Ing. Calogero Bono
L'Agence pour l'Italie numérique (AgID) a publié la version 1.0 du règlement qui définit comment s'inscrire au Système IT-Wallet et comment participer à l'Espace d'expérimentation. L'annonce figure sur le site de l'agence, datée du 29 octobre 2026. Le texte précise qui fait quoi dans la chaîne du portefeuille numérique italien et fixe des obligations de sécurité. Il concerne ceux qui développent des services, ceux qui les vendent et ceux qui gèrent les données des clients.
Quelques termes avant d'entrer dans les faits. Un IT-Wallet est le portefeuille numérique italien, où l'on conserve documents et attestations sur son téléphone. Un attestation électronique d'attributs est une preuve numérique d'une donnée, par exemple un diplôme ou une qualification. Un vérificateur est celui qui contrôle ces attestations. Une source authentique est l'organisme qui détient la donnée d'origine. PEC désigne la messagerie électronique certifiée.
Que prévoit le règlement ?
Selon AgID, le document fixe les modalités opérationnelles de deux volets. Le premier est l'inscription au Système IT-Wallet. Le second est la participation à l'Espace d'expérimentation, où l'AgID guide et coordonne des acteurs publics et privés dans la validation et les tests de solutions techniques. L'agence dialogue avec l'ACN, le Département pour la transformation numérique et les autres autorités compétentes.
L'AgID y voit une étape importante vers le fonctionnement du portefeuille numérique, qui favorise un développement coordonné de l'écosystème dans le respect des exigences techniques, de sécurité et de protection des données.
Qui fait quoi dans la chaîne ?
Le règlement confirme deux rôles de droit.
- L'Istituto Poligrafico e Zecca dello Stato (IPZS) est fournisseur unique du Registre et des Attestations électroniques de données d'identification personnelle (IT-Wallet ID) et d'intérêt public.
- PagoPA est le seul fournisseur de la solution IT-Wallet publique.
Pour tous les autres, une procédure d'inscription est prévue. Elle concerne les fournisseurs de solutions IT-Wallet privées, les fournisseurs d'attestations électroniques d'attributs, les vérificateurs, les agrégateurs et les titulaires de sources authentiques.
Les obligations de sécurité
L'AgID veille au respect d'obligations précises. Parmi elles figurent le traitement des données du Système sur des infrastructures situées dans l'Union européenne, la surveillance continue des systèmes et la gestion des incidents. L'agence conserve la maîtrise réglementaire et de contrôle du Registre. Elle peut vérifier les exigences dans le temps, jusqu'à suspendre ou révoquer l'inscription en cas de manquement.
Comment s'inscrire ?
La demande passe par le portail d'onboarding mis à disposition par l'IPZS, ou par d'autres modalités indiquées par l'AgID sur son site. Tant que le portail n'est pas pleinement opérationnel, il faut utiliser le formulaire annexé au règlement. Il doit être signé avec une signature électronique qualifiée ou une signature numérique par le représentant légal, puis envoyé par PEC à protocollo@pec.agid.gov.it.
L'AgID et l'ACN, chacune selon ses compétences, peuvent procéder à des vérifications avec l'appui de l'IPZS. Elles contrôlent la conformité aux spécifications techniques des outils utilisés ainsi que les exigences de sécurité.
Si aucun refus n'arrive dans les quatre-vingt-dix jours suivant le dépôt, la demande est considérée comme acceptée sous réserve. L'inscription au Registre ne devient effective qu'après la réussite des vérifications et des tests techniques de validation. L'instruction est menée par l'AgID, qui peut s'appuyer sur l'avis de l'ACN pour la cybersécurité.
Comment fonctionne l'Espace d'expérimentation ?
C'est un environnement contrôlé où les acteurs inscrits peuvent effectuer validation, tests, intégration et surveillance de solutions techniques. Il faut une demande d'admission auprès de l'AgID pour un ou plusieurs projets. Pour tester des fonctionnalités, des services, des cas d'usage ou des modalités non encore prévus par le cadre normatif ou par les spécifications techniques, il est nécessaire de présenter un projet, avec le modèle annexé au règlement.
Avant la demande formelle, il est possible de demander un échange informel avec l'AgID et le DTD sur la faisabilité du projet. Après le dépôt, l'AgID évalue le projet après avoir consulté l'ACN pour la cybersécurité et le Département pour la transformation numérique pour la cohérence avec les orientations stratégiques nationales.
