Verifica dell'identità e accertamento dell'età nell'iGaming: requisiti di piattaforma

Un conto su una piattaforma iGaming regolamentata è protetto da due controlli che vengono continuamente confusi tra loro. L’accertamento dell’età risponde se questa persona può giocare. La verifica dell’identità risponde chi è questa persona, perché il conto, il denaro e il registro regolamentare si leghino allo stesso essere umano. Nessuno dei due sostituisce l’altro, e una piattaforma che implementa bene uno dei due può comunque fallire l’altro, perché le prove che ciascuno richiede non sono le stesse prove.

Per il responsabile della conformità, l’architetto di piattaforma o il fornitore di identità di un operatore, l’artefatto di consegna è un pacchetto di controllo della verifica: l’obbligo che attiva il controllo, il livello di garanzia che deve raggiungere, la classe di prova che può accettare, la regola temporale che decide quando viene eseguito, il registro che prova che è stato eseguito e il comportamento definito per ogni esito che non sia un passaggio pulito.

L’accertamento dell’età e la verifica dell’identità rispondono a domande diverse

Il codice di responsabilità sociale 3.2.11 della Gran Bretagna per gli operatori a distanza impone ai titolari di disporre e applicare procedure che verifichino l’età di un cliente prima che quel cliente possa depositare fondi, accedere a versioni gratuite di giochi d’azzardo o giocare con denaro proprio o con qualsiasi scommessa o bonus gratuito. Vale la pena notare cosa contiene quell’elenco: una versione gratuita di un gioco sta dentro il confine. Una superficie che i team di prodotto trattano come marketing sta dietro una barriera di età esattamente come un portafoglio di denaro reale.

La condizione di licenza 17.1.1 chiede un’altra cosa. I titolari devono ottenere e verificare informazioni per stabilire l’identità di un cliente prima che gli sia consentito di giocare, e tali informazioni devono includere nome, indirizzo e data di nascita. Un obbligo è un predicato di soglia sull’età; l’altro è un registro di identità con tre componenti. Un singolo «passaggio KYC» nel flusso di cassa di solito soddisfa il secondo e dà per scontato il primo.

Entrambi gli obblighi hanno anche un ambito definito, e quell’ambito fa parte del progetto. Il 3.2.11 si applica a tutte le licenze a distanza tranne quelle di lotteria, tecniche di macchine da gioco, software di gioco, host e licenze accessorie di casinò e bingo a distanza; il 17.1.1 ha le proprie eccezioni dichiarate, comprese le licenze di lotteria che offrono solo lotterie a bassa frequenza o in abbonamento. La logica di verifica deve quindi essere una decisione per licenza e non un interruttore globale. Un fornitore che codifica «verifica sempre» per un cliente incontra l’elenco delle eccezioni quando viene verificata la classe di licenza del secondo cliente.

Scegliere un livello di garanzia e poi il percorso di prova

I quadri di proofing dell’identità descrivono i livelli prima dei metodi. La SP 800-63A-4 del NIST, pubblicata in versione finale il 31 luglio 2025 e che sostituisce la SP 800-63A, definisce requisiti tecnici per tre livelli di garanzia dell’identità e tratta il livello come la decisione che l’organizzazione assume. Il quadro britannico dei servizi di verifica digitale ha la stessa forma: il Data (Use and Access) Act 2025 ha istituito un registro legale dei fornitori di servizi di verifica digitale, e il quadro di fiducia che lo sostiene definisce livelli di confidenza.

La conseguenza per l’ingegneria è che il livello di garanzia decide quali percorsi di prova sono ammissibili. Un nome confrontato con un insieme di dati di riferimento, un’immagine di documento confrontata con una prova di vitalità e un confronto supervisionato tra persona e documento sono classi diverse di prova, e nessun punteggio di rischio trasforma una classe più debole in una più forte. Scrivete il livello previsto per ogni controllo, poi scegliete la prova, poi registrate quale percorso è stato realmente eseguito. Quando un revisore chiede perché un conto è stato verificato, «il fornitore ha restituito un esito positivo» non è un registro di un percorso di prova.

