Identità digitale, un nuovo modello economico sostenibile tra Spid e Cie

Gli attori privati e pubblici stanno avviando alcuni importanti cambiamenti per rendere SPID utile per le imprese, per le quali, al di là degli annunci e delle interpretazioni allarmistiche, la foresta pietrificata delle identità digitali nazionali sta fiorendo di opportunità: spuntano i primi germogli di un nuovo modello di business più sostenibile economicamente, e soprattutto davvero aperto al mercato.

Cosa è successo in realtà a SPID dopo il nostro ultimo articolo e la tavola rotonda che abbiamo organizzato a fine ottobre?

Ecco le principali novità su SPID e CIE, le identità digitali sovrane italiane:

• SPID sarà gratuita per i cittadini per sempre: alcuni fornitori si sono già espressi, gli altri lo stanno per ufficializzare.
• Nascono le SPID per uso professionale, primo servizio a valore aggiunto, davvero di mercato.
• La CIE prova a regalare alle imprese quel che da due anni SPID tenta di vendere; ci vorrà molto tempo.
• La nuova identità digitale unica: la prospettiva che SPID e CIE convergano e trovino un nuovo futuro insieme, più promettente.

SPID gratuito per i cittadini per sempre

Gli Identity Provider (“IdP”), imprese private che forniscono i servizi di SPID per conto di AgID, si erano impegnati a erogare gratuitamente il servizio di autenticazione ai cittadini fino al 31 dicembre 2019. Ora AgID li ha sollecitati estendere indefinitamente questa gratuità. Il primo a sceglierlo era stato Lepida, ora si sa che tutti gli IdP hanno già accettato di farlo.

Ecco il primo passo verso un modello sostenibile, secondo le pratiche migliori dei mercati regolati di servizi essenziali: lo Stato che offre un servizio base, aperto ad operatori che possono innovare proponendo a cittadini e imprese servizi a valore aggiunto, in un quadro normativo che tutela tutti. Superiamo finalmente la sterile contrapposizione tra “Dovrebbe essere tutto gratis” e “Con che soldi?”

Nasce SPID per uso professionale

Questa è prima di tutto una novità storica, e poi uno stimolo che aiuta imprese e pubbliche amministrazioni insieme ad adottare SPID.

È una novità perché:

• è il primo servizio a valore aggiunto che l’ecosistema SPID riesce ad offrire rispetto all’identificazione di base – dopo anni di attesa (da marzo 2016 per le pubbliche amministrazioni, febbraio 2018 per le imprese).
  Dal suo successo potremo valutare quanto è facile per l’ecosistema e quindi per SPID evolversi e rispondere ai bisogni del mercato.
• ciascun IdP è libero di definire ed erogare il servizio come meglio vuole e può; spazio quindi all’innovazione e alla differenziazione tra i fornitori – sappiamo già che alcuni ne faranno una priorità della loro offerta, per altri sarà del tutto marginale
• è il primo servizio SPID che ciascun IdP potrà vendere ed erogare da solo, in rapporto diretto con i propri clienti, a prezzo libero. Oggi invece il servizio base è per forza lo stesso per tutti, allo stesso prezzo difficilissimo da negoziare, vanificando il beneficio potenziale che sono degli operatori di mercato ad erogarlo.

Oltre che una novità, e un passo avanti verso un modello di business più sostenibile e flessibile, la disponibilità di SPID per uso professionale è uno stimolo potente all’adozione da parte di imprese e pubbliche amministrazioni. Queste identità rispondono infatti ad un’esigenza di molte organizzazioni: i loro dipendenti e collaboratori preferiscono separare gli strumenti che usano per lavoro (computer, smartphone, automobile, anche SPID) da quelli per uso personale. Fino ad oggi questo non era possibile, quindi qualsiasi organizzazione volesse far adottare SPID ai propri collaboratori per uso professionale doveva convincerli a usare per lavoro il proprio SPID personale.

Di più: per gestire efficacemente le nuove identità ad uso professionale saranno necessarie competenze e capacità di gestione di anagrafiche di persone giuridiche, ben più complesse e dinamiche di quelle di persone fisiche. Oggi chi possiede queste capacità sono le camere di commercio, associazioni di imprese e alcuni IdP specializzati in servizi alle imprese. La concorrenza tra questi operatori maturi e quelli che li sfideranno aiuterà a far evolvere e innovare il paese e i suoi processi, pubblici e privati insieme.

