su OpenID che rendono confusi i ruoli tecnici, modelli statici di credenziali che limitano la futura interoperabilità ed elenchi di fiducia istituzionali che decidono quali wallet, emittenti e verificatori possano effettivamente partecipare. Molti dei benefici promessi dal wallet, come la privacy, il controllo da parte dell’utente e la portabilità, secondo questa interpretazione sono sopravvalutati. Alcuni rischi vengono semplicemente trasferiti dai fornitori di identità ai fornitori di wallet. Gli elenchi di fiducia, in particolare, richiamano problemi di lunga data legati ai programmi root della PKI e ai trust store dei browser: nuovi gatekeeper, nuovi incentivi alla sorveglianza o al lock-in.
Notate ciò che gli esperti del settore non stanno dicendo. Non chiedono di abbandonare l’identità digitale, perché considerano l’identità inevitabile. Il loro allarme riguarda la tempistica: decisioni progettuali premature vengono cristallizzate nella normativa prima di poter essere sottoposte ad audit, ampliate o corrette.
I critici più credibili dell’identità digitale, in altre parole, concordano con i suoi promotori sulla destinazione e sono in radicale disaccordo sul progetto.
Cosa può promettere l’architettura e cosa no
Questo riformula l’intera controversia. Nessun protocollo richiede la sorveglianza e nessuno standard impone l’oppressione. La sorveglianza rimane una scelta politica.
Ma l’architettura determina il prezzo di quella scelta, vale a dire quanto economica, facile e invisibile possa diventare l’osservazione di massa quando qualcuno al potere decide di metterla in atto. Per questo motivo, dibattiti progettuali che sembrano riguardare minuzie ingegneristiche sono, in realtà, questioni costituzionali sotto mentite spoglie.
Rimane quindi una domanda più netta e più onesta di quella che viene posta abitualmente. Non «ci si può fidare di uno Stato?», perché nessuna architettura può rispondere a questa domanda. Piuttosto: che cosa può garantire l’architettura stessa e che cosa deve rimanere una questione politica?
Consideriamo un sistema che ha affrontato il più duro stress test possibile. L’Ucraina ha lanciato l’app Diia nel 2019 e, nel giro di otto ore, si erano registrate due milioni di persone. Poi, nel 2022, è arrivata l’invasione e un sistema di identità progettato per la comodità è diventato un’ancora di salvezza. Milioni di persone sono fuggite senza documenti, così il governo ha emesso un eDocument digitale che ha permesso ai cittadini sfollati di dimostrare la propria identità ai posti di blocco e di richiedere pagamenti di emergenza con pochi tocchi. Soltanto nella prima settimana sono state presentate attraverso l’app oltre 2,7 milioni di richieste di aiuto.[9]
Oggi Diia serve più di 21 milioni di utenti attraverso circa 70 servizi pubblici, dalla registrazione delle imprese ai risarcimenti per i danni di guerra, e da allora l’Ucraina ha iniziato a rendere open source il suo codice, affinché altri possano esaminarlo e riutilizzarlo.[10]
Ciò che rende Diia istruttiva non è il fatto che sia priva di difetti, ma quello che rivela sul confine tra ingegneria e governance. I suoi progettisti hanno deliberatamente mantenuto i dati federati, anziché concentrarli in un unico database principale, scambiandoli attraverso una dorsale sicura. È lo stesso istinto architetturale dell’Estonia. Ecco che cosa può garantire una simile progettazione: che i dati rimangano compartimentati, che gli scambi lascino tracce verificabili e che nessuna singola violazione esponga tutto.
Ed ecco che cosa nessuna architettura, ucraina, estone o europea, può garantire: la responsabilità politica di chi governa l’infrastruttura. Questa parte non è un risultato che l’ingegneria possa produrre e fingere il contrario è ciò che porta fuori strada il dibattito sull’identità in entrambe le direzioni.
Ciò che rende difendibile ciascuno di questi sistemi non è il grado di centralizzazione, ma quanto debba essere accettato sulla fiducia e quanto possa essere verificato.
L’Europa fa la sua scommessa
È esattamente questa la scommessa che l’Europa sta facendo ora con il wallet europeo di identità digitale. Spogliato del gergo, il wallet si fonda su tre promesse rivolte alle persone comuni.
La prima è il controllo da parte dell’utente: le tue credenziali risiedono sul tuo telefono, non in un database governativo o aziendale, e nulla viene condiviso senza il tuo consenso.
La seconda è la divulgazione selettiva, ovvero la capacità di rivelare un singolo dato anziché un intero documento. Se ti viene chiesto di dimostrare di avere più di 18 anni, il wallet può confermare soltanto questo, senza comunicare il tuo nome, il tuo indirizzo o la tua data di nascita.
