{"id":1462,"date":"2026-10-28T09:15:00","date_gmt":"2026-10-28T08:15:00","guid":{"rendered":"https:\/\/sites.unica.it\/ict4lawforensics\/?p=1462"},"modified":"2026-10-26T15:17:17","modified_gmt":"2026-10-26T14:17:17","slug":"dal-diritto-verificabile-alla-governance-della-fiducia-il-nuovo-regolamento-agid-sullit-wallet","status":"publish","type":"post","link":"https:\/\/sites.unica.it\/ict4lawforensics\/2026\/10\/28\/dal-diritto-verificabile-alla-governance-della-fiducia-il-nuovo-regolamento-agid-sullit-wallet\/","title":{"rendered":"Dal diritto verificabile alla governance della fiducia: il nuovo Regolamento AgID sull\u2019IT-Wallet\u00a0"},"content":{"rendered":"\n

Il 23 ottobre 2026 l\u2019Agenzia per l\u2019Italia Digitale (AgID) ha adottato, con determinazione n. 164\/2026, il Regolamento recante le modalit\u00e0 di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione<\/strong>. Il provvedimento, previsto dall\u2019articolo 6, comma 3, del decreto 17 giugno 2026, definisce, in sede di prima applicazione e per il periodo di sperimentazione, le procedure amministrative necessarie alla registrazione al Sistema IT-Wallet e istituisce lo Spazio di Sperimentazione IT-Wallet. Il dato procedurale non esaurisce, per\u00f2, l\u2019interesse del nuovo atto. In un precedente contributo pubblicato su ICT4Law&Forensics avevamo osservato come l\u2019EUDI Wallet stia progressivamente assumendo una funzione che supera la sola identificazione digitale: attraverso attestazioni verificabili possono essere rappresentati status, qualifiche e altre situazioni giuridicamente rilevanti. Se cambia il modo in cui una persona dimostra una qualit\u00e0 o una posizione giuridica, diventa inevitabile una domanda ulteriore: da dove deriva la fiducia nell\u2019infrastruttura che produce, conserva e verifica quelle attestazioni? Il Regolamento AgID consente ora di osservare come questo problema venga affrontato sul piano nazionale. <\/p>\n\n\n\n

Sommario:<\/strong> 1. La fiducia non appartiene soltanto alla credenziale.<\/a> \u2013 2. Lo Spazio di Sperimentazione non \u00e8 una zona senza regole.<\/a> \u2013 3. Quando la sperimentazione produce conoscenza per la regolazione. <\/a>\u2013 4. Protezione dei dati e sicurezza fanno parte della governance.<\/a> \u2013 5. Dal diritto verificabile all\u2019infrastruttura che lo rende affidabile. <\/a><\/p>\n\n\n\n

1. La fiducia non appartiene soltanto alla credenziale <\/h2>\n\n\n\n

Il Sistema IT-Wallet distribuisce funzioni differenti tra pi\u00f9 categorie di soggetti. Il Regolamento disciplina fornitori di soluzioni IT-Wallet private, fornitori di attestati elettronici di attributi, verificatori, soggetti aggregatori e titolari di fonti autentiche. A questi si aggiungono i soggetti registrati di diritto. L\u2019Istituto Poligrafico e Zecca dello Stato (IPZS) opera, fra l\u2019altro, quale unico fornitore del Registro IT-Wallet, degli attestati elettronici di dati di identificazione personale e degli attestati elettronici di interesse pubblico; PagoPA \u00e8 invece l\u2019unico fornitore della soluzione IT-Wallet pubblica. <\/p>\n\n\n\n

Anche il Registro riflette questa distribuzione di funzioni. L\u2019articolo 13 attribuisce ad AgID la titolarit\u00e0 regolatoria e di controllo e la relativa governance<\/em>, mentre IPZS resta responsabile della realizzazione e gestione della sua infrastruttura tecnologica. La distinzione \u00e8 significativa perch\u00e9 separa, almeno sul piano delle competenze formalmente attribuite, la funzione regolatoria e di controllo dalla gestione tecnica dell\u2019infrastruttura. <\/p>\n\n\n\n

