El mercado de la Identidad Digital Europea: previsiones de 2021 y conjeturas de 2026

Deja un comentario

En abril de 2021, dos meses antes de que la Comisión presentara su propuesta de revisión de eIDAS, se cerró el Study to support the impact assessment for the revision of the eIDAS regulation, el estudio de apoyo a la evaluación de impacto elaborado por PwC y DLA Piper para la DG CNECT. Son 248 páginas que sirvieron de base técnica y económica a la propuesta que acabó convertida en el Reglamento (UE) 2024/1183, el que conocemos como eIDAS2.

Releerlo cinco años después resulta muy instructivo: permite ver qué problemas se identificaron, qué alternativas se barajaron, cuáles se eligieron y cuánto se ha transformado el mercado de la identidad digital desde entonces. En esta entrada resumo el estudio y hago ese repaso.

El punto de partida: el diagnóstico de 2021

El estudio partía de una constatación: el Reglamento eIDAS de 2014 había dado seguridad jurídica a los servicios de confianza y se había convertido en una referencia mundial, pero la parte de identificación electrónica no estaba funcionando como se esperaba. Los problemas que identificaba eran estos:

  • Cobertura insuficiente. Seis años después de eIDAS, los esquemas notificados cubrían solo a un 59 % de la población de la UE, y el 41 % de los ciudadanos no podía usar ninguna identificación electrónica fiable en otro país.
  • Uso transfronterizo testimonial. Las autenticaciones transfronterizas con identidades notificadas no llegaban a 10.000 al año, frente a millones de usos nacionales.
  • Limitación al sector público. eIDAS solo obligaba a reconocer identidades para servicios públicos, que son de uso poco frecuente: los entrevistados calculaban que un ciudadano necesita identificarse 1,5 veces al año ante la Administración y diez veces más ante servicios privados. En Suecia, solo el 7 % de las 4.100 millones de autenticaciones con BankID de 2019 correspondían a servicios públicos.
  • Ausencia de un marco para los atributos. Las credenciales que acreditan títulos, certificados médicos o cualificaciones profesionales quedaban fuera de eIDAS, lo que obligaba a cada país y sector a crear sus propios marcos.
  • Privacidad mejorable. eIDAS transmitía siempre el conjunto mínimo de datos completo, no permitía la divulgación selectiva y no admitía las pruebas de conocimiento cero.
  • Problemas en los servicios de confianza. Había divergencias nacionales en la supervisión y la evaluación de la conformidad, no estaba regulada la verificación remota de la identidad, el archivo electrónico carecía de reglas comunes y los navegadores se negaban a reconocer los certificados cualificados de autenticación de sitios web (QWAC).

Sobre todo, el estudio describía un mercado en el que los gobiernos habían dejado de ser los proveedores dominantes de identidad. Seis grandes plataformas (Facebook, Google, Instagram, LinkedIn, Twitter y Amazon) acaparaban el 87 % de los inicios de sesión sociales en Europa y se usaban en más de 50.000 servicios. A ellas se sumaban los bancos (con BankID como referencia nórdica), los operadores móviles con Mobile Connect, las empresas de identidad digital (Yoti, Onfido…), las redes de identidad derivada (Verimi, Yes, Mastercard) y los proveedores de identidad como servicio. El temor explícito era que, sin regulación, unas pocas plataformas aumentasen su dominio, con dependencia para los proveedores de servicios, cautividad de los usuarios y pérdida de autonomía digital europea.

Las cuatro opciones que se estudiaron

  • Opción 0, sin cambios: mantener eIDAS y completarlo solo con actos de ejecución y con los efectos de otras normas, como la Ley de Mercados Digitales.
  • Opción 1, reforzar el marco existente: obligar a los Estados a ofrecer identidades notificadas a todos los ciudadanos, ampliar el conjunto de datos, facilitar su uso por el sector privado, simplificar las revisiones inter pares y crear el archivo electrónico como servicio de confianza.
  • Opción 2, crear un mercado de atributos: un nuevo servicio de confianza cualificado para intercambiar atributos vinculados a la identidad legal (edad, títulos, permisos de conducir, certificados médicos), con acceso de los prestadores a las fuentes auténticas.
  • Opción 3, una cartera de identidad personal: un marco jurídico y técnico para una aplicación móvil controlada por el usuario, con dos variantes de despliegue: por prestadores cualificados privados o por los gobiernos (directamente, por mandato o mediante reconocimiento).

La conclusión fue que la mejor solución era combinar las opciones 1, 2 y 3. Y eso es, en esencia, lo que hizo el legislador: el Reglamento 2024/1183 refuerza el marco de identificación, crea las declaraciones electrónicas de atributos (cualificadas y del sector público) y establece la Cartera de Identidad Digital Europea, cuya provisión sigue siendo responsabilidad de los Estados miembros, de forma directa, por mandato o mediante reconocimiento.

