Una moneta rubata può tornare: un’identità trapelata no

Abbiamo già visto una alternativa simile manifestarsi in passato. Quando i regolatori hanno imposto ai siti web di ottenere il consenso, hanno indicato l’obiettivo senza prescrivere la tecnica, e il mercato ha risposto con il cookie banner: il pop-up che si chiude centinaia di volte alla settimana senza essere letto.

Crypto ha riprodotto lo stesso schema: carica il tuo ID ovunque. Una copia del passaporto in centinaia di basi dati, che tutela quasi nessuno e arricchisce chi riesce a violare anche la più debole di esse.

Ma questo è solo la prova generale. Il internet che conosciamo si sta ricostruendo intorno a software che agiscono per conto delle persone, e la distinzione familiare tra bot e human comincia a sfumare. Sta emergendo una terza categoria: agenti verificati che operano, con autorizzazione, per conto di individui reali.

Questi agenti muoveranno denaro e dovranno dimostrare in tempo reale e ad alto volume di essere autorizzati e quali azioni sono loro consentite. Se erediteranno il modello attuale, trascinando l’identità completa del proprietario attraverso ogni servizio che toccano, non avremo pochi punti sensibili da proteggere: avremo miliardi di honeypot, continuamente aggiornati e sempre esposti.

$320 milioni torneranno molto probabilmente indietro. Gli indirizzi, i documenti e i volti invece no. La lezione delle ultime settimane non è che servano muri più alti attorno ai dati che accumuliamo: è che stiamo immagazzinando informazioni che non avremmo dovuto raccogliere.

Esiste già tecnologia per dimostrare diritti e autorizzazioni senza cedere dati sensibili: soluzioni provable, private e portabili, basate su concetti come zero-knowledge proofs e verifiable credentials. Queste permettono di provare fatti — ad esempio l’autorizzazione a effettuare una transazione — senza rivelare l’identità completa del titolare.

La questione cruciale è quindi politica e tecnica: i regolatori e gli operatori di mercato devono scegliere se standardizzare e incentivare modelli di identità che preservino la privacy, oppure lasciare che il prossimo ecosistema digitale si costruisca intorno a dati personali massivi e centralizzati. La prima opzione richiede interventi normativi mirati, investimenti nella standardizzazione e un cambio di paradigma nelle pratiche di compliance.

Dal punto di vista economico, la transizione verso credenziali verificabili e privacy-preserving rappresenta un’opportunità per imprese e sviluppatori europei: chi offrirà soluzioni interoperabili e sicure potrà guidare un mercato in crescita, riducendo al contempo i rischi reputazionali e i costi legati alle violazioni dei dati per banche, fintech e piattaforme digitali.

Verso un’architettura digitale meno invasiva

Per evitare che il modello del passato si ripeta su scala molto più ampia serve una strategia in più livelli: regole che definiscano prove minimali di identità, incentivi regolatori per l’adozione di tecnologie crittografiche avanzate, e strumenti di governance che permettano agli utenti di gestire i propri attributi digitali in modo portabile.

In assenza di questi cambiamenti, il rischio è duplice: aumenteranno i costi per gli operatori che dovranno proteggere enormi quantità di dati sensibili, e crescerà la vulnerabilità sistemica dell’intero ecosistema digitale. Per i cittadini significa maggior esposizione e per l’economia europea un freno alla fiducia digitale e all’innovazione nel settore finanziario e dei servizi.

In sintesi

• La diffusione di agenti software autorizzati rivoluzionerà la domanda di soluzioni di identità digitale: gli investitori dovrebbero monitorare le startup che sviluppano zero-knowledge proofs e verifiable credentials come opportunità strategiche.
• Se le piattaforme mantenessero il modello attuale, i costi di compliance e assicurazione per le imprese cresceranno, rendendo più costosa la gestione dei servizi digitali per il mercato italiano ed europeo.
• Una politica regulatorie proattiva in ambito GDPR e identità digitale potrebbe trasformarsi in vantaggio competitivo per l’Europa, promuovendo soluzioni interoperabili che riducono il rischio sistemico e difendono la sovranità dei dati.