L\u2019affidabilit\u00e0 del sistema non viene quindi ricondotta alla sola validit\u00e0 tecnica dell\u2019attestazione. L\u2019ingresso nello Spazio di Sperimentazione presuppone, in funzione del ruolo assunto, requisiti amministrativi, di onorabilit\u00e0, organizzativi e tecnologici, certificazioni e, quando richiesto, garanzie assicurative. L\u2019iscrizione nel Registro diventa effettiva soltanto dopo il superamento dei test tecnici di validazione. AgID pu\u00f2 inoltre verificare successivamente il mantenimento dei requisiti e, in caso di mancato adempimento a una diffida o di violazioni gravi e reiterate, sospendere o revocare la registrazione. <\/p>\n\n\n\n

La fiducia assume cos\u00ec una dimensione infrastrutturale. L\u2019integrit\u00e0 crittografica della credenziale \u00e8 indispensabile, ma non sufficiente. Devono essere affidabili l\u2019emittente e la fonte da cui proviene l\u2019attributo; devono essere definite le condizioni nelle quali opera il verificatore; devono esistere requisiti e controlli capaci di accompagnare nel tempo i soggetti che partecipano all\u2019ecosistema.<\/p>\n\n\n\n

2. Lo Spazio di Sperimentazione non \u00e8 una zona senza regole <\/h2>\n\n\n\n

La parte pi\u00f9 interessante del Regolamento riguarda lo Spazio di Sperimentazione IT-Wallet<\/strong>. \u00c8 definito come un ambiente controllato nel quale i soggetti registrati, per un periodo limitato e in dialogo con AgID, Agenzia per la Cybersicurezza Nazionale (ACN), Dipartimento per la trasformazione digitale (DTD) e autorit\u00e0 competenti, possono svolgere attivit\u00e0 di validazione, test, integrazione e monitoraggio. <\/p>\n\n\n\n

Il Regolamento distingue questa attivit\u00e0 dai veri e propri Progetti di Sperimentazione. Questi ultimi riguardano soluzioni tecniche, funzionalit\u00e0, servizi, casi d\u2019uso o modalit\u00e0 operative non ancora contemplati dal quadro normativo, dalle Linee guida o dalle Specifiche tecniche. Il progetto deve individuare obiettivi misurabili, architettura della soluzione, standard utilizzati, risorse e durata prevista, di regola non superiore a diciotto mesi. Deve inoltre contenere un\u2019analisi dei rischi tecnologici, operativi, di sicurezza e di protezione dei dati, accompagnata dalle relative strategie di mitigazione. <\/p>\n\n\n\n

Non si tratta, tuttavia, di uno spazio nel quale la disciplina vigente viene sospesa. La registrazione comporta l\u2019obbligo di rispettare il Regolamento, le Linee guida, le Specifiche tecniche, le misure privacy e gli ulteriori provvedimenti applicabili; i Progetti si svolgono nel rispetto del quadro normativo e delle condizioni eventualmente poste da AgID. Gi\u00e0 il decreto del 17 giugno 2026 precisa, inoltre, che l\u2019ammissione alla sperimentazione non crea alcun affidamento sul futuro riconoscimento del valore giuridico delle scelte tecnologiche sperimentate. <\/p>\n\n\n\n

La qualificazione dello Spazio come regulatory sandbox<\/em> richiede dunque cautela. Nella letteratura sull\u2019argomento, le regulatory sandboxes<\/em> possono comprendere regimi temporanei nei quali vengono adattati requisiti, modalit\u00e0 applicative o forme di supervisione per consentire la sperimentazione sotto il controllo dell\u2019autorit\u00e0. Sofia Ranchord\u00e1s ha evidenziato, proprio per questi strumenti, l\u2019importanza della qualit\u00e0 metodologica, della trasparenza e della prevedibilit\u00e0 del regime sperimentale. Nel caso dell\u2019IT-Wallet, il testo normativo non introduce una generale esenzione dall\u2019osservanza delle regole. Appare quindi pi\u00f9 preciso parlare, almeno allo stato, di sperimentazione regolata<\/strong>. <\/p>\n\n\n\n

