SPID e CIE per le imprese, avanti al ralenti: cosa è stato fatto e cosa resta da fare

Al di là della complessità di adottare SPID e CIE, e della necessità di rendere il sistema più sostenibile come ha mostrato il “blocco di SPID” durante il click day del bonus biciclette, tre anni e mezzo di discussioni con imprese e loro organizzazioni hanno reso palese che la maggior parte di loro semplicemente deve ancora scoprire l’utilità di SPID e CIE per il business.

Il tutto mentre si avvicina il termine del 28 febbraio 2021 entro il quale le pubbliche amministrazioni saranno obbligate a adottare SPID e CIE per far accedere i cittadini a tutti i loro servizi digitali, come imposto dal decreto semplificazioni 2020. Questo sarà un passaggio molto importante per l’adozione di SPID e CIE da parte dei cittadini, e quindi delle imprese.

Ma cosa sta succedendo nell’ecosistema dei due servizi? Presentiamo di seguito una serie di conferme, numerose e largamente attese, molte positive, alcune meno.

Spid e Cie, il sentiment di imprese e cittadini

Già a settembre, con il gruppo di lavoro aperto #ClubTI4SPID, valutavamo che “entro il 28 febbraio la maggioranza dei residenti in Italia avrà accesso tramite SPID, CIE e CNS ai servizi digitali di uso più frequente delle pubbliche amministrazion[i]” e che quindi “tutti i residenti in Italia con accesso a internet avranno SPID o CIE e le useranno per la maggior parte delle proprie interazioni con … le pubbliche amministrazioni, certo e quelle imprese che vorranno permetterglielo!”.

Oggi, grazie ai dati storici già pubblicati da Regione Toscana, è possibile verificare che quasi il 60% degli utenti  di servizi digitali gestiti o intermediati dalla regione utilizza SPID per fruire dei servizi online qualificati. Ecco una prova “basata sui dati” di come lo switch off dei sistemi di autenticazione online proprietari a favore di strumenti forti e generalizzati sia fattibile, ed in alcuni casi probabilmente già una realtà.
Il rimanente 40% è costituito per lo più da CNS, sulle quali la Toscana si era impegnata per molti anni prima dell’arrivo di SPID e di CIE, tanto che ancora oggi continuano a crescere, e da un numero inizialmente piccolo ma crescente di CIE.

Anche un’analisi del sentiment web su SPID, che un service provider privato SPID presenterà al convegno di apertura della campagna di comunicazione su SPID e CIE per le imprese, il 2 dicembre pomeriggio, conferma che molti in Italia sanno di SPID, la usano o sono interessati ad usarla e la percepiscono come un’opportunità di accesso digitale ai servizi (e ai bonus) delle amministrazioni più che come un’imposizione burocratica. Nell’immagine, un’anteprima di una parte dell’indagine.

Le conferme

• continua l’aumento dei profili SPID attivi e delle carte CIE attivate: al 18 novembre avevamo superato i 13 milioni di profili SPID (erano poco più di 5 un anno fa), e sfioravamo i 18 milioni di CIE emesse.
• Ancor più importante la crescita dell’uso di SPID: quasi 17 milioni di accessi nel mese di ottobre, rispetto a 6 milioni a gennaio, e a 4.5 milioni al mese medi nel 2019, più del triplo. Questa crescita, ben maggiore di quella del numero dei profili, permette di apprezzare l’importanza crescente delle identità digitali nazionali nella vita quotidiana, e quindi il loro interesse crescente anche per le imprese.
  (Per CIE, attendiamo ancora dati sull’uso effettivo.)
• Gli Identity Provider hanno potenziato i processi di riconoscimento dei cittadini per la creazione di nuovi profili, in particolare da remoto.
• Tutto rimane sostanzialmente fermo sull’implementazione della “firma con SPID” ex articolo 20 del CAD, e sulle identità per uso professionale, pur normate da aprile, l’una e le altre:
  • Lepida è l’unico Identity Provider (IdP) ad avere realizzato la prima, ancora in fase di sperimentazione, mentre almeno due IdP hanno realizzato altre forme di firma digitale con riconoscimento tramite SPID.
  • Pure due sono gli IdP che offrono profili SPID per uso professionale.

