L'identità digitale aziendale (digital corporate identity) è oggi una infrastruttura normativa e tecnica obbligata per le transazioni B2B certificate. Con il Regolamento eIDAS 2024/1183 (entrato in vigore il 20 maggio 2024), l'Unione Europea ha ridefinito l'ecosistema digitale per le identità legali virtuali, integrando regole per la privacy (GDPR), la sicurezza informatica (NIS 2) e l'intelligenza artificiale (AI Act). Questi strumenti si applicano a contratti, certificati, ordini di acquisto e documenti finanziari, sostituendo la verifica analogica a una piattaforma digitale standardizzata.
Dal eIDAS 2014 al eIDAS 2024: innovazioni normative
Il Regolamento eIDAS originario (2014) ha stabilito il framework per identificazione digitale, firme elettroniche e servizi qualificati. Il nuovo testo (Reg. UE 2024/1183) introduce significativi aggiornamenti:
- Wallet digitale europeo (EUDI Wallet): Portafoglio per conservare e utilizzare identità digitali, sigilli e documenti elettronici in modo autenticato.
- Attestazioni di attributi: Permettono la condivisione mirata di dati (es. conformità HSE o rischio IT) senza divulgare informazioni sensibili.
- Qualificazione cross-border: Certificazioni riconosciute in tutti gli Stati membri, eliminando la frammentazione normativa.
Gli strumenti tecnologici per la veridicità aziendale
Il eIDAS 2024 ha reso obbligatori strumenti tecnici per garantire tracciabilità e inalterabilità.
- Sigillo elettronico qualificato (QeSeal): Strumento specifico per persone giuridiche, basato su crittografia a chiave pubblica. Conferma l'origine e l'integrità dei documenti, con effetto legale in tutti gli Stati membri (art. 35 eIDAS).
- Audit trail digitale: Registri cronologici non modificabili che registrano ogni interazione o modifica effettuata su un documento.
- EUDI Wallet: Gestisce in modo unificato identità, qualifiche e attributi, permettendo agli utenti di selezionare solo i dati necessari per una transazione.
Intersezioni con il GDPR: tracciabilità e consenso
La normativa sulla privacy (GDPR) si sovrappone al contesto digitale aziendale.
- Trattamenti obbligatori: Tutte le attività di identificazione o verifica digitale coinvolgono dati personali fisici (es. CIO o rappresentanti legali), sottoposti ai principi GDPR di legalità e trasparenza.
- Presa di consenso: Il consenso (art. 6 GDPR) non è lo strumento preferito per B2B strutturati, poiché spesso non espresso in autonomia (EDPB, 2022).
- Valutazione d’Impatto sulla Protezione dei Dati (DPIA): Obbligatorio per sistemi di identità aziendale a rischio elevato (ex Garante privacy, Provv. 2018/11)
Compliance con l'AI Act: sistemi ad alto rischio
L'AI Act (Reg. UE 2024/1689) classifica sistemi biometrici utilizzati in verifiche digitali come "ad alto rischio", richiedendo:
- Registri di tracciabilità obbligatori;
- Verifica periodica da parte di enti esterni;
- Processi di audit indipendente;
- Spiegazioni chiarite per decisioni automatizzate (art. 86);
- Tre strati di supervisione: sistema, persona fisica e soggetto giuridico.