<\/p>\n\n\n\n

3. Quando la sperimentazione produce conoscenza per la regolazione<\/h2>\n\n\n\n

Un passaggio del Regolamento presenta particolare interesse per l\u2019informatica giuridica. La sperimentazione non serve soltanto agli operatori per verificare le proprie soluzioni. Fra le sue finalit\u00e0 compare espressamente quella di consentire ad AgID, ACN e DTD di osservare lo sviluppo tecnologico, individuare gli interventi normativi e tecnici ritenuti opportuni e identificare nuovi rischi da mitigare. <\/p>\n\n\n\n

Il collegamento con l\u2019evoluzione delle regole emerge ancora pi\u00f9 chiaramente al termine dei Progetti. La relazione tecnica finale pu\u00f2 contenere proposte di modifica o integrazione delle Linee guida, delle Specifiche tecniche o dello stesso Regolamento; gli esiti della sperimentazione possono essere considerati ai fini della successiva evoluzione del Sistema IT-Wallet e dei relativi strumenti regolatori. <\/p>\n\n\n\n

Non ne deriva, naturalmente, che le indicazioni provenienti dai partecipanti vincolino AgID o acquistino un peso privilegiato nella successiva attivit\u00e0 regolatoria. Il Regolamento dice qualcosa di pi\u00f9 circoscritto: l\u2019esperienza maturata nei Progetti entra tra gli elementi che possono essere valutati nell\u2019evoluzione del sistema. <\/p>\n\n\n\n

\u00c8 comunque un passaggio rilevante. La regolazione non opera soltanto ex ante<\/em>, fissando le condizioni entro le quali la tecnologia pu\u00f2 essere sperimentata. L\u2019osservazione del suo funzionamento produce informazioni che possono contribuire alla revisione delle stesse regole tecniche e organizzative. Si costruisce cos\u00ec un circuito di apprendimento istituzionale che rende il quadro adattabile, ma che richieder\u00e0 di osservare, nella pratica, attraverso quali criteri gli esiti delle singole sperimentazioni saranno selezionati e tradotti in modifiche di portata generale.<\/p>\n\n\n\n

4. Protezione dei dati e sicurezza fanno parte della governance<\/h2>\n\n\n\n

Protezione dei dati e cybersecurity non intervengono soltanto a valle dell\u2019architettura. Il decreto 19 marzo 2026 contiene gi\u00e0 disposizioni direttamente dedicate ai trattamenti effettuati nell\u2019ambito dell\u2019IT-Wallet: individua i ruoli di diversi soggetti, impone misure volte a evitare tracciamenti e correlazioni indebite e prescrive la separazione logica dei dati trattati dal fornitore della soluzione IT-Wallet rispetto agli altri dati da esso detenuti. Prevede inoltre l\u2019adozione, con distinto decreto del Capo del Dipartimento per la trasformazione digitale, di ulteriori misure tecniche e organizzative definite all\u2019esito di una valutazione d\u2019impatto sulla protezione dei dati. <\/p>\n\n\n\n

Anche il Regolamento AgID incorpora questi profili. I proponenti di un Progetto devono valutare i rischi per la protezione dei dati; i soggetti registrati sono tenuti a rispettare le misure privacy applicabili e, per determinate categorie, devono effettuare periodicamente analisi dei rischi, Vulnerability Assessment<\/em>, Penetration Test<\/em>, analisi statica del codice e delle dipendenze da librerie di terze parti. Sono inoltre previsti obblighi riguardanti monitoraggio della sicurezza, gestione degli incidenti e comunicazione delle violazioni dei dati personali. <\/p>\n\n\n\n

Il Garante per la protezione dei dati personali aveva esaminato lo schema del Regolamento AgID con il provvedimento n. 580 del 6 agosto 2026, esprimendo parere favorevole senza rilievi. Le interlocuzioni preparatorie avevano riguardato, tra l\u2019altro, i requisiti di onorabilit\u00e0, la conservazione dei relativi dati, i soggetti competenti per monitoraggio e vigilanza e l\u2019obbligo di effettuare una valutazione d\u2019impatto quando ricorrano i presupposti dell\u2019articolo 35 GDPR. <\/p>\n\n\n\n

