Super AML

L’8 aprile 2026 la Commissione europea ha pubblicato il Regolamento di esecuzione (UE) 2026/798, l’atto attuativo che per primo chiude la lacuna tecnica tra il regolamento eIDAS 2.0 e il pacchetto antiriciclaggio europeo sull’utilizzo dell’EUDI Wallet nei processi di onboarding a distanza. La norma arriva dopo mesi in cui due quadri normativi paralleli, quello sull’identità digitale e quello antiriciclaggio, richiedevano livelli di garanzia diversi senza che nessuno specificasse come renderli compatibili. Il risultato pratico riguarda direttamente le funzioni AML degli intermediari finanziari, chiamate a ripensare policy, procedure e modalità di identificazione del cliente entro scadenze già fissate.

Il nodo tra eIDAS due e regolamento AML

Fino al 7 aprile 2026 chi avesse provato a costruire un processo di onboarding basato sull’EUDI Wallet si sarebbe scontrato con un’incongruenza normativa. Da un lato il regolamento eIDAS, all’articolo 5 lettera f, impone alle banche e ai soggetti obbligati AML di accettare l’EUDI Wallet come strumento di identificazione purché conforme a un livello di garanzia elevato, il cosiddetto level of assurance high. Dall’altro il regolamento AML, il Regolamento (UE) 2024/1624, si accontenta tuttora di un livello di garanzia sostanziale per l’identificazione del cliente tramite mezzi elettronici.

Mancava il tassello tecnico capace di definire cosa si intendesse, in concreto, per equivalente certificato dell’identificazione in presenza, requisito che il vecchio regolamento eIDAS richiamava senza specificarlo. Senza quello standard, l’EUDI Wallet sarebbe rimasto uno strumento previsto sulla carta ma inutilizzabile nella pratica degli intermediari.

Una norma diceva: devi accettare il Wallet, purché la garanzia sia di livello alto. L’altra diceva: puoi usarlo per l’adeguata verifica, ma nessuno specificava quali fossero gli standard tecnici per arrivarci.

Il Regolamento (UE) 2026/798 interviene esattamente su questo punto. Si tratta di un implementing act adottato ai sensi dell’articolo 5a, paragrafo 24, del regolamento eIDAS come modificato dal Regolamento (UE) 2024/1183 (eIDAS due). Non modifica direttamente il Regolamento (UE) 2024/1624, ma fornisce il riferimento tecnico che permette di collegare i due impianti normativi, rendendo finalmente operativo l’utilizzo del Wallet nei processi di adeguata verifica.

I tre pilastri della mappa normativa

La materia si fonda su tre corpi normativi distinti, che disciplinano aspetti diversi ma connessi e che la funzione AML deve imparare a distinguere con chiarezza.

Il regolamento eIDAS.2

Il Regolamento (UE) 2024/1183, in vigore dal 20 maggio 2024, modifica il precedente regolamento eIDAS del 2014 e introduce il Digital Identity Wallet a livello comunitario. È accompagnato da una serie di implementing act dedicati a aspetti tecnici specifici: l’architettura tecnica, i personal identification data, la notifica dei wallet da parte degli Stati membri, l’integrità del sistema e, da ultimo, il regolamento 2026/798 sull’onboarding remoto. Entro il 24 dicembre 2026 ciascuno dei ventisette Stati membri deve aver notificato alla Commissione almeno un EUDI Wallet nazionale.

Il pacchetto AML europeo

Il Regolamento (UE) 2024/1624 (AMLR), pubblicato il 31 maggio 2024, sarà direttamente applicabile in tutti gli Stati membri a partire dal 10 luglio 2027, senza necessità di recepimento nazionale. Accanto al regolamento opera la Direttiva (UE) 2024/1640 (AMLD6), che pone i principi da recepire a livello nazionale, e il Regolamento (UE) 2024/1620, che ha istituito l’Autorità europea antiriciclaggio (AMLA), operativa a Francoforte dal 1° luglio 2025.

