Europejska Mapa Tożsamości Cyfrowej – wyzwania, współpraca i przyszłość. Perspektywa biznesu i administracji
Podczas konferencji Digital ID Forum, która miała miejsce we Wrocławiu, w dniach 18 i 19 maja, miał miejsce panel dyskusyjny pt. “Europejska Mapa Tożsamości Cyfrowej - wyzwania, współpraca i przyszłość.”, skupiający się na administracyjnym i biznesowym sektorze europejskiej mapy tożsamości cyfrowej oraz infrastrukturze zaufania. Rozmowa rzuciła zupełnie nowe światło na nadchodzące zmiany.
W debacie moderowanej przez Michała Tabora wzięli udział eksperci: Bertrand Bouteloup, Anna Koczorowska, Artur Miękina oraz Anna Weber. Co ciekawe, moderator postawił przed prelegentami wyzwanie, by w trakcie całej rozmowy o mapie tożsamości cyfrowej nie używać słowa „portfel” (ang. wallet). Miało to na celu zmuszenie uczestników do spojrzenia na problem znacznie szerzej - nie przez pryzmat samej aplikacji, lecz całego ekosystemu, procesów, synergii oraz infrastruktury, która kształtuje relacje między obywatelem, państwem a rynkiem komercyjnym. Na bazie tej dyskusji a także własnych doświadczeń przygotowałem dla Państwa kompleksową analizę nadchodzących zmian, ze szczególnym uwzględnieniem wyzwań związanych z powszechną adopcją tych technologii.
Ewolucja zaufania - od kart kryptograficznych po niewidzialną tożsamość
Aby w pełni zrozumieć punkt, w którym się obecnie znajdujemy, musimy spojrzeć wstecz. Jak słusznie zauważył na początku debaty Michał Tabor, jeszcze dwadzieścia lat temu na konferencjach branżowych rozmawiano głównie o kartach kryptograficznych (smart cards) i tokenach jako fundamentach podpisu elektronicznego oraz tożsamości cyfrowej. Dziś, gdy zapytamy na sali pełnej technologów, kto nadal używa fizycznych tokenów do podpisywania dokumentów, podniesie się zaledwie kilka rąk. To pokazuje potężną ewolucję: tożsamość cyfrowa stała się zjawiskiem działającym w tle, zintegrowanym z naszymi codziennymi urządzeniami w sposób niemal niewidzialny dla użytkownika.
Rozwój ten nie jest jednak wolny od wyzwań. Bertrand Bouteloup zwrócił uwagę na fundamentalny problem, który ujawnił się po wdrożeniu pierwszej wersji rozporządzenia eIDAS (tzw. eIDAS 1.0). Po jego wejściu w życie stało się jasne, że w Europie brakuje faktycznej harmonizacji w podejściu do zdalnej identyfikacji. Firmy, działając w izolacji, robiły wszystko, co w ich mocy, aby zabezpieczyć procesy weryfikacji tożsamości. Jednakże tradycyjny, fizyczny dokument tożsamości - taki, któremu robimy zdjęcie lub który prezentujemy podczas wideoweryfikacji - nie jest rozwiązaniem stworzonym do użytku w świecie cyfrowym. Jego zabezpieczenia zostały zaprojektowane do weryfikacji osobistej. W efekcie, gdy instytucje finansowe czy firmy z branży hazardowej opierają się na takich metodach, każdego dnia dochodzi do ogromnej liczby oszustw i nadużyć (fraudów).
Europa dwóch prędkości: Polska w awangardzie, Zachód nadrabia zaległości
Ciekawym wątkiem poruszonym przez Bertranda Bouteloupa było porównanie stopnia zaawansowania technologicznego poszczególnych państw członkowskich Unii Europejskiej. Z perspektywy europejskiej Polska wypada niezwykle korzystnie - jesteśmy wręcz w awangardzie innowacji. Dysponujemy ugruntowanymi rozwiązaniami takimi jak mObywatel oraz Węzeł Krajowy, które przyzwyczaiły Polaków do korzystania z tożsamości cyfrowej. Nowa generacja weryfikacji tożsamości nie jest dla nas nowością, a nasze ramy prawne i infrastruktura wymagają jedynie odpowiedniej adaptacji do standardów narzucanych przez eIDAS 2.0.
