Una sola clave para todo el Estado: identidad digital y el principio de una sola vez

Contá cuántas identidades digitales tenés con el Estado argentino.

Clave Fiscal de ARCA, con sus niveles de seguridad. Mi Argentina, con su DNI digital. La clave de ANSES. La CiDi de Córdoba, la Clave Ciudad de AGIP, el CIT de ARBA — una por provincia donde tengas algo. Trámites a Distancia, que se apoya en una de las anteriores según el día. El token de tu banco. Y, arriba de todo eso, la carpeta de fotocopias que igual llevás por las dudas.

Ahora contá cuántas veces le mostraste al Estado un papel que el Estado mismo emitió. La partida de nacimiento que emitió el Registro Civil. El certificado de domicilio que emitió la policía. La constancia de CUIL que emitió ANSES. El certificado de supervivencia de una persona que el Estado sabe perfectamente que está viva.

Esas dos listas son el mismo problema visto de dos lados. Y no es un problema de "modernización" ni de tener una app más linda: es un problema de arquitectura, y hay al menos cinco países que lo resolvieron de maneras distintas, con resultados medibles y con errores documentados que conviene no repetir.

Este post hace tres cosas. Primero separa los tres problemas que en Argentina se discuten como si fueran uno solo. Segundo mira cómo los resolvieron Estonia, India, Singapur, los países nórdicos y la Unión Europea — incluyendo lo que salió mal, que es la parte más útil. Tercero propone una arquitectura concreta para Argentina, en siete capas, con qué se puede hacer sin ley y qué no.

1. Son tres problemas, no uno

Casi toda la discusión argentina sobre identidad digital se rompe acá. "Una sola clave para todo" suena a una cosa y en realidad son tres, con soluciones técnicas distintas y riesgos distintos.

Autenticación. Probar que sos vos. Es la parte más fácil y la única en la que Argentina invirtió en serio. Clave Fiscal, biometría de RENAPER, token bancario: todos resuelven esto, cada uno por su lado.

Atributos verificados. Probar algo sobre vos: que naciste tal día, que vivís en tal lado, que tenés tal título, que estás inscripto en tal cosa. Hoy en Argentina esto se prueba con un PDF o un papel que vos vas a buscar a un organismo y le llevás a otro. Sos el mensajero de tu propia información.

Intercambio entre organismos. Que el organismo B pueda preguntarle al organismo A, con tu consentimiento y dejando registro, en vez de mandarte a vos a hacer el viaje. Esta es la parte cara, la que ningún país resuelve con una app, y la que decide si todo lo demás sirve para algo.

La consecuencia práctica: se puede tener una identidad digital impecable y seguir teniendo trámites de tres ventanillas. Argentina está bastante cerca de ese escenario. El DNI digital funciona; el problema es que sirve para identificarte, no para evitarte el trámite.

2. Estonia: el caso que todos citan y casi nadie entiende

Estonia es el ejemplo obligado, y suele citarse mal. La versión popular es "tienen una base de datos única". Es exactamente al revés, y esa es la parte importante.

X-Road no es una base: es un bus. Cada organismo estonio conserva su propia base de datos. X-Road es la capa de intercambio: un conjunto de servidores de seguridad que permiten que dos organismos se consulten entre sí con mensajes firmados digitalmente, cifrados y registrados. No hay un lugar donde esté todo. Por diseño: un repositorio central es un punto único de falla y un objetivo único de ataque.

Esta decisión de arquitectura, tomada alrededor del año 2001, es la que hace todo lo demás posible. Estonia no empezó por la app. Empezó por el caño.

El principio de una sola vez. En Estonia está prohibido por ley que un organismo público te pida un dato que otro organismo público ya tiene. La misma idea se volvió obligación para toda la Unión Europea con el Reglamento del Portal Digital Único: los Estados miembros deben permitir que la evidencia se intercambie entre administraciones en vez de exigírsela al ciudadano.

Notá el mecanismo: no es una recomendación de buenas prácticas, es una prohibición. Sin la prohibición, cada organismo sigue pidiendo el papel, porque pedirlo es gratis para el organismo y caro para vos.

El registro de accesos. Cualquier estonio puede entrar y ver quién consultó sus datos: qué organismo, qué funcionario, qué día, con qué motivo. Un médico que abre una historia clínica sin razón deja rastro, y el paciente lo ve. Hay casos documentados de sanciones que arrancaron así.