Il regolamento di esecuzione 2026/798

È il tassello tecnico più recente. Disciplina in modo verticale le specifiche per l’onboarding a distanza degli utenti nei portafogli europei di identità digitale, richiamando lo standard tecnico ETSI TS 119461, nella versione 2.1.1 di febbraio 2025, già riconosciuto a livello europeo. I destinatari diretti della norma non sono le banche, ma i wallet provider, i personal identification data provider e gli Stati membri. Gli intermediari finanziari ne sono destinatari indiretti, in quanto utilizzeranno il contenuto del Wallet per l’adeguata verifica.

Tempistiche operative principali 24 dicembre 2026 termine entro cui ogni Stato membro deve rendere disponibile ai propri cittadini almeno un EUDI Wallet notificato a livello europeo.10 luglio 2027 data di applicazione diretta del Regolamento (UE) 2024/1624 (AMLR) e della Direttiva (UE) 2024/1640 (AMLD6) in tutti gli Stati membri.24 dicembre 2027 termine entro cui banche, prestatori di servizi di pagamento e altri soggetti regolati devono accettare l’EUDI Wallet come strumento di identificazione, quando il cliente scelga volontariamente di utilizzarlo.

Cosa contiene l’EUDI Wallet: gli elementi da distinguere

Per la funzione AML è essenziale comprendere la composizione interna del Wallet, perché ciascun elemento ha un valore probatorio diverso e coinvolge soggetti distinti.

• PID (Personal Identification Data): il nucleo identificativo della persona, nome, cognome, data di nascita, codice fiscale. È emesso e firmato da un PID provider notificato dallo Stato membro. Per l’Italia il primo PID provider sarà collegato all’infrastruttura dell’app IO.
• QEAA (Qualified Electronic Attestation of Attribute): attestati qualificati su attributi non identificativi, come la residenza, il titolo di studio o un’abilitazione professionale. Sono emessi da qualified trust service provider e hanno un’efficacia probatoria equivalente a un’attestazione cartacea autenticata.
• EAA (Electronic Attestation of Attribute): attestazioni su attributi ulteriori, considerate meno affidabili dei QEAA perché emesse da soggetti non qualificati, sebbene verificabili tramite il trust framework di eIDAS due.
• Istanza del Wallet sul device: l’applicazione installata sul dispositivo del cittadino, certificata e collegata al wallet provider che l’ha rilasciata.

Quando un cliente presenta il proprio Wallet, l’intermediario si trova quindi a interagire, anche se in modo trasparente per l’utente, con più soggetti contemporaneamente: il PID provider che ha certificato i dati identificativi di base, il wallet provider che ha rilasciato l’istanza, ed eventuali trust service provider che hanno certificato attributi ulteriori.

Level of assurance e level of identity proofing: due concetti da non confondere

Il regolamento 2026/798 distingue due livelli concettualmente diversi, la cui sovrapposizione terminologica genera spesso confusione operativa.

Il level of assurance qualifica il mezzo di identificazione elettronica nel suo complesso. La normativa eIDAS prevede tre livelli: basso, sostanziale e alto. Il livello sostanziale è quello su cui si fondano oggi SPID di livello due e la carta d’identità elettronica utilizzata in autenticazione, e corrisponde a strumenti come l’autenticazione a due fattori o procedure di video identificazione. Il livello alto, richiesto per l’EUDI Wallet, presuppone invece un’autenticazione a più fattori con almeno un fattore hardware e un identity proofing in presenza, oppure un suo equivalente certificato a distanza.

Il level of identity proofing qualifica invece la robustezza del processo con cui l’identità è stata inizialmente verificata. Lo standard ETSI TS 119461 distingue un livello base, idoneo a un’identificazione di livello sostanziale tramite un buon flusso di video identification con matching biometrico e controlli automatizzati sul documento, e un livello esteso, che aggiunge controlli anti deep fake, anti injection sui flussi video e verifica del chip NFC del documento.