Dla porównania, w ojczyźnie Bouteloupa - Francji - zaledwie mniej niż 10% populacji dysponuje prawdziwą, cyfrową tożsamością (tzw. France Identité lub Identité Numérique). Podobnie wygląda sytuacja w Hiszpanii, gdzie funkcjonuje wprawdzie system "Clave" ułatwiający dostęp do usług publicznych, ale poza nim nie istnieje żadna zaawansowana e-tożsamość dla sektora prywatnego. W rezultacie, w wielu państwach europejskich istnieje ogromna przepaść, jeśli chodzi o gotowość na nadchodzące regulacje. Państwa członkowskie będą musiały w bardzo krótkim czasie nadrobić lata zaniedbań inwestycyjnych, aby sprostać wymaganiom dyrektyw przeciwdziałających praniu brudnych pieniędzy (AML) oraz wymogom udostępnienia Europejskiego Portfela Tożsamości Cyfrowej (EUDI Wallet) do końca grudnia 2027 roku.
Tożsamość cyfrowa jako motor napędowy biznesu
Podczas panelu wielokrotnie podkreślano, że tożsamość cyfrowa nie powinna być postrzegana przez przedsiębiorców wyłącznie w kategoriach uciążliwych regulacji. Dla sektora prywatnego - w tym instytucji finansowych, ubezpieczycieli czy firm objętych ustawą AML - nadchodzące zmiany to ogromna szansa na optymalizację procesów. Jak zauważył Bouteloup, od lipca 2027 roku podmioty te będą musiały polegać na środkach identyfikacji elektronicznej o poziomie bezpieczeństwa „znacznym” (substantial) lub „wysokim” (high) do zdalnego onboardingu klientów.
Bezpieczna i ujednolicona tożsamość cyfrowa stanie się najlepszym narzędziem do spełniania wymogów compliance oraz zapobiegania fraudom. Jednak korzyści biznesowe wykraczają daleko poza bezpieczeństwo. Tożsamość cyfrowa to przede wszystkim potężny czynnik wspierający biznes, ponieważ drastycznie poprawia wskaźniki konwersji w kanałach zdalnych. Jeśli użytkownik może szybko i bezpiecznie potwierdzić swoją tożsamość za pomocą znanego sobie kodu PIN (lub biometrii), zamiast ręcznie wpisywać dane i skanować dowód osobisty, proces staje się bezproblemowy.
Co więcej, otwiera to przed firmami z sektora MŚP możliwości nieograniczonej ekspansji na rynki zagraniczne. Do tej pory barierą była fragmentacja prawa. Bouteloup przywołał przykład niemieckiej firmy Idnow, która zbudowała swój biznes na wideoweryfikacji, ponieważ była to preferowana metoda onboardingu w Niemczech. Jednocześnie we Francji obowiązywały zupełnie inne wytyczne. Harmonizacja przepisów w całej Europie sprawi, że przedsiębiorcy będą mogli polegać na jednym, spójnym mechanizmie identyfikacji, co obniży koszty wejścia na nowe rynki.
Synergia administracji publicznej i sektora komercyjnego
Rozwój infrastruktury zaufania nie jest możliwy bez ścisłej współpracy państwa z rynkiem komercyjnym. Anna Koczorowska, reprezentująca Centralny Ośrodek Informatyki (COI), zwróciła uwagę na nasycenie usług publicznych. Polacy mają już dostęp do mObywatela i Węzła Krajowego jako cyfrowej bramy do urzędów. Teraz priorytetem staje się wykorzystanie tej infrastruktury w celach komercyjnych. Obecnie wiele firm może integrować się z mObywatelem oraz logować swoich użytkowników za pomocą Węzła Krajowego. Wprowadzenie standardów eIDAS 2.0 traktowane jest jako szansa na poszerzenie tej współpracy o nowe, innowacyjne przypadki użycia.
Znakomitym dowodem na to, że taka synergia jest możliwa i przynosi wymierne efekty, był niedawny pilotaż darmowych kwalifikowanych podpisów elektronicznych dla celów prywatnych, wspomniany przez Annę Weber. Państwo miało do wyboru dwie drogi: mogło stworzyć własną, zamkniętą usługę podpisów dla obywateli, co ostatecznie zniszczyłoby komercyjny rynek dostawców usług zaufania. Zamiast tego, Ministerstwo Cyfryzacji, COI oraz komercyjni dostawcy usiedli przy wspólnym stole i wypracowali rozwiązanie, które nie zaburza konkurencji, a jednocześnie dostarcza wartość obywatelom. Jak celnie podsumował Artur Miękina: „Instytucje ze sobą nie współpracują, współpracują ze sobą ludzie pracujący w instytucjach”. Pilotaż ten udowodnił, że można odczarować mit skomplikowanego, profesjonalnego podpisu cyfrowego i udostępnić go zwykłemu Kowalskiemu w sposób przystępny i przyjazny. Aby jednak takie inicjatywy odniosły sukces w skali masowej, rynek nie może opierać się na sztucznych monopolach państwowych - potrzebuje otwartej przestrzeni dla kreatywności biznesu.
