{"id":397,"date":"2026-08-27T10:36:15","date_gmt":"2026-08-27T10:36:15","guid":{"rendered":"https:\/\/hoge.gg\/it\/kyc-aml-crypto-2026-come-funzionano-le-regole\/"},"modified":"2026-08-27T10:36:15","modified_gmt":"2026-08-27T10:36:15","slug":"kyc-aml-crypto-2026-come-funzionano-le-regole","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/kyc-aml-crypto-2026-come-funzionano-le-regole\/","title":{"rendered":"KYC e AML crypto nel 2026: come funzionano davvero le regole"},"content":{"rendered":"

Nel 2025 gli operatori in valuta virtuale iscritti in Italia hanno inviato 5.859 segnalazioni di operazioni sospette all’Unit\u00e0 di Informazione Finanziaria, quasi il doppio dell’anno precedente (+85,1%), su un totale di 162.059 segnalazioni per oltre 100 miliardi di euro movimentati, secondo il Rapporto annuale UIF pubblicato a giugno 2026<\/a>. Nello stesso periodo il Dipartimento di Giustizia statunitense ha incassato oltre 4,3 miliardi di dollari da un solo exchange, mentre l’Unione Europea ha costruito da zero un’autorit\u00e0 antiriciclaggio con sede a Francoforte. La macchina della conformit\u00e0 non \u00e8 mai stata cos\u00ec pesante.<\/p>

Eppure, nello stesso 2026, un documento d’identit\u00e0 falso generato da un’intelligenza artificiale costa circa 15 dollari e in alcuni test ha superato il controllo di piattaforme reali. Con Bitcoin poco sotto i 69.000 euro (CoinGecko<\/a>) e un mercato degli stablecoin vicino ai 290 miliardi di dollari, il denaro che entra ed esce dai wallet \u00e8 pi\u00f9 che mai reale. Questo articolo spiega come funzionano concretamente KYC e AML nel mondo crypto, che cosa chiede la legge italiana, perch\u00e9 le regole si sono inasprite proprio mentre il controllo dell’identit\u00e0 veniva reso pi\u00f9 facile da aggirare, e quali soluzioni stanno emergendo, IT-Wallet in testa.<\/p>

KYC e AML: due cose diverse che vengono sempre confuse<\/h2>

AML (Anti-Money Laundering, in italiano antiriciclaggio) \u00e8 l’ombrello: l’insieme di leggi, obblighi e controlli che devono impedire a un’impresa finanziaria di far transitare denaro di provenienza illecita. KYC (Know Your Customer, adeguata verifica della clientela) \u00e8 una parte di quell’ombrello: la componente che riguarda l’identit\u00e0 del cliente. In pratica il KYC risponde alla domanda \u00abchi sei davvero\u00bb, mentre l’AML risponde a \u00abi tuoi soldi da dove arrivano e dove vanno\u00bb. Un exchange pu\u00f2 avere un KYC impeccabile e un AML pessimo, se raccoglie i documenti ma poi non monitora i movimenti n\u00e9 segnala nulla.<\/p>

Qui va corretto un equivoco molto diffuso in Italia: l’antiriciclaggio non \u00e8 materia della Consob. La Consob \u00e8 l’autorit\u00e0 di condotta di mercato e tutela dell’investitore, competente ai sensi del MiCA su abusi di mercato e trasparenza, come raccontato nel pezzo sugli abusi di mercato cripto sotto MiCA<\/a>. L’antiriciclaggio segue un binario separato, disegnato dal decreto legislativo 231\/2007<\/a>: politica e sanzioni al Ministero dell’Economia, analisi finanziaria alla UIF (Unit\u00e0 di Informazione Finanziaria, ospitata presso la Banca d’Italia), indagini a Guardia di Finanza e DIA. Il MiCA disciplina i servizi sulle cripto-attivit\u00e0, non il riciclaggio: l’AML sta altrove, nell’AMLR europeo e nel 231. Confondere i due piani porta a pensare che \u00abse un exchange \u00e8 autorizzato dalla Consob allora \u00e8 a posto sull’antiriciclaggio\u00bb, il che \u00e8 falso.<\/p>