Algunas cifras del estudio

El estudio cuantificaba los costes y beneficios de cada opción. Algunas estimaciones son especialmente interesantes vistas hoy:

  • El desarrollo y despliegue inicial de una cartera se estimaba en unos 10 millones de euros para 2021-2023.
  • Obtener la cualificación como prestador de un nuevo servicio de confianza costaría de media 545.000 euros iniciales y 255.000 euros anuales.
  • Conectar un proveedor de servicios a un nodo eIDAS costaba unos 42.000 euros.
  • El intercambio de atributos podría ahorrar al sector financiero entre 410 y 1.360 millones de euros al año en incorporación de clientes y cumplimiento de las obligaciones de diligencia debida, y reducir el fraude en entre 850 y 1.400 millones, con hipótesis de adopción del 20 % al 33 %.
  • Se citaban previsiones de crecimiento del mercado mundial de identidad de entre el 13 % y el 20 % anual.

Qué ha pasado desde entonces

Del estudio a la norma, y de la norma a la técnica

La propuesta se presentó en junio de 2021 y, tras casi tres años de negociación, el Reglamento 2024/1183 entró en vigor en mayo de 2024. Desde entonces se ha publicado una avalancha de actos de ejecución (más de treinta, que he ido recogiendo en el blog) y se ha desarrollado el marco técnico de la cartera: el ARF, que ya va por la versión 3.0, los protocolos OpenID4VCI y OpenID4VP, las normas ISO/IEC 18013-5 y 18013-7 y la serie ETSI TS 119 472. Los Estados miembros deben tener su cartera disponible a finales de 2026, y las partes usuarias privadas obligadas deben aceptarla a finales de 2027.

Muchos de los problemas de los servicios de confianza que señalaba el estudio tienen hoy respuesta normativa: la verificación remota de la identidad (CIR 2025/1566 y ETSI TS 119 461), el archivo electrónico cualificado (CIR 2025/2532), la acreditación armonizada de los organismos de evaluación de la conformidad (CIR 2025/2162) y los QWAC, cuya coexistencia con los certificados web de los navegadores regula el CIR 2025/2527. A ellos se suman servicios que el estudio no contemplaba, como los libros registro electrónicos cualificados.

De los pilotos al despliegue

Entre 2023 y 2025, los primeros pilotos a gran escala (POTENTIAL, EWC, NOBID y DC4EU) probaron la cartera en casos reales, y hoy les han tomado el relevo APTITUDE y WE BUILD. En diciembre de 2025, el primer Launchpad reunió en Bruselas a los equipos nacionales para probar la interoperabilidad, y la segunda edición, a finales de este mes, ya está pensada para el lanzamiento. La estimación de 10 millones por cartera contrasta con experiencias como la de Rumanía, que ha construido su cartera nacional en seis meses reutilizando componentes de código abierto alemanes: la implementación de referencia de la Comisión y el código abierto han abaratado la entrada mucho más de lo que se preveía.

Las plataformas, contenidas, pero no ausentes

El estudio temía la consolidación de las grandes plataformas como guardianes de la identidad. La respuesta ha llegado por dos vías: la Ley de Mercados Digitales y la obligación de las plataformas en línea de muy gran tamaño de aceptar la Cartera de Identidad Digital Europea cuando exijan autenticación. Pero las plataformas no se han quedado quietas: sus carteras móviles ya almacenan documentos de identidad en algunos mercados fuera de la UE, y los navegadores han incorporado la Digital Credentials API, por la que pasará buena parte de la presentación remota de credenciales. La competencia ya no está en el inicio de sesión social, sino en quién controla la interfaz en la que el usuario guarda y presenta sus credenciales.

Algunas de las alternativas que citaba el estudio han desaparecido o se han reorientado. Libra, la moneda de Facebook mencionada como ejemplo de identidad ligada a pagos, se abandonó en 2022 tras convertirse en Diem. Los esquemas nacionales consolidados, como itsme en Bélgica, han optado por convivir con la cartera en lugar de competir con ella.

De los atributos al ecosistema

La opción 2 del estudio se ha materializado en las declaraciones electrónicas de atributos, pero el mercado aún está en sus inicios. Según el resumen de una de las sesiones del Launchpad 2026, en septiembre solo tres de los unos 250 prestadores cualificados europeos tenían en producción un servicio de declaraciones electrónicas cualificadas de atributos, y todavía no había ningún organismo de evaluación acreditado para él. El ahorro que el estudio atribuía al intercambio de atributos sigue siendo, por tanto, una promesa.