Budowa sieci akceptacji i rola weryfikowanych atrybutów
Kluczowym wyzwaniem, przed którym stoi obecnie rynek, jest budowa szerokiej i powszechnej sieci akceptacji dla nowych form identyfikacji. Artur Miękina posłużył się tu niezwykle trafną analogią do historii kart płatniczych. W początkowych fazach, kartą można było zapłacić jedynie w luksusowych hotelach. Dzisiaj, niezależnie od tego, czy używamy fizycznej karty, czy cyfrowego odpowiednika w telefonie, możemy zapłacić nią za warzywa w najmniejszym osiedlowym sklepiku. Taki sam poziom powszechności i zaufania musimy osiągnąć w przypadku tożsamości cyfrowej.
Nie możemy traktować identyfikacji wyłącznie jako narzędzia do prostego logowania. Prawdziwa rewolucja kryje się w atrybutach. Dyrektywa eIDAS 2.0 uwalnia potencjał potwierdzania bardzo konkretnych atrybutów użytkownika, takich jak wiek, wykształcenie, prawo jazdy czy uprawnienia zawodowe. I to jest ten moment, w którym musimy szczególnie położyć nacisk na innowacje usługowe oparte na zweryfikowanych danych. Sektor komercyjny potrzebuje dostępu do atrybutów (np. potwierdzenia pełnoletniości w e-commerce bez konieczności przekazywania całego skanu dowodu osobistego), aby budować na nich nowe modele biznesowe i budzić zaufanie.
Jednak atrybuty nie będą wydawane przez dostawców usług zaufania, jeśli firmy nie będą miały na nie zapotrzebowania. Z drugiej strony, firmy nie stworzą usług opartych na atrybutach, dopóki te atrybuty nie będą powszechnie dostępne w cyfrowych aplikacjach obywateli. To klasyczny problem „jajka i kury”. Dlatego właśnie tak istotne jest wykreowanie modeli międzysektorowych oraz wykorzystanie już istniejących w ramach eIDAS mechanizmów. Nie ma sensu wymyślanie koła na nowo przez poszczególne przedsiębiorstwa. Przedsiębiorcy dostają do dyspozycji potężny „zestaw narzędzi”, z którego muszą nauczyć się składać innowacyjne rozwiązania.
Architektura zaufania, pośrednicy i otwarte standardy
Kolejnym aspektem niezbędnym dla poprawnego funkcjonowania całego ekosystemu jest kwestia podłączenia rynkowych graczy do infrastruktury rządowej. Bertrand Bouteloup wyjaśnił rolę pośredników w Europejskim Portfelu Cyfrowej Tożsamości. W Europie funkcjonuje obecnie ponad 30 różnych e-tożsamości z czasów eIDAS 1.0, które już dzisiaj można i należy wykorzystywać do zgodności z AML. Pośrednicy to podmioty (tzw. relying parties), które będą działać w imieniu innych firm, aby zapewnić im bezpieczny dostęp do całego ekosystemu tożsamości. Dla MŚP oznacza to, że nie będą musiały na własną rękę budować skomplikowanych integracji kryptograficznych z poszczególnymi portfelami państwowymi - będą mogły skorzystać z usług firm trzecich dostarczających zunifikowane punkty dostępu (huby).
Bouteloup wspomniał również o znaczeniu otwartych standardów. Opracowanie narodowych rejestrów, do których będą podłączać się tzw. podmioty ufające, jest kluczowe dla sukcesu. Aby przyspieszyć adopcję i ograniczyć koszty, firmy takie jak ta reprezentowana przez Bouteloupa udostępniają w ramach Open Wallet Foundation darmowy, otwartoźródłowy kod pozwalający rządom na szybkie postawienie takich rejestrów. Z tego podejścia korzystają już prężnie Francja oraz Luksemburg. Pokazuje to, że przyszłość cyberbezpieczeństwa tożsamości nie leży w zamkniętych, pilnie strzeżonych silosach technologicznych, lecz we wspólnocie i otwartości technologicznej.
