La Global Digital Collaboration (GDC) Conference 2026 ha riunito la comunità dell’identità digitale e della fiducia digitale al Palexpo di Ginevra a inizio settembre. La conferenza è stata ospitata dalla Confederazione Svizzera, co-organizzata da circa quaranta organizzazioni, e si è articolata in oltre 140 sessioni suddivise fino a otto track paralleli.
Lo scorso ottobre abbiamo pubblicato dieci spunti dall’ENISA Trust Services and eID Forum. Quel forum è il luogo in cui l’Europa affronta nel dettaglio la propria agenda. Ginevra è un contesto diverso: l’assunto di partenza è che le credenziali digitali (passaporti, patenti, prove di pagamento, qualifiche professionali…) dovranno funzionare tra sistemi giuridici diversi, non solo tra confini interni a uno stesso sistema.
L’elenco dei co-organizzatori dice già molto sulla natura dell’evento: organismi intergovernativi (Commissione Europea, ITU, UNECE, Banca Mondiale, OMS), enti di normazione (ISO, IEC, ETSI, CEN-CENELEC, W3C, FIDO Alliance, OpenID Foundation, GlobalPlatform, EMVCo, GSMA, Cloud Signature Consortium) e fondazioni open source (Linux Foundation, OpenWallet Foundation, LF Decentralized Trust, MOSIP, Eclipse Foundation), tutti riuniti nella stessa sala.
La prima giornata ha dato il tono all’intero evento. L’Ufficio federale svizzero di giustizia ha aperto i lavori insieme al Ministro brasiliano per la Gestione e l’Innovazione nei Servizi Pubblici e a relatori del settore aereo e delle piattaforme digitali. Un panel del Global Digital Collaboration Council (con Smart Africa, il governo canadese e rappresentanti del mondo finanziario e tecnologico) ha sostenuto che una leadership pubblico-privata è ormai un prerequisito per questo tipo di infrastruttura, non più un’opzione. Le sessioni hanno spaziato da progetti pilota di wallet transfrontalieri su larga scala, al modello di governance “Sovereign Trust” di Smart Africa, fino al collegamento tra Singapore e Shanghai per le credenziali di registrazione delle imprese, passando per una sessione UNECE/OMC che ha stimato in seimila miliardi di dollari l’anno il costo dell’attrito commerciale.
Namirial ha partecipato al panel “The invisible partners that are indispensable to drive adoption”, insieme ad altri fornitori della comunità degli intermediari (slide e appunti disponibili su richiesta).
Vale la pena notare la posizione della Svizzera, perché inquadra l’intero evento: la sua legge sull’E-ID è stata approvata per via referendaria nel settembre 2025 con un margine molto ristretto; lo swiyu wallet è in beta pubblica dal marzo 2025, ora affiancato da una sandbox separata per i test di emittenti e verificatori; e il lancio in produzione è stato rinviato al 2027. La Svizzera intende inoltre istituire a Ginevra una fondazione come sede permanente della GDC: un terreno neutrale per un dialogo autenticamente globale.
Di seguito le dieci cose che riteniamo rilevanti, e cosa significano per le organizzazioni che dovranno operare in questo scenario.
1 – L’identità digitale non è più solo una questione normativa europea
Patenti di guida digitali, credenziali di viaggio digitali, certificati sanitari che oggi collegano oltre ottanta paesi tramite l’OMS, documenti commerciali verificabili, titoli di studio e sistemi di identità su scala nazionale nel Sud del mondo sono stati trattati come temi centrali, non come casi marginali.
Una sessione congiunta UE-India ha reso questo punto molto chiaro. L’EUDI Wallet europeo, previsto dal Regolamento (UE) 2024/1183, e l’infrastruttura digitale nazionale indiana sono stati sviluppati in modo del tutto indipendente, eppure entrambi poggiano sulla stessa logica di fondo: un emittente, un titolare, un verificatore, un registro leggibile da macchina di chi è autorizzato a rilasciare cosa, e la divulgazione del solo attributo necessario. I formati tecnici – SD-JWT VC e ISO mdoc – stanno diventando un vero standard globale, ma le regole su chi è responsabile quando qualcosa va storto non sono affatto globali. Questo divario, non il dibattito sui formati, è la vera questione strategica dei prossimi tre anni.