Che cosa fa davvero un controllo KYC<\/h2>

Quando ci si registra su un exchange conforme, dietro il modulo di iscrizione girano quattro passaggi distinti, quasi sempre affidati a fornitori specializzati come Sumsub, Onfido, Jumio, Persona o l’europea IDnow. Il primo passaggio \u00e8 la verifica del documento: si fotografa carta d’identit\u00e0, passaporto o patente e un software ne controlla ologrammi, font, zone leggibili a macchina e coerenza dei dati. Il secondo \u00e8 la prova di vita (liveness) e il riconoscimento biometrico: un selfie o un breve video serve a dimostrare che davanti alla fotocamera c’\u00e8 una persona reale e viva, e che il suo volto corrisponde alla foto del documento.<\/p>

Il terzo passaggio \u00e8 lo screening: il nominativo viene confrontato con le liste di sanzioni (OFAC statunitense, elenchi UE e ONU), con i database di persone politicamente esposte (PEP) e con le notizie negative di stampa (adverse media). Il quarto, spesso ignorato dagli utenti ma decisivo, \u00e8 il monitoraggio continuo delle transazioni: algoritmi che, dopo l’apertura del conto, osservano i movimenti e alzano un allarme quando qualcosa devia dal profilo dichiarato.<\/p>

Il KYC, insomma, non \u00e8 un cancello che si attraversa una volta sola: \u00e8 una telecamera che resta accesa. Vale la pena notare che gran parte di questo lavoro non la fa direttamente l’exchange, ma una filiera di fornitori di tecnologia che vendono verifica del documento, liveness e screening come servizi in abbonamento, con il risultato che pochi motori di verifica proteggono, di fatto, buona parte del mercato. \u00c8 su ciascuno di questi quattro anelli che si \u00e8 aperta, nel 2026, una gara serrata tra chi controlla e chi falsifica.<\/p>

Adeguata verifica: semplificata, ordinaria, rafforzata<\/h2>

Il decreto 231\/2007 non impone a tutti lo stesso livello di controllo: adotta un approccio basato sul rischio e prevede tre gradi di adeguata verifica. Quella semplificata si applica quando il rischio di riciclaggio \u00e8 basso e riduce l’ampiezza e la frequenza degli obblighi, pur richiedendo comunque l’identificazione del cliente. Quella ordinaria \u00e8 il caso pi\u00f9 frequente e comprende identificazione, verifica dell’identit\u00e0, individuazione del titolare effettivo e valutazione dello scopo del rapporto. Quella rafforzata, disciplinata dagli articoli 24 e 25, scatta nei casi ad alto rischio (clienti politicamente esposti, Paesi terzi ad alto rischio, operazioni complesse o insolite) e pu\u00f2 richiedere pi\u00f9 documenti, la verifica della provenienza dei fondi e un monitoraggio pi\u00f9 stretto.<\/p>

Per un prestatore di servizi sulle cripto-attivit\u00e0 questi obblighi scattano all’apertura del rapporto, per ogni operazione occasionale pari o superiore a 15.000 euro (anche frazionata) e, grazie al regolamento europeo sui trasferimenti di fondi (TFR), per ogni trasferimento di cripto senza soglia minima. In caso di sospetto di riciclaggio la verifica va comunque effettuata a prescindere dall’importo. La tabella seguente riassume i tre livelli.<\/p>

Livello<\/th>Quando si applica<\/th>Cosa richiede<\/th><\/tr><\/thead>
Semplificata<\/td>Rischio basso (art. 23): clientela e prodotti a basso profilo<\/td>Identificazione del cliente, obblighi ridotti per ampiezza e frequenza<\/td><\/tr>
Ordinaria<\/td>Caso residuale e pi\u00f9 frequente<\/td>Identit\u00e0 verificata, titolare effettivo, scopo e natura del rapporto, controllo costante<\/td><\/tr>
Rafforzata<\/td>Rischio elevato (artt. 24-25): PEP, Paesi ad alto rischio, operazioni anomale<\/td>Documentazione aggiuntiva, verifica della provenienza dei fondi, monitoraggio intensificato<\/td><\/tr><\/tbody><\/table><\/figure>

