L’Italia riduce il divario digitale con l’Europa, mentre l’AI cambia i sistemi di autenticazione: non basta più verificare chi accede a un servizio, occorre valutarne il rischio durante l’intera interazione. È il nuovo scenario delineato da Deloitte in vista di WeSec, il Salone della Sicurezza promosso da ABI. Sullo sfondo l’arrivo dell’EUDI Wallet e una competizione destinata a coinvolgere banche, pubbliche amministrazioni e piattaforme tecnologiche.
Nel 2025 14 milioni di italiani hanno effettuato pagamenti attraverso smartphone o dispositivi wearable, il 40% in più rispetto all’anno precedente. Nello stesso periodo i pagamenti digitali hanno raggiunto 518 miliardi di euro e gli acquisti online 62,8 miliardi. Sono numeri che fotografano un cambiamento ormai entrato nella vita quotidiana, ma raccontano soltanto la parte più visibile della trasformazione. Sotto la superficie dei pagamenti elettronici e dei servizi online sta cambiando l’architettura attraverso la quale dimostriamo chi siamo e autorizziamo una transazione.
È il tema al centro di “Identità Digitale, Intelligenza Artificiale e Fiducia by Design”, terzo report realizzato da Deloitte nell’ambito delle attività come Knowledge Partner della prima edizione di WeSec – Il Salone della Sicurezza, promosso da ABI e in programma a Milano il 22 e 23 settembre. L’appuntamento riunirà rappresentanti istituzionali ed esperti di sicurezza, geopolitica, intelligenza artificiale e infrastrutture.
La tesi dello studio è che identità digitale e AI stiano diventando due componenti della stessa infrastruttura. La prima certifica persone, credenziali e autorizzazioni. La seconda permette di interpretare ciò che accade durante l’interazione, valutando in tempo reale comportamenti, anomalie e livelli di rischio. L’identità smette così di essere una chiave utilizzata soltanto all’ingresso di un servizio e diventa un elemento permanente della relazione digitale.
«Identità digitale e intelligenza artificiale si configurano come architetture sempre più complementari e interdipendenti», afferma Luigi Capitanio, Strategy and Business Design Leader di Deloitte Emea. La prima, spiega, garantisce fiducia, sicurezza e interoperabilità, mentre l’AI permette di passare «da una logica di semplice verifica a una valutazione dinamica del rischio in tempo reale». Per le organizzazioni, la capacità di combinare tecnologie, dati e governance può trasformare la sicurezza da costo necessario a vantaggio competitivo.
L’Italia recupera terreno sul digitale
Il cambiamento poggia su una base tecnologica molto diversa rispetto a quella di dieci anni fa. Tra il 2015 e il 2025 la quota degli italiani che utilizzano stabilmente Internet è cresciuta a un tasso medio annuo del 3,3%, quasi il doppio dell’1,7% registrato nella media EU20. Il divario, che all’inizio del periodo raggiungeva 14 punti percentuali, è sceso sotto i quattro. La connettività domestica è praticamente allineata: riguarda il 94,1% delle famiglie italiane contro il 94,5% europeo.
La trasformazione è evidente anche nel tessuto produttivo. Nel 2025 il 79,5% delle PMI italiane aveva raggiunto almeno un livello base di intensità digitale, rispetto al 72,8% della media EU20. Fatturazione elettronica, cloud e incentivi agli investimenti hanno contribuito a spingere questo processo.
Rimane però una frattura significativa nei rapporti con la Pubblica Amministrazione. Soltanto il 43,5% degli italiani utilizza servizi pubblici online, mentre la media EU20 arriva al 66,7%. La distanza indica uno dei terreni sui quali gli investimenti realizzati negli ultimi anni devono ancora tradursi in un cambiamento altrettanto profondo nelle abitudini degli utenti.
«La fiducia nelle interazioni è il prerequisito fondamentale per garantire la stabilità e lo sviluppo responsabile dei mercati digitali», osserva Manuel Pincetti, Managing Partner di Monitor Deloitte. Per valorizzare gli investimenti compiuti, aggiunge, occorre mettere insieme infrastrutture resilienti, gestione dei dati, interoperabilità e sicurezza, accompagnando comportamenti di consumo ormai fortemente orientati al digitale.