A questo servizio ci aspettiamo seguano presto altri servizi a maggior valore aggiunto, anche più complessi, che aiuteranno ancor di più i singoli fornitori a differenziarsi sulla base di capacità già consolidate e di quelle che svilupperanno nell’aggiornamento continuo dei propri prodotti. Si pensi ad esempio alle identità SPID per persone giuridiche, o ai servizi di assegnazione attributi a complemento dell’identità SPID.
In particolare, è appena uscita in consultazione pubblica la possibilità di usare lo SPID per sottoscrivere un documento secondo l’articolo 20 del CAD (la cosiddetta “firma con SPID”). Con SPID un cittadino potrà fare online quel che oggi spesso deve fare a mano, in quella tragica caricatura del digitale che prevede di scaricare un modulo online, stamparlo, compilarlo e firmarlo, poi digitalizzarlo per rispedirlo al mittente – senza dimenticare una copia di un documento di identità con una autocertificazione di autenticità…
Benissimo? Quasi: purtroppo dalle linee guida proposte sembra che possano offrire questo servizio solo gli IdP. Perché impedire a un’impresa terza, uno dei Service Provider privati di SPID che tutti si augurano entrino nel sistema, sviluppi e proponga sul mercato un servizio a valore aggiunto basato su queste specifiche, in libera concorrenza?

La CIE prova a regalare alle imprese quel che SPID cerca di vendere

Quanto è facile e utile oggi per un’impresa usare CIE come identità digitale? È possibile?

Su questo tema si incrociano oggi prospettive e annunci anche contraddittori. Club TI Milano con il gruppo di lavoro esteso #ClubTI4SPID ha maturato una raccomandazione per le imprese diversa da quanto suggeriscono i principali attori. Proviamo qui a riassumere e chiarire la situazione, pronti fin d’ora ad approfondire il tema con chi vorrà contattarci aderendo al nostro gruppo di discussione su LinkedIn.

• Oggi CIE è equivalente a un’identità digitale: si può usare come strumento di identificazione e autenticazione di un cittadino, equivalente a SPID, con un livello di sicurezza elevato, pari a quello di un profilo SPID livello 3;
• CIE ha una diffusione già oggi ben superiore a quella di SPID – 13 milioni contro 5 – si diffonde più velocemente, e soprattutto ha un meccanismo cogente, la sostituzione delle carte di identità cartacee, che ne garantisce la diffusione alla stragrande maggioranza dei residenti italiani entro pochi anni;
• le imprese possono usare CIE per autenticare gli utenti dei propri servizi online gratuitamente e senza formalità mentre per SPID occorre stipulare una convenzione con AgID che prevede oltre alla procedura tecnica anche una procedura amministrativa – e naturalmente un costo, che cresce proporzionalmente al numero di profili autenticati all’anno rendendo SPID ancora molto costosa per imprese con centinaia di migliaia di utenti – o milioni!
• L’accesso informatico al servizio base di verifica delle credenziali con i due strumenti è praticamente identico, quindi per chi abbia realizzato l’autenticazione a un servizio digitale con uno dei due strumenti è facile integrare l’altro;
• numerosi legislatori, autorità di governo e organizzazioni pubbliche e private preferiscono esplicitamente che sia lo Stato a gestire le identità digitali sovrane, quelle associate all’identità anagrafica dei cittadini

Questione chiusa? Punto, partita e incontro per CIE al termine di una gara con SPID senza storia?

Spid e Cie, servizi convergenti non concorrenti

Secondo noi SPID e CIE non sono in concorrenza ma in convergenza. Meglio quindi adottare SPID immediatamente come strumento di autenticazione ai servizi digitali che progressivamente beneficerà della diffusione di CIE, convergerà con essa in un’unica identità digitale e addirittura aiuterà l’adozione di CIE come strumento di autenticazione digitale nei casi che richiedono maggior sicurezza.

Perché a un’impresa conviene oggi adottare SPID a pagamento anziché CIE gratuita?

