QEI compie il passo successivo: è stata preparata una proposta per un progetto pilota di ricerca per la Repubblica di Slovenia
L’Istituto 1. april ha completato la preparazione della proposta di un progetto pilota di ricerca QEI – Quantized Encrypted Identity per la Repubblica di Slovenia. Il documento rappresenta il passo successivo nello sviluppo dell’iniziativa QEI.
L’iniziativa QEI – Quantized Encrypted Identity nasce da una domanda che, con lo sviluppo dell’identità digitale, sta diventando sempre più importante:
È possibile dimostrare in modo affidabile l’identità o una determinata caratteristica di una persona senza dover rivelare più dati personali di quanto sia effettivamente necessario?
La proposta di progetto pilota di ricerca è stata preparata proprio con l’obiettivo di verificare questa domanda.
Non rappresenta l’introduzione di QEI in Slovenia e non significa che il progetto pilota sia già stato approvato. Si tratta di una proposta di progetto pilota di ricerca, il cui obiettivo è consentire una valutazione specialistica del concetto e determinare se singoli elementi di QEI possano offrire un valore aggiunto misurabile nei settori della sicurezza, della privacy e della protezione dei dati personali.
Dal concetto a una domanda di ricerca verificabile
Nello sviluppo di nuovi sistemi di identità digitale, una buona idea da sola non è sufficiente.
Un concetto deve poter essere testato, misurato, confrontato con le soluzioni esistenti e valutato in modo indipendente.
Per questo motivo, la proposta del progetto pilota QEI è concepita come un ambiente di ricerca limitato e controllato, nel quale sarebbe possibile verificare le principali ipotesi del concetto senza introdurlo direttamente nei sistemi pubblici operativi.
L’approccio proposto prevede, tra l’altro:
- l’utilizzo di identità sintetiche o di test,
- attività senza interventi diretti nei registri pubblici operativi,
- la verifica delle caratteristiche di sicurezza e privacy del concetto,
- l’analisi della minimizzazione dei dati personali,
- la verifica dell’architettura tecnica concettuale,
- la valutazione giuridica e in materia di protezione dei dati,
- il confronto con il quadro europeo dell’identità digitale,
- una valutazione specialistica indipendente dei risultati.
Il principio fondamentale è semplice:
Il progetto pilota non deve dimostrare che QEI funziona – deve determinare se QEI funziona e a quali condizioni.
QEI e l’identità digitale europea
L’Unione europea sta attualmente sviluppando un nuovo quadro per l’identità digitale, il cui elemento centrale è rappresentato dall’European Digital Identity Wallet, ovvero EUDI Wallet.
QEI non è un’alternativa al portafoglio europeo di identità digitale e non equipariamo i due sistemi.
La domanda di ricerca è diversa.
Vogliamo verificare se determinati elementi concettuali di QEI possano rappresentare un ulteriore livello di sicurezza o di tutela della privacy e se, in futuro, possano eventualmente essere collegati all’ecosistema europeo dell’identità digitale senza comprometterne l’interoperabilità.
Particolare attenzione è quindi dedicata ad ambiti quali Privacy by Design, minimizzazione dei dati, protezione crittografica, elaborazione locale dei dati sensibili, controllo da parte dell’utente e riduzione della divulgazione non necessaria dei dati identificativi.
Dimostrare ciò che è necessario – senza rivelare tutto
Uno dei casi di riferimento previsti per la verifica nell’ambito della ricerca riguarda la dimostrazione del superamento di una determinata soglia di età.
Se un servizio digitale deve verificare se un utente ha più di 18 anni, si pone una domanda importante:
Il servizio deve conoscere il nome, il cognome, la data di nascita e altri dati personali dell’utente – oppure ha bisogno soltanto di una conferma affidabile che il requisito di età richiesto sia soddisfatto?
Esempi di questo tipo rappresentano il nucleo di una questione più ampia relativa al futuro dell’identità digitale.
I sistemi digitali del futuro, infatti, non saranno valutati soltanto in base alla loro capacità di identificare una persona in modo affidabile, ma anche in base a quanti dati devono elaborare, a chi devono essere comunicati e con quale efficacia possono essere protetti.
Il progetto pilota deve consentire anche un risultato negativo
Una caratteristica importante dell’approccio di ricerca proposto è che il risultato non è stabilito in anticipo.
La ricerca potrebbe dimostrare che QEI offre un significativo valore aggiunto in termini di sicurezza o privacy.
Potrebbe dimostrare che sono utili soltanto alcuni elementi del concetto.
Potrebbe dimostrare che determinate parti dell’architettura devono essere modificate.
Potrebbe inoltre dimostrare che i meccanismi europei esistenti o in fase di sviluppo garantiscono già determinate funzionalità con sufficiente efficacia e che una soluzione aggiuntiva non è necessaria.
Ognuno di questi risultati rappresenterebbe un esito legittimo di un progetto pilota di ricerca.
La possibilità di una verifica indipendente, compresa la possibilità di respingere singole ipotesi, costituisce proprio la differenza fondamentale tra un progetto di ricerca e la promozione di una soluzione il cui risultato è stato stabilito in anticipo.
La persona deve rimanere al centro
L’identità digitale sta progressivamente diventando un’infrastruttura fondamentale della società moderna.
La utilizzeremo nei rapporti con lo Stato, le banche, il sistema sanitario, le istituzioni educative, le imprese e numerosi servizi digitali.
Per questo motivo, la questione del futuro dell’identità digitale non è soltanto tecnica.
Riguarda anche chi controlla l’identità, chi può richiedere i dati, quanti dati una persona deve rivelare e quali possibilità ha di controllarne l’utilizzo.
È proprio su questo principio che si basa anche il proseguimento della ricerca su QEI.
“Una buona identità digitale non è quella che rivela di più su una persona. Una buona identità digitale è quella che può dimostrare in modo affidabile ciò che è necessario, rivelando il meno possibile.”
— Istituto 1. april
Il prossimo passo: la valutazione specialistica
La preparazione della proposta di progetto pilota di ricerca rappresenta un’importante tappa nello sviluppo, ma non costituisce la conclusione dello sviluppo di QEI.
La fase successiva dovrà basarsi sul coinvolgimento di esperti e istituzioni competenti nei settori dell’identità digitale, della cybersicurezza, della crittografia, della protezione dei dati personali, del diritto e delle infrastrutture digitali europee.
L’obiettivo non è confermare QEI in anticipo.
L’obiettivo è creare le condizioni nelle quali possa essere verificato.
Se il progetto pilota di ricerca dimostrerà che il concetto offre un valore aggiunto, i risultati potranno costituire una base per ulteriori attività di ricerca e sviluppo.
Se non lo dimostrerà, anche questo rappresenterà un risultato importante.
Per l’Istituto 1. april, la proposta di progetto pilota preparata rappresenta quindi soprattutto il passaggio dalla domanda:
«Come potrebbe funzionare QEI?»
a una domanda molto più importante:
«Possiamo misurare e dimostrare in modo indipendente il suo valore aggiunto?»
Questo è il prossimo passo nello sviluppo dell’iniziativa QEI.