Dodici milioni di italiani hanno già usato la CIE online
L’identità elettronica è uno dei punti di incontro fra queste trasformazioni. Secondo i dati diffusi da Deloitte insieme allo studio, circa 12 milioni di persone hanno utilizzato la Carta d’Identità Elettronica per effettuare almeno un accesso online negli ultimi dodici mesi. SPID e CIE hanno costruito negli anni un’infrastruttura sulla quale poggia una parte crescente dei servizi pubblici e privati. Il report indica oltre 60 milioni di Carte d’Identità Elettroniche emesse e circa 50 mila nuove identità SPID rilasciate settimanalmente.
Il cambiamento più significativo riguarda però ciò che può accadere dopo l’identificazione. Nel settore bancario il digital onboarding consente già di aprire un rapporto a distanza integrando identificazione, controlli KYC e antiriciclaggio, acquisizione del consenso e firma elettronica. La filiale fisica cessa così di essere un passaggio obbligato per operazioni che possono essere completate interamente online.
Il prossimo passaggio si chiama EUDI Wallet
La nuova architettura europea dell’identità prende forma con eIDAS 2.0 e l’European Digital Identity Wallet. L’EUDI Wallet estende il concetto di identità elettronica oltre la semplice autenticazione: all’interno del portafoglio potranno essere conservati documenti, patente, titoli di studio, certificazioni e altre attestazioni verificabili.
Il punto più interessante riguarda il controllo dei dati. Attraverso la selective disclosure l’utente potrà comunicare soltanto le informazioni richieste per una determinata operazione. Non sarà quindi sempre necessario consegnare l’intero documento o l’intero insieme di dati personali per dimostrare il possesso di un singolo requisito. Il modello trasferisce una parte maggiore del controllo dall’intermediario alla persona.
La tabella di marcia europea rende il dossier immediato. Il report indica dicembre 2026 come termine entro il quale ogni Stato membro dovrà mettere a disposizione almeno un EUDI Wallet. Entro dicembre 2027 banche, istituti di pagamento e compagnie assicurative saranno tenuti ad accettarlo per identificazione e autenticazione.
Per le banche l’obbligo normativo apre una partita commerciale. Una volta verificata, l’identità potrebbe essere riutilizzata all’interno di un ecosistema di servizi senza costringere il cliente a ripetere ogni volta gli stessi controlli. Gli operatori potrebbero assumere ruoli diversi, dalla semplice accettazione del Wallet fino all’emissione e certificazione di attributi, cercando di presidiare quello che il report definisce il layer di fiducia dell’economia digitale.
L’AI passa dalla verifica alla valutazione
È su questa infrastruttura che l’intelligenza artificiale cambia le regole della sicurezza.
Un sistema tradizionale deve stabilire se le credenziali presentate corrispondano a un determinato utente. I modelli AI possono invece analizzare contemporaneamente identità, comportamento, dispositivo, caratteristiche dell’operazione e segnali anomali. La domanda non è più soltanto “chi sei?”, ma “quanto è affidabile quello che stai facendo in questo momento?”.
Computer Vision e Natural Language Processing automatizzano la verifica documentale durante l’onboarding. I sistemi di anomaly detection cercano comportamenti compatibili con una compromissione dell’account. La continuous authentication mantiene la valutazione attiva nel tempo invece di concentrarla esclusivamente nel momento dell’accesso. Nel banking entrano inoltre biometria multimodale, KYC e AML in tempo reale, firma elettronica e modelli predittivi in grado di aggiornare dinamicamente il profilo di rischio.
L’impatto può essere misurato. Uno studio citato da Deloitte, realizzato su oltre 1,85 milioni di transazioni bancarie, mostra che un modello di machine learning ha permesso di ridurre del 54% i falsi positivi rispetto a un sistema tradizionale basato su regole statiche, con un risparmio operativo stimato intorno ai 200 mila euro. Ridurre i falsi positivi significa evitare che una transazione perfettamente legittima venga bloccata come sospetta. È un dettaglio tecnico con conseguenze commerciali immediate: meno verifiche inutili, meno operazioni interrotte e una customer experience più fluida. La sicurezza diventa così parte del processo di acquisizione e fidelizzazione del cliente.
Quando a comprare è un agente artificiale
L’AI agentica sposta ancora più avanti il problema. Gli Agenti AI possono interpretare un obiettivo, pianificare una sequenza di operazioni e utilizzare strumenti esterni per eseguirla. In prospettiva un agente potrebbe cercare un prodotto, confrontare prezzi e condizioni e completare autonomamente l’acquisto per conto dell’utente. A quel punto identificare la persona non basta. Occorre certificare chi ha autorizzato l’agente, quali poteri gli ha delegato, entro quali limiti può operare e chi risponde delle sue azioni.
