Prepárate para aceptar la
Cartera Europea de Identidad Digital (EUDI Wallet).

Didit es la infraestructura para identidad y fraude, la plataforma que nos hubiera gustado tener cuando creábamos nuestros propios productos: abierta, flexible y pensada para desarrolladores, para que se integre de verdad en tu stack en lugar de ser una caja negra que tienes que rodear.

Una sola API cubre la verificación de personas (KYC, know your customer), la verificación de empresas (KYB, know your business), el cribado de carteras de criptomonedas (KYT, know your transaction) y la monitorización de transacciones en tiempo real, todo ello sobre una infraestructura diseñada para ser:

• Rápida, con un p99 de menos de 2 segundos en cada sesión.
• Fiable, en producción con más de 3.000 empresas en más de 220 países.
• Segura, SOC 2 Tipo 1 y Tipo 2, ISO 27001, nativa de GDPR y formalmente certificada por el regulador financiero español como más segura que la verificación presencial.

La base tecnológica: más de 14.000 tipos de documentos en más de 48 idiomas, más de 1.000 fuentes de datos y más de 200 señales de fraude en cada sesión. La infraestructura de Didit aprende dinámicamente de cada sesión y mejora cada día.

La Cartera Europea de Identidad Digital (EUDI Wallet) es una aplicación que todos los Estados miembros de la UE deben ofrecer en virtud del Reglamento (UE) 2024/1183, conocido como eIDAS 2, que modifica el Reglamento eIDAS (UE) n.º 910/2014. La ley la define como un medio de identificación electrónica que permite a una persona almacenar, gestionar y validar datos de identificación personal (PID) y declaraciones electrónicas de atributos, compartirlos con terceros y firmar con una firma electrónica cualificada.

Para una empresa, tres propiedades son importantes:

• Es gratuita para que las personas la obtengan, usen y revoquen (Artículo 5 bis, apartado 13).
• Es voluntaria, y los servicios deben seguir abiertos a otros medios (Artículo 5 bis, apartado 15).
• Se proporciona bajo un esquema eID con un nivel de seguridad alto (Artículo 5 bis, apartado 11).

Una aplicación nacional de eID no es automáticamente una cartera EUDI. Una cartera debe cumplir las normas EUDI y estar certificada según el Artículo 5c antes de que se considere como tal.

Cada Estado miembro debe proporcionar al menos una cartera EUDI en un plazo de 24 meses a partir de la entrada en vigor de los primeros actos de ejecución, que entraron en vigor el 24 de diciembre de 2024. Esto sitúa la fecha límite en el 24 de diciembre de 2026.

Situación a 5 de octubre de 2026:

• La IT-Wallet de Italia superó los 10,1 millones de activaciones el 17 de febrero de 2026, y la AltID de Dinamarca ya está disponible con documento de identidad digital y prueba de edad. Son las apps nacionales más avanzadas.
• Alemania tiene un sandbox público, y su app de wallet está prevista para principios de 2027.

La fecha se deriva de la entrada en vigor de los actos de ejecución, no de la publicación de eIDAS 2 en sí. Varias apps nacionales llegarán en diferentes fechas, por lo que la tabla de preparación en esta página muestra cada país con una fecha y una fuente.

Si una ley o un contrato exige a tu empresa utilizar una autenticación de usuario fuerte para la identificación en línea, entonces sí. Según el Artículo 5f(2), las partes privadas que confían en ella en esa situación deben aceptar la cartera EUDI cuando un usuario solicite usarla, a más tardar el 24 de diciembre de 2027, 36 meses después de la entrada en vigor de los primeros actos de ejecución.

El artículo menciona áreas como ejemplos: transporte, energía, banca, servicios financieros, seguridad social, salud, agua potable, servicios postales, infraestructura digital, educación y telecomunicaciones. La lista no es cerrada, porque la prueba es el requisito de autenticación, no el sector.

Los servicios del sector público que requieren identificación electrónica también deben aceptar la cartera (Artículo 5f(1)). Las plataformas en línea muy grandes que requieren autenticación de usuario deben aceptarla a petición del usuario, para los datos mínimos necesarios (Artículo 5f(3)). El texto no asigna una fecha separada a este deber.

Esto es un resumen, no asesoramiento legal.

Sí. El Artículo 5f(2) excluye a las microempresas y pequeñas empresas, tal como se definen en el Artículo 2 del Anexo de la Recomendación 2003/361/CE de la Comisión, que establece los umbrales de personal y volumen de negocios. Comprueba tu tamaño según esa Recomendación.

La exención cubre el deber de aceptar, no la opción de aceptar. Una pequeña empresa aún puede aceptar la cartera, por ejemplo, para ofrecer un registro más rápido o una verificación de edad que no comparta la fecha de nacimiento.

Dos cosas no cambian con el tamaño:

• Si confías en la cartera, te registras como parte usuaria en el Estado miembro donde estás establecido (Artículo 5b(1)).
• Si eres una entidad obligada según las normas de la UE contra el blanqueo de capitales, sigues verificando a los clientes. A partir del 10 de julio de 2027, el Artículo 22(6) de la AMLR permite la identificación electrónica con un nivel de seguridad sustancial o alto como una de las dos vías.