Si consolida quindi la percezione che entrambi questi servizi restino marginali nell’offerta da parte degli IdP come nella domanda da parte delle pubbliche amministrazioni, e tanto più delle imprese. Possiamo immaginare che un fattore importante sia stata la priorità di facilitare l’accesso dei cittadini alle identità “classiche”, e tramite queste ai servizi digitali delle pubbliche amministrazioni, durante la pandemia.
In generale entrambi i temi restano complessi e frammentati, con forti difficoltà di applicazione concreta salvo casi particolari, come ha testimoniato per le “firme con SPID” il webinar di CDI Torino con ANORC a metà novembre:

•  finché gli IdP con più profili attivi non la adotteranno, la diffusione della firma ex articolo 20 sarà quanto meno… limitata:
• finché professionisti e collaboratori di imprese saranno costretti ad usare i propri SPID e CIE personali per accedere ai servizi con i quali adempiono ai loro compiti professionali, il loro motivo principale di interesse per queste identità si scontrerà con complicazioni e genererà frustrazione, scoraggiando l’adozione di queste identità da parte delle imprese stesse.
• Le imprese continuano a ignorare SPID e CIE:
  • i service provider privati (le imprese che usano SPID per autenticare chi accede ai loro servizi digitali) sono 11 (o forse 12? Siamo certi che le due fonti saranno presto riconciliate!) pochi più dei 7 che avevamo censiti e contattati ancora a marzo. Una goccia nel mare dei milioni di imprese italiane.
    • Per quanto riguarda le imprese che stanno adottando CIE, l’Istituto Poligrafico e Zecca dello Stato recentemente ne citava due: Namirial e Servizi Locali. In attesa di maggiori informazioni su quali servizi siano attivi e quanti cittadini li stiano utilizzando, abbiamo indicazioni aneddotiche da una terza impresa, i cui responsabili partecipano al nostro gruppo di lavoro #ClubTI4SPID: hanno richiesto a inizio luglio di adottarla, hanno atteso fino a metà novembre che il Ministero dell’Interno chiarisse la procedura da seguire, in particolare quali verifiche applicare a questi service provider. Ora la procedura è ripresa e potrebbe concludersi presto.
      Speriamo di raccogliere presto dal ministero, o da IPZS, indicazioni sui tempi previsti più esaurienti di quelle oggi reperibili.
  • Diverse organizzazioni di imprese, come Assolombarda, o altre che partecipano con noi alla campagna di comunicazione su SPID e CIE per le imprese come AICA e CNA Lombardia, confermano che i loro associati sono interessati a SPID e CIE, in particolare proprio ai profili per uso professionale e alla possibilità di firmare, ma sanno poco o nulla dei vantaggi e di come si fa ad adottarle.

Le novità significative

Abbiamo avuto anche novità significative, con conseguenze importanti per le imprese:

