AgID ha pubblicato il regolamento operativo per la sperimentazione di IT-Wallet per i soggetti privati. Ecco i requisiti tecnici e come le software house possono accedere all'ambiente di test.
Il 23 ottobre 2026 l'Agenzia per l'Italia Digitale (AgID) ha pubblicato il regolamento IT-Wallet AgID sperimentazione, un documento operativo di 31 pagine che disciplina l'accesso al sistema per i soggetti privati. La novità riguarda direttamente le software house, i gestori di sistemi ERP e le imprese che integrano nei propri applicativi sistemi di identità digitale. Per prepararsi a questo standard, le aziende devono definire il proprio ruolo tecnico, verificare i requisiti architetturali e richiedere l'accesso agli ambienti di collaudo gestiti dall'Istituto Poligrafico e Zecca dello Stato (IPZS).
I ruoli tecnici nel regolamento IT-Wallet AgID sperimentazione
Il provvedimento, che attua l'articolo 64-quater del Codice dell'Amministrazione Digitale, definisce tre ruoli principali ammessi alla registrazione:
- Fornitori di soluzioni di IT-Wallet private: soggetti che sviluppano e gestiscono portafogli digitali privati, alternativi o complementari a quello pubblico (integrato nell'app IO e sviluppato da PagoPA S.p.A.).
- Fornitori di attestati elettronici di attributi: entità che estraggono dati da fonti autentiche e rilasciano attestazioni digitali standard firmate elettronicamente.
- Verificatori di Attestati Elettronici (relying party): software house, banche e imprese che integrano i controlli nei propri applicativi di servizio.
L'ambiente di collaudo e l'impatto sui software gestionali
La sperimentazione avviene nello "Spazio di Sperimentazione IT-Wallet", una sandbox controllata e supervisionata da AgID, Agenzia per la Cybersicurezza Nazionale (ACN) e Dipartimento per la trasformazione digitale (DTD). I test utilizzano esclusivamente dati sintetici, non riconducibili a cittadini reali.
L'integrazione di IT-Wallet segna il passaggio dall'autenticazione statica basata su SPID e CIE alla verifica dinamica di attributi certificati alla fonte. I software che gestiscono procedure di onboarding, firme contrattuali, abilitazioni professionali, controlli antiriciclaggio e noleggi dovranno adeguarsi a questo standard di interoperabilità, basato sulle specifiche europee eIDAS 2 (Regolamento UE 2024/1183).
Il passaggio al sistema di attestati elettronici rappresenta un vantaggio diretto per la conformità al Regolamento Generale sulla Protezione dei Dati (GDPR). Minimizzando i dati raccolti ed eliminando i database contenenti le copie fisiche dei documenti di identità, le aziende riducono drasticamente l'esposizione in caso di violazione dei dati, limitandosi a verificare attributi puntuali (es. la maggiore età o la validità di una patente).
Requisiti di sicurezza e documentazione
Per accedere alla sperimentazione, la documentazione vincolante prevede la presentazione di una "relazione tecnica". Questo documento deve comprovare:
- I requisiti di sicurezza logica e architetturale del software.
- La conformità alle specifiche europee eIDAS 2.
- L'idoneità organizzativa e l'onorabilità dei vertici aziendali.
- La presenza di un'adeguata copertura assicurativa per il rischio professionale.
Cosa fare per accedere alla sperimentazione
Le aziende che sviluppano o integrano software devono seguire questi passaggi per avviare la fase di test:
- Analizzare il ruolo applicativo: stabilire formalmente se l'azienda opererà come verificatore (convalidando attributi presentati dagli utenti) o se svilupperà un componente portafoglio proprietario.
- Richiedere le credenziali di test: i fornitori tecnici possono domandare l'accesso all'ambiente di collaudo a IPZS inviando una comunicazione via PEC all'indirizzo
identitadigitale@pec.ipzs.it. - Predisporre l'istanza AgID: preparare la relazione tecnica di sicurezza, verificare il possesso dei requisiti assicurativi e inviare l'istanza formale di "Registrazione al Sistema IT-Wallet" via PEC ad AgID (in attesa dell'attivazione della piattaforma telematica dedicata).
- Verificare l'architettura software: controllare che gli applicativi web ed ERP siano pronti per gestire flussi basati su attestati elettronici e API, evitando riscritture architetturali dell'ultimo minuto.