Esto es un resumen, no asesoramiento legal.

Una parte usuaria es cualquier empresa u organismo público que se basa en la cartera EUDI para identificar a un usuario o para verificar un atributo. Según el Artículo 5b(1), una parte usuaria debe registrarse en el Estado miembro donde está establecida. El registro indica quién eres, tus datos de contacto y el uso previsto, incluidos los datos que planeas solicitar, y no puedes solicitar nada más (Artículo 5b(3)).

Las normas sobre el registro, el Reglamento de Ejecución (UE) 2025/848, se aplican a partir del 24 de diciembre de 2026. Después de registrarte, recibirás:

• un certificado de acceso, que te autentica ante la cartera, y
• si tu Estado miembro lo emite, un certificado de registro que enumera los atributos que registraste.

Los intermediarios que actúan en nombre de las partes usuarias son tratados como partes usuarias y no pueden almacenar datos sobre el contenido de la transacción (Artículo 5b(10)). Alemania, por ejemplo, describe un certificado de acceso y registro por organización y caso de uso.

Solo los atributos para los que te registraste, y el usuario decide qué compartir. El PID tiene atributos obligatorios: apellido, nombre, fecha de nacimiento, lugar de nacimiento y nacionalidad, además de la fecha de caducidad, la autoridad emisora y el país emisor. Los atributos opcionales incluyen el retrato, el sexo, los campos de dirección y un número administrativo personal, y cada Estado miembro elige cuáles emite.

Más allá del PID, la cartera contiene declaraciones electrónicas de atributos, por ejemplo, un permiso de conducir, un diploma o una prueba de edad. Los Estados miembros también deben hacer que una lista mínima de atributos sea verificable contra fuentes auténticas, incluyendo la dirección, la edad, la nacionalidad y las cualificaciones profesionales (Anexo VI).

Con la divulgación selectiva, solo recibes lo que el usuario aprueba, firmado por el emisor, con los metadatos necesarios para verificar la validez. Pedir menos significa menos datos personales que proteger.

Para la verificación de identidad, puede serlo. El Artículo 22(6)(b) de la AMLR permite la verificación con medios de identificación electrónica con un nivel de seguridad sustancial o alto, y la cartera EUDI funciona con un nivel alto. Los borradores finales de las normas de AMLA sobre diligencia debida del cliente (30 de septiembre de 2026, un borrador final enviado a la Comisión, no ley) dicen que los medios de eID deben usarse siempre que sea posible, e incluyen las EUDI Wallets.

No es la totalidad de la diligencia debida:

• La dirección y el número de identificación fiscal a menudo faltan en el PID. Los borradores de las normas dicen que debes obtener los atributos que faltan por otros medios.
• Los beneficiarios reales, el cribado de sanciones y PEP, el propósito de la relación y la monitorización continua son deberes separados (Artículos 20, 25 y 26 de la AMLR).

Didit cubre esas partes hoy: Prueba de dirección, cuestionarios, Verificación de empresas, Cribado AML a $0.20 por verificación y monitorización continua a $0.07 por persona al año.

Tres capas:

• Formatos de credenciales. El PID se emite como un SD-JWT VC (Credencial Verificable JSON Web Token de Divulgación Selectiva) y como un ISO/IEC 18013-5 mdoc, el formato de los permisos de conducir móviles. Ambos ocultan valores no divulgados detrás de hashes salados. SD-JWT VC es para uso remoto; el mdoc también cubre verificaciones presenciales.
• Presentación. En línea, una parte usuaria solicita datos con OpenID for Verifiable Presentations (OpenID4VP) bajo el Perfil de Interoperabilidad de Alta Seguridad (HAIP), o con ISO/IEC 18013-7, a través de una redirección o la API de Credenciales Digitales del W3C. En persona, ISO/IEC 18013-5 comienza con un código QR o NFC y continúa a través de Bluetooth, NFC o Wi-Fi Aware.
• Emisión. Las carteras reciben credenciales a través de OpenID4VCI.

La Arquitectura y Marco de Referencia (ARF) v3.0.0, publicada el 23 de julio de 2026, describe todo el stack.

Sí. Con la divulgación selectiva, la cartera puede compartir solo que la persona es mayor de 18 años. El gobierno holandés lo describe así: solo compartes si alguien es mayor de 18 años, y no necesitas proporcionar una fecha de nacimiento.

La UE también tiene un plan de verificación de edad, una aplicación independiente o una función de cartera, publicada en julio de 2025 y actualizada en octubre de 2025. Su prueba de edad no contiene datos de identidad, las pruebas se emiten en lotes para un solo uso, y al emisor no se le informa dónde se utiliza una prueba. En abril de 2026, la Comisión instó a los Estados miembros a que la aplicación estuviera disponible a finales de año, y Dinamarca, Francia, Grecia, Italia y España fueron los primeros en adoptarla.

Para las plataformas sujetas a la Ley de Servicios Digitales, las directrices de la Comisión sobre menores (julio de 2025) favorecen la verificación de edad para el contenido para mayores de 18 años y tratan la estimación facial de la edad como un puente temporal.