La UIF, le SOS e il sistema antiriciclaggio italiano<\/h2>

Il cuore operativo dell’antiriciclaggio italiano \u00e8 la segnalazione di operazione sospetta (SOS). Quando un soggetto obbligato (una banca, un professionista, un exchange) ha il sospetto o motivi ragionevoli per sospettare che sia in corso un riciclaggio, deve inviare una SOS alla UIF, l’unit\u00e0 di informazione finanziaria istituita presso la Banca d’Italia. La UIF analizza il flusso, lo arricchisce con i propri dati e, se conferma il sospetto, lo trasmette al Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e alla DIA. Due regole sono ferree: non esiste una soglia in euro per far scattare la SOS, che dipende solo dal sospetto; ed \u00e8 vietato avvisare il cliente della segnalazione (il divieto di comunicazione, l’equivalente del divieto di tipping-off anglosassone).<\/p>

Accanto alla segnalazione, i soggetti obbligati devono rispettare gli altri presidi previsti dal 231: adeguata verifica, conservazione dei dati, controlli interni, formazione del personale e obbligo di astensione dalle operazioni che non riescono a verificare. Il Rapporto UIF sul 2025<\/a> fotografa bene la pressione crescente sul comparto crypto: le SOS degli operatori in valuta virtuale sono passate da 3.165 a 5.859 in un anno, spinte soprattutto da truffe e frodi informatiche.<\/p>

La stessa UIF avverte che criptoattivit\u00e0, IBAN virtuali, carte virtuali e ATM non bancari rendono pi\u00f9 complessa la ricostruzione del percorso del denaro, aumentando l’opacit\u00e0 dei flussi. \u00c8 un punto importante: il boom delle segnalazioni non misura per forza pi\u00f9 criminalit\u00e0, ma spesso pi\u00f9 occhi puntati e pi\u00f9 operatori (in particolare banche telematiche di recente iscrizione) che iniziano a segnalare. Il sistema vede sempre di pi\u00f9; la domanda, come vedremo, \u00e8 se ci\u00f2 che vede sia anche ci\u00f2 che conta.<\/p>

L’ondata di sanzioni: Binance, OKX, KuCoin<\/h2>

La ragione per cui gli exchange oggi prendono il KYC molto sul serio ha un nome e un prezzo. A novembre 2023 Binance ha patteggiato con le autorit\u00e0 statunitensi una risoluzione superiore a 4,3 miliardi di dollari, il fondatore Changpeng Zhao si \u00e8 dichiarato colpevole di violazione del Bank Secrecy Act, ha pagato 50 milioni di multa personale e ha lasciato la guida della societ\u00e0, che secondo l’accusa non aveva mai inviato una singola segnalazione di operazione sospetta (Department of Justice<\/a>). Il procuratore generale Merrick Garland lo sintetizz\u00f2 cos\u00ec: \u00abUsing new technology to break the law does not make you a disruptor. It makes you a criminal\u00bb.<\/p>

Non \u00e8 stato un caso isolato. A febbraio 2025 OKX si \u00e8 dichiarata colpevole<\/a> di trasmissione di denaro senza licenza per oltre 504 milioni di dollari, avendo movimentato oltre mille miliardi di dollari in transazioni statunitensi senza registrazione e senza KYC per la clientela retail fino a fine 2022. Poche settimane prima, a gennaio, KuCoin aveva patteggiato<\/a> quasi 297 milioni di dollari e l’uscita dal mercato statunitense per due anni.<\/p>

Il messaggio agli operatori \u00e8 stato chiaro: l’antiriciclaggio, non pi\u00f9 la qualificazione dei token come titoli, \u00e8 diventato il primo rischio regolatorio del settore. Il quadro non \u00e8 a senso unico: nel 2025 la nuova amministrazione statunitense ha impresso una svolta pi\u00f9 morbida, con la SEC che ha lasciato cadere diverse cause civili contro gli exchange e l’OFAC che ha rimosso Tornado Cash dalla lista delle sanzioni, segno che la direzione politica pu\u00f2 cambiare in fretta. Ma sul principio di fondo, cio\u00e8 che un exchange deve sapere chi sono i suoi clienti e segnalare i movimenti sospetti, non c’\u00e8 arretramento.<\/p>

