Cosa decidere nel 2026 per eIDAS 2.0, l’adozione dei wallet e il passaggio dal video-ident al self-ident
La conversazione attorno all’European Digital Identity Wallet (EUDI Wallet) non riguarda più se i wallet arriveranno. Si tratta di decidere e implementare. eIDAS 2.0 sta passando dall’intenzione legislativa all’implementazione concreta. In parallelo, il regime europeo antiriciclaggio sta diventando operativo attraverso l’AMLR e i relativi Regulatory Technical Standards (RTS), inclusa la questione pratica di come debba essere effettuata la verifica dell’identità da remoto. Allo stesso tempo, PSR/PSD3 definisce il quadro per l’esecuzione dei pagamenti e la strong customer authentication (SCA), che rimane centrale per l’onboarding digitale, la gestione dei conti e i processi di approvazione.
Operativamente questi quadri normativi ora convergono. eIDAS risponde alla domanda “chi è questa persona?”. Le norme AML/CFT rispondono “possiamo instaurare o continuare questa relazione?”. PSR/PSD3 disciplina “come approviamo e autentichiamo in modo sicuro i pagamenti?”. In pratica identità, controlli antiriciclaggio e sicurezza dei pagamenti stanno diventando un’unica catena di fiducia e di evidenze invece di tre stack di compliance separati.
Ciò che molti team di leadership ancora sottovalutano non è la direzione normativa, ma la realtà operativa dell’adozione.
- Rischio di interoperabilità. Non ci sarà un solo wallet. Ci saranno più wallet sostenuti dagli Stati e, a seconda del Paese, implementazioni private, diversi formati di credenziali, politiche degli issuer e regimi di registrazione differenti. Le banche hanno bisogno di un modello operativo wallet-agnostic piuttosto che di un piano basato su un singolo wallet.
- Responsabilità e auditabilità. Accettare un wallet non significa solo aggiungere un’altra opzione di login. Cambia il modo in cui l’identità viene dimostrata nel Customer Due Diligence (CDD) e quanto solide saranno queste prove in caso di audit, supervisione o controversie successive. Il KYC tradizionale con documenti fisici non scomparirà. Ma quando si utilizza il riconoscimento remoto basato su documenti fisici, il percorso più solido è chiudere quel processo con una firma elettronica qualificata (QES) e basarsi su procedure certificate ETSI allineate a eIDAS 2.0, in modo che la banca costruisca un’unica catena di fiducia digitale giuridicamente robusta end to end.
- L’ultimo miglio tra compliance e conversione. Un percorso di identificazione remota conforme ma troppo lento o complesso non è un vantaggio strategico. Un percorso ad alta assurance con un’elevata conversione è contemporaneamente riduzione del rischio e leva di crescita.
Queste questioni sono centrali nel 2026 perché roadmap di onboarding e wallet vengono sempre più discusse pubblicamente e nel mercato. La pressione non deriva solo dalla regolamentazione. Deriva anche dalle aspettative dei clienti: i percorsi digitali devono essere veloci, intuitivi e privi di interruzioni di canale, pur producendo prove che resistano a supervisione, audit e controversie.
Il cambiamento centrale del 2026: dal video-ident al self-ident
Per molte banche il vero punto di svolta operativo non è solo il wallet. È la scelta di quale metodo di identificazione remota diventerà lo standard da ora in avanti. La logica emergente degli RTS dell’AMLR dà priorità ai metodi definiti da eIDAS: eID notificato, EUDI Wallet e firme elettroniche qualificate (QES). Solo quando queste modalità non sono disponibili o non possono essere ragionevolmente offerte diventa rilevante un’altra forma di verifica remota basata su documenti fisici. Ciò rende i metodi alternativi un fallback con requisiti aggiuntivi di controllo, documentazione e giustificazione.
In termini pratici questo significa che le banche dovrebbero smettere di progettare l’onboarding futuro esclusivamente intorno ai metodi di identificazione remota definiti nelle leggi AML nazionali attuali, come le videochiamate assistite da operatore, solo perché questo è stato l’approccio degli ultimi dieci anni. Quando i clienti non utilizzano ancora un’identità digitale, il percorso raccomandato con l’entrata in vigore dell’AMLR nel luglio 2027 sarà strutturare il riconoscimento remoto basato su documento fisico in modo allineato a eIDAS 2.0, protetto da controlli basati su standard ETSI e concluso con una QES. Questo crea un percorso continuo legalmente valido ancorato in alto nella gerarchia normativa, invece di un processo a minor assurance che successivamente deve essere giustificato caso per caso.