Esto es lo que vuelve políticamente sostenible al sistema, y es lo que en general falta en las propuestas argentinas. La pregunta "¿y si el Estado me vigila?" no se responde con una promesa: se responde con un log que el ciudadano puede leer.

Lo que salió mal. En 2017 se descubrió una vulnerabilidad en el chip de las tarjetas de identidad estonias — un defecto en la generación de claves de un fabricante, que en teoría permitía derivar la clave privada. Afectó a cientos de miles de tarjetas. Estonia suspendió los certificados afectados y forzó una renovación remota masiva en cuestión de semanas.

La lección no es "la identidad digital es insegura". Es que un sistema nacional de identidad necesita un plan de revocación y renovación masiva desde el día uno, porque la pregunta no es si va a haber una falla criptográfica, sino cuándo. Estonia pudo porque el sistema estaba diseñado para actualizar certificados de forma remota. Un sistema atado a plástico que hay que ir a buscar a una oficina no puede hacer eso.

3. India: escala brutal, exclusión real

Aadhaar es el sistema de identidad más grande del mundo: más de mil doscientos millones de personas inscriptas, con biometría de diez dedos, dos iris y foto. En términos de cobertura es un éxito sin precedentes, y le dio identidad verificable a cientos de millones de personas que directamente no tenían documento.

Lo que funcionó. La verificación electrónica de identidad convirtió trámites de días en operaciones de minutos: abrir una cuenta bancaria, activar una línea celular, cobrar un subsidio. La combinación de identidad, cuenta bancaria y celular permitió pagar transferencias sociales directamente a la persona en vez de a través de cadenas de intermediarios, y el gobierno reporta ahorros enormes por eliminación de beneficiarios inexistentes o duplicados. DigiLocker, el repositorio oficial de documentos, permite que un título o una licencia se presenten digitalmente con validez legal.

Lo que salió mal, y es lo que más importa. La autenticación biométrica falla. Falla con trabajadores manuales cuyas huellas están desgastadas, falla con adultos mayores, falla donde no hay conectividad. Cuando esa autenticación se vuelve condición para recibir comida subsidiada, la falla técnica se convierte en hambre. Hay casos documentados y una discusión pública sostenida sobre muertes asociadas a denegación de raciones por fallas de autenticación. Investigadores han estimado tasas de fallo de autenticación de dos dígitos en algunos estados y programas.

Además, la Corte Suprema india tuvo que intervenir. En 2018 declaró constitucional el sistema para funciones estatales pero restringió su uso obligatorio por parte de privados, y en 2017 había establecido la privacidad como derecho fundamental. Es decir: el diseño original excedía lo que el marco legal toleraba, y hubo que corregirlo por vía judicial años después de desplegarlo sobre mil millones de personas.

Las dos lecciones para Argentina. Primera: la identidad digital nunca puede ser la única puerta a un derecho. Siempre tiene que haber un camino alternativo, y ese camino tiene que ser real, no un formulario de excepción que tarda seis meses. Segunda: el marco legal de protección de datos tiene que estar antes del despliegue, no después. India sancionó su ley general de protección de datos en 2023, más de una década después de empezar a inscribir gente.

4. Singapur: el modelo más copiable

Si hay que elegir un solo país para imitar en la parte de atributos, es Singapur.

Singpass es la credencial de acceso a servicios públicos. Hasta ahí, nada raro. Lo interesante es MyInfo: una capa donde el ciudadano autoriza, campo por campo, que el Estado le entregue datos verificados a un tercero.

El ejemplo canónico: vas a abrir una cuenta bancaria. En vez de llenar un formulario con veinte campos y adjuntar comprobantes, autorizás que MyInfo le pase al banco tu nombre, documento, domicilio registrado e ingresos declarados. El banco recibe datos verificados por la fuente oficial, no una foto de un papel. El trámite pasa de días a minutos, y el banco además reduce fraude, porque el dato no pasó por tus manos.

Tres cosas que hace bien y conviene copiar textual:

Es por consentimiento y por campo. No es "el banco accede a tu perfil". Es "el banco pide estos seis campos, vos ves cuáles, y aceptás o no".

El sector privado paga. Los bancos y las empresas que consumen atributos verificados pagan por el servicio. Eso financia la infraestructura y evita que sea una carga presupuestaria eterna.

Hay una versión para empresas. Corppass resuelve el problema de la representación: quién puede actuar en nombre de una sociedad y para qué trámites. En Argentina esto hoy se resuelve con poderes en papel y con la ficción de que el contador tiene la clave del titular — que es, literalmente, compartir credenciales.