Cosa significa: un’organizzazione che oggi sviluppa soluzioni per una singola giurisdizione sta in realtà costruendo su un formato che molto probabilmente viaggerà tra paesi diversi. Il quadro normativo non lo accompagnerà automaticamente, per questo serve una pianificazione separata. È proprio per questo che la nostra piattaforma wallet è costruita su un nucleo comune di emissione e verifica, così che un cliente non resti vincolato alle assunzioni di una sola area geografica.
2 – Gli standard garantiscono l’interoperabilità. Non garantiscono la responsabilità.
Due sistemi possono essere perfettamente allineati su come formattare e verificare una credenziale, e lasciare comunque del tutto aperta la questione di chi risarcisca una banca, un esercente o un cittadino che vi si è affidato subendo una perdita economica. All’interno dell’UE, eIDAS 2.0 risponde a questo per le credenziali rilasciate come “qualificate”: responsabilità definita, organismi di vigilanza designati, audit obbligatori. Al di fuori di questo perimetro, la risposta è per lo più assente.
La conferenza di Ginevra ha prodotto molto lavoro utile sulla conformità, cioè se una credenziale rispetta una specifica tecnica, attraverso sessioni organizzate insieme a OpenID Foundation, Cloud Signature Consortium e Commissione Europea. Conformità e responsabilità sono però questioni diverse. Un trust registry può confermare che un emittente è autorizzato, ma non può dire chi paga quando il processo fallisce.
Cosa significa: se il vostro modello di business dipende dall’accettazione transfrontaliera, chiedetevi fin da subito chi si assume la perdita, non solo se la credenziale sarà tecnicamente leggibile. In quanto prestatore di servizi fiduciari qualificato, la responsabilità è qualcosa che già ci assumiamo come parte della catena vigilata: è integrata in ciò che un cliente acquista da noi, non un ripensamento aggiunto in un secondo momento.
3 – Il vero tema di quest’anno sono stati i trust registry, non i formati delle credenziali
Ogni credenziale, un passaporto, una laurea, un modulo doganale, un albo professionale, dipende da una domanda a cui nessun formato può rispondere da solo: questo emittente è realmente autorizzato a rilasciarla, in questo momento? Una Trust Registries Task Force (co-guidata in parte da un importante fornitore di piattaforme e da un programma nazionale di identità) ha proposto un modello federato: le piattaforme wallet implementano la fiducia, ma i registri nazionali e settoriali esistenti mantengono la propria autorità.
Le sessioni parallele hanno mostrato questo schema ripetersi ovunque: identità, istruzione, viaggi, commercio, registrazione delle imprese; ed è emerso come le autorità automobilistiche nordamericane e dell’area Australasia stiano negoziando un quadro di mutuo riconoscimento delle patenti di guida ancora in corso, uno dei pochi precedenti funzionanti di riconoscimento tra intere regioni. La task force ha concluso ammettendo che la domanda più difficile resta aperta: chi gestisce un trust registry globale, e su quale autorità si fonda?
Cosa significa: la federazione è l’architettura giusta, ma per ogni settore qualcuno deve comunque rappresentare la root of trust. Operiamo già oggi all’interno dell’infrastruttura delle trust list (pubblicazione, vigilanza, revoca), quindi per noi si tratta della struttura operativa su cui lavoriamo quotidianamente, non di una questione di ricerca futura.
