El objetivo nunca fue la identidad digital. Estaba orquestando la confianza.

Reflexiones de la Conferencia sobre Colaboración Digital Global, Ginebra, 1–3 de septiembre de 2026.

Las sesiones se llevaron a cabo bajo la Regla de Chatham House. Lo que sigue no conlleva ninguna atribución a ningún orador u organización.

He asistido a muchas conferencias de identidad y he repasado muchos diagramas de arquitectura. Salí de Ginebra más seguro que nunca de algo que hace unos años habría parecido prematuro: ya no se trata de un desafío tecnológico. La tecnología funciona y está probada.

No es poca cosa poder decirlo. Durante una década, los problemas más difíciles de nuestra industria fueron técnicos, porque la tecnología realmente era la limitación. La divulgación selectiva fue una pregunta de investigación. Las billeteras eran un tobogán.

Lo que eso deja es más difícil y considerablemente más interesante: no probar quién es alguien, sino orquestar las condiciones bajo las cuales se puede confiar en el reclamo de un extraño, a través de instituciones y fronteras que no tienen ninguna razón particular para confiar entre sí.

Esa distinción suena académica hasta que intentas construir en contra de ella. Cambia lo que compras, lo que presupuestas y quién debe estar en la sala cuando decides.

La pregunta ha cambiado

Durante años nuestra industria se ha organizado en torno a una única cuestión. ¿quién eres? Responda lo suficientemente bien y se asumió que todo lo posterior seguiría – incorporación, autorización, cumplimiento, prevención de fraude, todo tratado como consecuencias de la identificación.

Ese marco ha expirado silenciosamente. Ha sido reemplazada por una escalera de preguntas, y la identificación es sólo el primer peldaño.

¿Puedo confiar en la credencial que me estás presentando? ¿Puedo confiar en quien lo emitió y puedo establecerlo en el momento? ¿Está usted autorizado a actuar en nombre de quienquiera que actúe y puede demostrarlo en el momento de la interacción? ¿Puede esa confianza viajar– a través de una frontera, a través de un sector, a través de dos ecosistemas tecnológicos diseñados por personas que nunca se han conocido?

Y cada vez más, una pregunta que apenas existía hace unos años, ¿podemos establecer algo sobre el intención detrás de una interacción, ¿la contraparte es un ser humano o un agente de IA que actúa en nombre de alguien?

La autoridad delegada es la parte más delgada de la pila actual. Hemos dedicado enormes esfuerzos a establecer que una persona es quien dice ser, y mucho menos a establecer qué ha sido autorizada a hacer y por quién. Si a esto le sumamos agentes de software que actúan bajo delegación, la brecha se vuelve más difícil de ignorar.

Ninguna de estas preguntas se responde sabiendo quién es alguien. Se responden mediante orquestación.

La orquestación es lo que sucede después de que se verifica la credencial

La sesión más útil a la que asistí fue un desglose de lo que sucede cuando la identidad digital se encuentra con los pagos. Entré esperando una discusión técnica y salí con una visión mucho más clara de dónde se encuentra el trabajo real.

El panorama técnico es alentador. Estamos cerca de definir esquemas de credenciales verificables para los pagos. Las credenciales de pago digitales se están diseñando para cumplir con los requisitos regulatorios y de autenticación de pagos, como eIDAS, y los componentes están cada vez mejor especificados: vinculación de dispositivos, vinculación dinámica de datos de transacciones, certificación de billetera, autenticación de origen cruzado, presentación combinada.

La superficie política subyacente es donde reside la dificultad. Cualquier esquema viable debe aplicarse a las diferentes categorías de cuentas bancarias que se utilizan en todo el mundo y que ya son multidimensionales. Introduzca las tarjetas de crédito y las dimensiones se multiplicarán nuevamente. La parte difícil no es la criptografía; es el número de dimensiones que la política debe mantener a la vez.

Esto es lo que tomé de ello, ofrecido como mi lectura más que como la conclusión de la sesión.

Para una institución regulada, verificar una credencial puede resultar la parte sencilla. Mire nuevamente lo que se está especificando – vinculación de dispositivos, vinculación dinámica de datos de transacciones, certificación de billetera, presentación combinada – y gran parte de ello tiene que ver con poder establecer posteriormente qué estaba vinculado a qué y bajo qué autoridad.

Eso no es autenticación. Es evidencia. Y es lo que pedirán los reguladores, porque es lo que los reguladores siempre piden.

Lo cual importa más de lo que parece, porque el reloj ya está corriendo. A partir de diciembre de 2027, las organizaciones que ya deben utilizar una autenticación sólida de clientes —bancos, proveedores de pagos, telecomunicaciones y otros— deben aceptar una credencial de billetera EUDI cuando un cliente elige presentar una. La aceptación deja de ser una elección estratégica y se convierte en una obligación. Si esa lectura es válida, las instituciones que obtendrán buenos resultados serán las que traten la aceptación de credenciales como una cuestión de gobernanza más que como un proyecto de integración.