5. Los nórdicos: la identidad la operan los bancos

Suecia, Noruega y Dinamarca tomaron un camino distinto y muy relevante para Argentina: la identidad digital nacional nació del sistema financiero.

El BankID sueco lo desarrollaron los bancos. Se usa para entrar al home banking, para firmar contratos, para hacer trámites públicos y para autorizar pagos entre personas. La penetración es altísima entre adultos. Noruega tiene un esquema equivalente, y Dinamarca migró su NemID a MitID, con una arquitectura renovada y adopción prácticamente universal.

Por qué importa para Argentina. El sistema financiero argentino ya hizo el trabajo pesado de verificación de identidad. Todos los bancos y billeteras hicieron onboarding remoto con validación biométrica contra RENAPER. Ya existe una red de millones de identidades verificadas con nivel de garantía alto, financiada por privados, funcionando todos los días.

Ignorar esa infraestructura y construir una paralela desde cero es tirar plata. La alternativa nórdica es: el Estado define el estándar y los niveles de garantía, y acepta credenciales de proveedores que cumplan el estándar — incluidos los bancos, y también su propia credencial pública.

El riesgo, que también hay que decirlo. Cuando la identidad la operan privados, quedarse afuera del sistema financiero es quedarse afuera del Estado. En países con bancarización casi total el problema es marginal; en Argentina no lo es. Por eso el modelo tiene que ser federado, no delegado: siempre tiene que existir una credencial pública, gratuita y suficiente, y las privadas se suman.

6. La Unión Europea: hacia dónde va todo esto

El reglamento eIDAS, reformado en 2024, obliga a los Estados miembros a ofrecer una billetera de identidad digital a sus ciudadanos, con plazos que caen en la segunda mitad de esta década. Vale la pena entender el diseño, porque es el estado del arte y define hacia dónde converge el mundo.

La idea central es que las credenciales las guarda el ciudadano en su dispositivo, no un servidor central. Cuando alguien te pide probar algo, tu billetera presenta una credencial firmada por el emisor, y quien la recibe puede verificar la firma sin consultar al emisor. El Estado no se entera de cada vez que usás tu identidad.

De ahí salen dos propiedades que resuelven casi todas las objeciones de privacidad:

Revelación selectiva. Podés probar un atributo sin mostrar el documento entero. Si un local necesita saber que sos mayor de edad, la billetera prueba exactamente eso: mayor de edad, sí o no. No tu fecha de nacimiento, no tu domicilio, no tu número de documento.

No trazabilidad del emisor. Como la verificación es criptográfica y offline, no queda un registro central de dónde te identificaste. Es la diferencia entre un sistema de identidad y un sistema de vigilancia, y es puramente una decisión de diseño.

Hay tres niveles de garantía —bajo, sustancial y alto— y cada servicio declara cuál exige. No hace falta biometría para consultar el estado de un expediente; sí hace falta para vender una propiedad. Un solo sistema, exigencia graduada.

7. Qué tiene Argentina hoy

Conviene ser justo: la base es mejor de lo que se suele reconocer, y el problema no es de tecnología.

RENAPER tiene el activo más valioso. Un registro nacional de identidad con biometría de cobertura prácticamente universal, y un servicio de validación de identidad que ya venden a bancos, fintechs y organismos. Eso es exactamente la pieza que a la mayoría de los países le cuesta décadas construir, y Argentina la tiene.

El DNI digital existe y tiene validez legal. La credencial en Mi Argentina es documento válido. Eso ya es más de lo que tienen muchos países ricos.

La autenticación está resuelta varias veces. Clave Fiscal con sus niveles, la validación biométrica de RENAPER, el onboarding remoto de los bancos. Sobra autenticación.

Lo que falta es el caño y la prohibición. No hay un X-Road argentino de uso obligatorio, con estándar público, que permita a cualquier organismo —nacional, provincial o municipal— consultar un dato de otro con firma y auditoría. Y no hay una norma que le prohíba a un organismo pedirte un documento que el Estado ya emitió.

Y falta el marco legal. La ley de protección de datos personales argentina es del año 2000. Es anterior al celular con cámara. No contempla decisiones automatizadas, ni portabilidad, ni notificación de incidentes en plazos razonables, ni una autoridad de control con dientes. Construir intercambio masivo de datos entre organismos sobre esa base legal es la parte que sale mal en el escenario de India.

