SPID e CIE per le imprese private, una promessa mancata: cosa serve e come arrivarci

Nelle disposizioni del legislatore da tempo è prevista l’adesione allo SPID da parte di soggetti privati fornitori di servizi (art. 15 del DPCM del 24/10/2014), adesione che poi è stata prevista ed estesa anche al sistema CIE, ma concretamente questa adesione al momento stenta a decollare.
Si tratta dell’opportunità e necessità per imprese, organizzazioni senza scopo di lucro e studi professionali di integrarsi all’ecosistema SPID e CIE per offrire servizi innovativi agli utenti, sfruttando il valore dell’autenticazione e dell’identificazione certa e sicura.

A inizio 2021 il gruppo interdisciplinare di esperti e appassionati #ClubTI4SPID ha indicato la ricetta per innescare una svolta per le imprese e le organizzazioni private cominciando dal fare cinque cose fondamentali.

E oggi? Quanti fornitori di servizi privati hanno adottato SPID e CIE?

SPID e CIE per le imprese: cinque cose da fare per una seconda svolta

Le identità digitali nazionali per le imprese oggi (spoiler: è tutto come un anno fa)

Vi ricordate? Il 2020, tra tante altre cose, fu l’anno della svolta per la diffusione delle identità digitali nazionali: cavalcando la necessità di remotizzazione spinta dai lockdown, le identità SPID e CIE si sono pienamente affermate con un’adozione di massa da parte dei cittadini e con oltre novemila pubbliche amministrazioni che consentono l’accesso ai servizi online mediante le identità digitali stesse.

Il 2021 ha ulteriormente consolidato questa evoluzione, con:

• quasi 27 milioni di profili SPID attivi (a dicembre 2020 erano 16)
• più di 25 milioni di carte CIE attivate (a dicembre 2020 erano circa quanti i profili SPID)
• e soprattutto, un uso frequente e crescente: 69 milioni di accessi con SPID nel novembre 2021, cioè in un mese solo quasi metà di tutti gli accessi dello storico 2020, più del doppio dei 30 milioni di accessi di dicembre 2020, molti più di tutti gli accessi del 2019!

L’obbligo di accesso tramite SPID e CIE ai servizi online delle pubbliche amministrazioni in vigore dal primo marzo 2021 ha sancito la piena adozione di questi meccanismi da parte del nostro governo centrale e locale per tutti i propri servizi digitali, ancora da consolidare e migliorare anche qualitativamente, ma ormai sostanzialmente acquisita.

Rimane un ambito nel quale la situazione di queste identità digitali è statica, addirittura incerta, come si poteva pensare fosse quella per i cittadini e le pubbliche amministrazioni quando SPID e CIE contavano pochissimi milioni di profili attivi e una crescita limitata degli accessi.

Oggi la situazione di SPID e CIE per le imprese è sostanzialmente identica a quella dell’inizio del 2021! In particolare:

• ci sono una sessantina di service provider privati SPID, rispetto ai 19 di febbraio. Sono imprese diversificate per mercato, dimensioni, obiettivi, ma restano una minoranza trascurabile rispetto al potenziale di milioni di imprese che già oggi offrono servizi digitali sul web o con app, e a quelle che potrebbero farlo;
• i service provider privati CIE sono tre, quanti a febbraio del 2021. Molti altri sono in attesa che il ministero competente riveda le procedure di autorizzazione;
• la maggior parte delle organizzazioni conosce ormai CIE e SPID, ma non ha ancora compreso e sviluppato le potenzialità delle identità digitali per autenticare e identificare con certezza gli utenti che accedono ai loro servizi digitali B2C e B2B.
• gli aggregatori di servizi privati, che AgID dava per imminenti già il 10 marzo scorso, permetterebbero a qualsiasi impresa di adottare SPID per l’accesso ai propri servizi digitali senza fatica, ma restano “in attesa”, chissà per quanto tempo ancora .

Il piano Italia Digitale 2026 e le identità digitali

Due elementi più recenti, a nostro avviso ancora più significativi, emergono chiaramente dal piano Italia Digitale 2026.

Vediamo il primo: due tra i cinque macro-obiettivi quantitativi del piano dipendono fortemente dall’uso delle identità digitali nazionali:

• Diffondere l’identità digitale, assicurando che venga utilizzata dal 70% della popolazione
• Colmare il gap di competenze digitali, con almeno il 70% della popolazione che sia digitalmente abile

e però, per raggiungere tale obiettivo ci si affida ai servizi digitali delle sole pubbliche amministrazioni.

