Google Wallet y el marco EUDI han convergido en casi todo lo técnico — el mismo protocolo, el mismo formato de credencial, incluso el mismo esquema de pruebas de conocimiento cero. Donde se bifurcan es en quién decide: quién avala la credencial y quién avala al verificador. Y los dos, por caminos distintos, han acabado inventando la misma figura intermedia para que el sistema escale. Con caracteres jurídicos opuestos.
Europa está resolviendo la interoperabilidad hacia dentro — logrando que sus carteras nacionales se entiendan entre sí. Pero en cuanto sales del paraguas de eIDAS2, la historia cambia. Suiza opera un ecosistema maduro de verificación de edad sobre cimientos incompatibles; el piloto UE-Japón alineó los protocolos y chocó contra el muro de la confianza. Los formatos convergen. La confianza — la parte que de verdad decide si un verificador puede aceptar una credencial — no.
Nadie construye verificación de edad EUDI desde cero: la ruta real de construir corre sobre un motor precontruido, open source o licenciado. He costeado ese escenario honesto — el motor que conocemos de primera mano es EUDIPLO, la base de espuni —: 9–14 semanas de un dev senior, 0,2–0,3 FTE de mantenimiento perpetuo, y un break-even en el orden de las 40.000 verificaciones al mes a partir del cual construir sale a cuenta. Por debajo de esa cifra, los números dicen otra cosa.
Las Zero-Knowledge Proofs son la pieza de privacidad más avanzada del EU Age Verification Blueprint: demuestran que eres mayor de 18 sin enseñar la credencial. Construimos un verifier ZK independiente, lo probamos contra el AV app oficial de referencia con una credencial real, y la aceptó en 317 ms. Esto es cómo funciona el lado del relying party —la parte difícil— y, con la misma honestidad, lo que nuestro verifier todavía no hace.
Tenía un verifier que pasaba todas las pruebas contra la cartera de referencia de verificación de edad de la UE. Luego lo apunté a AltID, el emisor de producción danés, y fue rechazado antes de que se moviera una sola credencial. Esto es para lo que una implementación de referencia no te prepara — y por qué pasarla no es lo mismo que ser interoperable.
Ayer el nuevo Primer Ministro británico canceló el esquema nacional de identidad digital. Es fácil leerlo como 'la identidad digital ha muerto' — pero el mercado de verificación de edad con el que suele confundirse es otra cosa, y sigue muy vivo. Aquí va la distinción, y la única lección que sí se traslada.
Los posts que advierten de que las carteras de identidad digital registran cada vez que demuestras quién eres se están extendiendo rápido. El ARF — la especificación técnica pública de la UE — describe casi lo contrario. Pero debajo hay objeciones reales, y son mejores que las virales.
Dinamarca acaba de convertirse en el primer estado miembro con un emisor de verificación de edad en la Trusted List de producción de la UE. Un análisis detallado de cómo funciona AltID realmente — y qué significa para las plataformas que necesitan cumplir el Artículo 28 de la DSA.
Un recorrido técnico por el estándar de referencia de la UE para verificación de edad — y por qué resuelve la tensión con GDPR que la verificación de edad suele generar.
El Artículo 28 de la DSA aplica a muchas más plataformas de lo que la mayoría de equipos de compliance asume. Un desglose práctico de quién está afectado y por qué.