Il fatto che l’esperienza di identificazione remota sia accompagnata da un operatore umano in una sessione video o sia svolta dall’utente come flusso self-ident non assistito diventa quindi una scelta di design secondaria. La domanda principale non è più “operatore o nessun operatore?” ma “come otteniamo il risultato di assurance preferito con la migliore esperienza cliente, la migliore conversione e la catena di evidenze più solida?”.
Perché questo cambiamento è importante
- Conversione e velocità. I tempi di attesa distruggono la conversione. Il self-ident combinato con QES immediata elimina l’attrito delle code, inizia subito e può essere completato 24 ore su 24.
- Scalabilità. La capacità degli operatori umani è limitata, costosa e nei modelli assistiti deve spesso essere multilingue. Il self-ident scala più facilmente con picchi di domanda, campagne e stagionalità.
- Resilienza operativa. Il modello operativo passa dalla gestione delle code e del personale al controllo qualità e alla gestione dei fallback: cosa succede nei casi critici, quando la qualità delle immagini è scarsa, quando emergono segnali di frode o quando gli utenti semplicemente si perdono nel processo.
- Allineamento normativo. Se eID conformi a eIDAS, wallet e QES diventano i metodi preferiti, ogni percorso alternativo deve essere limitato, misurabile, documentato e difendibile davanti al supervisore finanziario. Procedure di identificazione remota certificate ETSI che supportano l’emissione di QES possono svolgere questo ruolo anche quando sono percorsi selfie completamente non assistiti.
Un onboarding intelligente oggi significa meno passaggi, migliore orchestrazione e soprattutto nessuna attesa per un operatore, salvo nei casi davvero eccezionali.
Le aspettative si consolidano: eIDAS diventa lo standard, il fallback deve essere giustificato
Se l’identificazione video assistita è ancora l’elemento principale del tuo stack AML/KYC oggi, il 2026 è l’anno in cui smettere di considerare la migrazione come opzionale. La direzione è chiara: l’identificazione elettronica allineata a eIDAS diventa lo standard per l’identificazione remota, mentre i metodi alternativi restano possibili solo se giustificati, protetti da controlli, documentati e coerenti con il profilo di rischio dell’istituto.
Questo riguarda molto più che il semplice onboarding retail. Coinvolge anche la re-identificazione, il recupero account, la gestione di attività sospette, i prodotti ad alto rischio e i percorsi di firma in cui la qualità della prova potrebbe essere contestata in tribunale o in revisione da parte del supervisore.
Strategicamente la domanda non è solo “come integriamo l’uso del wallet?”. È “qual è il nostro percorso KYC di default e come progettiamo percorsi di fallback che siano centrati sul cliente e pronti per l’audit?”.
In pratica eID e EUDI Wallet sono il percorso preferito per i clienti che già li utilizzano. Per tutti gli altri l’alternativa più solida è un percorso abilitato alla QES basato su un processo di identificazione remota allineato a eIDAS 2.0 contro il documento fisico dell’utente.
Un flusso di onboarding semplificato senza QES può ancora essere possibile in alcuni casi, ma è il percorso che richiede molto più comfort da parte del supervisore e giustificazioni più solide. In ogni caso, il servizio di identificazione scelto dovrebbe essere in grado di dimostrare la certificazione ETSI per il processo di identificazione remota pertinente.
Consultazioni e RTS: influenzare ora invece di rielaborare dopo
AMLA sta lavorando agli standard tecnici nel corso del 2026, mentre le attività di consultazione sulla Customer Due Diligence rimangono altamente rilevanti per le banche che vogliono contribuire a modellare l’implementazione pratica. Questa è una reale opportunità per ridurre i rischi futuri. Le istituzioni che condividono ora la propria esperienza operativa su fonti di dati, metodi di verifica, proporzionalità e logiche di fallback possono ridurre il lavoro di revisione successivo nei controlli, nelle narrative di audit e nelle discussioni con i supervisori. Questo è particolarmente importante per i modelli di business cross border.
Cosa i board devono decidere nel 2026: tre blocchi decisionali
A. Target journeys: dove wallet e identità digitale diventano il piano di controllo di default
Un errore comune è trattare l’adozione del wallet come un singolo progetto con un unico go live. Un approccio più pratico consiste nel definire un portafoglio di journey, ciascuno con requisiti espliciti di assurance, evidenze e canali.
Per la maggior parte delle banche tre processi core dovrebbero essere definiti nel 2026 per l’esecuzione nel 2027.
- Onboarding retail (initial KYC), comprese le varianti cross border e i flussi per non residenti
- Percorsi di reidentificazione come recupero account, cambio dispositivo, attività sospette e revisioni dei limiti di transazione.
- Percorsi di firma con alto valore economico, come contratti di credito, onboarding wealth e poteri di firma corporate.