Caso<\/th>Data<\/th>Importo<\/th>Contestazione principale<\/th><\/tr><\/thead>
Binance<\/td>Nov 2023<\/td>oltre 4,3 miliardi USD<\/td>Violazione BSA, nessuna SOS inviata, CZ colpevole<\/td><\/tr>
KuCoin<\/td>Gen 2025<\/td>circa 297 milioni USD<\/td>Trasmissione di denaro senza licenza, uscita dagli USA<\/td><\/tr>
OKX<\/td>Feb 2025<\/td>oltre 504 milioni USD<\/td>Operativit\u00e0 senza licenza, KYC assente per il retail<\/td><\/tr><\/tbody><\/table><\/figure>

Il problema da 15 euro: documenti falsi generati dall’AI<\/h2>

Mentre le sanzioni salivano, il primo anello del KYC (la verifica del documento) diventava sorprendentemente facile da spezzare. Un’inchiesta di 404 Media<\/a> ha svelato un servizio clandestino, OnlyFake, capace di generare in pochi minuti immagini fotorealistiche di documenti d’identit\u00e0 falsi per circa 15 dollari l’uno, fino a migliaia al giorno, sfruttando reti neurali per rendere realistici sfondo, ombre e persino la mano che regge il documento. In un test, un’immagine cos\u00ec prodotta \u00e8 riuscita a superare la verifica di un exchange di primo piano.<\/p>

Il punto non \u00e8 che i documenti falsi siano una novit\u00e0: \u00e8 che il loro costo \u00e8 crollato e la loro qualit\u00e0 \u00e8 schizzata. Un tempo servivano attrezzatura, competenze e tempo; oggi bastano un modello generativo e una carta di credito. Questo ribalta l’economia della frode: se ingannare un controllo costa pochi euro e pu\u00f2 essere ripetuto in serie, l’attaccante non ha bisogno di un colpo perfetto, gli basta la scala. Ed \u00e8 esattamente ci\u00f2 che rende il 2026 diverso dagli anni precedenti: le regole sull’identit\u00e0 non sono mai state cos\u00ec rigide, ma la prova su cui si reggono, un’immagine, \u00e8 diventata banale da fabbricare.<\/p>

Deepfake contro liveness: la nuova prima linea<\/h2>

Se il documento falso attacca il primo anello, il deepfake attacca il secondo: la prova di vita. Qui la distinzione tecnica conta. Un attacco di presentazione mostra alla fotocamera qualcosa di finto (una foto, una maschera, un video su uno schermo). Un attacco di iniezione, molto pi\u00f9 insidioso, salta del tutto la fotocamera e inietta un flusso video sintetico direttamente nell’app tramite una camera virtuale o un software manipolato. Secondo il rapporto sulle minacce 2026 di iProov<\/a>, gli attacchi di iniezione sono cresciuti del 741% su base annua, con un picco del 1.151% su iOS nel secondo semestre. Il chief scientific officer Andrew Newell l’ha riassunta cos\u00ec: \u00abIdentity is becoming the new battleground in cybersecurity\u00bb.<\/p>

I numeri di fondo confermano la tendenza. Il rapporto sulle frodi 2025-2026 di Sumsub<\/a> registra i deepfake nell’11% dei casi di frode di prima parte e i documenti sintetici nel 21%, mentre il settore crypto mostra un tasso di frode intorno al 2,2%. La difesa non \u00e8 ferma: le tecniche di liveness passivo, l’analisi dei metadati, il rilevamento delle camere virtuali e la biometria comportamentale alzano continuamente l’asticella. Ma \u00e8 una corsa agli armamenti, non una vittoria. La tabella seguente mette a confronto ciascun anello del controllo con l’attacco basato su AI che lo prende di mira.<\/p>

Anello del KYC<\/th>Attacco basato su AI<\/th>Contromisura emergente<\/th><\/tr><\/thead>
Verifica del documento<\/td>Documenti falsi generativi (OnlyFake, circa 15 dollari)<\/td>Verifica del chip NFC, controlli crittografici, eID<\/td><\/tr>
Prova di vita e selfie<\/td>Deepfake, attacchi di iniezione (+741% annuo)<\/td>Liveness passivo, rilevamento camere virtuali<\/td><\/tr>
Screening liste<\/td>Identit\u00e0 sintetiche che eludono le sanzioni<\/td>Grafi relazionali, analisi on-chain<\/td><\/tr>
Monitoraggio transazioni<\/td>Reti di muli e conti intestati a prestanome<\/td>Biometria comportamentale, punteggi di rischio<\/td><\/tr><\/tbody><\/table><\/figure>

