eIDAS y servicios de confianza con IA: identidad digital, firmas y cartera europea

Los prestadores cualificados de servicios de confianza (TSP) verifican identidad presencialmente, con identificación electrónica notificada o con métodos remotos basados en estándares ETSI. Los métodos remotos usan IA para coincidencia facial, detección de vivacidad y verificación documental. La autoridad supervisora en España es la SEDIA, y los TSP cualificados se inscriben en la lista de confianza nacional.

El estándar ETSI TS 119 461 fija requisitos para verificación remota. La IA debe demostrar precisión, robustez frente a ataques de presentación, ausencia de sesgo demográfico y trazabilidad. La Ley de IA aplica adicionalmente porque la categorización biométrica es alto riesgo.

Los servicios cualificados de creación de firma a distancia (artículos 26 y siguientes) operan dispositivos cualificados de creación de firma electrónica gestionados por el prestador. La autenticación del firmante a menudo combina factores biométricos analizados con IA. La validación de firmas (artículo 33) puede usar IA para detectar anomalías en grandes volúmenes.

El requisito clave para que la IA se use: documentar precisión, falsa aceptación y falso rechazo según ETSI, mantener registros que permitan reconstruir cada decisión y garantizar revisión humana cuando el sistema rechaza por debajo de umbral.

La cartera europea (EUDI Wallet) permitirá al ciudadano almacenar credenciales de identidad y atributos verificables (carnet de conducir, diplomas, prescripciones). Los Estados miembros deben ofrecerla en 2026. La IA aparece en dos funciones operativas. Servicio de relying party: detección de cartera falsa, fraude o uso no autorizado. Servicio de emisor: verificación automática del solicitante antes de emitir el atributo.

El uso de IA debe respetar el principio de minimización del eIDAS revisado: la cartera comparte solo el atributo necesario, no la identidad completa. La IA en relying party no puede usar la presentación de credenciales para perfilar al usuario más allá de lo estrictamente necesario.

La identificación biométrica es alto riesgo bajo el Anexo III de la Ley de IA. La verificación remota cualificada bajo eIDAS hereda obligaciones del artículo 9 (gestión de riesgos), 10 (gobernanza de datos), 14 (supervisión humana) y 15 (precisión y robustez). El RGPD aplica al tratamiento de datos biométricos como datos especiales del artículo 9, lo que exige base jurídica reforzada y, normalmente, DPIA.

La consecuencia operativa: cualquier TSP cualificado que use IA debe operar un sistema de gestión de calidad que cubra los tres regímenes simultáneamente. La 42001 facilita la integración.