L’EUDI Wallet introdotto dal Regolamento eIDAS 2.0 cambierà l’identificazione digitale in Europa e inciderà sui processi antiriciclaggio. Per soggetti obbligati, banche, intermediari e professionisti, il portafoglio digitale potrà semplificare KYC e adeguata verifica, ma apre anche nuovi rischi operativi, privacy e cyber

Con l’adozione del Regolamento eIDAS 2.0, entro fine 2026 gli Stati membri dovranno rilasciare ai propri cittadini l’European Digital Identity Wallet (EUDI Wallet). Un portafoglio digitale che permetterà a tutti i cittadini residenti e società con sede dell’Unione di identificarsi digitalmente e condividere documenti ufficiali in modo sicuro.

Secondo quanto previsto dall’art. 5f del Regolamento eIDAS 2.0, l’accettazione dell’EUDI Wallet diventerà obbligatoria entro dicembre 2027, sia per le pubbliche amministrazioni che per i soggetti privati regolamentati, inclusi banche, istituti finanziari e grandi piattaforme online.

EUDI Wallet e identità digitale europea

L’EUDI Wallet andrà a sostituire i vecchi sistemi di login nazionali, come SPID e CIE. Questo strumento conterrà i Personal Identification Data (PID), ovvero dati identificativi validati direttamente dall’autorità statale. Permetterà il caricamento e la possibilità di mostrare documenti con valore legale, quali patente di guida, titoli di studio, le prescrizioni mediche o i dettagli del conto bancario. Consentirà, altresì, di sottoscrivere, grazie alla firma elettronica qualificata, documenti ufficiali a distanza con il massimo valore legale previsto in Europa.

L’EUDI Wallet non si configura come un semplice archivio di documenti digitalizzati, ma agisce come un ecosistema tecnologico standardizzato, sicuro e legalmente riconosciuto in tutti i 27 Stati membri dell’Unione Europea, basato su credenziali verificate.

Cosa cambia per i soggetti obbligati alla normativa antiriciclaggio

Questo strumento impatta ed incrocia direttamente il nuovo regolamento europeo antiriciclaggio (AMLR – Regolamento UE 2024/1624), creando una sinergia tra le due normative che comporta la ridefinizione dei processi di Know Your Customer (KYC) e i flussi di adeguata verifica della clientela (CDD). Va precisato che l’EUDI Wallet non sostituirà l’intero processo di CDD, che rimarrà obbligo essenziale della normativa antiriciclaggio, ma ne semplificherà e automatizzerà la verifica dell’identità.

Come accennato, tale strumento impatterà le procedure di adeguata verifica previste nella normativa antiriciclaggio rendendo istantanea e transfrontaliera la verifica dell’identità del cliente europeo, eliminando la necessità di richiedere e conservare documenti cartacei o scansioni. Ciò comporta che qualsiasi soggetto obbligato dello Stato membro potrà validare l’identità del cliente con i medesimi standard tecnici, abbattendo i confini statali introducendo un’adeguata verifica transfrontaliera sicura e rapida. Tale identificazione avrà un livello di sicurezza elevato, sia per le caratteristiche strutturali del portafoglio digitale, sia per la riduzione dell’errore umano nella raccolta dei dati identificativi.

Onboarding, KYC e automazione dei dati

Per i soggetti obbligati tradizionali (banche, intermediari, assicurazioni, professionisti) e per i nuovi attori inclusi dall’AML Package, i cambiamenti operativi sono radicali. Questi comportano la modifica delle infrastrutture di onboarding, sostituendo o integrando i vecchi sistemi di KYC con sistemi capaci di dialogare con le API dell’EUDI Wallet. L’obbligo di identificazione si sposta da un controllo visivo di un documento di identità ad una ricezione e decodifica di attributi sottoscritti digitalmente da un’autorità di emissione. Sarà prevista anche un’automazione del data entry, ovvero i campi relativi ai dati identificativi saranno popolati in modo automatico ed estratti dal Wallet, eliminando passaggi manuali e abbattendo i rischi di errore umano e rischi di non conformità formale.

In caso di persone giuridiche, l’EUDI Wallet non ospiterà solo i dati anagrafici di base, bensì potrà contenere attestati elettronici qualificati, come certificati camerali e strutture societarie forniti dai registri delle imprese.

Tale soluzione facilita l’individuazione e identificazione del titolare effettivo, considerando che l’infrastruttura dello strumento digitale sarà interconnessa sin dall’origine con i registri pubblici europei, come il Registro dei titolari effettivi. Pertanto l’esecutore della società potrà condividere tramite il proprio wallet i dati societari aggiornati. Considerando che tali dati sono certificati all’origine, viene ridotto quasi a zero il rischio di documenti contraffatti o manipolati da parte del cliente.

Rischi e vulnerabilità del sistema

Se da un lato, l’introduzione dell’EUDI Wallet comporta numerosi vantaggi di celerità, efficienza e abbattimento di costi, dall’altro è necessario porre attenzione agli aspetti legati alla sicurezza ed operatività informativa:

Privacy e profilazione di rischio antiriciclaggio

Il sistema EUDI Wallet è strutturato nel rispetto del principio della privacy by design e dell’incrociabilità dei dati. Ciò nonostante, questo strumento non prevede la possibilità di tracciare la posizione e la modalità di utilizzo da parte del soggetto: se da un lato questo tutela l’utente, dall’altro complica la profilazione di rischio richiesto dalla normativa antiriciclaggio, che si basa proprio sulla storicità e sull’area geografica di attività e di residenza.

Dati e Cyber Security

La centralizzazione di documenti identificativi all’interno di un unico strumento aumenta l’attrattiva per i cybercriminali. Il rischio principale è quello di furto delle credenziali di accesso tramite l’utilizzo massiccio di phishing, malware e Remote Access Trojan (RAT) sul dispositivo dell’utente, che permettono a soggetti malintenzionati di ottenere un’identità digitale legittima, associata a dati falsi o rubati. La compromissione del sistema potrebbe portare alla vendita di identità digitali sui canali illegali del Dark Web, rendendo difficile per la vittima dimostrare la propria estraneità.

Sicurezza e minimizzazione dei dati

Considerando l’elevato rischio in materia di cybersicurezza, i soggetti obbligati potrebbero iniziare a praticare l’over-identification, ossia la richiesta di pacchetti completi di dati personali anche laddove sarebbe sufficiente una verifica minima, in espressa contraddizione con il principio di minimizzazione dei dati previsto nel GDPR.

La barriera delle competenze digitali

Un’ultima criticità riguarda l’inclusione: la mancanza di competenze digitali diffuse rischia di trasformare il Wallet in una barriera d’accesso, discriminando le fasce di popolazione meno digitalizzate.

EUDI Wallet, obblighi AML e responsabilità dei soggetti obbligati

In conclusione, l’EUDI Wallet rappresenta un’innovazione cruciale che semplifica e velocizza le attività di identificazione; tuttavia, non esonera il soggetto obbligato dalla responsabilità di assicurare il pieno rispetto degli adempimenti antiriciclaggio fondamentali quali l’adeguata verifica, la conservazione dei dati e la segnalazione delle operazioni sospette.

Davide Moretto
Consulente Tecnico Antiriciclaggio Alavie