IT-Wallet, il regolamento è online: cosa cambia davvero nell’app IO

Il regolamento sull’IT-Wallet pubblicato da AgID il 23 ottobre è un passo concreto per il portafoglio digitale italiano, ma non equivale all’arrivo immediato di nuovi documenti sullo smartphone di ogni cittadino. La novità riguarda soprattutto le regole con cui entreranno nel sistema i soggetti che forniscono wallet, attestati e verifiche, e il modo in cui potranno essere testati nuovi servizi.

È una distinzione utile per non confondere tre piani diversi: l’app che si usa, i documenti o le attestazioni che possono essere messi a disposizione e l’infrastruttura che deve renderli verificabili in sicurezza. Il Wallet pubblico nazionale è indicato da AgID come accessibile tramite App IO; il nuovo regolamento, però, disciplina la registrazione degli operatori e lo Spazio di sperimentazione, non una procedura che il singolo cittadino debba compilare.

Che cos’è l’IT-Wallet

Secondo la pagina istituzionale di AgID dedicata all’IT-Wallet, il sistema serve a ottenere, conservare e usare da smartphone versioni digitali di documenti, certificati e attestazioni verificati e con valore legale, nei casi previsti. Il modello comprende un wallet pubblico nazionale e ulteriori soluzioni offerte da operatori privati che saranno registrati secondo le regole del sistema.

L’obiettivo non è una semplice cartella di immagini sul telefono. Un documento fotografato o un PDF salvato in memoria non diventano per questo una credenziale verificata. L’IT-Wallet punta invece a far dialogare chi emette un’attestazione, chi la conserva e chi deve controllarla, limitando i dati mostrati a quelli necessari per il servizio richiesto.

La novità del 23 ottobre: regole per chi entra nel sistema

Con la notizia sul regolamento versione 1.0, AgID spiega che la registrazione riguarda fornitori di wallet privati, fornitori di attestati elettronici di attributi, verificatori, soggetti aggregatori e titolari di fonti autentiche. Per loro vengono fissati requisiti di sicurezza, tra cui il trattamento dei dati del sistema su infrastrutture localizzate nell’Unione europea, monitoraggio continuo e gestione degli incidenti.

Il provvedimento istituisce anche uno Spazio di sperimentazione: un ambiente controllato per validare integrazioni e casi d’uso che non siano ancora contemplati dalle regole o dalle specifiche tecniche. È qui che enti e imprese possono proporre progetti, sottoposti alla valutazione di AgID con il coinvolgimento di ACN per gli aspetti di cybersicurezza e del Dipartimento per la trasformazione digitale per la coerenza strategica.

Cosa può fare oggi un cittadino

Per chi usa i servizi online della pubblica amministrazione, il passo utile non è cercare moduli di adesione al nuovo regolamento. Conviene invece mantenere aggiornata App IO, proteggere l’accesso al telefono con blocco schermo e non condividere credenziali SPID, codici temporanei o PIN con chi li chiede al telefono o via messaggio.

Quando un nuovo documento o attestazione sarà reso disponibile, la fonte da controllare sarà sempre il soggetto pubblico o privato che lo emette e l’avviso nell’app o sul suo sito ufficiale. Non sono affidabili messaggi che invitano a “sbloccare il wallet” mediante link ricevuti via SMS, chat o posta elettronica: il regolamento non introduce una campagna di attivazione individuale con credenziali da comunicare a terzi.

Che cosa non cambia automaticamente

Il regolamento non sostituisce SPID o CIE per ogni accesso online, non trasforma ogni tessera fisica in una credenziale digitale e non obbliga un negozio, un Comune o un’azienda privata ad accettare subito qualunque documento mostrato dal telefono. L’utilizzo effettivo dipende dalle singole credenziali disponibili e dai servizi che le accetteranno.

Va distinta anche la pubblicazione della regola dalla piena iscrizione di un operatore. AgID precisa che, nella prima fase, la domanda di registrazione può essere inviata dai soggetti interessati con firma elettronica qualificata o firma digitale via PEC; l’iscrizione al Registro IT-Wallet diventa effettiva solo dopo verifiche e test tecnici. È un percorso per gli operatori dell’ecosistema, non per gli utenti finali.

Perché la cautela conta

Il vantaggio di un portafoglio digitale è poter dimostrare un’informazione verificata senza consegnare più dati del necessario. Proprio per questo un sistema del genere richiede regole chiare su sicurezza, controlli e responsabilità. La determinazione AgID n. 164/2026 documenta che queste regole sono ora adottate.

La conclusione pratica è semplice: l’IT-Wallet avanza verso un ecosistema regolato, ma per il cittadino la scelta giusta oggi è usare soltanto canali ufficiali e verificare, di volta in volta, quali credenziali siano realmente disponibili e accettate. Nessuna fretta, nessun link ricevuto per caso e nessun codice da dettare a chi chiama.