IT Wallet operativo, cosa cambia con l’eIDAS2

Il 23 luglio 2026 la Gazzetta Ufficiale ha pubblicato le linee guida attuative del Sistema IT-Wallet, e il decreto che ne disciplina l’impianto complessivo, datato 19 marzo dello stesso anno, è entrato in vigore il 3 agosto.
Poche righe di cronaca amministrativa, passate quasi inosservate tra le notizie di agosto, eppure quello che si è messo in moto non è un restyling dell’app IO, ma l’attuazione italiana di un regolamento europeo che, secondo il calendario fissato a Bruxelles, impone a ogni Stato membro di mettere a disposizione dei propri cittadini, entro la fine del 2026, un portafoglio di identità digitale conforme a standard comuni.
Il regolamento è il (UE) 2024/1183, meglio noto come eIDAS2, entrato in vigore il 20 maggio 2024 e destinato a riscrivere, nell’arco di pochi anni, il modo in cui proviamo chi siamo quando siamo online.

Chi segue questo blog ha già incontrato pezzi di questo mosaico. Quando ho scritto di come la PEC lasci il passo alla REM, o di SPID, CIE e domicilio digitale obbligatorio, stavo raccontando in realtà porzioni separate dello stesso disegno normativo, quello che ora, con il Wallet, trova finalmente un punto di sintesi.
Non più strumenti paralleli che si sovrappongono con qualche attrito, ma un’unica infrastruttura destinata, nelle intenzioni del legislatore europeo, a integrarli in un ecosistema comune, senza farli sparire.

Che cosa cambia rispetto a SPID e CIE

SPID e CIE rispondono a una domanda precisa, quella di dimostrare chi sei per accedere a un servizio, mentre l’EUDI Wallet, l’European Digital Identity Wallet previsto dall’eIDAS2, fa un passo oltre e non si limita a farti autenticare, diventando il contenitore in cui custodisci e condividi, quando e con chi vuoi, attestati che ti riguardano, dalla patente al titolo di studio, dalla tessera sanitaria a un’autorizzazione professionale.
In Italia questo contenitore prende il nome di IT-Wallet, integrato nell’app IO e non nasce dal nulla, dato che la prima versione ridotta – “Documenti su IO” – è attiva da dicembre 2024 e conta oggi, a luglio 2026, 14,8 milioni di utenti attivi negli ultimi dodici mesi e 20,1 milioni di documenti memorizzati tra patente, tessera sanitaria e carta europea della disabilità.

Il regolamento europeo immagina scenari concreti attorno a questa logica, come l’apertura di un conto corrente in un altro Stato membro nel giro di pochi minuti, con la verifica dei dati che avviene in automatico grazie all’interoperabilità tra wallet nazionali, senza fotocopie di documenti da inviare via email e senza l’attesa di una verifica manuale.
La stessa interoperabilità l’avevo già raccontata parlando di REM, sul fronte dei servizi fiduciari, dove il tema era far viaggiare con lo stesso valore legale una comunicazione anziché, come qui, un’identità intera.
Un’indagine dello scorso gennaio sullo stato di attuazione nei diciotto Paesi europei più avanzati segnala però che l’interpretazione del regolamento resta piuttosto disomogenea da uno Stato all’altro e che l’obiettivo dell’interoperabilità reale è tutt’altro che scontato nel breve periodo.

Con i decreti attuativi dell’estate, quella sperimentazione diventa sistema strutturato.
PagoPA fa da fornitore del wallet pubblico, l’Istituto Poligrafico e Zecca dello Stato emette gli attestati e gestisce il registro dei soggetti abilitati, AgID vigila e registra, l’ACN presidia il versante della sicurezza.
Per le pubbliche amministrazioni l’obbligo di collegamento con l’ANPR decorre già dal 3 agosto, i Comuni hanno un anno di tempo, e l’obiettivo dichiarato è arrivare entro febbraio 2027 a un catalogo che dovrebbe superare le duecento tipologie di documenti digitalizzabili, comprendendo tra gli altri la carta d’identità elettronica, il passaporto, l’ISEE e le iscrizioni agli albi professionali.

Le garanzie scritte nel regolamento

Quello che colpisce, leggendo il testo del regolamento, è che l’eIDAS2 prova a distinguersi dai sistemi di identità digitale che lo hanno preceduto proprio sul fronte dei dati.
Il wallet è pensato secondo un principio di divulgazione selettiva, reso possibile da standard tecnici progettati apposta perché chi verifica riceva solo l’informazione strettamente necessaria, così puoi dimostrare di avere la maggiore età senza mostrare la data di nascita completa o attestare un titolo senza rivelare l’intero curriculum.
Si tratta di una tutela reale ma non assoluta, perché riguarda soprattutto chi riceve l’attestato, mentre il soggetto che lo ha emesso può conservare comunque una qualche visibilità sul suo utilizzo attraverso i meccanismi di verifica della validità, ed è proprio per questo che il regolamento vieta espressamente che quella visibilità residua si trasformi in tracciamento sistematico dell’utente.
Il regolamento impone poi un cruscotto unico dove vedere a chi hai condiviso cosa, da cui puoi avviare rapidamente una richiesta di cancellazione dei dati verso chi li detiene, esercitando così in modo più diretto il diritto già previsto dall’articolo 17 del GDPR, e da cui puoi segnalare all’autorità di controllo competente una richiesta che ti sembra sospetta.
I dati relativi all’uso del wallet devono restare separati, sul piano logico, da qualunque altra informazione detenuta dal fornitore e chi emette un attestato non può sapere come e dove quell’attestato viene poi utilizzato.

