Cosa ha effettivamente annunciato la Confederazione
Il rinvio era già stato annunciato il 30 giugno 2026. L’Ufficio federale di giustizia lo ha motivato con ulteriori lavori di sicurezza resi necessari dalle nuove possibilità dell’IA. Il processo di rilascio online deve essere meglio protetto contro l’inserimento di software dannoso sul dispositivo finale e contro i deepfake. La Confederazione intende comunicare una data precisa d’introduzione quando i lavori saranno in gran parte conclusi. Per l’infrastruttura di fiducia, da distinguere dall’E-ID, è previsto un avvio operativo presumibilmente nel primo semestre 2027. Essa dovrà consentire anche altre attestazioni elettroniche, indipendentemente dall’E-ID. Questo orizzonte temporale non costituisce pertanto una data garantita per l’introduzione dell’E-ID (Ufficio federale di giustizia, 30 giugno 2026).
Il comunicato del 3 settembre 2026 conferma questo orientamento. Nel contesto del Comitato consultivo Svizzera digitale, la Confederazione illustra i lavori di sicurezza e richiama il codice aperto, i test di penetrazione e i programmi bug bounty. Il comunicato va letto come conferma e spiegazione del rinvio già annunciato. Non riferisce né di un attacco riuscito all’E-ID né di una fuga di dati (Comunicato della Confederazione, 3 settembre 2026).
Per la pianificazione dei progetti ciò significa che le imprese dovrebbero distinguere tra sperimentazione tecnica, esercizio produttivo dell’infrastruttura di fiducia e disponibilità di un’E-ID rilasciata dallo Stato. Riunire questi passaggi in un’unica data d’avvio crea dipendenze evitabili.
Perché la verifica dell’identità deve andare oltre l’immagine video
Nell’identificazione digitale devono coincidere più elementi: il documento presentato deve essere autentico, appartenere alla persona che si presenta ed essere verificato mediante un processo affidabile. Un deepfake può alterare l’immagine visibile di una persona. In un cosiddetto attacco di injection, immagini o video manipolati vengono inseriti tra la registrazione e il soggetto incaricato della verifica.
L’ente tecnico statunitense NIST tratta espressamente questi rischi nelle sue linee guida sulla verifica digitale dell’identità. Precisa che il solo confronto biometrico non impedisce tali attacchi. Anche le procedure per rilevare la presenza effettiva di una persona, spesso chiamate «liveness detection», non coprono tutte le varianti di attacco. Le linee guida offrono un orientamento tecnico e non costituiscono un obbligo legale autonomo per le imprese svizzere (NIST SP 800-63A-4, sezione 3.14).
Dal punto di vista della consulenza, è quindi opportuno esaminare l’intero processo. Ciò comprende l’origine delle immagini, l’integrità dei componenti utilizzati e la gestione delle anomalie. Un’escalation manuale dovrebbe consentire verifiche aggiuntive e indipendenti. Se un collaboratore si limita a guardare nuovamente lo stesso video manipolato, la vulnerabilità originaria rimane.
La prospettiva aziendale è altrettanto importante: una decisione errata sull’identità può consentire l’accesso a un conto, a informazioni riservate o a una prestazione di valore patrimoniale. Il livello di sicurezza richiesto dovrebbe essere commisurato a queste conseguenze.
Le implicazioni per banche e intermediari finanziari
In futuro l’E-ID dovrà agevolare anche l’avvio digitale delle relazioni con la clientela. Il 16 dicembre 2025 la FINMA ha aperto una consultazione sulla revisione parziale della circolare 2016/7 «Identificazione video e online»; il termine di consultazione è scaduto il 27 febbraio 2026. Il progetto mira a includere l’E-ID statale tra le possibilità di identificazione digitale conformi alla LRD. Per un’attuazione concreta occorre verificare separatamente la disciplina definitiva e la sua entrata in vigore (FINMA, consultazione del 16 dicembre 2025).
L’identificazione costituisce una parte degli obblighi di diligenza. Vi si aggiungono in particolare l’accertamento dell’avente economicamente diritto, il chiarimento dei rischi accresciuti e misure organizzative adeguate. Una prova d’identità riuscita non risponde ancora a queste ulteriori questioni. Per la clientela aziendale occorre inoltre chiarire se la persona identificata sia autorizzata ad agire per l’impresa (FINMA, obblighi degli intermediari finanziari).