La trappola dei dati: quando il KYC diventa un bersaglio<\/h2>

C’\u00e8 un secondo problema, speculare al primo. Per verificare l’identit\u00e0, un exchange deve raccogliere e conservare i dati pi\u00f9 sensibili che una persona possiede: nome, indirizzo, foto del documento, a volte il selfie biometrico. Ogni piattaforma conforme diventa cos\u00ec un enorme deposito di identit\u00e0, e un deposito \u00e8 sempre un bersaglio. La conservazione obbligatoria dei dati, pensata per aiutare le indagini, crea il rischio che un solo furto esponga milioni di persone.<\/p>

Il caso pi\u00f9 emblematico \u00e8 la violazione dichiarata da Coinbase a maggio 2025: alcuni addetti al supporto clienti all’estero, corrotti, avevano copiato i dati di circa 69.461 utenti, tra cui nomi, indirizzi, parte del codice fiscale e foto di documenti. Gli aggressori hanno chiesto un riscatto di 20 milioni di dollari; l’amministratore delegato Brian Armstrong ha rifiutato e ha offerto invece una taglia di pari importo per chi li identificasse, con costi di rimedio stimati tra 180 e 400 milioni di dollari (CoinDesk<\/a>). \u00c8 il paradosso di fondo dell’attuale modello: pi\u00f9 dati raccogliamo per sapere chi \u00e8 il cliente, pi\u00f9 diventa appetibile rubarli, e pi\u00f9 la stessa infrastruttura pensata per proteggere il sistema finanziario mette a rischio le persone che dovrebbe tutelare.<\/p>

Ma il KYC funziona davvero?<\/h2>

La domanda scomoda \u00e8 se tutto questo apparato serva. I dati di settore raccontano una storia sfumata. Secondo il Crypto Crime Report 2026 di Chainalysis<\/a>, gli indirizzi illeciti hanno ricevuto almeno 154 miliardi di dollari nel 2025 (+162% sull’anno prima, trainati dai flussi legati alle sanzioni), ma questo resta meno dell’1% del volume totale on-chain; e gli stablecoin ormai rappresentano circa l’84% del valore delle transazioni illecite, superando Bitcoin. Il crimine, insomma, si \u00e8 spostato sui binari a valore stabile, il che spiega perch\u00e9 la regolamentazione degli stablecoin sia diventata centrale, come nel caso dei depositi tokenizzati con cui le banche rispondono agli stablecoin<\/a>.<\/p>

C’\u00e8 chi sostiene che il rapporto costi-benefici sia squilibrato. In un rapporto del 2025 per il Coin Center, il direttore della ricerca Peter Van Valkenburgh e Ian Miers scrivono che \u00abthe existing AML\/KYC regime does remarkably little to prevent illicit finance\u00bb, stimando i costi di conformit\u00e0 statunitensi in oltre 26 miliardi di dollari l’anno a fronte di benefici, nel bloccare i reati, che definiscono trascurabili (Coin Center<\/a>). Va aggiunto un limite tecnico spesso dimenticato: i punteggi di rischio prodotti dalle societ\u00e0 di analisi on-chain (Chainalysis, Elliptic, TRM Labs) sono probabilistici, non prove; le monete della privacy come Monero rompono le tecniche di clustering, e un indirizzo etichettato ad alto rischio non \u00e8 un colpevole accertato. Il KYC vede molto, ma ci\u00f2 che vede va interpretato, non preso come verdetto.<\/p>

La linea dura europea: AMLR, AMLA e la TFR<\/h2>

Mentre gli Stati Uniti procedono per sanzioni ed enforcement, l’Europa ha scelto la strada del testo unico. Il regolamento antiriciclaggio (AMLR, Reg. 2024\/1624)<\/a> avr\u00e0 piena efficacia dal 10 luglio 2027 e introduce misure severe: divieto di conti anonimi in cripto e di servizi che garantiscano l’anonimato (di fatto le monete della privacy) presso i soggetti obbligati, tetto ai pagamenti in contanti di 10.000 euro a livello UE e controlli rafforzati sui trasferimenti tra wallet auto-ospitati e piattaforme custodite oltre determinati importi. La TFR (Reg. 2023\/1113), in vigore dal 30 dicembre 2024, \u00e8 la Travel Rule europea: impone che ogni trasferimento di cripto viaggi con i dati di ordinante e beneficiario, senza soglia minima.<\/p>