4 – Avere il gateway del wallet non equivale a gestire l’intero percorso KYC
Sono le scadenze a rendere tutto concreto. Gli Stati membri UE devono rendere disponibili i wallet entro il 24 dicembre 2026. Dal 10 luglio 2027, le nuove regole antiriciclaggio (Regolamento (UE) 2024/1624) inaspriscono i controlli di identità. Dal 24 dicembre 2027, banche, operatori telefonici, servizi pubblici e piattaforme di grandi dimensioni dovranno accettare il wallet ovunque sia richiesta per legge un’autenticazione forte, con un registro di supporto dei relying party attivo dalla stessa data.
Il risultato è un sistema estremamente complesso: 27 wallet nazionali, diversi wallet privati, quattro modalità diverse di presentazione di una credenziale, tre formati dati, un unico catalogo di tipologie di credenziali e, nei soli servizi finanziari, circa cinquemila relying party che devono tutti integrarsi.
Un semplice connettore presuppone che la credenziale sia già presente nel wallet, pronta per essere presentata. Tutto ciò che precede quel momento (dimostrare l’identità di una persona al giusto livello di garanzia, collegarsi a fonti autorevoli, associare la credenziale a un telefono, gestire un dispositivo smarrito, effettuare nuove verifiche quando qualcosa cambia…) è un problema di ciclo di vita, ed è un problema che il settore nel suo complesso ha risolto solo in minima parte. La firma o il sigillo che rendono una transazione giuridicamente vincolante si trovano all’estremità opposta della stessa catena, seguiti dall’audit e dalla gestione delle controversie.
Cosa significa: chi possiede l’intero percorso, dall’onboarding fino alla firma, garantisce il livello di sicurezza che il relying party sta effettivamente pagando per ottenere. È esattamente attorno a questo che è strutturata la nostra piattaforma: Namirial Onboarding stabilisce l’identità al livello di garanzia richiesto, il Wallet Gateway assorbe la complessità dei protocolli e i nostri servizi di firma chiudono la transazione. Un’unica catena responsabile, non cinque fornitori da riconciliare dopo che qualcosa si è rotto.
5 – Business wallet: obbligatorio in Europa, guidato dagli incentivi altrove
Una sessione ha delineato un contrasto molto netto: in Europa il business wallet arriva perché lo impone la normativa. Negli Stati Uniti, senza un obbligo analogo, è il settore privato a costruire la stessa capacità perché è commercialmente utile. Entrambi sostituiscono la documentazione cartacea manuale del “know your business” con registri digitali verificabili istantaneamente. Se i due approcci saranno effettivamente interoperabili resta una questione realmente aperta.
I problemi difficili sono chiaramente individuati: chi può delegare l’autorità a chi all’interno di un’azienda, fino a quale livello sotto il consiglio di amministrazione si estende questa catena di delega, come si integra con i sistemi di gestione degli accessi esistenti e come si collega ai registri autorevoli, come i registri nazionali delle imprese. Il Legal Entity Identifier verificabile di GLEIF è emerso ripetutamente come ancora globale per l’identità aziendale.
Cosa significa: qualunque sia la via che porta al risultato, obbligo o incentivo, la catena di delega è il punto in cui è più difficile allocare la responsabilità, perché qualcuno deve comunque rispondere di ciò che fa un agente autorizzato ma che ha ecceduto i propri poteri. Questo è un elemento centrale di ciò che costruiamo nelle attestazioni di mandato e delega per le aziende, non solo per i singoli individui.
6 – La firma dal wallet arriva sul palco principale
Due sessioni si sono distinte: una sull’esecuzione di firme elettroniche qualificate direttamente dal wallet, eliminando il passaggio separato di acquisto di un certificato autonomo; l’altra, organizzata con Cloud Signature Consortium e TeleTrusT, sull’architettura di firma remota e cloud allineata sia alle norme UE sia alla legge svizzera sulla firma, un esempio concreto, non ipotetico, di riconoscimento che va oltre il diritto dell’UE.
Presentare una credenziale dimostra un fatto. Firmare crea un obbligo giuridico. Contratti, apertura di conti, mandati e pratiche amministrative si concludono tutti con una firma, e i cittadini dovrebbero poter accedere a questa capacità tramite i propri wallet. Gran parte del dibattito pubblico sui wallet si ferma alla domanda “la credenziale è valida”, mentre la transazione stessa non si esaurisce lì.
