di Roberto Pezzali  - 

06/08/2026 14:03 0

Dal 3 agosto 2026 il Sistema IT-Wallet non è più solo una norma: è ufficialmente operativo, con un rilascio graduale delle funzionalità. Ecco quali documenti arrivano o arriveranno sul telefono, chi deve adeguarsi entro quali scadenze e quali nodi restano ancora da sciogliere.

Per una volta l'Italia è all'avanguardia, tra i Paesi europei, su un qualcosa di prettamente digitale. IT-Wallet, il portafoglio digitale con cui lo Stato italiano vuole permettere ai cittadini di tenere sullo smartphone documenti e certificati e di mostrarli online o di persona, senza doverli stampare o allegare in copia, è finalmente operativo.

Se ne parla da marzo 2024, quando è nato per legge, è stato usato in questi anni per la patente e per altri documenti, ma solo ora la piattaforma può dire di aver avuto il battesimo ufficiale e di essere perfettamente operativa grazie alla pubblicazione in Gazzetta Ufficiale dei due decreti attuativi.

IT Wallet non è un'applicazione, ma un componente che vive dentro l'app IO, quell'applicazione che da anni la pubblica amministrazione ha trasformato nel punto di contatto tra lei e il cittadino, un qualcosa di semplice da usare, sempre in tasca e perfettamente versatile.

Da dicembre 2024 IO permette di conservare la versione digitale di alcuni documenti personali, come patente e tessera sanitaria, ma da oggi, ed è solo l'inizio di un lungo percorso, può fare qualcosa in più: fornire ad aziende e pubbliche amministrazioni le informazioni necessarie per accedere ai servizi, questo sotto forma di attestati elettronici verificabili alla fonte.

In poche parole, ogni certificato, ogni tessera e ogni tipo di riconoscimento che fino ad oggi transitava come "carta" potrà diventare digitale e avrà lo stesso valore.

I documenti che arriveranno nel wallet

Le Linee Guida dei decreti indicano quali attestati elettronici il sistema dovrà rendere disponibili, anche se è bene chiarire che ogni documento arriverà solo quando la fonte ufficiale che lo custodisce (l'INPS per l'ISEE, l'ANPR per i dati anagrafici, e così via) sarà collegata tecnicamente al sistema.

Per semplicità abbiamo redatto una tabella in base alle indicazioni dei decreti.

Documento	A che punto siamo	Cosa cambia in pratica
Patente di guida	Già disponibile nell'app IO	Si mostra da un terminale via Bluetooth o NFC, niente più copia cartacea
Tessera sanitaria	Già disponibili	Verificabili online direttamente dalla fonte ufficiale
Carta europea della disabilità	Già disponibile	Utilizzabile online o mostrata digitalmente presso uffici e trasporti
Documento di identità con fotografia	Rilasciato da IPZS dopo autenticazione con CIEid	Riconoscimento della persona tramite attestato verificabile, non con la foto del documento
Certificato di residenza	Atteso tra settembre e ottobre 2026	Niente più stampa o richiesta separata allo sportello
Titolo di studio	Atteso tra settembre e ottobre 2026, legato al collegamento con ANIST	Verificabile alla fonte, senza scansioni o autocertificazioni
Titolo accademico	Tra le priorità della sperimentazione	Utilizzabile per concorsi, iscrizioni, selezioni
ISEE	Fase successiva, alimentato dai dati INPS	Non serve più scaricare e consegnare l'attestazione ogni volta
Iscrizione alle liste elettorali	Tra gli attestati prioritari	Verificabile direttamente dalla fonte pubblica
Attestazione di maggiore età	Prevista, senza data precisa	Dimostra di avere l'età richiesta senza rivelare tutti i dati anagrafici
Deleghe registrate	Prevista, senza calendario definito	Il verificatore controlla online validità e limiti della delega

La vera novità del decreto è l'introduzione del concetto di fonte autentica, che identifica chi, invece di limitarsi a leggere i dati dell'IT-Wallet, li può fornire al sistema.

Facciamo un esempio: se un Comune diventa fonte autentica per il certificato di residenza, significa che è lui a "caricare" quel dato, in modo che chiunque lo richieda in seguito, un altro ente o un'azienda, lo trovi già disponibile e verificato, senza dover chiedere al cittadino di procurarselo e allegarlo di persona.