Il regolamento 2026/798 ammette una combinazione specifica: identificazione a distanza di livello sostanziale, integrata da procedure aggiuntive che elevano complessivamente la garanzia al livello alto richiesto per l’emissione dell’EUDI Wallet. Questo significa, in concreto, che un’identità già verificata con gli standard oggi in uso può essere rafforzata aggiungendo i tasselli mancanti, senza ripartire da zero con l’identity proofing.

Cosa copre il Wallet e cosa resta in capo all’intermediario

Il punto più delicato per chi opera in compliance riguarda la ripartizione delle responsabilità. L’EUDI Wallet non sostituisce l’adeguata verifica della clientela: ne assorbe soltanto una componente, quella della verifica dell’identità anagrafica di base.

Ciò che il Wallet copre

• la verifica dei dati anagrafici di base del cliente (nome, cognome, data di nascita, codice fiscale), garantita crittograficamente dal PID provider e non più oggetto di duplicazione da parte dell’intermediario
• la non revocabilità del PID, verificabile in tempo reale tramite le trust list europee
• la selective disclosure, ossia la possibilità per il cliente di rivelare soltanto gli attributi necessari all’onboarding, in coerenza con il principio di minimizzazione del trattamento dell’articolo 5 del Regolamento generale sulla protezione dei dati

Ciò che resta in capo alla funzione AML

• l’individuazione e la verifica del titolare effettivo, disciplinata dagli articoli 51 e seguenti del Regolamento (UE) 2024/1624, poiché il Wallet identifica la persona fisica ma non ricostruisce l’assetto proprietario della società di cui questa è rappresentante
• la profilatura del rischio, comprese le valutazioni relative a paesi ad alto rischio e lo screening sanzionatorio
• la verifica della provenienza dei fondi e della coerenza dell’operazione con il profilo del cliente
• l’eventuale segnalazione di operazioni sospette e la conservazione documentale, che resta decennale

Il Wallet elimina, in larga parte, il problema del verificare chi sei. Non risponde mai alle domande sul cosa fai, cosa vuoi fare e perché lo fai. Queste verifiche restano sempre in capo all’intermediario.

L’approccio basato sul rischio resta centrale

Un punto che la funzione AML deve tenere bene a mente riguarda la permanenza dell’approccio risk based anche nel nuovo contesto. Il Regolamento (UE) 2024/1624 non impone ex lege il livello di garanzia alto: si accontenta del livello sostanziale come soglia minima per l’identificazione tramite mezzi elettronici. È il regolamento eIDAS due a richiedere il livello alto specificamente per l’EUDI Wallet, non l’AMLR.

Questo significa che, nell’ecosistema antiriciclaggio europeo, continueranno a coesistere identificazioni elettroniche legittime anche al di sotto del livello garantito dal Wallet, qualora il cliente scelga di non utilizzarlo. L’intermediario dovrà comunque condurre una valutazione risk based specifica sulla propria operatività e sulla tipologia di clientela, applicando misure rafforzate dove necessario, e documentando le motivazioni delle proprie scelte nelle policy interne.

Resta inoltre il principio per cui l’affidamento sul Wallet provider e sul PID provider non comporta un trasferimento totale di responsabilità verso l’intermediario, ma una redistribuzione che ha conseguenze pratiche sul modo in cui le policy AML dovranno essere riscritte e aggiornate.

Gli adempimenti per la funzione AML

Sul piano pratico, l’introduzione dell’EUDI Wallet richiede agli intermediari un lavoro che si sviluppa su più livelli, distinti ma collegati tra loro.

Aggiornamento di policy e procedure

La policy AML dovrà esplicitare l’accettazione dell’EUDI Wallet come mezzo di identificazione, specificando quali combinazioni di livelli di garanzia l’intermediario intende adottare e per quali tipologie di prodotto o cliente. Le procedure dovranno descrivere con chiarezza quali attributi certificati vengono acquisiti in fase di onboarding e quali, eventualmente, vengono restituiti al cliente sotto forma di certificazioni qualificate utilizzabili nei confronti di altri soggetti del circuito.

