今天大多数人使用的数字身份并不属于他们。它属于 Google、Facebook、gov.br 或发行它的银行。当您使用 Google 帐户登录某项服务时，您并不是在出示自己的身份，而是借用了 Google 为您管理的身份，条件由 Google 设定，并且可以根据 Google 的决定撤销。自我主权数字身份始于一个不同的前提：如果个人控制自己的凭证而不依赖任何中央机构来验证它们会怎样？
概念背后的技术架构
SSI——自我主权身份——不是一个抽象的概念。它有一个由 W3C 标准化的具体技术堆栈，有两个核心部分：DID（去中心化标识符）和可验证凭证。
DID 是持有人创建和控制的唯一标识符，无需向中央机构注册。其结构遵循 0 格式，其中方法定义 DID 锚定在哪个基础设施（[区块链4、分布式注册表，甚至由用户控制的服务器）中。持有者保留证明对该标识符的控制权的加密密钥。如果钥匙在个人手上，那么身份就在个人手上。
可验证的凭证是第二个块。可验证的凭证是一种数字文档，可以是驾驶执照、大学学位、医疗证书、专业证书，由主管机构（发行人）颁发，由持有人在数字钱包本身中维护，并且可以向任何验证者提供，而无需发行人参与交易。加密可确保凭证未被篡改，并且它实际上来自其声称的发行者。验证者不需要在每次有人颁发文凭时查阅大学的[数据库]——加密签名可以完成这项工作。
这在实践中可以实现什么
第一个明显的好处是便携性。如今，数字凭证已成为颁发它们的系统的囚徒。您的病史在医院系统中。您经过验证的简历位于 LinkedIn 上。你的职业资格在认证平台上。通过 SSI，这些凭证驻留在个人的钱包中，并且可以在任何情况下向任何验证者提供，而无需中间人。
第二个好处是通过架构而不是政策来保护隐私。一种称为零知识证明的机制允许持有者在不泄露整个凭证的情况下证明凭证的属性。具体例子：要证明你已年满18岁，你不需要出示有你的姓名、CPF和地址的身份证。您可以以可加密验证的方式仅证明“超过 18 岁”属性，而无需透露任何其他内容。这彻底消除了因过度收集而导致的数据泄露——这是当今身份基础设施中的一个系统性问题。
第三个收获是跨境互操作性。巴西政府颁发的证书，如果符合 W3C 标准，无需任何具体的双边协议即可得到欧洲雇主或美国大学的认可，因为验证是在密码层面而非外交层面进行的。
SSI 已经实施的地方
欧盟率先推出了欧盟数字身份钱包，这是 2024 年生效的 eIDAS 2.0 法规的核心组成部分。目标是到 2026 年，每个欧洲公民都可以获得数字身份证，从而可以访问任何成员国的公共和私人服务。该设计遵循 SSI 原则——公民控制他们分享的内容以及与谁分享。
在巴西，gov.br 不断发展，但仍然采用中心化模式运营：该平台是身份提供商，服务依赖它进行验证。政府技术小组中存在有关主权数字身份证的讨论，但尚未在明确的期限内转化为已发布的架构。
在私营部门，供应链身份识别举措、为没有正式证件的人群提供金融服务以及学历认证等举措已经在多个国家进行了实际试点。芬兰已尝试为难民提供 SSI 身份。加拿大为医疗保健行业制定了可验证的证书蓝图。这些不是实验室原型——它们是拥有真实用户的系统。
减缓采用的摩擦点
最明显的摩擦是用户体验。数字身份证要求持有者管理自己的加密密钥，丢失这些密钥意味着无法访问凭证。这个问题（称为密钥管理）没有既安全又可供普通用户访问的简单解决方案。替代方案（第三方持有的密钥、社会恢复）引入了与主权原则部分矛盾的依赖关系。
第二个摩擦是标准的碎片化。目前在W3C注册的DID方法有几十种，每种方法都有不同的技术特点，而且它们之间的互操作性还不完善。接受方法 1 中的凭证的验证者可能不接受使用 2 或 3 中的凭证。融合正在发生，但进展缓慢。
第三个摩擦是监管和法律。要使可验证的凭证具有法律价值，它需要规范性的认可——确定这种表现形式等同于物理文件的法律或法规。这种认可通过 eIDAS 2.0 传入欧洲，但在大多数国家，这种认可仍然缺失或不完整。
对于当今收集身份的组织意味着什么
对于当今收集和存储客户身份数据（姓名、公积金、地址、文件、自拍照）的公司来说，SSI 模型代表了角色的转变：从收集者到验证者。该组织不会保留用户数据的副本，而是检查所提供的凭据，确认其加密有效性，然后将其丢弃。该数据不会保留在公司的数据库中。泄漏是不可能的，因为没有什么可泄漏的。
这种架构变化从根本上降低了监管风险、[LGPD6合规成本以及安全事件的影响。它还改变了有关同意的对话：公司不再请求保留数据的许可，而是根本不保留数据。当 SSI 大规模采用时，将迫使人们重新评估依赖于积累的身份数据的商业模式，而这种重新评估对于那些以持有者不知道的方式将这些数据货币化的人来说将是不舒服的。
另请阅读
- [数据尊严：隐私之后的下一步7
- [真正的同意或监管剧场：如何区分8
- [可验证的证书：可证明的投资组合，从职业到机构信任9
- [边缘推理：在设备上运行人工智能比在云端更有意义10
- 【2026年LGPD：改变了什么、尚未遵守什么以及即将遵守什么11
- 【LGPD两年后：巴西企业真正发生了什么变化12