Un ulteriore tassello \u00e8 rappresentato dallo schema di decreto sulle specifiche misure tecniche e organizzative per i trattamenti di dati personali nell\u2019IT-Wallet. Su questo atto il Garante ha espresso, con provvedimento n. 631 del 23 settembre 2026, un altro parere favorevole. Lo schema prevede, tra l\u2019altro, che i verificatori documentino per ciascun servizio la necessit\u00e0 e proporzionalit\u00e0 degli attributi richiesti, le relative basi giuridiche e i tempi di conservazione; dedica particolare attenzione alla separazione logica dei dati e alla prevenzione di correlazioni, profilazioni e trattamenti ulteriori non autorizzati. <\/p>\n\n\n\n

Il dato conferma un problema gi\u00e0 emerso a proposito dell\u2019EUDI Wallet. Il controllo dell\u2019utente e la verificabilit\u00e0 tecnica non garantiscono, da soli, la minimizzazione. Questa dipende anche dalla distribuzione delle informazioni fra gli attori, dal numero e dalla granularit\u00e0 degli attributi richiesti e dall\u2019impossibilit\u00e0, per un singolo soggetto, di ricostruire l\u2019intero percorso di emissione, conservazione, presentazione e verifica dell\u2019attestazione. \u00c8 proprio quest\u2019ultimo rischio che il Garante individua fra quelli che le misure progettuali devono evitare.<\/p>\n\n\n\n

5. Dal diritto verificabile all\u2019infrastruttura che lo rende affidabile<\/h2>\n\n\n\n

Il Regolamento AgID non costituisce attuazione dell\u2019ESSPASS o dello Skills Portability Act esaminati nel precedente contributo. Il suo fondamento si trova nell\u2019articolo 64-quater del Codice dell\u2019Amministrazione Digitale e, pi\u00f9 direttamente, nel decreto del 17 giugno 2026 sulle Linee guida e sulla sperimentazione, mentre il decreto del 19 marzo disciplina compiti, servizi e diversi aspetti organizzativi del Sistema IT-Wallet. La disciplina nazionale \u00e8, tuttavia, destinata a evolvere in coordinamento con il quadro europeo dell\u2019identit\u00e0 digitale: il Regolamento stesso prevede, per chi prosegua l\u2019attivit\u00e0 dopo la sperimentazione, l\u2019adeguamento della soluzione IT-Wallet al modello EUDI Wallet ove previsto. <\/p>\n\n\n\n

Il collegamento con il precedente articolo \u00e8 quindi concettuale, non una successione normativa. Se il primo problema era comprendere come un diritto, uno status o una qualifica possano essere rappresentati mediante un\u2019attestazione verificabile, il nuovo provvedimento rende visibile l\u2019infrastruttura di soggetti, registri, controlli, standard e responsabilit\u00e0 dalla quale quella verificabilit\u00e0 dipende. <\/p>\n\n\n\n

La fiducia digitale non \u00e8 una propriet\u00e0 della singola credenziale. \u00c8 il risultato di un\u2019architettura giuridica e tecnica che deve rendere affidabile l\u2019intero percorso attraverso il quale la credenziale viene prodotta, utilizzata e verificata. Lo Spazio di Sperimentazione aggiunge un elemento ulteriore: l\u2019architettura \u00e8 ancora in una fase nella quale l\u2019esperienza tecnica pu\u00f2 concorrere alla sua evoluzione regolatoria. Proprio per questo sar\u00e0 importante osservare non soltanto quali servizi entreranno nell\u2019IT-Wallet, ma anche come e con quali garanzie le conoscenze ricavate dalla sperimentazione verranno trasformate in regole destinate all\u2019intero sistema. <\/p>\n\n\n\n

