Entro il 31 dicembre 2026, tutti i 27 stati membri dell’Unione Europea dovranno offrire ai propri cittadini un portafoglio digitale di identità. Non un’app facoltativa, non un servizio aggiuntivo: un’infrastruttura che cambierà radicalmente il modo in cui esisti online. Il regolamento eIDAS 2.0, entrato in vigore nel maggio 2024, prevede che ogni governo metta a disposizione almeno un EUDI Wallet — e che le grandi piattaforme come Google, Meta e Amazon siano obbligate ad accettarlo come sistema di login. Suona comodo. Suona moderno. Suona come progresso.
Il problema è che dietro la retorica della «semplificazione» e della «sovranità digitale del cittadino» si nasconde un’architettura molto più ambigua di quanto i comunicati stampa di Bruxelles lascino intendere. L’Architecture Reference Framework — il documento tecnico che traduce la legge in specifiche software — contiene falle di privacy che le organizzazioni per i diritti civili hanno definito incompatibili con la Carta dei diritti fondamentali dell’UE. Epicenter.works, una delle ONG più attive nel monitoraggio dell’identità digitale europea, non usa mezzi termini: il wallet, così com’è progettato nell’ARF, potrebbe diventare «uno strumento di sorveglianza di massa indiscriminata e controllo autoritario». E poi c’è la questione dell’Articolo 45, che per anni ha tenuto svegli gli esperti di sicurezza informatica di mezzo mondo — la possibilità che certificati crittografici controllati dai governi vengano imposti ai browser, bypassando i controlli di sicurezza di Mozilla, Google e Apple. Non è fantascienza distopica. È legislazione europea. A sette mesi dalla scadenza, vediamo cosa sta succedendo davvero.
Il portafoglio digitale che ti mette lo stato in tasca
L’EUDI Wallet è il cuore pulsante di eIDAS 2.0. L’idea, sulla carta, è semplice: un’app sul tuo smartphone che contiene la tua identità digitale, la patente, i diplomi, le credenziali professionali, persino i dati bancari. Un unico punto di accesso per interagire con la pubblica amministrazione, firmare contratti, dimostrare la tua età, autenticarti su qualsiasi servizio online. Il tutto sotto il tuo controllo, con la possibilità di condividere solo i dati strettamente necessari — la cosiddetta «selective disclosure». Nessun tracciamento, nessun profiling. Almeno, questa è la versione che ti vendono a Bruxelles.
La realtà è più sfumata e parecchio più inquietante. Il regolamento stabilisce che emissione, uso e revoca del wallet saranno gratuiti per le persone fisiche, ma gratuito non significa neutro — chiedilo a chiunque abbia un profilo Facebook. L’Italia parte da una posizione apparentemente privilegiata: con oltre 41,5 milioni di utenti SPID e il sistema CIE già operativo, il paese ha un’infrastruttura di identità digitale tra le più mature d’Europa. Il problema? Per inizializzare il wallet europeo serve un livello di garanzia 3 (LoA 3), che la CIE soddisfa ma SPID no. Indovina qual è il sistema che gli italiani usano davvero. Esatto, SPID. Milioni di persone dovranno passare per un aggiornamento del proprio sistema di identificazione — un passaggio tutt’altro che indolore in un paese dove il rapporto con la burocrazia digitale è già un campo minato quotidiano.
Il vero nodo, però, non è tecnico. È politico. Il wallet non sarà solo un documento d’identità digitale: è un’infrastruttura che i siti pubblici e le grandi piattaforme tech dovranno obbligatoriamente accettare come metodo di autenticazione. Google, Facebook, Amazon — tutti dovranno integrare il login via EUDI Wallet. Il che crea un paradosso grottesco: da un lato l’Europa dice di voler spezzare il dominio delle Big Tech sull’identità digitale, dall’altro epicenter.works ha scoperto che nel framework tecnico le grandi piattaforme possono sostituire l’integrazione reale del wallet con soluzioni proprietarie come Google Passkeys. I giganti del tech aggirano il sistema che dovrebbe ridimensionarli. Come sempre, le regole valgono per tutti tranne che per chi ha il potere — e gli avvocati — per aggirarle.