La terza è la non collegabilità: per progettazione, le parti alle quali mostri le tue credenziali non dovrebbero poter confrontare le informazioni e ricomporre le tue interazioni separate, una visita medica, un accesso bancario, un controllo dell’età in un bar, in un unico profilo continuo della tua vita.
Nel loro insieme, questi principi rappresentano il vero significato della privacy by design: non una promessa di comportarsi correttamente, ma un sistema costruito in modo che l’uso improprio sia strutturalmente difficile.[11]
Tutto questo non elimina la necessità di un’autorità fidata, ed è proprio questo il punto che spesso sfugge ai critici di qualsiasi ruolo centrale. Il wallet continua a fare affidamento su ancore di fiducia: elenchi autorevoli che confermano quali emittenti e servizi siano autentici. Ma il loro compito è proteggere l’utente, non sorvegliarlo. Senza un’ancora di fiducia, nulla impedisce a una credenziale contraffatta di spacciarsi per una vera banca o a un sito web falso di fingersi un ospedale per raccogliere i tuoi dati. L’ancora equivale al sigillo presente su un passaporto: consente di verificare che la controparte sia davvero chi dichiara di essere. La sfida progettuale, come avvertono gli stessi ricercatori europei, consiste nel mantenere circoscritte queste ancore: gatekeeper che certifichino l’autenticità senza trasformarsi silenziosamente in punti di strozzatura per la sorveglianza o l’esclusione.[12]
Questa è la vera linea di frattura del dibattito: non se l’identità digitale comporti dei rischi, ma se tali rischi siano intrinseci o contingenti. L’espansione progressiva delle funzioni, l’esclusione e i singoli punti di guasto derivano da una progettazione inadeguata e da una governance debole, non dalla semplice esistenza di un’infrastruttura di identità.
L’architettura è la condizione necessaria. La governance è tutto il resto.
Nel frattempo, i benefici sono già tangibili: riduzione delle frodi, divulgazione selettiva, minori costi di onboarding, interoperabilità transfrontaliera e un argine al potere incontrollato dei silos di identità controllati dalle piattaforme.
Quindi, dove va l’identità?
Questo ci riporta alla domanda posta all’inizio: quando diciamo di no, dove va a finire l’identità?
Nella pratica, per la maggior parte delle persone e degli usi, non scompare. Viene esternalizzata. Alle piattaforme, ai data broker, agli ecosistemi pubblicitari che ci identificano continuamente, invisibilmente e senza possibilità di ricorso.
Rifiutare un’identità digitale pubblica non preserva l’anonimato. Per lo più, privatizza l’identificazione. La vera scelta non consiste nell’adottare o meno l’identità digitale, ma nel progettarla in modo che la fiducia sia distribuita, sottoponibile ad audit e responsabile, anziché concentrata e opaca.
È qui che l’architettura diventa decisiva: gestione delle chiavi supportata dall’hardware, credenziali detenute dall’utente e modelli basati su wallet che conservano i dati sul dispositivo della persona e riducono al minimo ciò che viene esposto.
Soluzioni come Namirial Wallet seguono esattamente questa traiettoria, basandosi su solide fondamenta crittografiche e trasferendo la gestione delle credenziali nelle mani dell’utente.
Durov ha ragione su un punto: il tempo sta per scadere. Ma il conto alla rovescia non riguarda il momento in cui l’identità digitale può ancora essere fermata. Quel momento, ammesso che sia mai esistito, è passato. Riguarda il momento in cui la sua architettura si cristallizzerà.
L’Internet libero non verrà salvato rifiutandosi di essere identificati. Verrà salvato, o perduto, nelle decisioni progettuali che vengono prese proprio ora.
Da questa prospettiva, l’identità digitale non è la fine dell’Internet libero. È una delle ultime opportunità per riprogettare consapevolmente il suo livello di fiducia, prima che si solidifichi intorno a infrastrutture che non controlliamo e non comprendiamo.
Riferimenti
[1] P. Durov, post su X, 10 ottobre 2025
[2] G. Lomsadze, «La Georgia rimuove il “666” dalle carte d’identità», Eurasianet, 2013.
[3] Electronic Frontier Foundation, «L’identità digitale non è per tutti, e va bene così», 2024; «Il piano imperfetto del DHS per le patenti di guida su dispositivi mobili», 2021.
[4] Regolamento (UE) 2024/1183 («eIDAS 2.0»); Commissione europea, «Identità digitale europea».
[5] Banca mondiale, iniziativa Identification for Development (ID4D).
[6] e-Estonia, «e-Identity» e «X-Road / Servizi di interoperabilità».
[7] Unique Identification Authority of India (UIDAI), Aadhaar.