Fonti e riferimenti essenziali <\/h2>\n\n\n\n
    \n
  • Agenzia per l\u2019Italia Digitale, determinazione n. 164\/2026 del 23 ottobre 2026 e allegato Regolamento recante le modalit\u00e0 di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione<\/strong>, versione 1.0.  <\/li>\n<\/ul>\n\n\n\n
      \n
    • Decreto 17 giugno 2026, Approvazione delle Linee guida del Sistema IT-Wallet e regole per la sperimentazione<\/strong>, G.U. Serie generale n. 169 del 23 luglio 2026.  <\/li>\n<\/ul>\n\n\n\n
        \n
      • Decreto 19 marzo 2026, Disciplina del Sistema IT-Wallet e dei relativi servizi ai sensi dell\u2019articolo 64-quater, comma 5, del decreto legislativo 7 marzo 2005, n. 82<\/strong>, G.U. Serie generale n. 178 del 3 agosto 2026.  <\/li>\n<\/ul>\n\n\n\n
          \n
        • Garante per la protezione dei dati personali, provvedimento n. 580 del 6 agosto 2026, Parere sullo schema di regolamento AgID recante le modalit\u00e0 di registrazione al Sistema IT-Wallet e la presentazione di progetti di sperimentazione<\/strong>, doc. web n. 10286736.  <\/li>\n<\/ul>\n\n\n\n
            \n
          • Garante per la protezione dei dati personali, provvedimento n. 631 del 23 settembre 2026, Parere sullo schema di decreto relativo alle misure tecniche e organizzative per i trattamenti di dati personali nell\u2019ambito del Sistema IT-Wallet<\/strong>, doc. web n. 10302261.  <\/li>\n<\/ul>\n\n\n\n
              \n
            • Regolamento (UE) 2024\/1183 dell\u201911 aprile 2024, che modifica il regolamento (UE) n. 910\/2014 per quanto riguarda l\u2019istituzione del quadro europeo relativo a un\u2019identit\u00e0 digitale; regolamento di esecuzione (UE) 2024\/2981 della Commissione del 28 novembre 2024 sulla certificazione dei portafogli europei di identit\u00e0 digitale. <\/li>\n<\/ul>\n\n\n\n
                \n
              • S. Ranchord\u00e1s, Experimental Regulations and Regulatory Sandboxes: Law without Order?<\/strong>, Law and Method<\/em>, 2021, pp. 1-23, DOI 10.5553\/REM\/.000064. <\/li>\n<\/ul>\n\n\n\n
                  \n
                • M. Farina, Non solo identit\u00e0 digitale: nell\u2019EUDI Wallet entrano diritti, status e qualifiche<\/strong>, ICT4Law&Forensics, 12 ottobre 2026.  <\/li>\n<\/ul>\n\n\n\n

                  Di Massimo Farina<\/strong>
                   Professore Associato di Informatica Giuridica presso il Dipartimento di Ingegneria Elettrica e Elettronica (DIEE) dell\u2019Universit\u00e0 di Cagliari. Responsabile della protezione dei dati personali (RPD), ai sensi dell\u2019articolo 37 del Regolamento UE 2016\/679, dell\u2019Ateneo Cagliaritano e Coordinatore del \u201cICT4Law&Forensics Lab\u201d. Abilitato alle funzioni di Professore di prima fascia per il settore concorsuale 12 H3 (Filosofia del diritto \u2013 GIUR-17\/A ). Avvocato del Foro di Cagliari abilitato al patrocinio davanti alle Giurisdizioni Superiori.<\/p>\n","protected":false},"excerpt":{"rendered":"

                  Il 23 ottobre 2026 l\u2019Agenzia per l\u2019Italia Digitale (AgID) ha adottato, con determinazione n. 164\/2026, il Regolamento recante le modalit\u00e0 di registrazione al Sistema IT-Wallet e presentazione dei progetti di sperimentazione. Il provvedimento, previsto dall\u2019articolo 6, […]<\/p>\n","protected":false},"author":9973,"featured_media":1464,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[50],"tags":[34,65,66,131,15,63],"class_list":["post-1462","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-approfondimenti","tag-cyber","tag-digitalidentity","tag-id","tag-idwallet","tag-sicurezza","tag-wallet"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1462","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/9973"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1462"}],"version-history":[{"count":2,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1462\/revisions"}],"predecessor-version":[{"id":1465,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1462\/revisions\/1465"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1464"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1462"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1462"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1462"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}