C’è poi un dettaglio che fa accapponare la pelle: nella specifica tecnica attuale, il set minimo di dati include obbligatoriamente una foto biometrica del volto. Significa che ogni volta che usi il wallet — dimostrare la tua età, comprare un libro, firmare un contratto — potresti trasmettere la tua immagine facciale al servizio che lo richiede. Epicenter.works lo ha denunciato senza giri di parole: «ogni utilizzo potenzialmente trasmetterebbe un’immagine facciale». Non è un cavillo tecnico. È l’infrastruttura per il riconoscimento facciale di massa, cucita dentro un sistema che 450 milioni di europei dovranno usare. L’app di verifica dell’età — il cosiddetto «mini wallet», diventata operativa il 15 aprile 2026 — segue la stessa logica: sette paesi (Francia, Danimarca, Grecia, Italia, Spagna, Cipro e Irlanda) la stanno già pilotando. L’intento dichiarato è proteggere i minori dall’accesso a contenuti per adulti, gioco d’azzardo, alcolici. Ma l’Electronic Frontier Foundation ha fatto notare che il sistema è progettato per estendersi ben oltre la soglia dei 18 anni — le specifiche prevedono esplicitamente soglie multiple a 13, 16, 18 e 65 anni — aprendo la porta a un controllo capillare e permanente dell’accesso a internet in base all’età. Un’infrastruttura che, una volta costruita, non si smonta più.
Articolo 45 e i certificati governativi nei browser
Per capire quanto eIDAS 2.0 sia pericoloso devi sapere come funziona la sicurezza del web — il minimo indispensabile, promesso. Quando visiti un sito HTTPS, il tuo browser verifica che il certificato del sito sia stato emesso da un’autorità di certificazione (CA) affidabile, inclusa nella sua «root store»: la lista dei certificati radice di cui il browser si fida. Mozilla, Google, Apple gestiscono queste liste con criteri rigorosi. Una CA che non rispetta gli standard di sicurezza viene rimossa, punto. Questo sistema, pur imperfetto, è quello che impedisce a governi e criminali informatici di intercettare il tuo traffico web senza che tu te ne accorga. È la spina dorsale della fiducia online.
L’Articolo 45 di eIDAS 2.0 ha cercato di demolire questo meccanismo. Nella formulazione originale imponeva ai browser di accettare i Qualified Web Authentication Certificates (QWACs) — certificati emessi da autorità approvate dai governi europei — senza possibilità di rifiutarli, anche quando non rispettassero gli standard di sicurezza dei browser. In concreto: se un governo membro dell’UE avesse approvato una CA compromessa o complice, i browser non avrebbero potuto rimuoverla dalla lista dei certificati fidati. Le chiavi crittografiche sotto il controllo di un singolo governo avrebbero potuto intercettare le comunicazioni HTTPS in tutta l’Unione e oltre i suoi confini. Non è un’ipotesi teorica: è esattamente quello che la Internet Society e Mozilla hanno documentato con analisi tecniche dettagliate e un impact brief devastante.
La reazione è stata immediata e furiosa. Mozilla ha lanciato la campagna #SecurityRiskAhead, quattrocento tra esperti di sicurezza informatica e organizzazioni della società civile hanno firmato una lettera aperta al Parlamento europeo. L’EFF ha definito eIDAS 2.0 «un precedente pericoloso per la sicurezza del web». Il messaggio era unanime e cristallino: costringere i browser a fidarsi di certificati che non superano i loro controlli di qualità equivale a costruire una backdoor governativa nel sistema che protegge tutte le comunicazioni web del pianeta. Dopo due anni di pressione, il Parlamento europeo ha approvato modifiche significative nel febbraio 2024. Il 17 dicembre 2025, l’Implementing Act sui QWACs è stato adottato con clausole che preservano l’indipendenza dei browser nel prendere decisioni sulla fiducia crittografica. Mozilla e gli altri produttori mantengono il diritto di valutare e, se necessario, rifiutare certificati che non rispettano i loro standard.
