Ing. Calogero Bono
A Agência para a Itália Digital (AgID) publicou a versão 1.0 do regulamento que define como se registrar no Sistema IT-Wallet e como participar do Espaço de Experimentação. A notícia está no site da agência, com data de 29 de outubro de 2026. O texto define quem faz o quê na cadeia do portfólio digital italiano e estabelece obrigações de segurança. Ele importa para quem desenvolve serviços, para quem os vende e para quem gerencia dados de clientes.
Alguns termos antes de entrar nos fatos. O IT-Wallet é a carteira digital italiana, onde se guardam documentos e certificados no celular. Um atestado eletrônico de atributos é uma prova digital de um dado, por exemplo um título ou uma qualificação. Um verificador é quem confere esses atestados. Uma fonte autêntica é o órgão que detém o dado original. A PEC é a posta elettronica certificata, ou seja, o correio eletrônico certificado.
O que prevê o regulamento?
Segundo a AgID, o documento estabelece as regras operacionais para duas coisas. A primeira é o registro no Sistema IT-Wallet. A segunda é a participação no Espaço de Experimentação, onde a AgID orienta e coordena órgãos públicos e privados na validação e nos testes de soluções técnicas. A agência dialoga com a ACN, o Departamento para a Transformação Digital e as demais autoridades competentes.
A AgID define o texto como um passo importante para tornar o portfólio digital operacional, favorecendo um desenvolvimento coordenado do ecossistema, respeitando os requisitos técnicos, de segurança e de proteção dos dados.
Quem faz o quê na cadeia?
O regulamento confirma dois papéis por direito próprio.
- O Instituto Poligráfico e Casa da Moeda do Estado (IPZS) é fornecedor único do Registro e dos Atestados Eletrônicos de Dados de Identificação Pessoal (IT-Wallet ID) e de interesse público.
- A PagoPA é a única fornecedora da solução pública de IT-Wallet.
Para todos os outros existe um procedimento de registro. Ele se aplica aos fornecedores de soluções privadas de IT-Wallet, aos fornecedores de atestados eletrônicos de atributos, aos verificadores, aos agregadores e aos titulares de fontes autênticas.
As obrigações de segurança
A AgID fiscaliza o cumprimento de obrigações precisas. Entre elas estão o tratamento dos dados do Sistema em infraestruturas localizadas na União Europeia, o monitoramento contínuo dos sistemas e a gestão de incidentes. A agência mantém a titularidade regulatória e de controle do Registro. Pode verificar os requisitos ao longo do tempo, chegando a suspender ou revogar o registro em caso de descumprimento.
Como se registrar?
O pedido passa pelo portal de onboarding disponibilizado pelo IPZS, ou por outras modalidades indicadas pela AgID em seu site. Enquanto o portal não estiver plenamente operacional, é preciso usar o formulário anexo ao regulamento. Ele deve ser assinado com assinatura eletrônica qualificada ou assinatura digital pelo representante legal e enviado por PEC para protocollo@pec.agid.gov.it.
A AgID e a ACN, cada uma dentro de suas competências, podem realizar verificações com o apoio do IPZS. Elas checam a conformidade com as especificações técnicas das ferramentas usadas e com os requisitos de segurança.
Se, em até noventa dias após a apresentação, não chegar uma negativa, o pedido é considerado aceito com reserva. A inscrição no Registro só se torna efetiva após a aprovação em verificações e testes técnicos de validação. A análise é conduzida pela AgID, que, no que se refere à cibersegurança, pode contar com o parecer da ACN.
Como funciona o Espaço de Experimentação?
É um ambiente controlado no qual os participantes registrados podem fazer validação, testes, integração e monitoramento de soluções técnicas. É necessário um pedido de admissão à AgID para um ou mais projetos. Para testar funcionalidades, serviços, casos de uso ou modalidades ainda não previstos pelo quadro normativo ou pelas especificações técnicas, é preciso apresentar um projeto, usando o modelo anexo ao regulamento.