El cambio de mirada sobre los intermediarios

Quizá la evolución más llamativa sea esta. En 2021, el estudio veía como ventaja de la cartera que «reduciría la necesidad de intermediarios», al permitir que el ciudadano se comunicara directamente con los proveedores de servicios y de credenciales, y dejaba el modelo de negocio sin prescribir. Cinco años después, el informe de la Comisión sobre modelos de negocio sitúa a los intermediarios en el centro del ecosistema: serán ellos quienes incorporen a las partes usuarias y a los emisores, gestionen miles de relaciones contractuales y redistribuyan los ingresos. La experiencia ha demostrado que ningún proveedor de cartera puede gestionar por sí solo miles de partes usuarias.

Lo que sigue pendiente

Algunas de las preocupaciones de 2021 siguen abiertas:

  • Las pruebas de conocimiento cero, cuya ausencia criticaba el estudio, siguen en discusión. La verificación de edad se resuelve por ahora con declaraciones de un solo uso y atributos como «mayor de 18», mientras se debate cómo incorporar soluciones más flexibles.
  • La financiación del ecosistema choca con el principio de no observabilidad, que impide facturar por uso sin mecanismos específicos de privacidad.
  • La responsabilidad de cada actor del ecosistema sigue sin un marco claro.
  • El riesgo de fragmentación, que motivó la revisión, reaparece ahora en otra forma: veintisiete despliegues nacionales con opciones distintas de modelo de negocio, casos de uso y funcionalidades.

¿Cuánto vale el mercado? Lo que dicen las consultoras

El estudio de 2021 se limitaba a citar previsiones de crecimiento del 13 % al 20 % anual para el mercado mundial de identidad. Cinco años después, he buscado estimaciones más recientes del mercado de identidad digital basada en carteras con horizonte 2030-2035. Lo que hay es escaso y poco homogéneo:

No he encontrado ningún estudio solvente que cuantifique en euros el mercado europeo de servicios ligados a la Cartera de Identidad Digital Europea para 2031 o 2036. El propio informe de la Comisión sobre modelos de negocio evita deliberadamente dar cifras.

Una referencia más sólida: la verificación de identidad en el alta de clientes

Un mercado comparable, y mucho mejor medido, es el de la verificación de identidad para el alta remota de clientes, sobre todo en banca. Es el de los sistemas de documento más biometría facial que ofrecen empresas como Onfido (integrada en Entrust desde 2024), Jumio, Veriff, IDnow, Signicat, Sumsub, Mitek, IDEMIA, Thales, GBG, Trulioo, AU10TIX o Shufti Pro, entre otras. Este es precisamente el mercado que la cartera puede transformar, porque permite sustituir la foto del documento y el selfie por la presentación de un PID de nivel alto.

Estas cifras dan una idea del orden de magnitud que está en juego: miles de millones al año que hoy se pagan por comprobar identidades con métodos que la cartera puede abaratar. El informe de la Comisión calcula, con datos de PwC, unos 10,4 euros por cada KYC básico de una persona física. La cuestión no es tanto si ese mercado desaparecerá como quién lo capturará. Lo más probable es que los actuales proveedores de verificación de identidad se reconviertan en intermediarios de la cartera: ya tienen las relaciones con los bancos, la integración técnica y la experiencia en cumplimiento. Varios de ellos, como Signicat o IDnow, participan activamente en los foros del ecosistema de la cartera. Para los prestadores cualificados, la oportunidad está en combinar ese papel con los servicios que solo nosotros podemos prestar: certificados cualificados, firma a distancia y declaraciones electrónicas cualificadas de atributos.

Conclusión

El estudio de 2021 acertó en el diagnóstico y en la solución: la combinación de identidad notificada reforzada, declaraciones de atributos y cartera es la que recoge el Reglamento 2024/1183. Donde más ha cambiado la visión es en la economía del ecosistema: de una cartera que eliminaría intermediarios hemos pasado a un ecosistema que depende de ellos, y de un modelo de negocio sin definir a un debate abierto sobre quién paga y cómo. Para los prestadores de servicios de confianza, las oportunidades que el estudio vislumbraba (expedición de declaraciones de atributos, firma a distancia, intermediación) son hoy más concretas que nunca, aunque el mercado esté todavía despegando.

Si quieres comentar cómo afecta esta evolución a tu organización, puedes escribirme a julian.inza@eadtrust.com o contactar con EADTrust en info@eadtrust.com.

Enlaces

El Estudio de 2021

Study to support the impact assessment for the revision of the eIDAS regulationDescarga

Deja una respuesta

Este sitio utiliza Akismet para reducir el spam. Conoce cómo se procesan los datos de tus comentarios.