Tenete anche le tre domande separate nel modello dei dati: se questa persona ha l’età richiesta, se questa persona è chi dice di essere e se la sessione davanti a noi è ancora quella persona. Comportano costi di errore diversi e attivatori di ricontrollo diversi, e la guida al controllo degli accessi al back office copre il lato dei privilegi della terza domanda.

Verificate prima che il valore si muova, non alla schermata di prelievo

Il momento è dove di solito si perde un progetto difendibile. La condizione 17.1.1 stabilisce che la richiesta di prelievo di un cliente non deve tradursi nella richiesta di informazioni aggiuntive come condizione del prelievo se il titolare avrebbe potuto ragionevolmente chiedere quelle informazioni prima. Quella frase è un’istruzione di architettura: la verifica appartiene al punto in cui il conto acquisisce valore o prima, non al momento in cui il giocatore chiede indietro il denaro.

Il regolamento dell’UE dice lo stesso dall’altro lato. Il Regolamento (UE) 2024/1624, la norma antiriciclaggio del pacchetto 2024 che si applica direttamente dal 10 luglio 2027, impone all’articolo 23 che la verifica dell’identità del cliente e del titolare effettivo avvenga prima dell’instaurazione di un rapporto d’affari o dell’esecuzione di un’operazione occasionale. La deroga dello stesso articolo consente di completarla durante l’instaurazione solo quando è necessaria per non interrompere il normale svolgimento degli affari e vi è scarso rischio di riciclaggio o di finanziamento del terrorismo, e impone che tali procedure siano completate il prima possibile dopo il primo contatto. È un’eccezione stretta con una condizione documentata, non una licenza generale a concludere più tardi.

Un progetto che parcheggia il controllo al passo del prelievo fa quindi due cose cattive insieme. Indebolisce le prove della piattaforma stessa, perché la cronologia del conto è stata costruita da una persona la cui identità l’operatore non ha mai stabilito; e trasforma un passo di onboarding in un incidente di esperienza del cliente nel momento più delicato del rapporto.

Trattate le soglie come configurazione versionata

I requisiti di età e identità raramente sono regole del «sempre». Sono regole di soglia e di attivazione che si muovono secondo un calendario. Secondo il regolamento antiriciclaggio, i prestatori di servizi di gioco devono applicare la due diligence non solo all’instaurazione di un rapporto, ma anche all’incasso delle vincite, alla puntata di una somma o a entrambi, quando eseguono operazioni di almeno 2 000 EUR o l’equivalente, in una sola operazione o tramite operazioni collegate. L’articolo 19(9) impone poi all’autorità antiriciclaggio dell’UE di elaborare progetti di norme tecniche di regolamentazione che specifichino valori inferiori per soggetti e operazioni a rischio più elevato, i relativi valori delle operazioni, i criteri per identificare operazioni occasionali e rapporti d’affari e i criteri per identificare operazioni collegate. Quei criteri decidono se due puntate di una stessa persona sono una operazione o due, il che è una questione di modellazione dei dati prima di essere una questione di conformità.

Le norme tecniche della Gran Bretagna si muovono con un calendario proprio. Le norme tecniche sul gioco a distanza e sul software della Gambling Commission prevedono una modifica con effetto dal 30 settembre 2026 nella RTS 12B, la norma sui limiti finanziari, incluso l’obbligo che il sistema di gioco impedisca al cliente di continuare a depositare una volta raggiunto un limite di deposito, finché il periodo definito non riparte o il cliente non compia l’azione per aumentarlo, con il periodo di riflessione standard di 24 ore.

La lezione di progettazione non è quale numero sia corretto questo mese. È che soglie, eventi di attivazione, finestre di collegamento e periodi di riflessione appartengono a una configurazione versionata con un registro di quale versione fosse attiva quando è stata presa una decisione specifica. Una piattaforma che pubblica soglie come costanti rilascia nuovo software ogni volta che un regolatore sposta un valore, e non può dire in seguito quali regole abbiano governato una decisione presa tre anni prima.