Sulla carta è un’architettura più rispettosa della privacy di quanto lo sia, per dire, il pulsante “accedi con Google” che usi ogni giorno senza pensarci due volte.
Poi però occorre chiedersi cosa succederà quando un sistema del genere smetterà di essere facoltativo, quando il medico, la banca o il Comune inizieranno a proporlo come unica strada davvero comoda, ed è a quel punto che i nodi non ancora sciolti dal testo del regolamento cominciano a pesare, perché restano affidati all’implementazione concreta che ogni Stato sceglierà di adottare.

I nodi che il regolamento non chiude

Il primo riguarda il tracciamento.
Se l’architettura tecnica finisse per usare identificatori persistenti o se qualche soggetto lungo la catena registrasse centralmente le verifiche effettuate, si aprirebbe una strada verso forme di sorveglianza che il testo normativo vieta espressamente ma che dipendono, nella pratica, da scelte implementative fatte lontano dagli occhi del cittadino.
Il secondo nodo è quello del potere di sospendere un wallet, con le relative garanzie di ricorso, un tema che chi ha visto il mio video su CIE ID, identità digitale o leva di controllo riconoscerà come una costante di ogni infrastruttura di identità centralizzata, non una novità dell’eIDAS2 in sé.
Il terzo è più concreto e riguarda chi uno smartphone non lo sa usare bene o non ce l’ha proprio, categoria tutt’altro che marginale se pensiamo a quanta parte della popolazione anziana già fatica con SPID, dato che la volontarietà dichiarata dal regolamento rischia di restare tale solo finché i canali tradizionali continueranno a esistere in parallelo.

C’è infine un fronte tutto italiano, quello dei wallet privati.
Il modello disegnato dal legislatore è ibrido e prevede che accanto alla soluzione pubblica di PagoPA possano operare soluzioni offerte da banche o altri operatori privati, ma le linee guida che dovrebbero sbloccare quel mercato sono arrivate solo con i decreti dell’estate 2026, dopo mesi in cui gli operatori interessati restavano fermi in attesa di regole certe.
Nel frattempo tutto è passato attraverso l’app IO e l’infrastruttura di PagoPA ed è lecito chiedersi se quella concentrazione, nata per garantire una copertura immediata, non finisca per scoraggiare proprio l’ecosistema privato che il regolamento vorrebbe far nascere, oltre a creare un unico punto da cui, tecnicamente, dipende l’intero sistema.

Perché conviene guardarci dentro adesso

Per il settore privato l’orologio è già partito e correrà più veloce di quanto sembri: banche, energia, telecomunicazioni, assicurazioni, trasporti, sanità e istruzione, con l’esclusione delle micro e piccole imprese, dovranno accettare il wallet come mezzo di autenticazione quando esista un obbligo legale o contrattuale di verificare l’identità dell’utente, entro un termine che il regolamento fissa a ventiquattro mesi dall’adozione definitiva degli atti di esecuzione della Commissione e che le stime più diffuse collocano indicativamente verso la fine del 2027.
Chi gestisce processi di identificazione della clientela, antiriciclaggio o firma elettronica farebbe bene a considerarlo già ora nella pianificazione dei propri sistemi, perché adeguare un flusso di verifica dell’identità non è un intervento che si improvvisa a ridosso della scadenza, tanto più se il flusso attuale poggia su fornitori terzi che a loro volta dovranno certificarsi.
Tra credenziali diverse e procedure che si assomigliano senza mai coincidere del tutto, chi lavora ogni giorno con firme elettroniche, depositi telematici e verifiche d’identità sa quanto tempo si perde nel passaggio da un sistema all’altro e se il wallet manterrà quello che promette è proprio su questo fronte che il cambiamento si farà sentire di più, a partire dal mio lavoro quotidiano di avvocato che firma atti e deposita in telematico ogni settimana.

Per il cittadino il cambiamento sarà più graduale e meno visibile, fatto di un documento in più caricato sull’app IO, di un servizio pubblico che chiede sempre meno fotocopie, di una procedura bancaria che un giorno, forse, si concluderà con un tocco sullo schermo invece che con una fila allo sportello.
Da avvocato ho imparato a diffidare delle infrastrutture che si presentano come pura comodità, perché quasi sempre sono anche qualcos’altro e questa non fa eccezione, dato che dietro un’app pensata per semplificarti la vita c’è un’architettura giuridica destinata a decidere, nei prossimi anni, chi potrà dimostrare cosa e a chi, senza che la comodità promessa diventi automaticamente una garanzia già acquisita.

Nel diritto le infrastrutture sembrano sempre neutre, finché non diventano il luogo dove si esercitano davvero libertà, diritti e doveri quotidiani ed è allora che smettono di essere soltanto tecnologia.