Antes do pedido formal, é possível solicitar uma conversa informal com a AgID e o DTD sobre a viabilidade do projeto. Após a apresentação, a AgID avalia, ouvindo a ACN para a cibersegurança e o Departamento para a Transformação Digital para a coerência com as diretrizes estratégicas nacionais.
Limites que você precisa conhecer
A fonte é um comunicado institucional e não uma análise independente. Não informa quando o portal de onboarding estará plenamente operacional. Não diz quantos participantes já se registraram nem quais serviços privados chegarão primeiro. Não traz custos de adesão nem prazos dos testes técnicos de validação.
O regulamento está na versão 1.0, portanto pode ser atualizado. O texto completo e os anexos estão no site da AgID, e não os resumimos aqui linha por linha. Antes de agir, leia-os.
O que muda para quem trabalha com o digital
Por enquanto, a mudança afeta sobretudo quem quer atuar como fornecedor, verificador ou agregador. É preciso um representante legal com assinatura qualificada, uma PEC e uma infraestrutura que trate os dados em território da UE. Quem administra servidores precisará saber onde os dados estão fisicamente e como são monitorados. Sobre esse tema, vale ver a página de hospedagem e servidores gerenciados com atualizações de segurança.
Para uma empresa que não será fornecedora, o efeito é mais indireto. Um atestado digital poderá um dia substituir documentos em papel ou cartões. Falamos sobre isso para clientes no guia sobre o cartão digital na carteira. Quem emite certificados, por exemplo para cursos online, pode ler como hoje se gerenciam os certificados de conclusão para entender o que precisará ser verificável. Porém, o regulamento não diz que esses casos entram no sistema.
No campo dos dados pessoais, o quadro se liga ao tema da identidade digital, já tratado em este artigo sobre as PMEs. Para um setor sensível como o de saúde, vale o que foi escrito sobre o consentimento informado em tablet.
Nossa opinião
O regulamento é útil porque organiza o cenário. Separa os papéis públicos dos privados e prevê suspensão e revogação. Isso é um bom sinal para quem teme um mercado sem regras. Também gostamos do espaço de experimentação com conversa informal preliminar, que reduz o custo do erro.
Vemos, porém, dois riscos. O primeiro é o peso burocrático. Uma PEC com assinatura qualificada do representante legal é acessível a um grande operador, mas menos a uma pequena software house. O segundo é a aceitação com reserva após noventa dias, que deixa a empresa em uma zona cinzenta até os testes. São avaliações nossas, não dados da fonte. O verdadeiro teste será o portal de onboarding.
Perguntas frequentes
Quem administra o IT-Wallet público?
A PagoPA é a única fornecedora da solução pública. Já o IPZS é fornecedor único do Registro e dos atestados de identificação pessoal e de interesse público. A AgID mantém a titularidade regulatória e de controle do Registro.
Como é feito o pedido de registro?
Pelo portal de onboarding do IPZS ou por outras modalidades indicadas pela AgID. Na fase inicial, usa-se o formulário anexo, assinado pelo representante legal e enviado por PEC.
Quanto tempo leva para ser registrado?
Depende das verificações. O pedido é aceito com reserva se, em até noventa dias, não chegar uma negativa. A inscrição no Registro só é efetiva após verificações e testes técnicos.
Os dados podem ficar fora da União Europeia?
Segundo o comunicado, não, para o tratamento dos dados do Sistema. As obrigações exigem infraestruturas localizadas na União Europeia.
É possível testar serviços ainda não previstos?
Sim, mas dentro de um caminho específico. É preciso um projeto de experimentação apresentado à AgID com o modelo anexo. Antes, pode-se pedir uma conversa informal com a AgID e o DTD.
O que acompanhar nos próximos meses no IT-Wallet
A questão central é se o portal de onboarding vai chegar e em que prazo. Enquanto isso, você pode se preparar.
- Leia o regulamento e os anexos no site da AgID e verifique em qual categoria você se encaixaria.
- Confira onde estão hospedados os dados dos seus sistemas e como são monitorados.
- Se você tem uma ideia de serviço fora do padrão, avalie a conversa informal com a AgID e o DTD antes do projeto. Para desenvolver, o desenvolvimento de software sob medida pode ajudar a integrar os sistemas.
