Dal diritto verificabile alla governance della fiducia: il nuovo Regolamento AgID sull’IT-Wallet 

Il 23 ottobre 2026 l’Agenzia per l’Italia Digitale (AgID) ha adottato, con determinazione n. 164/2026, il Regolamento recante le modalità di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione. Il provvedimento, previsto dall’articolo 6, comma 3, del decreto 17 giugno 2026, definisce, in sede di prima applicazione e per il periodo di sperimentazione, le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet e istituisce lo Spazio di Sperimentazione IT-Wallet. Il dato procedurale non esaurisce, però, l’interesse del nuovo atto. In un precedente contributo pubblicato su ICT4Law&Forensics avevamo osservato come l’EUDI Wallet stia progressivamente assumendo una funzione che supera la sola identificazione digitale: attraverso attestazioni verificabili possono essere rappresentati status, qualifiche e altre situazioni giuridicamente rilevanti. Se cambia il modo in cui una persona dimostra una qualità o una posizione giuridica, diventa inevitabile una domanda ulteriore: da dove deriva la fiducia nell’infrastruttura che produce, conserva e verifica quelle attestazioni? Il Regolamento AgID consente ora di osservare come questo problema venga affrontato sul piano nazionale. 

Sommario: 1. La fiducia non appartiene soltanto alla credenziale. – 2. Lo Spazio di Sperimentazione non è una zona senza regole. – 3. Quando la sperimentazione produce conoscenza per la regolazione. – 4. Protezione dei dati e sicurezza fanno parte della governance. – 5. Dal diritto verificabile all’infrastruttura che lo rende affidabile. 

1. La fiducia non appartiene soltanto alla credenziale

Il Sistema IT-Wallet distribuisce funzioni differenti tra più categorie di soggetti. Il Regolamento disciplina fornitori di soluzioni IT-Wallet private, fornitori di attestati elettronici di attributi, verificatori, soggetti aggregatori e titolari di fonti autentiche. A questi si aggiungono i soggetti registrati di diritto. L’Istituto Poligrafico e Zecca dello Stato (IPZS) opera, fra l’altro, quale unico fornitore del Registro IT-Wallet, degli attestati elettronici di dati di identificazione personale e degli attestati elettronici di interesse pubblico; PagoPA è invece l’unico fornitore della soluzione IT-Wallet pubblica. 

Anche il Registro riflette questa distribuzione di funzioni. L’articolo 13 attribuisce ad AgID la titolarità regolatoria e di controllo e la relativa governance, mentre IPZS resta responsabile della realizzazione e gestione della sua infrastruttura tecnologica. La distinzione è significativa perché separa, almeno sul piano delle competenze formalmente attribuite, la funzione regolatoria e di controllo dalla gestione tecnica dell’infrastruttura. 

L’affidabilità del sistema non viene quindi ricondotta alla sola validità tecnica dell’attestazione. L’ingresso nello Spazio di Sperimentazione presuppone, in funzione del ruolo assunto, requisiti amministrativi, di onorabilità, organizzativi e tecnologici, certificazioni e, quando richiesto, garanzie assicurative. L’iscrizione nel Registro diventa effettiva soltanto dopo il superamento dei test tecnici di validazione. AgID può inoltre verificare successivamente il mantenimento dei requisiti e, in caso di mancato adempimento a una diffida o di violazioni gravi e reiterate, sospendere o revocare la registrazione. 

La fiducia assume così una dimensione infrastrutturale. L’integrità crittografica della credenziale è indispensabile, ma non sufficiente. Devono essere affidabili l’emittente e la fonte da cui proviene l’attributo; devono essere definite le condizioni nelle quali opera il verificatore; devono esistere requisiti e controlli capaci di accompagnare nel tempo i soggetti che partecipano all’ecosistema.

2. Lo Spazio di Sperimentazione non è una zona senza regole

La parte più interessante del Regolamento riguarda lo Spazio di Sperimentazione IT-Wallet. È definito come un ambiente controllato nel quale i soggetti registrati, per un periodo limitato e in dialogo con AgID, Agenzia per la Cybersicurezza Nazionale (ACN), Dipartimento per la trasformazione digitale (DTD) e autorità competenti, possono svolgere attività di validazione, test, integrazione e monitoraggio. 

Il Regolamento distingue questa attività dai veri e propri Progetti di Sperimentazione. Questi ultimi riguardano soluzioni tecniche, funzionalità, servizi, casi d’uso o modalità operative non ancora contemplati dal quadro normativo, dalle Linee guida o dalle Specifiche tecniche. Il progetto deve individuare obiettivi misurabili, architettura della soluzione, standard utilizzati, risorse e durata prevista, di regola non superiore a diciotto mesi. Deve inoltre contenere un’analisi dei rischi tecnologici, operativi, di sicurezza e di protezione dei dati, accompagnata dalle relative strategie di mitigazione. 