Wyzwanie dekady: Adopcja, świadomość społeczna i edukacja
Jedno z największych wyzwań to rozwiązywanie problemów związanych z masową adopcją nowych rozwiązań technologicznych. Nawet najdoskonalsza technologia umrze śmiercią naturalną, jeśli społeczeństwo jej nie zaakceptuje. Prelegenci Digital ID Forum jednogłośnie przyznali, że komunikacja jest obecnie najsłabszym ogniwem.
Anna Weber zauważyła, że jeśli wyjdziemy na ulicę, przeciętny przechodzień nie będzie w stanie podać definicji „eIDAS” ani „relying party”. Język technokratów i inżynierów cyberbezpieczeństwa jest absolutnie niezrozumiały dla przeciętnego Kowalskiego, a nierzadko również dla kadry zarządzającej w mniejszych przedsiębiorstwach. Aby doprowadzić do powszechnego użytku i masowej adopcji nowych rozwiązań, konieczne są ogromne, ogólnopolskie kampanie marketingowe i edukacyjne. Trzeba obywatelom oraz biznesowi przetłumaczyć zawiłe pojęcia na język realnych korzyści, uproszczonych definicji oraz bezpiecznych procesów. Brak odpowiedniego podejścia sprawi, że początkowo z innowacji korzystać będą wyłącznie specjaliści testujący oprogramowanie i zgłaszający techniczne błędy, a nie miliony użytkowników.
Użytkownicy muszą czuć się bezpiecznie. Anna Weber trafnie zwróciła uwagę, że wiele osób zwyczajnie boi się tak daleko idących zmian technologicznych w obszarze własnej tożsamości, do czego też mają prawo. Strach wynika z niezrozumienia oraz obaw o inwigilację czy utratę kontroli nad danymi. Kampanie muszą być ukierunkowane wielotorowo: osobny przekaz musi trafiać do zwykłych obywateli (budowanie zaufania i wygody), inny do urzędników państwowych (optymalizacja pracy), a jeszcze inny do podmiotów biznesowych (konwersja i ograniczenie ryzyka). Co więcej, jak zauważyła Anna Koczorowska, wdrożenie EUDI nie może odbywać się ze szkodą dla obecnych 11 milionów użytkowników mObywatela. Nikt nie chce stracić dostępu do usług, do których zdążył się przyzwyczaić i którym zaufał. Nowe usługi muszą pojawiać się ewolucyjnie, a nie rewolucyjnie, i być zintegrowane w sposób płynny.
Podsumowanie: Trzy filary cyfrowej przyszłości
Dyskusja na Digital ID Forum, podsumowana przez Michała Tabora, nakreśliła trzy najważniejsze wnioski i wezwania do działania dla nas wszystkich - zarówno administracji, jak i rynku.
- Współpraca na styku rynku i państwa: Żadna instytucja państwowa ani komercyjna organizacja nie dysponuje pełną, wszechstronną wiedzą, pozwalającą na samodzielne stworzenie idealnego środowiska tożsamości cyfrowej. Złożoność tego systemu wymaga ciągłego dialogu, partnerstwa publiczno-prywatnego oraz odejścia od myślenia o sztucznych monopolach na rzecz elastycznego ekosystemu zaufania.
- Budowanie świadomości u użytkowników i biznesu: To, co dziś jest hermetyczną wiedzą inżynierską, musi stać się powszechną, dostępną wiedzą obywatelską. Nie wystarczy zbudować świetnej infrastruktury certyfikatów i uprawnień dostępu - obywatele i firmy muszą rozumieć, jak z nich korzystać, aby czerpać z tego realne zyski i zwiększać swoje bezpieczeństwo. Potrzebne są odważne, jasne i przystępne kampanie informacyjne na szeroką skalę.
- Zaangażowanie w wypracowanie dobrych modeli rynkowych: Przedsiębiorcy nie mogą jedynie czekać na gotowe rozporządzenia z Brukseli. Sektor prywatny musi zacząć proaktywnie mapować potencjał wdrożeniowy, oceniać możliwości wykorzystania atrybutów biznesowych, weryfikować gotowość swoich łańcuchów dostaw do eIDAS 2.0 i budować innowacyjne usługi wsparte AI. To my, jako rynek, nadamy użyteczny, biznesowy kształt narzuconym ramom legislacyjnym.