Vittoria? Forse. Ma chi segue queste battaglie sa che una conquista legislativa non è mai definitiva — specialmente nell’UE, dove gli atti implementativi possono ribaltare lo spirito di una legge senza toccare una virgola del testo. Il principio che i governi debbano poter imporre i propri certificati crittografici ai software di navigazione è stato temporaneamente contenuto, non eliminato. Le implementazioni tecniche sono ancora in corso, e il diavolo si nasconde nelle specifiche che arriveranno nei prossimi mesi. La sicurezza del web si difende un emendamento alla volta, mentre chi vuole controllarla ha budget illimitati e tutto il tempo del mondo.
Le promesse di privacy e le scappatoie che le divorano
Il regolamento eIDAS 2.0 contiene, sulla carta, alcune garanzie di privacy notevoli. C’è il diritto alla pseudonimità: il wallet dovrebbe permetterti di generare pseudonimi locali, memorizzati solo sul tuo dispositivo, da usare al posto della tua identità reale quando il servizio non richiede un’identificazione completa. C’è la selective disclosure: condividere solo i dati strettamente necessari — confermare di avere più di 18 anni senza rivelare nome, cognome e data di nascita. C’è il principio di non tracciabilità: il provider del wallet non dovrebbe poter monitorare come e quando lo usi. Sulla carta il regolamento sembra quasi rispettoso dei tuoi diritti. Peccato che la carta non sia codice — e che il codice racconti una storia molto diversa.
L’Architecture Reference Framework racconta quella storia. Un’analisi dettagliata di epicenter.works, supportata da crittografi indipendenti, ha smontato pezzo per pezzo le garanzie legislative. Il framework non prevede alcuna salvaguardia che impedisca il tracciamento, il collegamento o la correlazione dei comportamenti d’uso del wallet. Zero. Ogni tua interazione — dalla verifica dell’età alla firma di un contratto — potrebbe essere monitorata dallo stato. Non perché la legge lo consenta esplicitamente, ma perché le specifiche tecniche non lo impediscono. Nel mondo della sorveglianza digitale la differenza tra «non vietato» e «sistematicamente praticato» è sottile come un cookie di tracciamento. Lo abbiamo visto con la data retention dei provider italiani — le leggi dicono una cosa, le infrastrutture ne permettono un’altra.
La pseudonimità, poi, è stata svuotata con un trucco quasi elegante. Il regolamento prevede pseudonimi generati localmente sul dispositivo dell’utente. L’ARF introduce invece il concetto di «pseudonym provider» — un’entità esterna, non prevista dalla legge, che crea gli pseudonimi per te. Un’entità che le autorità possono interrogare per risalire alla tua identità reale. Il ribaltamento è completo: dal controllo dell’utente al controllo dello stato. Lo standard di protezione, nel frattempo, è stato degradato con una modifica lessicale rivelatrice: il linguaggio è passato dalla «prevenzione» del tracciamento al suo semplice «ostacolo». Epicenter.works ha commentato con precisione chirurgica: «qualcosa che viene semplicemente ostacolato può comunque essere raggiunto da un avversario sufficientemente determinato». E gli stati, quando si tratta di sorvegliare, sono sempre sufficientemente determinati.
Nove ONG europee — tra cui EDRi e epicenter.works — hanno chiesto formalmente alla Commissione di correggere queste falle. La risposta? Tiepida, ai limiti dell’indifferenza. I certificati di registrazione che dovrebbero impedire richieste eccessive di dati da parte dei servizi sono stati resi opzionali. Le aziende possono registrarsi in stati membri compiacenti e poi richiedere dati agli utenti di tutta l’UE senza alcun controllo di legalità — una dinamica che ricorda il «forum shopping» fiscale, ma applicata ai tuoi dati personali. Il diritto alla pseudonimità viene concesso con una clausola che ne consente la restrizione «in base al diritto nazionale e dell’UE». Tradotto dal burocratese: ogni stato membro decide autonomamente quanto anonimato concederti. L’Ungheria di Orbán e la Svezia avranno lo stesso strumento in mano, ma è ingenuo — anzi, pericoloso — pensare che lo useranno allo stesso modo. La privacy è già un lusso per ricchi: il wallet rischia di renderla un privilegio concesso e revocato dal governo di turno.