L’immagine sinottica del piano mostra bensì

• “Impresa 4.0 e settori chiave, space economy”
• “Infrastrutture digitali culturali, turismo digitali”
• “Competenze: privato, pubblico e famiglie”

Eppure… la grande maggioranza dei cittadini (chiunque usi uno smartphone, un tablet, un computer, un orologio digitale online, un navigatore satellitare collegato a internet) usa credenziali di accesso di vario genere, centinaia o migliaia di volte al giorno, che corrispondono a centinaia di milioni di autenticazioni al mese in tutta Italia, forse miliardi, per accedere a servizi digitali privati, con tutele legali, commerciali e di confidenzialità ben inferiori.

Quali identità digitali conviene che usino, cittadini e imprese, per queste attività economiche così importanti per la ripresa e la resilienza del Paese?

Davvero vogliamo continuare ad affidarci a un PIN inserito settimane o mesi fa in un telefono, e associato all’identità anagrafica del cittadino da un modulo compilato a mano nell’atrio di un centro commerciale (corredato “naturalmente” della scansione di un documento di identità)? Davvero il meglio cui il Paese digitale del 2026 aspira è “Entra con… Apple, Facebook, Google, Microsoft… l’operatore cloud internazionale preferito”?

Il secondo elemento di interesse che deriva dal piano Italia 2026 è un elemento di incertezza, e quindi inevitabilmente un invito alle imprese a rinviare qualsiasi decisione sulle identità nazionali.

Il piano esplicita la scelta di avere una identità digitale nazionale invece delle due attuali (SPID e CIE): “convergendo verso una soluzione integrata e sempre più semplice per gli utenti”. Benissimo, certo: questo semplificherà la gestione da parte dei cittadini e, se vorremo, delle imprese. Ma quando? Come? Con quali garanzie di resilienza e di tutela dei cittadini dal controllo totale di un unico operatore nazionale, per quanto benevolo e sorvegliato?

Ci sembra che la risposta a domande simili sia lontana, perché attende la sintesi tra due prospettive oggi contrapposte:

• quella che considera lo Stato come unico possibile responsabile di un servizio come quello del riconoscimento dell’identità, e
• chi preferisce affidare alle dinamiche del mercato, presunte libere e più efficaci, la ricerca e la promozione delle soluzioni più valide.

Qui ricordiamo che l’accentramento di una soluzione non è sinonimo di efficienza e robustezza, basti pensare che le soluzioni oggi di maggior successo in termini di diffusione (ad esempio firma digitale, posta elettronica certificata, conservazione a norma) si basano su sistemi distribuiti e gestiti dal privato ma regolati e sorvegliati da autorità pubbliche. D’altra parte, le soluzioni per l’identificazione degli individui più diffuse, come quelle gratuite dei social media o quelle commerciali dei fornitori di servizi fiduciari, presentano limiti significativi:

• le prime per quanto riguarda la trasparenza e la tutela dei cittadini, soprattutto escludono i vantaggi di efficienza che l’identificazione certa tramite le identità digitali nazionali permette.
• Le seconde, che superano egregiamente tutte le carenze delle prime, sono state storicamente limitate a imprese grandi con esigenze commerciali e regolamentari complesse, e in ogni caso impongono all’utente un’autenticazione specifica per ogni servizio.

Cosa otterremo quando le imprese adotteranno le identità digitali nazionali

Magari va bene così. Magari l’identità digitale nazionale è il futuro della sola pubblica amministrazione. Magari la scelta che oggi il mercato ha oggettivamente fatto, quella di ignorare SPID e CIE, è la migliore. Che le imprese continuino pure a

• usare credenziali digitali commerciali, o peggio una propria gestione di credenziali di accesso più o meno sicura e affidabile (spesso meno!), per identificare (beh, quasi) i cittadini potenziali clienti o fornitori, valutare le loro esigenze e proporre loro i propri servizi;
• integrare nei propri processi digitali onerose attività di verifica dell’identità e del credito di clienti che restano spesso sostanzialmente sconosciuti e quindi rischiosi, rassegnandosi a sostenere i costi di recupero crediti e frodi quando queste attività di verifica falliscono;
• ottenere e registrare consensi e attestazioni di questi clienti e fornitori per essere pronti a dimostrare a regolatori e terzi di aver fatto un’adeguata verifica della loro identità;
• proteggere le informazioni così registrate, oggetto ideale degli attacchi informatici perché permettono per definizione il furto delle identità digitali dei cittadini, assumendosi la piena responsabilità di questi furti.