• AgID stessa, qui, indica che i fornitori di servizi digitali (comprese le imprese) possono usare CIE come strumento di autenticazione, e lo stesso fa l’Istituto Poligrafico e Zecca dello Stato. Alcuni esperti però evidenziano – qui ad esempio – che per un’impresa autenticare con CIE i propri utenti digitali non è previsto né consentito, almeno in attesa di alcuni interventi normativi di chiarimento
• Il contenuto di CIE è statico, stabilito una volta per tutte e caricato fisicamente sul dispositivo al momento della produzione. Gli stessi esperti che consigliano e perseguono l’adozione di CIE da parte delle imprese indicano che per l’intrinseca, elevata sicurezza che CIE offre, i dati che contiene non si possono né modificare né arricchire. Ci aspettiamo quindi che per erogare servizi basati su dati aggiornati o nuovi che in futuro vengano considerati parte dell’identità digitale sovrana del cittadino, CIE avrà bisogno di un complemento immateriale, naturalmente dinamico: SPID!
  Questo vale in particolare per servizi a valore aggiunto preziosi per le imprese, come le SPID per uso professionale citate sopra, o l’uso di SPID come strumento di “firma” o ancor più i gestori di attributi qualificati.
  Inoltre la CIE prevede un unico livello di garanzia, il massimo, equivalente al livello 3 di SPID. Questo impone rigidità ai cittadini e può essere eccessivo per le amministrazioni (e i futuri service provider privati) poiché le Amministrazioni che impiegano strumenti di autenticazione di livello 2 o superiore sono obbligate ad accettare, per questo solo fatto, anche tutte le identità UE notificate. Nei fatti SPID è strumento più avanzato e versatile per l’identificazione online, mentre CIE nasce per operare al livello 3.
• Soprattutto: la maggior diffusione numerica di CIE è solo apparente: quanti di questi 13 milioni di residenti italiani hanno anche solo sentito dire che la loro nuova carta di identità si può usare online? Quanti hanno preso nota del PIN e del PUK che sono naturalmente necessari per usarla? Quanti impiegati dell’anagrafe hanno segnalato l’esistenza di questo PIN e PUK? Quanti di loro hanno avuto tempo o informazioni sufficienti per spiegare a cosa serve? Quali pubbliche amministrazioni sono responsabili di gestire il ciclo di vita di una identità digitale? Quali di queste concretamente sono capaci di farlo, e disponibili a sostenere l’impegno relativo?
  I principali IdP di SPID, dopo anni di esperienza, sanno bene che il costo di assistere gli utenti nell’uso di una qualsiasi identità digitale, dall’invio degli OTP alla assistenza nel recupero delle password, all’aggiornamento quando scade il documento di identità siano molto superiori a quelli di attivazione iniziale e a quelli di erogazione del servizio di autenticazione. Il centro di assistenza ai cittadini del Ministero dell’Interno, prevede un contatto telefonico solo per il blocco di CIE smarrite o rubate. Per qualsiasi problema di accesso ai servizi digitali delle pubbliche amministrazioni c’è un indirizzo email. Alla data in cui scriviamo, non è prevista assistenza a cittadini che avessero problemi di accesso con CIE agli auspicati servizi digitali delle imprese.
  Infine, quanti hanno effettivamente scaricato e attivato l’app del Poligrafico che abilita l’autenticazione online? Senza tale app, la funzione non è utilizzata, al pari di quanto avviene per i certificati digitali che sono presenti in tutte le tessere sanitarie, e che da anni la gran parte dei cittadini ignora di avere in tasca.
  Le indicazioni, aneddotiche quanto si vuole, che raccogliamo tutti i giorni, inducono a ritenere che i cittadini consapevoli della possibilità di usare CIE per autenticarsi a servizi digitali siano ancora molto pochi, e pochissimi quelli che effettivamente la usano. Anche per questo da ottobre 2019 abbiamo iniziato ad invitare AgID e gli IdP, ed ora l’IPZS, a pubblicare dati sull’effettivo uso di SPID e CIE online (numero di accessi) anziché sul numero di identità attive: se mai c’è una partita da giocare sulle identità digitali, una partita che importi davvero, i punti per vincerla e guadagnare posizioni nel DESI si ottengono usandole, quelle identità, non tenendole in tasca.

La nuova identità digitale unica

Il ministro dell’innovazione tecnologica ha annunciato recentemente una nuova identità digitale, erogata dallo stato insieme alla Carta di Identità Elettronica. Vittoria a tavolino nella famosa partita che non c’è? Partita rinviata alla costruzione di un nuovo stadio? (Ci vorrebbe un po’: dall’approvazione della legge di bilancio, alla pianificazione e alla effettiva spesa dei 15 milioni di Euro richiesti per il primo anno).

In realtà già dall’articolo (“Chi ha già SPID non dovrà rifarla”!) è chiaro che il cambiamento sarà in continuità – meglio ancora: in convergenza – tra SPID e CIE almeno dal punto di vista dei cittadini – gli utenti o clienti che davvero contano, sia per le imprese, sia per le PA.