Accettate le credenziali che i vostri mercati richiederanno

L’Europa sta costruendo uno strato di identità basato su portafogli, e l’obbligo di accettazione ha una data. Il Regolamento (UE) 2024/1183 impone all’articolo 5a che ogni Stato membro fornisca almeno un portafoglio europeo di identità digitale entro 24 mesi dall’entrata in vigore degli atti di esecuzione, con livello di garanzia alto e capacità di divulgazione selettiva, così che un portafoglio possa presentare un fatto senza presentare il documento da cui proviene. L’articolo 5f(2) impone alle parti affidatarie private, diverse dalle microimprese e dalle piccole imprese secondo la raccomandazione citata, che siano obbligate dal diritto dell’Unione o nazionale, o da un obbligo contrattuale, a usare l’autenticazione forte dell’utente per l’identificazione online di accettare anch’esse quei portafogli, entro 36 mesi dall’entrata in vigore di quegli atti di esecuzione e solo su richiesta volontaria dell’utente. I settori che l’articolo elenca come esempi sono trasporti, energia, servizi bancari, servizi finanziari, sicurezza sociale, sanità, acqua potabile, servizi postali, infrastrutture digitali, istruzione e telecomunicazioni. Il gioco non è citato, quindi la posizione di un operatore dipende dal fatto che una norma o un contratto che lo vincola richieda l’autenticazione forte dell’utente, e questa è una domanda a cui rispondere per mercato e non per ipotesi.

Due proprietà del quadro influenzano l’integrazione più della data. L’articolo 5a(15) stabilisce che l’uso dei portafogli è volontario e che l’accesso a servizi pubblici e privati non deve essere limitato né reso svantaggioso per chi non li usa, il che significa che il percorso documentale esistente non può essere ritirato come se fosse una comodità. E l’articolo 5a(4) impone la divulgazione selettiva, quindi la richiesta che la piattaforma invia dovrebbe chiedere un predicato sull’età e non una data di nascita, e dovrebbe chiedere attributi di identità solo dove un obbligo li richiede davvero. Una cassa che pretende un insieme completo di attributi quando l’obbligo è una soglia di età ha costruito un’integrazione del portafoglio più difficile da difendere in una revisione sulla protezione dei dati e peggiore per il giocatore.

Il Regno Unito ha seguito un percorso diverso verso la stessa destinazione, e il suo meccanismo è istruttivo perché è esplicitamente condizionato. Il Licensing Act 2003 (Mandatory Licensing Conditions) (Amendment) Order 2026 consente ai locali autorizzati in Inghilterra e Galles di accettare l’identificazione digitale per i controlli di età, ma solo quando la persona responsabile è coperta da un accordo con un fornitore registrato nel registro legale dei servizi di verifica digitale, il fornitore conferma se la soglia di età è stata raggiunta e l’identificazione consegnata raggiunge almeno un livello medio di confidenza secondo la versione pertinente del quadro di fiducia. Il materiale esplicativo pubblicato è esplicito nel dire che una semplice ispezione visiva di un documento digitale non è sufficiente. Questa è la forma di un controllo di età adatto alla conformità: un verificatore registrato, un livello di confidenza dichiarato e un servizio che risponde direttamente alla domanda sull’età invece di consegnare un’immagine.