La vera novit\u00e0 istituzionale \u00e8 l’AMLA, l’Autorit\u00e0 europea antiriciclaggio con sede a Francoforte, che dal 2028 vigiler\u00e0 direttamente sui soggetti a pi\u00f9 alto rischio, inclusi i maggiori prestatori di servizi crypto attivi in pi\u00f9 Stati. A guidarla c’\u00e8 un volto italiano: Bruna Szego, prima a capo dell’unit\u00e0 di vigilanza e regolamentazione antiriciclaggio della Banca d’Italia, \u00e8 stata nominata prima presidente dell’AMLA e ha avvertito i comitati del Parlamento europeo dei rischi crescenti legati a frodi potenziate dall’AI, criptoattivit\u00e0 e aggiramento delle sanzioni (AMLA<\/a>). Vale la pena ribadirlo: nessuna di queste norme \u00e8 il MiCA. Il MiCA regola i servizi, l’AMLR regola il riciclaggio; il confronto tra i due modelli, statunitense ed europeo, \u00e8 al centro dell’analisi su Regulation Crypto Assets e lo specchio MiCA<\/a>.<\/p>

L’Italia dopo l’OAM: da VASP a CASP<\/h2>

Per anni gli operatori crypto in Italia dovevano iscriversi al registro dei cambiavalute tenuto dall’OAM (Organismo Agenti e Mediatori). Con l’entrata in vigore del MiCA e del decreto legislativo 5 settembre 2024, n. 129, quel regime \u00e8 stato superato: il registro VASP \u00e8 stato mandato in soffitta e chi voleva continuare a operare doveva presentare istanza di autorizzazione come CASP (prestatore di servizi per le cripto-attivit\u00e0) entro il 30 dicembre 2025, con termine ultimo del periodo transitorio al 30 giugno 2026. La Consob, di concerto con la Banca d’Italia, ha iniziato a rilasciare le autorizzazioni: RIV Digital ha ottenuto il via libera con delibera del 10 giugno 2026 per servizi di scambio e collocamento di cripto-attivit\u00e0 (Consob<\/a>).<\/p>

Attenzione per\u00f2 a non confondere i piani, di nuovo. L’autorizzazione CASP riguarda il diritto di offrire servizi sul mercato; gli obblighi antiriciclaggio restano quelli del 231\/2007, che qualifica i CASP come soggetti obbligati a tutti gli effetti: adeguata verifica, conservazione, monitoraggio e segnalazione delle SOS alla UIF. Un CASP autorizzato dalla Consob che non rispetta il 231 \u00e8 comunque fuori legge. Questa doppia veste, di mercato e antiriciclaggio, \u00e8 la ragione per cui anche gli intermediari tradizionali che entrano nelle crypto costruiscono presidi pesanti, come si vede nel portafoglio crypto da 235 milioni di Intesa Sanpaolo<\/a>.<\/p>

La cura numero uno: identit\u00e0 riutilizzabile e IT-Wallet<\/h2>

Se il modello attuale ha due difetti (un documento falso lo inganna, un archivio rubato lo tradisce), la soluzione pi\u00f9 promettente \u00e8 capovolgerlo: verificare l’identit\u00e0 una volta sola, presso un ente affidabile, ed emettere una credenziale digitale riutilizzabile che l’utente conserva sul proprio dispositivo e mostra a chi la richiede, senza consegnare ogni volta le foto del documento. \u00c8 l’architettura del regolamento eIDAS 2.0 (Reg. 2024\/1183)<\/a>, che impone a ogni Stato membro di offrire un portafoglio europeo di identit\u00e0 digitale (EUDI Wallet) entro fine 2026, basato su credenziali verificabili secondo gli standard W3C e sul triangolo emittente, titolare, verificatore.<\/p>