• Lo switch-off dei PIN INPS (i codici che milioni di cittadini usavano per sé e soprattutto per ottenere i servizi dell’ente per conto di altri) ha portato alla ribalta il tema di deleghe e poteri associati a un profilo SPID o CIE (chi può fare cosa, in particolare quando agisce per conto di altri a vario titolo, come il tutore o amministratore di sostegno di una persona fragile, o un professionista che assiste un proprio cliente.)
  • Da una parte, lo switch-off rende, a buon diritto e con benefici a lungo termine per tutta la collettività, molto più difficile una pessima pratica prima più che tollerata: condividere una credenziale personale con terzi in maniera informale. Con SPID e CIE è molto più complesso usare le credenziali di altri, anche grazie alle autenticazione a due livelli con codice di conferma usa e getta. Molti individui che per farsi “delegare” da altri potevano semplicemente farsene consegnare le credenziali (userid e password o “chiavetta”), ora devono ottenere una delega formale. Risparmiamo in questa sede gli aneddoti anche un po’… ammiccanti che qualsiasi lettore avrà sentito raccontare da amici imprenditori, o professionisti, o bancari.
    Dall’altra parte, le pubbliche amministrazioni stanno replicando la logica che ciascuna di loro aveva costruito all’interno delle proprie applicazioni, usando semplicemente il profilo SPID personale di chi accede, proprio come prima usavano il PIN individuale, per stabilire cosa ciascun individuo potesse fare per conto di altri. Questa scelta, pienamente ragionevole per velocità e semplicità, condanna però all’irrilevanza i profili per uso professionale e azzera una delle fonti di ricavi a lungo prospettate per gli IdP.Ecco un esempio di come pianificazione ed esplicitazione delle scelte potranno dare al sistema un respiro maggiore:
• Da una parte, è stato probabilmente ragionevole rinviare sviluppo e diffusione delle identità per uso professionale, privilegiando il potenziamento della gestione delle identità personali dei cittadini, come è avvenuto negli ultimi mesi con ottime ragioni anche emergenziali.
• Dall’altra parte, crediamo utile anche su suggerimento di alcuni Identity Provider esplicitare questa scelta e prevedere una fase successiva, nella quale il Ministero dell’Innovazione e AgID introducano uno schema generalizzato di gestione delle deleghe imperniato su profili SPID per uso professionale e attribute authority che gestiscano ciascuno dei “poteri” dai quali le deleghe dipenderanno in maniera univoca e accessibile digitalmente, e incoraggino le pubbliche amministrazioni a ricostruire le proprie logiche di gestione delle deleghe in maniera aperta e imperniata sul cittadino, anziché su procedure interne tradizionali, concepite per lo sportello in presenza ed adattate al digitale all’interno di ciascuna applicazione, con logiche specifiche e peculiari di ogni amministrazione.

Questo permetterà di cogliere un’opportunità oggi rinviata e sul punto di svanire per sempre; definire un modello generale delle autorizzazioni, trasversale ai regolamenti e alle circolari delle singole amministrazioni, che oltre a semplificare le logiche applicative di tanti sistemi informativi, rafforzerà ruolo e diffusione degli SPID per uso professionale e insieme degli attribute authority, chiave secondo noi della vera innovazione dei processi digitali pubblici e privati.

• Colleghi attivi nelle organizzazioni che se ne occupano riferiscono che AgID ha ottenuto indicazioni del garante per la privacy su come il Data Protection Officer di un aggregatore di servizi SPID privati dovrà gestire le informazioni giudiziarie sulle imprese che useranno i servizi dell’ aggregatore per integrare SPID nelle proprie applicazioni. Può darsi quindi che già prima della pubblicazione di queste righe, e molto probabilmente entro la fine dell’anno, verranno pubblicate le linee guida per gli aggregatori di servizi privati. Questi aggregatori saranno secondo noi la chiave per aprire un vero mercato dei servizi di adozione di SPID e quindi rendere facile e naturale per le imprese adottare SPID e CIE.
• La più significativa novità di questi mesi è stata, in realtà, un incidente sgradevole e dannoso per l’immagine delle identità digitali nazionali e della trasformazione digitale della pubblica amministrazione e del paese: il “blocco di SPID” durante il Click Day, commentato su queste pagine da Eugenio Prosperetti. La sua analisi riassume efficacemente le vicende che hanno reso SPID un sistema vitale ma insostenibile, al di là di desideri, richieste e buona volontà che riconosciamo per esperienza personale in tutti gli attori dell’ecosistema: la principale debolezza di SPID (e, riteniamo, di CIE) agli occhi di un’impresa che oggi valuti se adottarla è questa disattenzione alla sostenibilità infrastrutturale, economica e persino regolamentare.
  Segnaliamo in particolare, nell’articolo, la richiesta che il governo si esprima sull’importanza e l’utilità per le imprese di SPID e CIE. Noi stessi l’abbiamo formulata ripetutamente al Dipartimento per la Trasformazione Digitale e ad AgID.
  • Al di là dell’articolo, due punti importanti che abbiamo raccolto da diversi operatori dell’ecosistema, e che ci auguriamo possano essere affrontati prontamente:
• le code sono brutte bestie: quando cominciano ad autoalimentarsi in un circolo vizioso, saturano qualsiasi infrastruttura, per quanto grande.
  Il click day stesso, una gara tra gli aventi “diritto” ad accaparrarsi una fettina da una torta pubblicamente e ripetutamente dichiarata troppo piccola per soddisfare tutti è una ricetta quasi infallibile per mandare in saturazione un’infrastruttura.
• i singoli service provider SPID sono oggetto di una certificazione che garantisce il funzionamento dei servizi in condizioni normali. In situazioni di errore o sovraccarico, la procedura di accreditamento di un service provider, pubblico o privato, trascura oggi strumenti di collaudo, monitoraggio e intervento che avrebbero permesso secondo molti di mitigare questa situazione, e in particolare le ripercussioni su tutti gli altri servizi con SPID delle difficoltà incontrate con questo.
• Un piccolo importante sviluppo positivo di questi giorni è che Regione Toscana ha accolto positivamente la nostra richiesta di pubblicazione come open data di ulteriori informazioni sull’uso di CNS, SPID e CIE da parte dei cittadini italiani. Informazioni come queste saranno vitali per permettere alle imprese di:
  • capire come i cittadini usano SPID e CIE con le pubbliche amministrazioni,
  • immaginare i vantaggi che queste identità offrono per i servizi digitali delle imprese e soprattutto
  • Identificare dai dati opportunità per servizi digitali innovativi ad imprese e cittadini, a valore aggiunto rispetto a quelli che ciascuna impresa e pubblica amministrazione oggi eroga.