Hay además un problema federal que no tiene equivalente en Estonia ni en Singapur: el Registro Civil es provincial, la salud es provincial, la educación es provincial, y buena parte de los trámites que importan son municipales. Cualquier diseño que asuma un Estado unitario no se va a implementar nunca.

8. La propuesta: siete capas

No es un pedido de modernizar. Es una especificación.

Capa 1 — Niveles de garantía, no una clave

Definir por norma tres niveles de garantía de identidad, alineados con el estándar europeo: bajo, sustancial y alto. Cada trámite del Estado declara qué nivel exige, y esa declaración es pública. Consultar un expediente no puede exigir lo mismo que transferir un inmueble.

Esto suena burocrático y es la pieza que hace todo lo demás posible: sin niveles, cada organismo inventa su propio requisito, y así se llega a la situación actual.

Capa 2 — Federación, no monopolio

El Estado no opera la única identidad: opera una identidad —pública, gratuita, universal, basada en RENAPER— y publica el estándar para que otros proveedores emitan credenciales homologadas en un nivel determinado. Los bancos entran acá, con la infraestructura de validación biométrica que ya construyeron.

Protocolo abierto y conocido para todo esto: OpenID Connect, sin invenciones locales. Un organismo que acepta identidad debe aceptar cualquier credencial homologada del nivel requerido, sin poder exigir una marca en particular.

Capa 3 — El bus de intercambio

Un X-Road argentino. Cada organismo mantiene su base; el bus define cómo se consultan entre sí. Requisitos no negociables:

• Cada consulta va firmada digitalmente por el organismo que la hace, con identificación del funcionario o del sistema.
• Cada consulta queda registrada de forma inalterable.
• Cada organismo publica un catálogo de qué datos ofrece y bajo qué condiciones.
• Las provincias y los municipios se conectan con los mismos servidores de seguridad y las mismas reglas, por adhesión, sin necesidad de ceder competencias.

El punto federal es central: X-Road funciona precisamente porque no le pide a nadie que entregue su base. Le pide que abra una consulta auditada. Eso es políticamente vendible a veinticuatro jurisdicciones; una base única, no.

Capa 4 — El principio de una sola vez, por ley

La capa más barata y la de mayor impacto. Una norma que establezca que ningún organismo público puede exigir la presentación de un documento emitido por otro organismo público cuando ese dato esté disponible en el bus.

Con dos precisiones que deciden si funciona o no:

• Lista taxativa y plazo. Un anexo con los documentos alcanzados desde el día uno —partida de nacimiento, constancia de CUIL, certificado de domicilio, antecedentes, certificados de estudios, constancia de inscripción— y un cronograma de incorporación.
• Consecuencia. Si no hay consecuencia por incumplir, se incumple. El diseño más simple: si el organismo lo pide igual, el trámite se tiene por presentado completo con lo que aportaste.

Capa 5 — Billetera y consentimiento

La credencial y los atributos viven en el dispositivo del ciudadano, con revelación selectiva y firma verificable offline. Cuando un tercero —público o privado— pide un atributo, la pantalla muestra exactamente qué campos pide y para qué, y vos aceptás o no, campo por campo, al estilo de MyInfo.

Para el sector privado, tarifa: quien consume atributos verificados para su negocio, paga. Eso financia el sistema y es lo que hace sostenible el modelo de Singapur.

Capa 6 — El log ciudadano

Todo ciudadano puede ver, en cualquier momento, quién consultó sus datos: organismo, unidad, fecha, motivo declarado, base legal. Con notificación proactiva en las categorías sensibles —salud, penal, patrimonial— y un botón de denuncia que abra un expediente automáticamente ante la autoridad de protección de datos.

Las excepciones —investigaciones judiciales en curso, seguridad— deben ser taxativas, temporales y con revelación diferida: pasado el plazo, el acceso aparece en tu log igual.

Esta capa no es un adorno de transparencia. Es la que compra la legitimidad política de todas las demás, y es lo primero que se recorta cuando el proyecto se apura.

Capa 7 — El canal que no es digital

Ningún derecho, prestación o trámite puede tener a la identidad digital como única vía de acceso. Siempre existe atención presencial o asistida, con la misma validez y sin costo adicional, y la falla de autenticación nunca puede interrumpir una prestación en curso.

Es la lección de India, y es la capa que se escribe última y se elimina primera. No debería ser negociable.