Il comunicato federale del 3 settembre non crea di per sé un ulteriore obbligo FINMA. Offre tuttavia un motivo oggettivo per valutare i processi esistenti alla luce dell’evoluzione dei rischi. Per gli istituti con progetti dipendenti dall’E-ID è consigliabile mantenere operativi canali alternativi d’identificazione ammessi e garantirne la capacità durante il periodo transitorio.
Anche la tracciabilità merita attenzione: quali verifiche sono state effettuate? Quali segnali d’allarme erano presenti? Chi ha deciso un’eccezione? La documentazione dovrebbe consentire di ricostruire queste informazioni. Un semplice campo risultato con la dicitura «Identificazione riuscita» può essere poco significativo per il controllo interno e l’analisi di un incidente.
La sicurezza biometrica richiede un’architettura dei dati consapevole
Ulteriori strumenti antifrode possono generare ulteriori dati personali: registrazioni video, informazioni tecniche sui dispositivi, caratteristiche del volto o punteggi di rischio. I dati biometrici che identificano in modo univoco una persona fisica rientrano, secondo il diritto svizzero sulla protezione dei dati, nei dati personali degni di particolare protezione. La classificazione dipende dal trattamento concreto; una normale fotografia non equivale a un’identificazione biometrica per il solo contenuto dell’immagine.
Secondo l’art. 7 LPD, la protezione dei dati fin dalla progettazione e per impostazione predefinita deve essere integrata già nella pianificazione. Per i processi d’identificazione è quindi consigliabile considerare separatamente le registrazioni originali, le caratteristiche derivate e la documentazione di verifica necessaria. Per ogni categoria andrebbero definiti finalità, diritti d’accesso e durata di conservazione, tenendo conto degli obblighi legali di documentazione. La conservazione indiscriminata di tutti i dati «per motivi di sicurezza» è una giustificazione troppo generica (IFPDT, dati degni di particolare protezione e protezione dei dati fin dalla progettazione).
Se un trattamento previsto può comportare un rischio elevato per la personalità o i diritti fondamentali, l’art. 22 LPD richiede in linea di principio una previa valutazione d’impatto sulla protezione dei dati. Tra gli elementi determinanti figurano tecnologia, portata, circostanze e finalità. L’utilizzo dell’IA non comporta quindi automaticamente tale obbligo in ogni caso. Per un’identificazione biometrica su vasta scala, l’esame dei rischi deve tuttavia essere particolarmente accurato. Una valutazione d’impatto esistente dovrebbe essere riesaminata in caso di modifiche sostanziali (IFPDT, valutazione d’impatto sulla protezione dei dati).
L’attuazione comprende informazioni comprensibili al momento opportuno. Prima della raccolta, la clientela dovrebbe poter comprendere chi tratta i suoi dati, per quali finalità e a chi vengono trasmessi. Nella pratica è utile una breve informativa all’interno del processo d’identificazione, con informazioni di approfondimento facilmente accessibili (IFPDT, obbligo d’informare).
L’E-ID offre nel contempo opportunità per un trattamento dei dati limitato al necessario. La Confederazione prevede ad esempio che, per provare l’età, possa essere rivelato soltanto il raggiungimento dell’età minima richiesta. Le imprese dovrebbero pertanto definire le richieste di dati in funzione della specifica esigenza commerciale: una prova dell’età e l’identificazione della clientela secondo il diritto bancario richiedono informazioni diverse (Confederazione, funzionamento e protezione dei dati dell’E-ID).
Cosa includere nel contratto con il fornitore d’identificazione
Molte imprese acquistano la verifica dell’identità come servizio esterno. La responsabilità in materia di protezione dei dati rimane presso l’impresa committente, nella misura in cui essa è titolare del trattamento. Ai sensi dell’art. 9 LPD occorre considerare in particolare il trattamento ammesso, la sicurezza dei dati e l’autorizzazione dei subincarichi. Va inoltre verificato se obblighi legali o contrattuali di segretezza ostacolino l’esternalizzazione (IFPDT, trattamento di dati per conto di terzi).