In poche parole, se per accedere a una determinata agevolazione serve un certificato, l'INPS potrà richiederlo direttamente in digitale all'ente che lo rilascia, senza che sia l'utente a doverlo scaricare, o andare a richiedere in comune e poi caricarlo. Meno passaggi, meno burocrazia.

Chi deve fare questo passaggio, e da quando? Sono tre le categorie coinvolte: le pubbliche amministrazioni, i gestori di servizi pubblici (comprese le società quotate in Borsa) e le società a controllo pubblico non quotate. Per tutte e tre, diventare fonte autentica non è facoltativo: è un obbligo, con scadenza fissata al 3 agosto 2027, cioè dodici mesi dopo l'entrata in vigore del decreto.

Le aziende private, invece, non hanno nessun obbligo: possono registrarsi già da subito, ma solo se vogliono, sia per diventare a loro volta fonti autentiche sia semplicemente per accettare l'IT-Wallet come strumento di accesso ai propri servizi online.

Nel caso in cui il certificato digitale venga presentato da una persona ad uno sportello, per esempio quando un documento con foto viene usato per riconoscere l'utente, sarà l'Istituto Poligrafico della Zecca a generare quell'attestato e lo farà solo dopo che un utente si è autenticato con il livello di sicurezza più alto previsto dal sistema, ovvero il CIEid della carta di identità elettronica. Dal 3 febbraio 2028, diciotto mesi dalla pubblicazione del decreto, ci sarà un miglioramento della piattaforma: l'IPZS potrà rilasciare gli attestati di identificazione personale anche verificando l'utente con la Carta d'identità elettronica fisica e non solo attraverso CIEid.

In poche parole gli attestati generati dall'IT-Wallet all'interno dell'app IO non hanno bisogno di ulteriori controlli quando una persona li presenta a qualcuno: autenticarsi con l'IT-Wallet vale, a tutti gli effetti, come autenticarsi con SPID o con la CIE.

Chi riceve l'attestato, un ente pubblico, o un'azienda può quindi fidarsi senza dover rifare da capo i controlli, perché la verifica è già stata fatta a monte, al momento in cui il poligrafico ha generato il documento.

Due nodi che restano aperti: la sicurezza e Play Integrity

Ci sono due nodi che restano aperti, e il primo è chi controlla chi. Normalmente, un soggetto che vuole entrare nel sistema IT-Wallet, che sia un ente pubblico o un'azienda privata, deve passare da una procedura di accreditamento: presenta la domanda, dimostra di rispettare i requisiti tecnici e di sicurezza e solo dopo una verifica di questi requisiti viene ammesso. PagoPA no: il decreto del 19 marzo la iscrive di diritto al sistema, cioè le riconosce automaticamente il ruolo che le spetta, senza doverlo prima dimostrare tramite quella stessa procedura.

Da un certo punto di vista ci sta: PagoPA è il soggetto pubblico che di fatto progetta l'infrastruttura e chiederle di accreditarsi presso il sistema che sta realizzando lei stessa avrebbe poco senso. Ma la domanda che resta aperta è un'altra: il sistema IT-Wallet deve rispettare standard di sicurezza informatica molto stringenti e se salta il passaggio di accreditamento, che serve proprio a verificare quei requisiti in anticipo, chi ci dà la certezza che PagoPA li rispetti?

C'è poi una questione più tecnica che riguarda l'app IO, il contenitore che oggi ospita l'IT-Wallet: su Android l'app usa la Play Integrity API di Google per verificare che il dispositivo non sia stato manomesso prima di lasciar caricare un documento come la patente, e se oggi è solo la patente, domani saranno centinaia i documenti e i certificati che senza Play Integrity non funzioneranno.

Il problema è che il requisito di Play Integrity esclude di fatto i sistemi operativi Android alternativi e orientati alla privacy, come GrapheneOS, anche se spesso questi sistemi offrono garanzie di sicurezza superiori a quelle di un Android standard. Secondo gli utenti tagliati fuori e gli sviluppatori di GrapheneOS, un documento d'identità digitale dovrebbe poter essere verificato in base a standard aperti, non essere condizionato dalle scelte commerciali di un singolo fornitore di sistema operativo, in questo caso Google. Al momento, però, chi ha sviluppato il componente Wallet e l'app IO non sembra volerci sentire.

© riproduzione riservata

Resta aggiornato sugli ultimi articoli di DDay.it

Mercato

0 Commenti

Copyright © 2026 DDay.it - Scripta Manent servizi editoriali srl - Tutti i diritti sono riservati - P.IVA 11967100154