Cosa significa: una strategia sul wallet che si ferma alla verifica è incompleta. I nostri servizi di firma sono costruiti per colmare esattamente questo divario: trasformare un attributo verificato in una firma giuridicamente vincolante e verificabile, all’interno della stessa catena.
7 – La domanda è arrivata, anche dagli agenti software
La verifica dell’età è stata trattata come tema autonomo a pieno titolo, con sessioni che si sono chieste anzitutto se un controllo dell’età sia davvero necessario prima di darlo per scontato. Dimostrazioni dal vivo hanno mostrato credenziali di età emesse da banche completare un checkout online e una credenziale governativa accettata a un terminale di pagamento fisico: transazioni reali, non semplici slide.
Lo sviluppo più significativo ha riguardato gli agenti IA che agiscono per conto delle persone. Diverse sessioni sono convenute su un’unica formula da ricordare: Know Your Agent (KYA). Estende il “know your business” così come questo aveva esteso il “know your customer”: quando un agente software effettua una transazione, occorre stabilire chi è l’agente, sotto quale autorità agisce e entro quali limiti: identità organizzativa verificata, un mandato circoscritto e verificabile, e prove dell’intento che reggano anche a posteriori. Un agente può agire interamente entro un mandato valido e causare comunque una perdita, ed è proprio per questo che si tratta tanto di una questione di responsabilità quanto di una questione tecnica.
Cosa significa: qualsiasi azienda che intenda far effettuare transazioni ad agenti per proprio conto, o accettare transazioni da agenti di terzi, ha bisogno fin da ora di questo livello di identità e mandato, non solo una volta che gli agenti saranno già operativi in produzione. È un’estensione naturale del lavoro sul mandato e sulla delega descritto sopra, ed è qualcosa verso cui ci stiamo già muovendo.
8 – Riconoscimento reciproco, non armonizzazione, e un’”Europa” più ampia dell’UE
Il risultato più rilevante della conferenza non è stata una specifica tecnica. Una dichiarazione d’intenti verso un quadro di fiducia paneuropeo ha istituito un gruppo di collaborazione permanente, esplicitamente un forum di confronto, non un nuovo regolatore o organismo di normazione.
Il suo ambito è più ampio dell’UE: UE e Spazio Economico Europeo, Svizzera, Regno Unito, Ucraina e altri paesi candidati all’adesione, e in linea di principio tutti i quarantasei Stati membri del Consiglio d’Europa. Ciò che condividono non è un unico regolamento, ma un quadro comune di diritti: la Convenzione Europea dei Diritti dell’Uomo e gli standard del Consiglio d’Europa in materia di protezione dei dati. I principi di progettazione dichiarati privilegiano il riconoscimento reciproco rispetto al controllo centrale, la privacy by default, gli standard aperti e un modello concepito per poter essere esportato altrove. Le evidenze alla base di questa spinta sono nette: una mappatura OCSE sui paesi del G7 non ha trovato un unico standard internazionale condiviso da tutti, e un’indagine britannica ha rilevato che quasi quattro fornitori di verifica digitale su cinque indicano la diversità normativa come un ostacolo a operare a livello internazionale.
Cosa significa: il gruppo è non vincolante by design, quindi le sue idee avranno peso solo se istituzioni e industria le faranno effettivamente proprie. Lo consideriamo il luogo naturale in cui definire i termini di responsabilità transgiurisdizionale che mancano nel secondo punto, e intendiamo continuare a parteciparvi attivamente, invece di aspettare uno standard definitivo da implementare.
9 – Pagamenti: il wallet diventa uno strumento di autenticazione, ma resta aperta la questione della responsabilità
I pagamenti hanno attraversato quasi ogni discussione: circuiti delle carte e infrastrutture di pagamento nazionali negli stessi panel, framework account-to-account e credenziali di pagamento digitali affrontate da diverse angolazioni.