Dai Dati ad oggi pubblicati da Regione Toscana è già possibile notare come SPID sia stato un abilitatore per ampliare la base degli utenti: infatti l’incremento di utenti unici avvenuto nell’ultimo pare seguire il numero di utenti che utilizzano SPID per accedere ai servizi mentre l’incremento di utenti che non utilizzano SPID è assai contenuto.

Il cambio di abitudini legato alle limitazioni di spostamento  dovute all’emergenza sanitaria in corso ha certamente contribuito ad un maggiore ricorso dei servizi on line; anche al di là di questo effetto, rimane significativo come la porzione degli utenti che utilizzano SPID diventi sempre più importante nel tempo raggiungendo e superando la metà del totale negli ultimi mesi.

Già prima di ricevere i dati di dettaglio, l’accoglimento stesso di questa richiesta ci sta aiutando a proporre  richieste simili a numerosi attori dell’ecosistema, quali ad esempio:

• le altre regioni e province autonome, e gli aggregatori di servizi SPID pubblici che molte di queste hanno organizzato per aiutare pubbliche amministrazioni più piccole ad adottare SPID
• gli Identity Provider SPID, IPZS, AgID e i Ministeri dell’Innovazione e dell’Interno.

Come far sapere alle imprese che SPID e CIE esistono

Proprio per questo abbiamo lanciato una campagna di comunicazione su SPID e CIE, la prima dedicata alle imprese, che si apre con un convegno online il 2 dicembre pomeriggio, con la partecipazione e il patrocinio di AgID stessa.

Alla campagna aderiscono, convinte dell’urgenza e della necessità di informare le imprese oltre ai cittadini, numerose associazioni ed alcune importanti imprese dell’ecosistema.

All’evento partecipano almeno due Identity Provider SPID, e l’Istituto Poligrafico e Zecca dello Stato che per il Ministero dell’Interno gestisce CIE. Altri parteciperanno agli eventi che ciascuna associazione e impresa animerà all’interno della campagna, e a quello che stiamo preparando tra tre mesi, per valutare lo stato dell’ecosistema alla scadenza di fine febbraio prevista dal decreto semplificazioni.

Per partecipare all’evento online del 2 dicembre, approfondire i vantaggi di SPID e CIE per le imprese, capire come adottarle per i tuoi servizi digitali, e seguire le prossime iniziative della campagna registrati qui.