Conservate le prove, non solo la decisione

Le decisioni di verifica invecchiano male quando le prove che le sostengono non vengono conservate. L’articolo 77(1)(a) del regolamento antiriciclaggio impone ai soggetti obbligati di conservare una copia dei documenti e delle informazioni ottenuti nell’esecuzione della due diligence, comprese le informazioni ottenute con mezzi di identificazione elettronica, e di garantire che i registri conservati non siano oscurati. L’articolo 77(2) consente di conservare riferimenti a tali informazioni invece di copie, ma solo quando la natura e il metodo di conservazione consentano di fornire immediatamente le informazioni alle autorità competenti e le informazioni non possano essere modificate o alterate, e solo quando le categorie in cui si applica tale sostituzione siano definite nelle procedure interne del soggetto stesso. L’articolo 77(3) fissa un periodo di conservazione di cinque anni dalla cessazione del rapporto d’affari, dall’operazione occasionale o dal rifiuto, impone la cancellazione dei dati personali alla scadenza e consente una proroga caso per caso fino a ulteriori cinque anni quando un’autorità competente ne abbia bisogno.

Questa è una specifica, non un’istruzione generale a conservare tutto. La piattaforma deve archiviare le prove di verifica in una forma utilizzabile da un revisore, dimostrare che non sono state alterate, produrle immediatamente quando ha conservato un riferimento invece di una copia e cancellarle secondo un orologio definito senza cancellare registri che un altro obbligo richiede. La conservazione è anche il punto in cui il sistema di identità incontra il pacchetto di controllo di registrazione di sicurezza ed evidenza di audit, perché una regola di conservazione che nulla applica è un’esposizione sulla protezione dei dati e non un controllo.

Riverificate per cambiamento, non per calendario

La condizione 17.1.1 impone ai titolari di adottare misure ragionevoli per garantire che le informazioni detenute sull’identità di un cliente restino accurate. Il regolamento antiriciclaggio attiva nuova due diligence quando vi sono dubbi sulla veridicità o sull’adeguatezza dei dati di identificazione ottenuti in precedenza, e quando vi sono dubbi sul fatto che la persona con cui il soggetto interagisce sia il cliente o una persona autorizzata ad agire per lui.

Ne derivano tre attivatori pratici. Un evento di cambiamento rilevante — un cambio di nome, un nuovo indirizzo, uno strumento di pagamento a un altro nome — dovrebbe aprire un compito di riverifica invece di sovrascrivere in silenzio il registro stabilito. Una sessione che si comporta come una persona diversa dovrebbe essere trattata come una nuova domanda di autenticazione, con il percorso di appropriazione del conto che il piano di risposta agli incidenti definisce per le compromissioni confermate. E la frode sull’identità va presunta almeno altrettanto attrezzata della piattaforma: la valutazione 2026 della Gambling Commission sui rischi di riciclaggio e finanziamento del terrorismo nell’industria britannica del gioco, pubblicata il 30 luglio 2026, osserva che il rapido sviluppo delle capacità di intelligenza artificiale mette alla prova l’efficacia dei controlli di due diligence, e classifica il settore dei casinò come alto rispetto agli altri sotto-settori del gioco, anche se la valutazione nazionale dei rischi classifica i casinò come medi nell’insieme dei settori regolamentati.

Provate i fallimenti, non solo il percorso felice

L’accettazione di un sistema di età e identità dovrebbe essere un elenco di contraddizioni, ciascuna con uno stato atteso della piattaforma, un comportamento visibile atteso per il giocatore e un registro atteso. Iniziate da un richiedente il cui documento scade tra la cattura e il controllo, e da un altro il cui indirizzo è cambiato da quando il documento è stato emesso. Proseguite con un nome che non corrisponde ai dati di riferimento e uno che corrisponde solo approssimativamente. Poi i percorsi delle credenziali: un portafoglio che restituisce un predicato di età senza alcun attributo di identità, un utente del portafoglio che rifiuta l’attributo e continua a navigare, e un utente che presenta un secondo portafoglio dopo che il primo è stato revocato. Poi le contraddizioni della piattaforma stessa: la stessa identità presentata su un secondo conto, un fornitore di verifica che va in timeout dopo aver accettato la richiesta, un registro di identità modificato dopo il completamento della verifica, un prelievo tentato su un conto la cui verifica è stata rinviata e un orologio di conservazione che scade mentre una revisione è ancora aperta.