Qui l’Italia parte avvantaggiata. Dal dicembre 2024 l’IT-Wallet nell’app IO<\/a> permette ai cittadini di custodire in formato digitale patente, tessera sanitaria e altri documenti; il catalogo si \u00e8 ampliato nel 2025 e, con il decreto PNRR convertito in legge ad aprile 2026, punta a superare i 200 tipi di documento, con il rilascio esteso a tutta la popolazione previsto entro febbraio 2027. A questa infrastruttura si sommano oltre 40 milioni di identit\u00e0 SPID attive e pi\u00f9 di 60 milioni di carte d’identit\u00e0 elettroniche gi\u00e0 in circolazione.<\/p>

Il potenziale per il KYC crypto \u00e8 enorme: un exchange potrebbe ricevere dall’IT-Wallet la sola prova \u00abquesto utente \u00e8 maggiorenne e ha un’identit\u00e0 verificata dallo Stato\u00bb, senza mai vedere n\u00e9 conservare la foto del documento. Cos\u00ec il primo problema (il documento falsificabile) e il secondo (l’archivio rubabile) si riducono insieme, perch\u00e9 la verifica la fa una volta l’ente pubblico e l’exchange riceve soltanto un attestato firmato crittograficamente. Il collo di bottiglia non \u00e8 pi\u00f9 tecnologico ma di adozione: servono exchange pronti ad accettare la credenziale come parti facenti affidamento, e regole chiare su quali attributi possano legittimamente chiedere.<\/p>

La cura numero due: prove a conoscenza zero e proof-of-personhood<\/h2>

La seconda direzione punta a dimostrare un fatto senza rivelare i dati che lo fondano. Con una prova a conoscenza zero (zero-knowledge) un utente pu\u00f2 provare di avere pi\u00f9 di 18 anni, o di non figurare in una lista di sanzioni, senza mostrare data di nascita o nome: la stessa logica crittografica che, in un altro dominio, permette di dimostrare che un modello di AI ha calcolato correttamente<\/a>. Abbinata a un meccanismo di prova di unicit\u00e0 della persona (proof-of-personhood), consentirebbe di garantire \u00abuna persona, un conto\u00bb contro le reti di prestanome, senza costruire l’ennesimo archivio di volti.<\/p>

Il progetto pi\u00f9 noto in questo campo, World (ex Worldcoin), sostiene di aver registrato circa 18 milioni di persone in oltre 160 Paesi tramite la scansione dell’iride (World<\/a>). Ma proprio qui si vede la tensione con la privacy europea, e l’Italia \u00e8 stata tra i primi a segnalarla: gi\u00e0 ad aprile 2024 il Garante per la protezione dei dati personali ha ammonito Worldcoin<\/a>, osservando che un consenso al trattamento di dati biometrici prestato in cambio di token gratuiti, e senza informazioni adeguate n\u00e9 verifica dell’et\u00e0, difficilmente pu\u00f2 considerarsi libero e valido secondo il GDPR.<\/p>

La lezione \u00e8 che la biometria di massa non \u00e8 una scorciatoia neutra: risolve il problema dei muli ma ne apre uno di sorveglianza. Le soluzioni pi\u00f9 solide combinano prove a conoscenza zero, cos\u00ec che nessun dato grezzo lasci il dispositivo, con un registro di controllo accessibile solo a fronte di garanzie (il cosiddetto meccanismo break-glass), che permette alle autorit\u00e0 di risalire a un’identit\u00e0 soltanto con un provvedimento e non a piacimento. \u00c8 un equilibrio difficile, ma \u00e8 l’unico che tenga insieme l’accertamento dei reati e i diritti fondamentali.<\/p>

Cosa aspettarsi tra il 2026 e il 2027<\/h2>

I prossimi diciotto mesi decideranno quale delle due forze prevale. Sul fronte delle regole il calendario \u00e8 fitto: piena efficacia dell’AMLR dal 10 luglio 2027, avvio della vigilanza diretta dell’AMLA verso il 2028, rilascio esteso dell’IT-Wallet e degli EUDI Wallet europei tra fine 2026 e inizio 2027. Sul fronte della minaccia, i modelli generativi continueranno ad abbassare il costo di documenti falsi e deepfake, spostando il baricentro dei controlli dal documento all’origine crittografica dell’identit\u00e0. Chi scommette che il KYC del futuro somigli a quello di oggi, con la foto della carta d’identit\u00e0 caricata su un sito, probabilmente sbaglia.<\/p>

