Digital identity: opportunità da non perdere

L’affermazione a livello nazionale di un sistema di Digital Identity è un fenomeno inevitabile per l’intero ecosistema dei Financial Services. Come aspirare a un ruolo primario nel disegno e nella definizione della governance del framework.

La Digital Identity da qualche anno è tra i temi di innovazione più discussi, ma è ancora ampiamente aperto il dibattito su quali caratteristiche e quale governance possa avere un sistema di identità digitale. Vi è invece sostanziale accordo sul fatto che i principali obiettivi di un sistema di identità digitale siano l’affidabilità e la portabilità dei dati relativi all’identità di un individuo. L’affidabilità, intesa come possibilità di identificare con certezza un soggetto e di accedere a informazioni attendibili sulla sua identità, è il perno centrale attorno a cui ruota un sistema di identità. La portabilità, ovvero il numero di controparti che ne accettino la validità, è invece la leva di attivazione del circolo virtuoso che promuove la diffusione della Digital Identity come standard riconosciuto, incrementando sia l’attrattiva per tutti i partecipanti al sistema, sia la qualità complessiva delle informazioni circolanti.

Dati questi obiettivi, Banche e Assicurazioni emergono quali naturali candidati per ricoprire un ruolo centrale nell’introduzione e nella governance di un sistema di identità digitale, poiché dispongono in partenza di un ampio patrimonio di identità di clienti già verificate e sono percepite a livello sistemico come attori sicuri e affidabili. Quello che dobbiamo chiederci, a questo punto, è se esista la necessità concreta di un sistema nazionale di identità digitale da parte dei Financial Services e, in caso affermativo, quali modelli operativi possano essere ipotizzati. La risposta alla prima domanda lascia pochi dubbi: abbiamo visto un concreto interesse da parte dell’intero ecosistema, allettato dalla prospettiva di beneficiare di una maggiore efficienza nei processi di onboarding e di una migliore sicurezza nell’accertamento dell’identità delle controparti. I processi di identificazione della clientela, infatti, sono oggi mediamente inefficienti e gravosi, con alti margini di miglioramento dal punto di vista della qualità e dell’aggiornamento dei dati. Inoltre, considerando anche la ripetitività del processo di raccolta di informazioni su un medesimo soggetto (a livello sia di singola entità, sia di settore), appare evidente la convenienza per l’intero ecosistema di poter accedere a un’unica fonte di dati verificati e aggiornati.​

Questi aspetti, pur rappresentando il principale incentivo verso un sistema di Digital Identity, sollevano allo stesso tempo alcune sfide: la standardizzazione delle informazioni, la compliance normativa e la liability. 
Concordare un certo grado di standardizzazione delle informazioni a livello di ecosistema è la condizione necessaria per poter utilizzare i dati verificati da un altro partecipante al framework. Può sembrare un problema facilmente superabile se pensiamo ai dati di base associati a un’identità (es. i dati anagrafici), ma le difficoltà aumentano se vogliamo omogeneizzare ulteriori informazioni con cui arricchire il “set minimo” di dati (es. dati su occupazione, reddito, ecc.).

Un altro ostacolo significativo nasce dalla necessità di garantire la compliance ai requisiti normativi, che richiedono l’esecuzione di specifici controlli su alcuni dati associati all’identità (es. per verificare se il soggetto sia una Persona Politicamente Esposta o compaia in una black list). Emerge in questo caso una forte contrarietà da parte del settore rispetto all’idea di delegare ad altri soggetti le attività di verifica del dato, se non nell’ipotesi di una esplicita previsione del Regolatore.
Un altro aspetto potenzialmente critico, infine, concerne la definizione puntuale e preventiva di regole di copertura/immunizzazione del sistema in caso di comportamenti fraudolenti, con chiara allocazione delle responsabilità tra i diversi attori coinvolti.​

Per quanto riguarda i modelli operativi da mettere in atto, uno degli scenari possibili vede l’introduzione del sistema di identità digitale da parte di un consorzio di attori dell’ecosistema dei Financial Services, che raggiungano un accordo su un set “minimo” di dati associati all’identità e valutino gradualmente la possibilità di estendere tale set, eventualmente affidando a una utility di ecosistema il compito di raccogliere e certificare le informazioni più problematiche, con il benestare del Regolatore.

Un altro scenario da non trascurare potrebbe invece riguardare l’integrazione nell’ecosistema dei Financial Services di SPID, l’attuale schema nazionale di identità digitale, già da qualche anno utilizzabile per l’accesso a servizi della P.A. ma non ancora ampiamente diffuso (conta circa. 3,6 mln di identità a febbraio 2019). Banche e Assicurazioni, in questo caso, dovrebbero valutare se utilizzare i propri canali per il rilascio di credenziali SPID, sfruttando le identificazioni già effettuate ma avvalendosi di Identity Provider (IP) terzi per la creazione delle Identità. Alternativamente, potrebbero valutare l’obiettivo più ambizioso, ma tecnicamente e normativamente più complesso, di pervenire all’accettazione delle credenziali SPID nei propri sistemi o alla conversione delle credenziali bancarie/assicurative in credenziali SPID.​

Indipendentemente dal modello operativo scelto, tuttavia, è fondamentale adottare un approccio sistemico e ottenere l’endorsement del Regolatore. L’approccio sistemico è decisivo affinché l’insieme di utenti già identificati a livello di ecosistema possa essere convertito in un insieme di identità digitali immediatamente fruibili a livello nazionale. Questo costituirebbe il primo passo per l’avvio di quel circolo virtuoso, auto-alimentante, in grado di richiamare nuovi fornitori di servizi e nuovi utenti.
In parallelo, la proposta dell’ecosistema sui contenuti informativi da integrare nell’identità e sulle relative modalità di raccolta/condivisione deve essere condivisa con i Regolatori rilevanti (es. Banca d’Italia, IVASS, Garante Privacy, AGID), affinché l’evoluzione normativa possa essere non un ostacolo, bensì una leva a supporto dello sviluppo disciplinato e lungimirante del sistema di identità digitale.​

È opportuno, infine, che il tema dell’identità digitale sia affrontato non solo in termini di potenziale ritorno economico dell’adozione, bensì in termini di scenari potenziali cui l’intero ecosistema andrebbe incontro nel caso in cui dovesse rinunciare allo sviluppo del framework. È evidente, infatti, il fermento a livello internazionale e la possibilità che, in un futuro non troppo remoto, si affermino sistemi di identità governati da entità appartenenti ad altri settori (es. i “giganti” dell’e-commerce o dei social media). Se l’ecosistema dei Financial Services dovesse fallire nell’assumere da subito un ruolo trainante nel disegno e nella diffusione del sistema di identità digitale, correrebbe il rischio di non poterne più governare le traiettorie di sviluppo. L’ecosistema si troverebbe a “subire” le scelte di altri attori e perderebbe la possibilità di sfruttare l’identità digitale come una leva a supporto del rafforzamento e dello sviluppo del proprio business.