Pre-assessment e coinvolgimento degli organi sociali

Gli orientamenti dell’EBA richiedono che, laddove un intermediario decida di non adottare la modalità di identificazione di livello alto per determinati processi, venga condotta un’attività di pre-assessment che motivi tale scelta, con il coinvolgimento degli organi sociali competenti. Si tratta di un’attività che, secondo quanto riferito nel corso del confronto tra operatori del settore, gli intermediari svolgono già da tempo ogni qualvolta intervengono sul processo di onboarding a distanza, ma che con l’EUDI Wallet assume una rilevanza nuova.

Gestione della firma elettronica e degli adempimenti collegati

Un effetto collaterale già osservato da diversi intermediari riguarda l’allineamento tra le scadenze di eIDAS due, più ravvicinate, e quelle della PSD3, ancora in larga parte da definire. Diversi operatori, nel passaggio dalla firma elettronica certificata alla firma elettronica avanzata imposto dall’evoluzione dei provider di servizi fiduciari, hanno dovuto rivedere i propri processi documentali. La differenza non è di poco conto sul piano probatorio: con la firma elettronica avanzata l’onere della prova in caso di contestazione si sposta sull’intermediario, mentre con la firma qualificata l’onere resta in capo al cliente.

Monitoraggio continuativo del Wallet

L’onboarding non chiude il rapporto con l’identità digitale del cliente. La funzione AML dovrà prevedere un monitoraggio della validità nel tempo dei dati contenuti nel Wallet, della revoca eventuale del PID e dell’aggiornamento del profilo di rischio, integrando questi controlli nei processi già esistenti di adeguata verifica continuativa.

I nodi ancora da sciogliere

Alcuni profili restano allo stato attuale privi di una soluzione normativa definitiva, e meritano un monitoraggio costante da parte delle funzioni di compliance.

• Riparto di responsabilità in caso di frode: quando il Wallet viene utilizzato come strumento di autenticazione forte (SCA) per autorizzare operazioni dispositive, non è ancora del tutto chiaro come si distribuisca la responsabilità tra wallet provider, intermediario e altri soggetti della catena, soprattutto alla luce delle proposte in discussione nell’ambito della PSD3.
• Interoperabilità cross border: non sono ancora definite con precisione le modalità con cui un intermediario italiano dovrà gestire un Wallet emesso da un altro Stato membro, incluse le fonti da consultare e la documentazione da conservare.
• Coesistenza con gli strumenti attuali: nella fase transitoria, SPID e carta d’identità elettronica continueranno a convivere con l’EUDI Wallet. La funzione AML dovrà evitare che si creino situazioni di arbitraggio, in cui un cliente trovi vantaggio o minore attrito scegliendo uno strumento rispetto a un altro per ragioni che nulla hanno a che fare con il livello di sicurezza effettivo.

Conclusioni

Il Regolamento (UE) 2026/798 chiude una lacuna tecnica che per mesi ha reso l’EUDI Wallet uno strumento previsto sulla carta ma non utilizzabile nei processi di onboarding antiriciclaggio. Resta tuttavia un percorso ancora lungo prima della piena operatività: gli RTS dell’AMLA attesi per il 10 luglio 2026, le specifiche tecniche della PSD3 non ancora del tutto definite, e un calendario che impone agli intermediari di avviare progetti di sviluppo informatico ben prima che il quadro normativo sia interamente assestato.

Per la funzione AML, il punto centrale non è tecnologico ma di metodo. L’EUDI Wallet sposta l’onere della verifica dell’identità anagrafica verso soggetti esterni certificati, ma lascia interamente in capo all’intermediario le valutazioni che danno sostanza all’antiriciclaggio: la verifica del titolare effettivo, l’analisi del rischio, il monitoraggio continuativo, l’eventuale segnalazione di operazioni sospette. Chi inizia oggi a costruire policy e procedure capaci di distinguere con chiarezza questi due piani arriverà alla scadenza del dicembre 2027 con un vantaggio difficile da recuperare in corsa.