Il quadro pi\u00f9 realistico \u00e8 ibrido: credenziali verificabili emesse dallo Stato per la stragrande maggioranza degli utenti onesti, prove a conoscenza zero per ridurre i dati esposti, analisi on-chain e monitoraggio comportamentale per intercettare i flussi anomali a valle. Nessuno di questi tasselli, da solo, chiude la partita, e la stessa Europa ammette che restano lacune da colmare tra DeFi, staking e lending. Per l’utente italiano la conseguenza pratica \u00e8 semplice: il tempo del wallet aperto in trenta secondi con una sola mail \u00e8 finito, e l’identit\u00e0, verificata bene o male, sar\u00e0 la vera chiave d’ingresso alle crypto.<\/p>

Domande frequenti<\/h2>

Che differenza c’\u00e8 tra KYC e AML?<\/h3>

AML (antiriciclaggio) \u00e8 l’insieme complessivo di leggi e controlli che impediscono il transito di denaro illecito; KYC (adeguata verifica della clientela) \u00e8 la sua componente relativa all’identit\u00e0 del cliente. Il KYC serve a sapere chi \u00e8 la persona; l’AML comprende anche il monitoraggio delle transazioni, lo screening delle sanzioni e la segnalazione delle operazioni sospette. In Italia l’antiriciclaggio \u00e8 disciplinato dal decreto legislativo 231\/2007 e fa capo a UIF, Ministero dell’Economia e Guardia di Finanza, non alla Consob.<\/p>

Posso comprare crypto senza KYC in Italia nel 2026?<\/h3>

Su un exchange autorizzato no: i CASP sono soggetti obbligati ai sensi del 231\/2007 e devono identificare la clientela. Restano canali peer-to-peer e wallet auto-ospitati che non richiedono verifica, ma il regolamento europeo TFR impone i dati di ordinante e beneficiario su ogni trasferimento verso piattaforme custodite, e dal 2027 l’AMLR vieter\u00e0 i conti anonimi in cripto presso i soggetti obbligati. Comprare senza KYC diventer\u00e0 quindi sempre pi\u00f9 marginale e a rischio.<\/p>

Che cos’\u00e8 una segnalazione di operazione sospetta e chi la riceve?<\/h3>

\u00c8 la comunicazione che un soggetto obbligato (banca, professionista, exchange) invia quando sospetta un riciclaggio. In Italia la riceve la UIF, l’Unit\u00e0 di Informazione Finanziaria presso la Banca d’Italia, che la analizza e la trasmette a Guardia di Finanza e DIA. Non esiste una soglia in euro: conta il sospetto. Ed \u00e8 vietato avvisare il cliente della segnalazione. Nel 2025 gli operatori crypto italiani ne hanno inviate 5.859, in crescita di circa l’85%.<\/p>

Cosa cambia con AMLR e AMLA dal 2027?<\/h3>

L’AMLR, pienamente efficace dal 10 luglio 2027, armonizza le regole antiriciclaggio in tutta l’UE: vieta conti anonimi in cripto e servizi che garantiscano l’anonimato, fissa un tetto di 10.000 euro ai pagamenti in contanti e rafforza i controlli sui wallet auto-ospitati. L’AMLA, con sede a Francoforte, dal 2028 vigiler\u00e0 direttamente sui soggetti a pi\u00f9 alto rischio, inclusi i maggiori CASP transfrontalieri. \u00c8 un salto da regole nazionali diverse a un supervisore unico europeo.<\/p>

L’IT-Wallet pu\u00f2 sostituire il KYC degli exchange?<\/h3>

Pu\u00f2 trasformarlo radicalmente. Con l’IT-Wallet e i futuri EUDI Wallet, un utente potrebbe presentare a un exchange una credenziale verificabile emessa dallo Stato (per esempio la prova di essere maggiorenne e identificato) senza consegnare e far conservare la foto del documento. Questo riduce sia il rischio di documenti falsi sia quello dei furti di dati. L’ostacolo non \u00e8 pi\u00f9 tecnologico ma di adozione: gli exchange devono attrezzarsi ad accettare le credenziali come parti facenti affidamento.<\/p>