Non si tratta, tuttavia, di uno spazio nel quale la disciplina vigente viene sospesa. La registrazione comporta l’obbligo di rispettare il Regolamento, le Linee guida, le Specifiche tecniche, le misure privacy e gli ulteriori provvedimenti applicabili; i Progetti si svolgono nel rispetto del quadro normativo e delle condizioni eventualmente poste da AgID. Già il decreto del 17 giugno 2026 precisa, inoltre, che l’ammissione alla sperimentazione non crea alcun affidamento sul futuro riconoscimento del valore giuridico delle scelte tecnologiche sperimentate. 

La qualificazione dello Spazio come regulatory sandbox richiede dunque cautela. Nella letteratura sull’argomento, le regulatory sandboxes possono comprendere regimi temporanei nei quali vengono adattati requisiti, modalità applicative o forme di supervisione per consentire la sperimentazione sotto il controllo dell’autorità. Sofia Ranchordás ha evidenziato, proprio per questi strumenti, l’importanza della qualità metodologica, della trasparenza e della prevedibilità del regime sperimentale. Nel caso dell’IT-Wallet, il testo normativo non introduce una generale esenzione dall’osservanza delle regole. Appare quindi più preciso parlare, almeno allo stato, di sperimentazione regolata. 

3. Quando la sperimentazione produce conoscenza per la regolazione

Un passaggio del Regolamento presenta particolare interesse per l’informatica giuridica. La sperimentazione non serve soltanto agli operatori per verificare le proprie soluzioni. Fra le sue finalità compare espressamente quella di consentire ad AgID, ACN e DTD di osservare lo sviluppo tecnologico, individuare gli interventi normativi e tecnici ritenuti opportuni e identificare nuovi rischi da mitigare. 

Il collegamento con l’evoluzione delle regole emerge ancora più chiaramente al termine dei Progetti. La relazione tecnica finale può contenere proposte di modifica o integrazione delle Linee guida, delle Specifiche tecniche o dello stesso Regolamento; gli esiti della sperimentazione possono essere considerati ai fini della successiva evoluzione del Sistema IT-Wallet e dei relativi strumenti regolatori. 

Non ne deriva, naturalmente, che le indicazioni provenienti dai partecipanti vincolino AgID o acquistino un peso privilegiato nella successiva attività regolatoria. Il Regolamento dice qualcosa di più circoscritto: l’esperienza maturata nei Progetti entra tra gli elementi che possono essere valutati nell’evoluzione del sistema. 

È comunque un passaggio rilevante. La regolazione non opera soltanto ex ante, fissando le condizioni entro le quali la tecnologia può essere sperimentata. L’osservazione del suo funzionamento produce informazioni che possono contribuire alla revisione delle stesse regole tecniche e organizzative. Si costruisce così un circuito di apprendimento istituzionale che rende il quadro adattabile, ma che richiederà di osservare, nella pratica, attraverso quali criteri gli esiti delle singole sperimentazioni saranno selezionati e tradotti in modifiche di portata generale.

4. Protezione dei dati e sicurezza fanno parte della governance

Protezione dei dati e cybersecurity non intervengono soltanto a valle dell’architettura. Il decreto 19 marzo 2026 contiene già disposizioni direttamente dedicate ai trattamenti effettuati nell’ambito dell’IT-Wallet: individua i ruoli di diversi soggetti, impone misure volte a evitare tracciamenti e correlazioni indebite e prescrive la separazione logica dei dati trattati dal fornitore della soluzione IT-Wallet rispetto agli altri dati da esso detenuti. Prevede inoltre l’adozione, con distinto decreto del Capo del Dipartimento per la trasformazione digitale, di ulteriori misure tecniche e organizzative definite all’esito di una valutazione d’impatto sulla protezione dei dati. 

Anche il Regolamento AgID incorpora questi profili. I proponenti di un Progetto devono valutare i rischi per la protezione dei dati; i soggetti registrati sono tenuti a rispettare le misure privacy applicabili e, per determinate categorie, devono effettuare periodicamente analisi dei rischi, Vulnerability Assessment, Penetration Test, analisi statica del codice e delle dipendenze da librerie di terze parti. Sono inoltre previsti obblighi riguardanti monitoraggio della sicurezza, gestione degli incidenti e comunicazione delle violazioni dei dati personali. 

Il Garante per la protezione dei dati personali aveva esaminato lo schema del Regolamento AgID con il provvedimento n. 580 del 6 agosto 2026, esprimendo parere favorevole senza rilievi. Le interlocuzioni preparatorie avevano riguardato, tra l’altro, i requisiti di onorabilità, la conservazione dei relativi dati, i soggetti competenti per monitoraggio e vigilanza e l’obbligo di effettuare una valutazione d’impatto quando ricorrano i presupposti dell’articolo 35 GDPR. 

Un ulteriore tassello è rappresentato dallo schema di decreto sulle specifiche misure tecniche e organizzative per i trattamenti di dati personali nell’IT-Wallet. Su questo atto il Garante ha espresso, con provvedimento n. 631 del 23 settembre 2026, un altro parere favorevole. Lo schema prevede, tra l’altro, che i verificatori documentino per ciascun servizio la necessità e proporzionalità degli attributi richiesti, le relative basi giuridiche e i tempi di conservazione; dedica particolare attenzione alla separazione logica dei dati e alla prevenzione di correlazioni, profilazioni e trattamenti ulteriori non autorizzati. 