Noi e tutto il gruppo di lavoro interdisciplinare #ClubTI4SPID restiamo convinti che la possibilità per i cittadini di usare SPID e CIE per accedere a migliaia e migliaia di servizi digitali privati, molto più numerosi dei servizi digitali pubblici che il cittadino medio usa ogni anno, aiuterà lo sviluppo di competenze digitali di cittadini e imprese, e la stessa diffusione delle identità digitali, con un contributo paragonabile a quello di altre grandi svolte come la fatturazione elettronica, i pagamenti elettronici alle pubbliche amministrazioni, il 730 precompilato, la certificazione anagrafica online tramite ANPR, aiutandoci a raggiungere proprio quei due primissimi obiettivi quantitativi chiave del piano Italia Digitale 2026.ù

Cosa manca e come arrivarci: una lettera aperta

Per rendere facile e conveniente alle imprese di adottare SPID e CIE per identificare con certezza gli utenti dei loro servizi digitali mancano oggi esattamente le cinque cose che avevamo identificato all’inizio di febbraio e confermato con il convegno del 10 marzo:

1. Aggregatori di servizi privati – la lacuna più grave e urgente da colmare, come descrivevamo già a giugno 2020;
2. Firme: lo stratificarsi di norme nel tempo e la varietà di soluzioni di integrazione di CIE e SPID con la sottoscrizione elettronica hanno gravemente limitato il grande potenziale di questi strumenti. Occorre un’azione di chiarimento e di sintesi su come si possa sottoscrivere documenti anche negli scenari privati con CIE e SPID, con poche soluzioni riconosciute da tutti i soggetti. Per la massima efficacia e semplicità può essere utile distinguere due livelli di soluzioni di firma integrate a SPID e CIE:

(i) uno livello medio, di uso più comune e quindi prioritario, con cui adempiere alle esigenze quotidiane di sottoscrizioni con soluzioni rese semplici e immediate.

(ii) un secondo livello più elevato dal punto di vista giuridico e probatorio, per firmare documenti relativamente rari nella quotidianità, per i quali la norma richiede maggiore solennità e formalità sulla validità della forma scritta.

1. Gestori di attributi qualificati (previsti dal 2014!) e gestione di deleghe e poteri in funzione di questi attributi: necessarie perché ognuno di noi possa esercitare digitalmente diritti e poteri che dipendono dalla sua appartenenza a certi ruoli professionali e imprenditoriali oltre che dalla propria identità personale.
2. Accesso per le imprese agli eID: le identità nazionali a standard eIDAS dei diversi Stati membri UE. È necessario per offrire i servizi che integrano SPID e CIE alle persone residenti in altri stati dell’unione che useranno queste altre identità.
3. Open data sull’uso di SPID, CIE e CNS: permettono alle imprese e agli analisti dei mercati di conoscere in forma anonima il comportamento dei cittadini online con le pubbliche amministrazioni, e quindi di rispondere meglio alle loro esigenze individuando (perché no?) i servizi che possono essere offerti da soggetti privati con buona probabilità di successo.

Il piano Italia Digitale 2026, ignorando ciascuno di questi punti o dandone per scontata l’imminente attuazione, di fatto conferma le stesse lacune nella costruzione di un Paese resiliente e sostenibile, in quanto la road map sulle identità digitali dovrebbe spingere tanto nei servizi privati quanto nei servizi pubblici.

Anche la stessa diffusione delle identità ad uso professionale deve essere un pilastro dell’azione governativa in quanto permetterebbe l’innovazione dei servizi online con le finalità lavorative, diventando competitivi a livello europeo.

Conclusioni

Come avere indicazioni chiare dalle istituzioni, per aiutare il mondo delle imprese ad orientarsi e passare all’azione?

Abbiamo pensato di esplicitare e chiarire questa richiesta, nel contesto rinnovato e di ben maggior respiro del piano 2026, mediante una lettera aperta alle istituzioni e agli attori competenti per le identità digitali con il supporto delle imprese e delle loro associazioni, che come noi ritengono importante per gli obiettivi di digitalizzazione del Paese, sviluppare e diffondere nei mercati privati del B2C e B2B l’uso delle identità digitali nazionali.

Abbiamo appena iniziato ad invitare le associazioni di imprese italiane e numerosi operatori dei servizi digitali privati, dai più grandi ai più piccoli, a sottoscrivere questa lettera.

Per sottoscrivere la lettera aperta, individualmente o con la tua organizzazione, contattaci sul gruppo LinkedIn di Club TI Milano.