Ogni test dovrebbe indicare lo stato che la piattaforma deve raggiungere, le prove che deve lasciare e la persona responsabile della classe di eccezione. Un controllo di verifica che non è mai stato forzato in uno stato contraddittorio non è stato testato; è stato solo usato.

Per gli operatori e i fornitori che specificano l’accertamento dell’età e la verifica dell’identità, lo sviluppo di piattaforme di Wizards trasforma questo pacchetto di controllo in requisiti di piattaforma, di fornitore e di accettazione.

Domande frequenti

L’accertamento dell’età è la stessa cosa della verifica dell’identità su una piattaforma iGaming?

No. In Gran Bretagna il codice di responsabilità sociale a distanza 3.2.11 impone di verificare l’età prima che il cliente possa depositare, accedere a una versione gratuita di un gioco d’azzardo o giocare, mentre la condizione di licenza 17.1.1 impone di ottenere e verificare nome, indirizzo e data di nascita prima che al cliente sia consentito giocare. Uno è una soglia sull’età; l’altro è un registro di identità, e le prove che soddisfano uno non soddisfano automaticamente l’altro.

Quando un operatore a distanza deve verificare l’identità di un cliente?

Prima che gli sia consentito giocare, secondo la condizione di licenza 17.1.1, e la stessa condizione afferma che una richiesta di prelievo non deve diventare la prima occasione in cui vengono chieste informazioni aggiuntive se queste avrebbero potuto essere chieste ragionevolmente prima. Il Regolamento (UE) 2024/1624 assume la stessa posizione nei mercati che copre: la verifica avviene prima che il rapporto d’affari sia instaurato o l’operazione occasionale eseguita, con una sola deroga stretta e condizionata per completarla durante l’instaurazione.

Il regolamento europeo antiriciclaggio si applica agli operatori di gioco online?

Sì, e aggiunge eventi che non sono eventi di onboarding. Il Regolamento (UE) 2024/1624 si applica direttamente dal 10 luglio 2027, definisce per la prima volta i servizi di gioco a livello UE e impone ai prestatori di servizi di gioco di applicare la due diligence all’incasso delle vincite, alla puntata di una somma o a entrambi, quando le operazioni raggiungono 2 000 EUR, in una sola operazione o tramite operazioni collegate. Gli Stati membri possono esentare alcuni prestatori per rischio basso comprovato, ma l’esenzione non può essere usata per i casinò né per i prestatori la cui attività principale è il gioco online o le scommesse sportive.

Cosa deve conservare una piattaforma per provare che una verifica è avvenuta?

Ai sensi dell’articolo 77 del Regolamento (UE) 2024/1624, una copia dei documenti e delle informazioni ottenuti nell’esecuzione della due diligence — comprese le informazioni ottenute con mezzi di identificazione elettronica — conservata senza oscuramenti, oppure un riferimento a esse quando le regole di conservazione consentano la produzione immediata e le informazioni non possano essere alterate. Il periodo di conservazione è di cinque anni dalla fine del rapporto, dall’operazione occasionale o dal rifiuto, dopo i quali i dati personali devono essere cancellati, con una possibile proroga caso per caso fino a ulteriori cinque anni.

Una piattaforma di gioco dovrebbe accettare il portafoglio europeo di identità digitale?

Solo quando l’obbligo si applica davvero, e in quel caso su richiesta volontaria dell’utente. L’articolo 5f(2) del Regolamento (UE) 2024/1183 obbliga alcune parti affidatarie private che devono usare l’autenticazione forte dell’utente per l’identificazione online ad accettare i portafogli; il gioco non è uno dei settori citati nel suo elenco illustrativo, quindi la risposta dipende dal diritto nazionale o dal contratto che vincola l’operatore. Due requisiti valgono in ogni caso: l’uso di un portafoglio è volontario e chi non lo usa non deve essere svantaggiato, e la piattaforma dovrebbe richiedere un attributo a divulgazione selettiva, come un predicato sull’età, invece di un documento di identità completo.