Ci confermano nell’ottimismo diverse indicazioni pubbliche e private che riceviamo da molti operatori dell’ecosistema, come ad esempio:

• alcuni fornitori di servizi digitali cominciano ad adottare anche CIE oltre a SPID per l’accesso ai servizi delle pubbliche amministrazioni. Analogamente, diverse PA che usano SPID cominciano a chiedere ai loro fornitori di integrare anche CIE
• quasi tutti gli IdP hanno già previsto la possibilità di usare CIE per ottenere un nuovo profilo SPID. La stessa Piattaforma Digitale Nazionale Dati oggi nelle proprie analisi quantitative accorpa esplicitamente le SPID ottenute online tramite CIE a quelle ottenute con “identità pregresse”.
• L’articolo stesso parla di convergenza, e in particolare annuncia un sistema che permetterà a chi ottiene la CIE di ottenere suo tramite un’identità digitale. Si tratta di un’integrazione procedurale piuttosto semplice che diverse organizzazioni già sollecitavano da tempo – da alcuni IdP a noi stessi. Già oggi diversi operatori anticipano informalmente che ci stanno lavorando.

In generale questo annuncio prospetta un cambio di passo drastico in termini di risorse economiche: ll’Osservatorio Agenda Digitale del Politecnico di Milano ha stimato che la spesa complessiva delle pubbliche amministrazioni italiane per integrare SPID nei 3 anni dal 2015 è di circa 3 milioni di euro, un ventesimo dei 65 milioni che la proposta del ministro dell’Innovazione prevede per i prossimi 3 anni. Ai circa 3 milioni attuali si aggiungono naturalmente le spese sostenute dagli IdP per allestire ed erogare il servizio.

Torneremo su queste pagine con prospettive aggiornate via via che emergeranno nuovi particolari.

Restano in particolare da chiarire tutti gli aspetti relativi al transitorio.

• Da una parte: quali organizzazioni su quali infrastrutture erogheranno i servizi di identificazione e quelli più avanzati come le identità per uso professionale, la “firma” con SPID, le identità per persona giuridica.
• Dall’altra: come avverrà il passaggio di consegne tecnico e organizzativo tra gli attuali IdP e queste organizzazioni, mantenendo la massima disponibilità dei servizi ai cittadini e ai service provider pubblici e privati.

In questo periodo transitorio sarà particolarmente importante capire chi e come gestirà nella nuova identità digitale unica i servizi a valore aggiunto che gli IdP privati si apprestano ad erogare, così preziosi per creare un mercato privato e favorire l’adozione da parte delle aziende di una identità digitale sovrana: il nuovo gestore nazionale potrà e vorrà farlo? Gratis o a pagamento? Che incentivi potranno avere gli attuali IdP a realizzare ed erogare nuovi servizi a valore aggiunto intorno al nucleo erogato dal gestore nazionale?

Siamo certi che su questi temi siano al lavoro tutti gli operatori dell’ecosistema, e seguiremo con piacere le loro future comunicazioni.

Un nuovo modello economico delle identità digitali, sostenibile e aperto al mercato

In conclusione, ci sentiamo ancor più ottimisti oggi sul futuro di SPID per le imprese e sull’opportunità di adottarlo subito:

• oggi come strumento di autenticazione ai servizi digitali, già arricchito dei primi servizi a valore aggiunto (SPID per uso professionale)
• in prospettiva come componente di punta, dinamica e aggiornata con nuovi contenuti e nuovi servizi, di una identità digitale sovrana unica dello stato italiano, riconosciuta a livello di Unione Europea e soprattutto vitale grazie a un modello economico articolato e sostenibile.

Da tempo segnaliamo infatti che il più grande problema di SPID è che il mercato odierno, pur costituito da fornitori privati coordinati da un regolatore, non riesce nella a permettere a questi fornitori di interagire con i clienti liberamente, concordando i servizi che vogliono ai prezzi che ritengono opportuni nel quadro delle norme del regolatore. Meglio quindi che espansioni del mercato come queste che abbiamo descritto, annunciate già da anni e finalmente presenti o vicine, avvengano in una logica di massima apertura, senza creare zone protette. Ci sono sicuramente modi migliori per compensare gli IdP che finora hanno sostenuto tutti i costi di realizzazione del servizio SPID e della sua erogazione ai cittadini e alle pubbliche amministrazioni.

Le novità di questo mese su SPID, CIE e soprattutto sulla loro convergenza prefigurano finalmente un modello economico nel quale:

• l’identità digitale di base del cittadino sarà una componente intrinseca dei servizi anagrafici di cittadinanza erogati dallo stato sovrano, tutelata nella sicurezza e nella protezione dei diritti fondamentali, e a carico della fiscalità generale
• gli operatori privati e pubblici, clienti e fornitori, cominciano già oggi a costruire su questa base altamente garantita servizi innovativi, a valore aggiunto, negoziabili direttamente tra chi vuole venderli e chi potrebbe comprarli: SPID per uso professionale ne sarà presto il primo esempio.

Per restare informato su questo tema aderisci al gruppo LinkedIn di Club TI Milano.

Per contribuire con le tue esperienze e i tuoi suggerimenti, iscriviti al Club.