9. Qué se puede hacer sin ley, y qué no

Sin ley, por decisión administrativa:

• Publicar el estándar de niveles de garantía y obligar a los organismos nacionales a declarar el nivel de cada trámite.
• Desplegar el bus de intercambio entre organismos nacionales, empezando por los cinco o seis cruces de datos que explican la mayoría de los trámites: RENAPER, ANSES, ARCA, Registro Automotor, antecedentes penales.
• Abrir el log de accesos al ciudadano dentro de Mi Argentina. Técnicamente es lo más simple de todo y es lo que cambia la conversación pública.
• Firmar convenios de adhesión con las provincias que quieran, con el estándar ya escrito. Las tres o cuatro que ya tienen ciudadanía digital funcionando van a entrar primero, y eso genera comparación.

Requiere ley:

• El principio de una sola vez con consecuencia por incumplimiento.
• La actualización del régimen de protección de datos personales, con autoridad de control independiente, notificación de incidentes y régimen sancionatorio real.
• El reconocimiento de credenciales privadas homologadas para trámites públicos.
• La prohibición de exigir identidad digital como vía única de acceso a un derecho.

El orden importa. Desplegar la capa 3 sin la actualización de protección de datos es construir la máquina de cruzar datos antes que el freno. Es el error de India, y es un error caro de deshacer, porque una vez que la máquina existe, achicar sus atribuciones es una discusión que se pierde.

10. Las objeciones que hay que tomar en serio

"El Estado me va a vigilar." Es la objeción correcta, y la respuesta no es prometer que no. Es: base distribuida en vez de central, log visible para el ciudadano, verificación criptográfica en vez de consulta al servidor, revelación selectiva, y sanción efectiva al acceso injustificado. Si el diseño no tiene esas cinco cosas, la objeción tiene razón.

"Se va a filtrar todo." Se van a filtrar cosas: pasa en todos los países y ya pasó acá con padrones y bases oficiales. La pregunta de diseño no es cómo evitar toda filtración, sino cómo hacer que una filtración sea acotada y recuperable. Base distribuida en vez de única, credenciales revocables y renovables de forma remota, y datos que no se copian sino que se consultan.

"La gente mayor queda afuera." Sí, si la capa 7 no existe. Con canal asistido obligatorio, no.

"Ya lo intentamos y no funcionó." Es cierto, y por eso el foco de esta propuesta no está en la app. Argentina tiene varias identidades digitales que funcionan. Lo que no tiene es el bus, la prohibición y el log. Otra app no cambia nada.

"Es carísimo." Es de los proyectos más baratos que puede encarar el Estado, porque la parte cara —el registro biométrico universal— ya está hecha y pagada. Lo que falta es integración, norma y auditoría. Es, otra vez, trabajo de desarrollo y de redacción legal.

11. Lo que queda en discusión

Hasta dónde llega el sector privado. Si un banco puede exigir identidad digital estatal para operar, o solo ofrecerla como opción. India tuvo que resolverlo por vía judicial, y lo resolvió restringiendo.

Quién opera el bus. Un organismo nuevo tiene independencia pero tarda años en existir; uno existente arranca rápido pero arrastra su propia agenda y sus incentivos. No hay respuesta obvia.

Biometría: cuánta y para qué. Es lo que hace robusto al sistema y lo que produce exclusión. La respuesta razonable es usarla para emitir la credencial, no para usarla todos los días — pero es una decisión con costos reales de fraude.

Qué pasa con quienes no tienen documento. Es una minoría, y es justamente la población que más depende de prestaciones estatales. Un sistema que asume documento universal la deja afuera por diseño.

El federalismo. La adhesión voluntaria es más viable políticamente y garantiza un mapa desparejo durante años. Condicionar transferencias a la adhesión acelera y genera conflicto. Es una decisión política, no técnica.

Cierre

Argentina tiene el registro de identidad, tiene la biometría, tiene el documento digital con validez legal y tiene un sistema financiero que ya verificó a millones de personas. Tiene, en términos comparados, casi todo lo caro.

Lo que no tiene es lo barato: un caño estándar para que los organismos se pregunten entre sí, una norma que prohíba pedir el papel que el Estado ya emitió, y un registro que el ciudadano pueda leer para saber quién lo miró.

Esas tres cosas no requieren tecnología que no exista, ni presupuesto extraordinario, ni consenso ideológico. Requieren que un organismo acepte que otro organismo le pregunte, y que el Estado renuncie a la comodidad de mandarte a vos a buscar el papel.

Que es, como en cada uno de los posts de esta serie, exactamente el tipo de decisión que nadie tiene incentivo para tomar y que rinde durante treinta años.