Da tali requisiti e dai rischi tecnici derivano cinque ambiti concreti da esaminare nella redazione dei contratti:
- Prestazioni e prove: il contratto dovrebbe stabilire quali fasi dell’identificazione spettano al fornitore e quali rimangono all’impresa. Sono utili test verificabili contro i tentativi d’inganno rilevanti per l’utilizzo previsto, nonché dati sui falsi accettamenti e sui falsi rifiuti. Affermazioni generiche quali «sicurezza basata sull’IA» non sostituiscono una descrizione verificabile delle prestazioni.
- Modifiche e carenze di sicurezza: le modifiche sostanziali a procedure di verifica, modelli o interfacce dovrebbero essere annunciate e i loro effetti poter essere valutati. Per le vulnerabilità individuate servono termini concreti di rimedio e una procedura per ricorrere temporaneamente a controlli aggiuntivi.
- Dati e finalità d’utilizzo: occorre disciplinare le categorie di dati ammesse, la conservazione, la cancellazione e l’assistenza per l’esercizio dei diritti delle persone interessate. L’utilizzo dei dati della clientela per addestrare i modelli propri del fornitore dovrebbe essere escluso oppure sottoposto preventivamente a una valutazione giuridica separata e disciplinato espressamente.
- Incidenti e collaborazione: il fornitore dovrebbe comunicare tempestivamente anomalie e incidenti di sicurezza, preservare le prove rilevanti e collaborare agli accertamenti. I termini d’informazione concordati devono consentire all’impresa di adempiere ai propri obblighi di accertamento e agli eventuali obblighi di comunicazione.
- Controllo e cambio di fornitore: rapporti di verifica e diritti di controllo adeguati dovrebbero consentire la vigilanza. Alla conclusione del contratto serve una transizione attuabile nella pratica: disponibilità delle prove di verifica, assistenza alla migrazione e cancellazione documentata nel rispetto degli obblighi di conservazione contrattuali e legali.
Per i servizi cloud occorre inoltre rendere trasparenti i luoghi di trattamento dei dati e i subfornitori coinvolti. Le comunicazioni all’estero richiedono una verifica autonoma del livello di protezione dei dati e delle garanzie necessarie. L’indicazione del luogo nel contratto principale spesso non basta come unica base decisionale. Per gli istituti regolamentati devono essere considerati anche i requisiti di vigilanza applicabili all’esternalizzazione (IFPDT, trattamento di dati nel cloud).
Come le imprese possono sfruttare utilmente il tempo supplementare
La preparazione tecnica può proseguire. Il 4 settembre 2026 il programma E-ID ha annunciato che l’attuale public beta sarà gestita in futuro come sandbox. Per questo ambiente di prova verrà messa a disposizione una «swiyu Sandbox Wallet» dedicata; il portafoglio ordinario dovrà in futuro operare con l’infrastruttura produttiva. Resta così possibile sperimentare i propri casi d’uso (Programma E-ID, 4 settembre 2026).
Per le imprese con progetti E-ID concreti è consigliabile effettuare entro 30 giorni una valutazione congiunta della situazione da parte della funzione operativa, della sicurezza informatica, della protezione dei dati e del servizio giuridico. Questo termine è una raccomandazione pratica e non una nuova prescrizione legale. Il risultato dovrebbe precisare quali progetti dipendono dall’avvio dell’E-ID, quali alternative sono disponibili e quali lacune tecniche o contrattuali devono essere colmate prima dell’introduzione.
Per le PMI conviene concentrarsi sulle operazioni decisive: dove serve davvero un’identità? Quale prestazione viene successivamente autorizzata? Quale danno potrebbe derivare da un inganno? Da queste risposte si possono ricavare controlli adeguati, senza dotare ogni portale clienti di una verifica completa dell’identità.
Una decisione d’introduzione solida riunisce infine quattro presupposti: condizioni giuridiche chiarite, verifica tecnica significativa, responsabilità assegnate e procedura alternativa funzionante. Questo lavoro migliora già oggi l’acquisizione digitale della clientela. Al tempo stesso crea la base per utilizzare l’E-ID, dopo la sua introduzione, in modo mirato e con benefici comprensibili.