Deloitte individua tre pilastri per questo nuovo sistema: autenticità verificabile, integrità dei dati e delle istruzioni, affidabilità by design. Audit trail, firme digitali, logging, revoca delle deleghe in tempo reale e principio del least privilegediventano quindi componenti essenziali dell’architettura.Il mercato consumer offre già una base sulla quale questi servizi potrebbero svilupparsi. I 14 milioni di italiani che nel 2025 hanno pagato tramite smartphone o wearable rappresentano una crescita del 40% in dodici mesi. Alcune stime riportate nello studio indicano che entro il 2030 gli agenti AI potrebbero arrivare a gestire il 25% delle vendite e-commerce.
Deepfake, phishing e identità che non esistono
La stessa AI che rende più sofisticata la difesa mette però a disposizione strumenti più potenti per l’attacco. I deepfakepossono mettere alla prova i sistemi biometrici, mentre la synthetic identity fraud permette di costruire identità artificiali combinando dati reali e informazioni generate. Il phishing assistito dall’intelligenza artificiale consente inoltre campagne personalizzate sulla base di profili social, informazioni pubbliche e comportamenti precedenti della vittima.
A questi rischi si aggiunge il problema della qualità dei dati. Algoritmi addestrati su campioni poco rappresentativi possono produrre errori o trattamenti differenziati difficili da giustificare. Nei processi di identificazione e valutazione del rischio, un bias può trasformarsi rapidamente in un problema di conformità al quadro europeo sull’intelligenza artificiale e in un danno reputazionale. La risposta proposta dal report è incorporare controllo, resilienza e trasparenza già nella progettazione dei sistemi. La Fiducia by Design diventa così il tentativo di superare una vecchia contrapposizione: più sicurezza non deve necessariamente significare più ostacoli per l’utente.
Dall’ospedale alla ferrovia
Il banking è il laboratorio più immediato, ma l’integrazione fra identità e AI ha un raggio molto più ampio.
Nella sanità, un’identità certificata collegata al Fascicolo Sanitario Elettronico può consentire sistemi di triage digitale capaci di analizzare sintomi e storia clinica e orientare il paziente verso il presidio appropriato. Altri algoritmi possono individuare i pazienti a rischio di interrompere una terapia e attivare interventi di supporto. Nei trasporti, l’IT Wallet può integrare abbonamenti e biglietti in un’unica interfaccia autenticata. Rete Ferroviaria Italiana ha già introdotto modelli AI nei processi di ispezione e monitoraggio strutturale dei ponti sulla propria rete di oltre 16.800 chilometri, con l’obiettivo di anticipare guasti e programmare gli interventi prima che producano interruzioni. Negli aeroporti, riconoscimento biometrico e credenziali digitali stanno invece aprendo la strada al face boarding, sperimentato anche a Roma Fiumicino e Milano Linate.
Chi controllerà il punto di accesso
È qui che una questione apparentemente tecnica assume una dimensione industriale. Se il Wallet diventerà il luogo nel quale il cittadino conserva documenti, certificazioni e attributi e dal quale autorizza servizi e transazioni, controllare il punto di accesso significherà presidiare una parte della relazione digitale con l’utente. Il caso dell’IT Wallet integrato nell’App IO anticipa questa dinamica. Il rapporto individua uno spazio competitivo per banche, operatori postali e grandi piattaforme tecnologiche interessati a diventare l’interfaccia attraverso cui il cittadino utilizza le proprie credenziali. La Commissione europea sta già estendendo il modello al tessuto produttivo con il progetto dell’European Business Wallet, pensato per consentire alle imprese di gestire e condividere identità, credenziali e attestazioni digitali nei rapporti con soggetti pubblici e privati. Resta una variabile che nessun regolamento può imporre: l’utilizzo effettivo. Il successo dell’EUDI Wallet dipenderà dalla capacità di costruire casi d’uso frequenti, semplici e realmente utili, insieme a un modello economico sostenibile e a una collaborazione tra settore pubblico e operatori privati. Senza questi elementi, un’infrastruttura tecnologicamente avanzata potrebbe restare ai margini delle abitudini quotidiane.
Se invece il Wallet diventerà lo strumento con cui accedere a una banca, mostrare una patente, condividere un titolo di studio, utilizzare un servizio sanitario o autorizzare un agente AI a effettuare un acquisto, cambierà la natura stessa dell’identità digitale. La prossima battaglia della cybersecurity potrebbe giocarsi meno sulla password da proteggere e molto di più sulla capacità di stabilire, istante per istante, chi è autorizzato ad agire, per conto di chi e fino a quale limite.