La direzione normativa è chiara: la Commissione Europea vuole che il wallet UE sia trattato come equivalente all’autenticazione forte del cliente prevista dalle norme sui pagamenti, e il percorso tecnico per arrivarci sta prendendo forma. Ciò che non è ancora definito è chi si assume la perdita in caso di fallimento. Il Parlamento e il Consiglio hanno raggiunto un accordo politico sulle nuove norme sui servizi di pagamento a fine novembre 2025, con i testi pubblicati ad aprile 2026; la pubblicazione formale è attesa nella seconda metà del 2026, dopo di che le norme si applicheranno circa 21 mesi più tardi, realisticamente nel 2028, con i dettagli tecnici definiti successivamente dai regolatori bancari.
Nel frattempo, il settore non sta ad aspettare: EMVCo sta sviluppando una specifica per la Digital Payment Credential con il contributo di FIDO Alliance, OpenID Foundation, OpenWallet Foundation e W3C. L’iniziativa EPI ha superato i cinquanta milioni di utenti registrati ed è passata dai trasferimenti tra privati ai negozi e al checkout online, mentre un progetto pilota sull’euro digitale con circa trentasei fornitori di servizi di pagamento è previsto per tutta la seconda metà del 2027.
Cosa significa: una credenziale di pagamento funziona solo se emittenti, wallet, circuiti e regolatori convergono su un modello condiviso, anziché su più modelli concorrenti: è un ambito in cui il settore può muoversi in anticipo rispetto alla normativa senza comprometterla. Ciò che offriamo è la parte che uno stack di pagamento non può generare da solo: una catena vigilata e responsabile, dalla verifica dell’identità fino alla firma.
10 – L’European Business Wallet: un’opportunità reale, ancora in fase di definizione
L’European Business Wallet (EBW) rappresenta una sfida realmente nuova, non un’estensione del wallet personale. Proposto dalla Commissione il 19 novembre 2025 nell’ambito di un più ampio pacchetto di semplificazione digitale, il suo scopo è consentire a un’azienda di gestire chi può rappresentarla, scambiare documenti ufficiali tramite un canale di recapito sicuro qualificato ed essere reperibile in una directory gestita dalla Commissione, il tutto ancorato all’identificatore UE già esistente dell’azienda. Le azioni compiute tramite il wallet avrebbero lo stesso valore legale di quelle svolte su carta. Cosa fondamentale, non impone alcun obbligo alle aziende stesse: gli enti pubblici devono supportarlo, ma le aziende scelgono se utilizzarlo, ed è proprio per questo che l’adozione dipenderà dal saperne dimostrare il valore, non da un obbligo normativo.
Cosa significa, in particolare per noi: non abbiamo aspettato che la specifica si consolidasse. Lavoriamo sulle funzionalità di business wallet fin dalle prime fasi: onboarding organizzativo, attestazioni di mandato e delega, sigilli e firme qualificate per le persone giuridiche e non solo per i singoli individui. Un dettaglio della posizione del Consiglio merita attenzione: l’orientamento verso la richiesta di un’autorizzazione preventiva e di un elevato livello di garanzia per i fornitori favorisce le organizzazioni già operative sotto vigilanza oggi, rispetto ai nuovi entranti che partono da zero.
Il punto di vista di Namirial, in breve
Possedere l’intero percorso, dall’onboarding all’emissione e verifica delle credenziali, fino alla firma finale, all’audit trail e all’archiviazione, conta più che possedere un singolo anello della catena. La conformità è vicina a essere risolta, ma la responsabilità transfrontaliera non lo è, e i pagamenti saranno il primo nodo critico. Il nostro punto di riferimento è eIDAS e l’UE, ma questi non segnano il limite di dove intendiamo operare.
La prossima Global Digital Collaboration Conference è in programma dal 7 al 9 settembre 2027, a Ginevra. Non vediamo l’ora di parteciparvi e di contribuire ancora una volta.