Il dato conferma un problema già emerso a proposito dell’EUDI Wallet. Il controllo dell’utente e la verificabilità tecnica non garantiscono, da soli, la minimizzazione. Questa dipende anche dalla distribuzione delle informazioni fra gli attori, dal numero e dalla granularità degli attributi richiesti e dall’impossibilità, per un singolo soggetto, di ricostruire l’intero percorso di emissione, conservazione, presentazione e verifica dell’attestazione. È proprio quest’ultimo rischio che il Garante individua fra quelli che le misure progettuali devono evitare.

5. Dal diritto verificabile all’infrastruttura che lo rende affidabile

Il Regolamento AgID non costituisce attuazione dell’ESSPASS o dello Skills Portability Act esaminati nel precedente contributo. Il suo fondamento si trova nell’articolo 64-quater del Codice dell’Amministrazione Digitale e, più direttamente, nel decreto del 17 giugno 2026 sulle Linee guida e sulla sperimentazione, mentre il decreto del 19 marzo disciplina compiti, servizi e diversi aspetti organizzativi del Sistema IT-Wallet. La disciplina nazionale è, tuttavia, destinata a evolvere in coordinamento con il quadro europeo dell’identità digitale: il Regolamento stesso prevede, per chi prosegua l’attività dopo la sperimentazione, l’adeguamento della soluzione IT-Wallet al modello EUDI Wallet ove previsto. 

Il collegamento con il precedente articolo è quindi concettuale, non una successione normativa. Se il primo problema era comprendere come un diritto, uno status o una qualifica possano essere rappresentati mediante un’attestazione verificabile, il nuovo provvedimento rende visibile l’infrastruttura di soggetti, registri, controlli, standard e responsabilità dalla quale quella verificabilità dipende. 

La fiducia digitale non è una proprietà della singola credenziale. È il risultato di un’architettura giuridica e tecnica che deve rendere affidabile l’intero percorso attraverso il quale la credenziale viene prodotta, utilizzata e verificata. Lo Spazio di Sperimentazione aggiunge un elemento ulteriore: l’architettura è ancora in una fase nella quale l’esperienza tecnica può concorrere alla sua evoluzione regolatoria. Proprio per questo sarà importante osservare non soltanto quali servizi entreranno nell’IT-Wallet, ma anche come e con quali garanzie le conoscenze ricavate dalla sperimentazione verranno trasformate in regole destinate all’intero sistema. 

Fonti e riferimenti essenziali 

• Agenzia per l’Italia Digitale, determinazione n. 164/2026 del 23 ottobre 2026 e allegato Regolamento recante le modalità di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione, versione 1.0.  

• Decreto 17 giugno 2026, Approvazione delle Linee guida del Sistema IT-Wallet e regole per la sperimentazione, G.U. Serie generale n. 169 del 23 luglio 2026.  

• Decreto 19 marzo 2026, Disciplina del Sistema IT-Wallet e dei relativi servizi ai sensi dell’articolo 64-quater, comma 5, del decreto legislativo 7 marzo 2005, n. 82, G.U. Serie generale n. 178 del 3 agosto 2026.  

• Garante per la protezione dei dati personali, provvedimento n. 580 del 6 agosto 2026, Parere sullo schema di regolamento AgID recante le modalità di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione, doc. web n. 10286736.  

• Garante per la protezione dei dati personali, provvedimento n. 631 del 23 settembre 2026, Parere sullo schema di decreto relativo alle misure tecniche e organizzative per i trattamenti di dati personali nell’ambito del Sistema IT-Wallet, doc. web n. 10302261.  

• Regolamento (UE) 2024/1183 dell’11 aprile 2024, che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l’istituzione del quadro europeo relativo a un’identità digitale; regolamento di esecuzione (UE) 2024/2981 della Commissione del 28 novembre 2024 sulla certificazione dei portafogli europei di identità digitale. 

• S. Ranchordás, Experimental Regulations and Regulatory Sandboxes: Law without Order?, Law and Method, 2021, pp. 1-23, DOI 10.5553/REM/.000064. 

• M. Farina, Non solo identità digitale: nell’EUDI Wallet entrano diritti, status e qualifiche, ICT4Law&Forensics, 12 ottobre 2026.  

Di Massimo Farina
 Professore Associato di Informatica Giuridica presso il Dipartimento di Ingegneria Elettrica e Elettronica (DIEE) dell’Università di Cagliari. Responsabile della protezione dei dati personali (RPD), ai sensi dell’articolo 37 del Regolamento UE 2016/679, dell’Ateneo Cagliaritano e Coordinatore del “ICT4Law&Forensics Lab”. Abilitato alle funzioni di Professore di prima fascia per il settore concorsuale 12 H3 (Filosofia del diritto – GIUR-17/A ). Avvocato del Foro di Cagliari abilitato al patrocinio davanti alle Giurisdizioni Superiori.