La identidad digital que la mayoría de la gente utiliza hoy en día no les pertenece. Pertenece a Google, Facebook, gov.br o al banco que lo emitió. Cuando inicias sesión con tu cuenta de Google en un servicio, no estás presentando tu identidad: estás tomando prestada la identidad que Google administra por ti, bajo las condiciones que Google establece y revocable cuando Google lo decide. La identidad digital autosoberana parte de una premisa diferente: ¿y si el individuo controlara sus propias credenciales, sin depender de ninguna autoridad central para validarlas?
La arquitectura técnica detrás del concepto.
SSI (identidad autosoberana) no es una idea abstracta. Tiene un stack técnico concreto, estandarizado por el W3C, con dos piezas centrales: DID (Identificadores Descentralizados) y Credenciales Verificables.
Un DID es un identificador único que el titular crea y controla, sin necesidad de registrarse ante una autoridad central. Su estructura sigue el formato did:método:identificador-específico, donde el método define en qué infraestructura (una blockchain, un registro distribuido o incluso un servidor controlado por el usuario) está anclado el DID. El titular conserva las claves criptográficas que acreditan el control sobre este identificador. Si las claves están en el individuo, la identidad está en el individuo.
Las credenciales verificables son el segundo bloque. Una credencial verificable es un documento digital (puede ser una licencia de conducir, un título universitario, un certificado médico, un certificado profesional) emitido por una autoridad competente (el emisor), mantenido por el titular en la propia billetera digital y presentable a cualquier verificador sin que el emisor tenga que participar en la transacción. El cifrado garantiza que la credencial no haya sido manipulada y que en realidad proceda del emisor que dice proceder. El verificador no necesita consultar la [base de datos] de la universidad cada vez que alguien presenta un diploma: la firma criptográfica hace ese trabajo.
¿Qué permite esto en la práctica?
La primera ganancia obvia es la portabilidad. Hoy en día, las credenciales digitales son prisioneras de los sistemas que las emitieron. Su historial médico está en el sistema hospitalario. Su currículum verificado está en LinkedIn. Tus cualificaciones profesionales están en plataformas de certificación. Con SSI, estas credenciales residen en la billetera del individuo y pueden presentarse en cualquier contexto, a cualquier verificador, sin necesidad de un intermediario.
La segunda ganancia es la privacidad a través de la arquitectura, no de la política. Un mecanismo llamado prueba de conocimiento cero permite al titular demostrar los atributos de una credencial sin revelar toda la credencial. Ejemplo concreto: para acreditar que es mayor de 18 años, no es necesario presentar su documento de identidad con su nombre, CPF y dirección. Puede probar sólo el atributo "mayor de 18" de forma criptográficamente verificable sin revelar nada más. Esto elimina categóricamente la fuga de datos a través de una recopilación excesiva, un problema sistémico en la infraestructura de identidad actual.
El tercer beneficio es la interoperabilidad transfronteriza. Una credencial emitida por el gobierno brasileño, si sigue los estándares del W3C, puede ser reconocida por un empleador europeo o una universidad estadounidense sin ningún acuerdo bilateral específico, porque la verificación se realiza a nivel criptográfico, no a nivel diplomático.
Dónde ya se está implementando SSI
La Unión Europea tomó la iniciativa con la Cartera de Identidad Digital de la UE, un componente central del reglamento eIDAS 2.0, que entró en vigor en 2024. El objetivo es que cada ciudadano europeo tenga acceso a un documento de identidad digital para 2026 que permita el acceso a servicios públicos y privados en cualquier país miembro. El diseño sigue los principios de SSI: los ciudadanos controlan lo que comparten y con quién.
En Brasil, gov.br ha evolucionado continuamente, pero aún opera según un modelo centralizado: la plataforma es el proveedor de identidad y los servicios dependen de ella para su verificación. Existe una discusión sobre una tarjeta de identidad digital soberana en los grupos técnicos gubernamentales, pero aún no se ha traducido en una arquitectura publicada con un plazo definido.
En el sector privado, iniciativas de identidad para cadenas de suministro, acceso a servicios financieros para poblaciones sin documentación formal y verificación de credenciales académicas ya cuentan con pilotos reales en varios países. Finlandia ha experimentado con la identidad SSI para refugiados. Canadá ha creado un plan de credenciales verificables para el sector de la salud. Estos no son prototipos de laboratorio: son sistemas con usuarios reales.
Los puntos de fricción que frenan la adopción
La fricción más obvia es la experiencia del usuario. Las tarjetas de identidad digitales requieren que su titular administre sus propias claves criptográficas, y perder esas claves significa perder el acceso a las credenciales. Este problema, llamado gestión de claves, no tiene una solución trivial que sea al mismo tiempo segura y accesible para el usuario promedio. Las alternativas (llaves en poder de terceros, recuperación social) introducen dependencias que contradicen parcialmente el principio de soberanía.
La segunda fricción es la fragmentación de las normas. Hay decenas de métodos DID registrados en el W3C, cada uno con características técnicas diferentes, y la interoperabilidad entre ellos aún es imperfecta. Un verificador que acepta credenciales en el método did:web puede no aceptar aquellas que usan did:ion o did:key. La convergencia está ocurriendo, pero lentamente.
La tercera fricción es regulatoria y legal. Para que una credencial verificable tenga valor legal, necesita reconocimiento normativo: una ley o reglamento que determine que esa forma de presentación es equivalente a un documento físico. Este reconocimiento está llegando a Europa a través de eIDAS 2.0, pero en la mayoría de países aún falta o está incompleto.
Qué significa para las organizaciones que recopilan identidad hoy
Para las empresas que hoy recopilan y almacenan datos de identidad de los clientes (nombre, CPF, dirección, documentos, selfies), el modelo SSI representa un cambio de rol: de recolector a verificador. En lugar de conservar una copia de los datos del usuario, la organización verifica la credencial presentada, confirma su validez criptográfica y la descarta. Los datos no permanecen en la base de datos de la empresa. Las fugas no son posibles porque no hay nada que filtrar.
Este cambio de arquitectura reduce radicalmente el riesgo regulatorio, el coste de cumplimiento de la LGPD y el impacto de un incidente de seguridad. También cambia la conversación sobre el consentimiento: en lugar de pedir permiso para conservar los datos, la empresa simplemente no los conserva. La adopción de SSI, cuando se trata de escala, obligará a una reevaluación de los modelos de negocio que dependen de datos de identidad acumulados, y esta reevaluación será incómoda para quienes monetizan estos datos de maneras que el titular desconoce.
Lea también
- Dignidad de los datos: el siguiente paso después de la privacidad
- Consentimiento real o teatro regulatorio: cómo diferenciar
- Credenciales verificables: Portafolio que demuestra, desde la carrera hasta la confianza institucional
- Inferencia en el borde: cuando ejecutar IA en el dispositivo tiene más sentido que en la nube
- LGPD en 2026: qué ha cambiado, qué no se cumple aún y qué viene
- LGPD dos años después: lo que realmente cambió en las empresas brasileñas