Europa e Cina: due modelli, una direzione
Il confronto è scomodo ma necessario. Quando si parla del sistema di credito sociale cinese, in Europa la reazione dominante è un misto di orrore e superiorità morale — «da noi non potrebbe mai succedere», il mantra che ci ripetiamo come un amuleto. Il Great Firewall, il monitoraggio dei social media, il punteggio sociale che premia i «cittadini affidabili» e punisce chi devia dalla norma: tutto questo ci sembra distante, incompatibile con i nostri valori. Ma se guardi a quello che l’Europa sta costruendo con eIDAS 2.0, le somiglianze strutturali sono più inquietanti di quanto ci piaccia ammettere. La Cina ha costruito un sistema di identificazione digitale obbligatoria integrato con ogni aspetto della vita quotidiana — trasporti, acquisti, accesso a servizi, interazioni sociali. L’Europa sta facendo la stessa cosa, con una retorica diversa e qualche checkbox di privacy in più. Oltre un miliardo di cinesi vivono già sotto varie forme di rating sociale. L’Europa sta preparando il terreno per 450 milioni.
La differenza, ci dicono, è che il wallet europeo è «user-controlled», che i dati restano sul dispositivo, che la condivisione è selettiva. Ma come abbiamo visto, le specifiche tecniche raccontano un’altra storia. Il provider di pseudonimi esterno, la foto biometrica obbligatoria, l’assenza di salvaguardie contro il tracciamento — non sono bug del sistema. Sono scelte progettuali. Il sistema cinese opera attraverso la coercizione esplicita, quello europeo attraverso la convenienza. Non sei obbligato a usare il wallet — almeno in teoria. Ma quando ogni servizio pubblico lo richiede, quando le piattaforme Big Tech lo integrano, quando la verifica dell’età lo presuppone e i servizi bancari lo preferiscono, la «scelta» diventa puramente formale. È lo stesso meccanismo con cui i social network sono diventati obbligatori senza che nessuna legge lo imponesse: non puoi non esserci se tutto il mondo è lì. Il potere non ha bisogno di obbligarti quando può renderti la vita impossibile senza.
C’è una differenza cruciale, però, che i difensori dell’approccio europeo amano sbandierare: le garanzie giuridiche. Il GDPR, la Carta dei diritti fondamentali, il controllo giudiziario indipendente. Queste garanzie esistono e non sono carta straccia — non ancora, almeno. Ma la storia insegna una lezione che la politica finge di non conoscere: le infrastrutture di sorveglianza sopravvivono ai governi che le hanno costruite. Quello che oggi è un wallet con garanzie di privacy sotto un governo democratico può diventare uno strumento di controllo capillare sotto un governo autoritario. L’Ungheria e la Polonia degli ultimi anni dimostrano che la deriva autoritaria in Europa non è un’ipotesi da romanzo distopico — è cronaca. Il punto non è se l’Europa «diventerà la Cina». Il punto è che sta costruendo l’infrastruttura tecnica che renderebbe possibile qualcosa di molto simile, con meno resistenze di quante ne avrebbe un progetto di sorveglianza dichiarato apertamente. Quando Pechino ha costruito il suo sistema, almeno era chiaro cosa stesse facendo. Bruxelles lo sta costruendo in nome della «semplificazione burocratica» e della «protezione dei minori». Se la storia ci ha insegnato qualcosa, è che le infrastrutture costruite per «proteggere» finiscono sempre per controllare.
L’EUDI Wallet arriverà, su questo non ci sono dubbi. Entro la fine del 2026 sarà nelle tasche — negli smartphone — di centinaia di milioni di europei. La domanda non è se, ma come. Se le falle evidenziate da epicenter.works, dall’EFF e da centinaia di esperti di sicurezza verranno corrette, il wallet potrebbe essere uno strumento ragionevolmente rispettoso della privacy — imperfetto, rischioso, ma gestibile. Se non verranno corrette, l’Europa avrà costruito la più capillare infrastruttura di identificazione e sorveglianza della sua storia, venduta ai cittadini come un servizio di comodità. Tu, nel frattempo, hai una scelta da fare. Puoi accettare la narrativa ufficiale della sovranità digitale del cittadino, oppure puoi pretendere che le promesse scritte nel regolamento vengano tradotte in codice — non in scappatoie. Le ONG stanno combattendo questa battaglia con risorse ridicole rispetto a quelle dei governi e delle lobby tech. Non possono vincerla da sole.