Limites à connaître
La source est un communiqué institutionnel et non une analyse indépendante. Elle n'indique pas quand le portail d'onboarding sera pleinement opérationnel. Elle ne dit pas combien d'acteurs se sont déjà inscrits ni quels services privés arriveront en premier. Elle ne mentionne ni les coûts d'adhésion ni les délais des tests techniques de validation.
Le règlement en est à la version 1.0, il pourra donc être mis à jour. Le texte intégral et les annexes sont disponibles sur le site de l'AgID et nous ne les avons pas résumés ici ligne par ligne. Avant d'agir, lis-les.
Ce qui change pour ceux qui travaillent dans le numérique
Pour l'instant, cela concerne surtout ceux qui veulent devenir fournisseur, vérificateur ou agrégateur. Il faut un représentant légal disposant d'une signature qualifiée, une PEC et une infrastructure qui traite les données sur le territoire de l'UE. Ceux qui gèrent des serveurs devront donc savoir où se trouvent physiquement les données et comment elles sont surveillées. Sur ce point, il y a la question de l'hébergement et serveurs gérés avec mises à jour de sécurité.
Pour une entreprise qui ne sera pas fournisseur, l'effet est plus indirect. Une attestation numérique pourrait un jour remplacer des documents papier ou des cartes. Nous en avons parlé pour les clients dans le guide sur la carte de fidélité numérique dans le wallet. Ceux qui délivrent des diplômes, par exemple des cours en ligne, peuvent lire comment on gère aujourd'hui les attestations de fin de formation pour comprendre ce qui devra devenir vérifiable. Le règlement ne dit toutefois pas que ces cas entrent dans le système.
Sur le plan des données personnelles, le cadre est lié à la question de l'identité numérique, déjà traitée dans cet article sur les PME. Pour un secteur sensible comme la santé, ce qui est écrit sur le consentement éclairé sur tablette s'applique.
Notre avis
Le règlement est utile car il met de l'ordre. Il distingue les rôles publics des rôles privés et prévoit suspension et révocation. C'est un bon signal pour ceux qui craignent un marché sans règles. Nous apprécions aussi l'espace d'expérimentation avec un échange informel préalable, qui réduit le coût de l'erreur.
Nous voyons toutefois deux risques. Le premier est le poids bureaucratique. Une PEC avec signature qualifiée du représentant légal est accessible à un grand opérateur, moins à une petite société de logiciels. Le second est l'acceptation sous réserve après quatre-vingt-dix jours, qui laisse l'entreprise dans une zone grise jusqu'aux tests. Ce sont nos évaluations, non des données de la source. Le vrai test sera le portail d'onboarding.
Questions fréquentes
Qui gère l'IT-Wallet public ?
PagoPA est le seul fournisseur de la solution publique. L'IPZS est en revanche fournisseur unique du Registre et des attestations d'identification personnelle et d'intérêt public. L'AgID conserve la maîtrise réglementaire et le contrôle du Registre.
Comment se présente la demande d'inscription ?
Via le portail d'onboarding de l'IPZS ou d'autres modalités indiquées par l'AgID. Lors de la première application, on utilise le formulaire annexé, signé par le représentant légal et envoyé par PEC.
Combien de temps faut-il pour être inscrit ?
Cela dépend des vérifications. La demande est acceptée sous réserve si aucun refus n'arrive dans les quatre-vingt-dix jours. L'inscription au Registre n'est effective qu'après les vérifications et les tests techniques.
Les données peuvent-elles se trouver hors de l'Union européenne ?
Selon le communiqué, non pour le traitement des données du Système. Les obligations prévoient des infrastructures situées dans l'Union européenne.
Peut-on tester des services non encore prévus ?
Oui, mais selon une procédure précise. Il faut un projet d'expérimentation présenté à l'AgID avec le modèle annexé. Il est possible de demander au préalable un échange informel avec l'AgID et le DTD.
Ce qu'il faut suivre dans les prochains mois pour l'IT-Wallet
La question est de savoir si le portail d'onboarding arrivera et dans quels délais. En attendant, tu peux te préparer.
- Lis le règlement et ses annexes sur le site de l'AgID et vérifie dans quelle catégorie tu te situerais.
- Contrôle où sont hébergées les données de tes systèmes et comment elles sont surveillées.
- Si tu as une idée de service hors des sentiers battus, envisage un échange informel avec l'AgID et le DTD avant le projet. Pour développer, le développement de logiciels sur mesure peut aider à intégrer les systèmes.