No de forma fiable antes del 11 de agosto de 2028. Según el Reglamento de Ejecución (UE) 2026/1731, el retrato pasa a formar parte del PID obligatorio solo a partir de esa fecha. Hasta entonces es opcional, y cada Estado miembro decide si incluirlo. Compartir el retrato también requerirá divulgación selectiva, advertencias al usuario y registro.

El ARF denomina vinculación de usuario a la comprobación de que la persona que presenta la credencial es su titular legítimo. En algunos flujos, la parte usuaria la realiza; en otros, se basa en las comprobaciones de la propia cartera.

Así que, por ahora, planifica un paso de selfie cuando tu política requiera una coincidencia facial: prueba de vida pasiva más una coincidencia facial 1:1 con una foto del documento o el retrato del chip leído por NFC. En Didit, esto forma parte de la verificación KYC completa a $0.33. Ninguno de los cinco eID nacionales activas devuelve tampoco un retrato.

A partir del 5 de octubre de 2026, varias apps nacionales están activas o en fase de prueba:

• Italia: IT-Wallet en la app IO, con 10,1 millones de activaciones hasta el 17 de febrero de 2026.
• Dinamarca: AltID, disponible con documento de identidad digital y prueba de edad, creada por 281.390 personas a 4 de agosto de 2026.
• Alemania: un sandbox público desde diciembre de 2025, con la app prevista para principios de 2027.
• Países Bajos: la NL Wallet está en desarrollo y a la espera de la ley de implementación nacional.
• España, Grecia, Irlanda y Chipre, junto con Dinamarca, Francia e Italia, están probando la solución de verificación de edad de la UE en sus wallets nacionales durante 2026.

La tabla de preparación en esta página enumera todos los países con un estado público que hemos encontrado, con la fecha y la fuente de cada fila.

Todavía no. La aceptación de la cartera EUDI llegará pronto a Didit. Nuestro catálogo de carteras la incluye para 30 países del EEE, y está prevista para el mismo paso de Verificación de Identidad que configuras hoy. No damos fecha ni precio antes de que esté disponible.

Lo que funciona ahora:

• Cinco eID nacionales están activas: MitID (Dinamarca), BankID Suecia, Finnish Trust Network (Finlandia), Smart-ID (Estonia, Letonia, Lituania, Bélgica) y Mobile-ID (Estonia, Lituania). Devuelven el nombre completo, fecha de nacimiento, un identificador del sistema (por ejemplo, el personnummer sueco; MitID devuelve un identificador seudonimizado) y el nivel de seguridad, con una verificación de firma. Solo se facturan los inicios de sesión completados.
• Documentos como respaldo: lectura de chip por NFC, prueba de vida pasiva y coincidencia facial, en más de 14.000 tipos de documentos.

Un flujo de trabajo construido sobre estos hoy seguirá funcionando cuando llegue la aceptación de la cartera EUDI. Habla con nosotros si la cartera es importante para tu plan de lanzamiento.

Para las personas, la cartera es gratuita: emitirla, usarla y revocarla no cuesta nada (Artículo 5 bis, apartado 13). Para las empresas, la situación es diferente:

• El reglamento no excluye las tarifas para las partes usuarias. El registro debe ser rentable y proporcionado al riesgo (Artículo 5 bis, apartado 2), y cada Estado miembro establece su propio proceso de registro y certificación, por lo que cualquier tarifa depende de dónde estés establecido.
• Ejecutar un verificador, comprobar las listas de confianza y mantener la evidencia es tu propio coste de ingeniería, o el precio que cobra un proveedor.

Didit publicará su precio para la aceptación de la cartera EUDI en la página de precios cuando la función esté disponible. Hoy, la página de precios muestra el precio publicado de cada verificación disponible, por ejemplo, la verificación KYC completa a $0.33 y el cribado AML a $0.20.

Cinco pasos que valen la pena antes de que llegue la cartera:

• Comprueba si el Artículo 5f(2) te aplica: un deber legal o contractual de usar autenticación de usuario fuerte, y no ser una micro o pequeña empresa.
• Enumera los atributos que realmente necesitas para cada caso de uso. Tu registro te limitará a ellos, por lo que una puerta de edad necesita la edad superior a 18, no una identidad completa.
• Planifica las brechas: el PID siempre incluye nombre, fecha de nacimiento, lugar de nacimiento y nacionalidad. La dirección y otros atributos son opcionales y pueden faltar, y el número de identificación fiscal, los beneficiarios reales, el cribado y la monitorización quedan fuera del PID.
• Acepta los eIDs nacionales ahora donde tus clientes los tengan, y mantén una ruta de documentos para todos los demás. En Didit, cinco eID nacionales están activas, y la aceptación de la cartera EUDI llegará pronto al mismo paso.
• Observa a tu Estado miembro: las normas de registro se aplican a partir del 24 de diciembre de 2026, y las aplicaciones nacionales se lanzan en diferentes fechas.

Última revisión: 5 de octubre de 2026. No es asesoramiento legal.