Más confianza no debería requerir más datos

Hay un instinto que pediría a las organizaciones que desaprendieran: la suposición de que más confianza requiere más datos. Es comprensible, construido a lo largo de años, en el que la única forma de tener confianza en un cliente era recoger y conservar todo lo que se le pudiera persuadir para que entregara.

Ginebra ofreció pruebas útiles en su contra. El consenso en la sala fue que la credencial reutilizable con biometría más desarrollada y más ampliamente implementada en cualquier parte del mundo hoy en día es la prueba de antigüedad. No es una billetera de identidad nacional. No es una credencial KYC completa. Una credencial cuyo único propósito es responder una pregunta.

No creo que sea una coincidencia y no creo que sea porque alguien le haya dado prioridad. “Más de dieciocho” está cerca de la reclamación más pequeña que es posible hacer. Una respuesta, ningún identificador, casi nada que la parte que confía pueda almacenar, proteger o posteriormente perder. La credencial que alcanzó escala es la que menos pide — en un dominio donde hay mucho en juego y la atención regulatoria es intensa.

La opinión de LATAM fue que Brasil es el más fuerte de la región en esto, tanto en credenciales como en pagos, y que el motor allí no es comercial. Es la protección de los menores, a través del contenido, el comercio y la tecnología. Independientemente de lo que esto nos diga, sugiere que los despliegues que avanzan más rápido son aquellos que tienen un deber de cuidado detrás de ellos, más que un caso de negocio.

Europa parece estar llegando a la misma conclusión desde la dirección opuesta — por diseño más que por despliegue. Está construyendo varios sistemas de identidad digital a la vez, bajo diferentes bases legales, y ninguno puede generar confianza transfronteriza de forma aislada. La respuesta que está tomando forma es una propuesta de marco de confianza paneuropeo basado en la subsidiariedad digital y el reconocimiento mutuo, estándares abiertos, control responsable del cambio, inclusión por diseño y desvinculación por defecto, siendo posible la revinculación sólo a través de un proceso judicial. No es un modelo terminado. Necesita iteración e investigación adicional.

La desvinculación por defecto es el principio que yo priorizaría, y la prueba de edad es la razón. Divulgación mínima no es una restricción que deba aceptarse a regañadientes a cambio de la adopción. Según las pruebas disponibles, parece ser una condición previa para ello.

La cooperación es el mecanismo

Nada de esto es orquestado por una sola parte.

No existe una única empresa en la Tierra que pueda construir todo lo que requiere la identidad descentralizada. Lo digo como alguien que dirige uno. Este es un juego de colaboración y orquestación, y las empresas que lo entienden como tal lo harán mejor que aquellas que todavía intentan poseer toda la pila.

Pero la cooperación que importa es más amplia que el panorama de los proveedores. Tiene que funcionar dentro de un país – entre ministerios, entre servicios públicos y las instituciones privadas que harán la mayor parte de la confianza real, y entre todos ellos y los ciudadanos cuya confianza es lo único que hace que un mandato sea real. Y tiene que funcionar más allá de las fronteras nacionales, porque la soberanía nunca tuvo la intención de significar aislamiento. Una credencial que funciona sólo dentro de una jurisdicción o un ministerio no es realmente una credencial. Es un inicio de sesión.

También debe incluir a la comunidad científica, el participante que con mayor frecuencia queda fuera de esta lista. El marco que está surgiendo en Europa es explícito en cuanto a que necesita más investigación. Esto no es una advertencia que deba gestionarse; es un elemento de trabajo y requiere personas cuyo trabajo sea la investigación más que la entrega.

Lo que me lleva a lo que más me gustó de la semana: gobiernos, organismos de normalización, empresas de tecnología, sociedad civil y comunidades de código abierto alrededor de la misma mesa, siendo sinceros entre sí. Una convocatoria como esa importa tanto como cualquier estándar individual. El estándar te dice qué construir. La convocatoria es donde descubres si alguien lo usará, si funciona al otro lado de la frontera y en qué te equivocaste.

Hemos pasado años desarrollando tecnología para demostrar quién es alguien. Ese trabajo fue duro y en gran medida está hecho.

El siguiente capítulo trata sobre cómo demostrar en qué se puede confiar una interacción. Es un desafío mayor, no lo puede resolver ninguno de nosotros solo, y las únicas personas que lo resolverán serán aquellas que estén dispuestas a sentarse en esa mesa. Me pareció un problema mucho más interesante y sospecho que no soy el único.