Per le banche con una forte focalizzazione corporate si può aggiungere un quarto journey chiave: onboarding corporate (KYB) e verifica dei poteri di firma, dove le verifiche digitali delle attestazioni già oggi possono ridurre significativamente il lavoro manuale di revisione e riconciliazione, mentre in futuro il prossimo European Business Wallet (EBW) promette processi ancora più semplici anche in quest’area.
Per ogni journey il board dovrebbe decidere:
- Postura digital first. Utilizzare eID o EUDI Wallet ogni volta che è possibile. Per gli utenti che già dispongono di questi strumenti, questo è in genere il percorso più semplice per il cliente e quello a minor costo per la relying party.
- Design del fallback. Per i clienti che utilizzano ancora documenti di identità fisici, utilizzare procedure di identificazione remota abilitate alla QES. I modelli self ident non assistiti probabilmente supereranno quelli assistiti in termini di scalabilità e costo, anche se entrambi potranno coesistere ancora per un certo periodo.
- Copertura dei canali. Definire come il journey funziona in app, mobile web, desktop, canali assistiti e scenari cross device.
B. Strategia delle evidenze: “dimostrarlo nel 2027 e oltre” è il vero requisito
Le evidenze sono più della semplice conservazione dei log. Per supervisione, controversie, procedimenti cross border e incidenti di sicurezza, ogni journey cliente deve avere un pacchetto di evidenze definito.
I board dovrebbero richiedere decisioni chiare su cosa viene raccolto, su come vengono protette l’integrità e la temporalità dei dati, su come gli auditor possono esaminare il materiale e su come retention, minimizzazione e limitazione delle finalità vengono implementate operativamente.
Questo pacchetto di evidenze dovrebbe includere gli artefatti di proofing acquisiti, gli esiti delle verifiche, le valutazioni di rischio, le decisioni, i consensi del cliente e le motivazioni per qualsiasi trattamento speciale o percorso di fallback.
Questo punto diventa ancora più importante se una banca vuole ancora utilizzare flussi video ident senza QES in alcuni casi eccezionali. Il pacchetto di evidenze per queste eccezioni deve comunque essere forte, verificabile e difendibile, non solo quando il journey funziona perfettamente, ma soprattutto quando qualcosa non funziona.
C. Modello operativo e governance: l’introduzione del wallet non è un progetto una tantum
La readiness ai wallet attraversa compliance, canali digitali, prevenzione frodi, sicurezza IT, legale e operations. I board dovrebbero quindi definire un modello operativo duraturo con uno sponsor esecutivo responsabile, un product owner end to end per i journey di identità e trust e responsabilità esplicite per certificazione e registrazione dove rilevanti, gestione degli incidenti, supervisione dei fornitori di servizi, governance dei controlli automatizzati e dei modelli di rischio e implementazione delle modifiche guidate da nuovi standard e nuove regole.
La domanda strategica non è “wallet sì o no?”. È “quale modello operativo ci porta in sicurezza al 2027 e ci mantiene scalabili anche dopo?”.
Come appaiono le migliori decisioni del 2026
- Finanziare i journey core end to end: esperienza utente, controlli, evidenze e operations insieme.
- Definire una policy coerente di assurance dell’identità e ridurre il numero di metodi paralleli utilizzati nella pratica quotidiana.
- Rendere wallet ed eID il percorso preferito dove disponibili, ma senza aspettarsi di poter ottenere tutte le attestazioni necessarie da lì.
- Offrire il self ident come alternativa scalabile standard per gli utenti senza wallet o eID.
- Mantenere le procedure assistite come fallback invece che come modello mainstream.
- Trattare l’interoperabilità come un rischio di primo livello tra più wallet, formati di credenziali e varianti nazionali.
- Definire l’auditabilità come requisito di prodotto affinché i journey rimangano ricostruibili anche anni dopo.
È così che la finestra 2026–2027 può diventare un vantaggio duraturo di digital trust: cross border, wallet agnostic e più customer friendly perché i clienti non devono più aspettare un operatore per continuare il proprio percorso.
Suggerimenti per ulteriori approfondimenti
- Bitkom e.V. (with BMDS) – “Memorandum of Understanding zur erfolgreichen Einführung der EUDI-Wallet”
- Agence France Titres and signatories – “Mémorandum d’Entente pour la mise en œuvre et l’adoption du portefeuille européen d’identité numérique”
- Johannes Wirtz; Chantal Raab (Bird & Bird) – “Videoident nur noch als Fallback: Die EBA setzt auf eIDAS”
- AMLA – “Consultation on the draft RTS on Customer Due Diligence”
- European Commission – “European Commission adopts new round of EU Digital Identity Wallet implementing regulations”
- PwC Netherlands – “PSD3/PSR is coming: New regulations affect all parties within the payment sector”
- European Parliament Legislative Train – “Revision of EU rules on payment services”
