Verifica dell'età e KYC per il gioco d'azzardo online: quali obblighi per gli operatori?

In sintesi: in Italia, il gioco d'azzardo online è riservato ai maggiori di 18 anni ed è strettamente regolato dall'ADM (Agenzia delle Dogane e dei Monopoli), che rilascia le concessioni per il gioco a distanza. Ogni operatore concessionario deve verificare l'età e l'identità del giocatore al momento della registrazione (KYC), impedire l'accesso ai minori, consultare il Registro Unico degli Auto-esclusi (RUA) e rispettare i propri obblighi antiriciclaggio (AML). La vera sfida non è controllare, ma controllare in modo affidabile senza appesantire la registrazione, perché ogni attrito inutile fa scappare un giocatore legittimo. In futuro, il portafoglio d'identità europeo (eIDAS 2.0) consentirà di provare la maggiore età senza esporre tutta l'identità. Nel frattempo, la chiave è un onboarding che combina verifica dell'identità, controllo dell'età e rilevamento della frode documentale in pochi secondi.

Gioco d'azzardo online: chi regola e quali obblighi?

In Italia, il settore del gioco d'azzardo online è regolato dall'ADM (Agenzia delle Dogane e dei Monopoli). È l'autorità che rilascia le concessioni per il gioco a distanza: senza una concessione ADM, un operatore non può offrire legalmente scommesse sportive, poker, casinò online o altri giochi ai giocatori in Italia. Il quadro concessorio impone un insieme di regole vincolanti che l'operatore deve rispettare per ottenere e mantenere la propria concessione.

Tra gli obblighi più strutturanti:

• Impedire l'accesso ai minori. Il gioco d'azzardo online è riservato alle persone di 18 anni e oltre. L'operatore deve assicurarsi che nessun minore possa aprire un conto di gioco né giocare.
• Verificare l'identità e l'età del giocatore alla registrazione. È il cuore del KYC (Know Your Customer): raccogliere e controllare i dati identificativi del giocatore al momento della creazione del conto.
• Contrastare il gioco eccessivo o patologico. L'operatore deve prevenire i comportamenti a rischio e proteggere i giocatori vulnerabili.
• Consultare il Registro Unico degli Auto-esclusi (RUA). Questo registro, gestito da ADM, raccoglie le persone che si sono auto-escluse dal gioco. L'operatore deve verificare che chi si registra non vi figuri.

Questi obblighi non sono semplici buone pratiche: condizionano il mantenimento della concessione ed espongono l'operatore a sanzioni in caso di inadempienza.

La verifica dell'età e dell'identità alla registrazione

La verifica alla registrazione persegue due obiettivi inscindibili: provare che il giocatore ha effettivamente 18 anni o più e assicurarsi che sia davvero la persona che dichiara di essere.

Cosa deve stabilire il controllo

Un onboarding conforme deve consentire di rispondere a tre domande:

1. L'identità è reale e coerente? Il nome, la data di nascita e i dati dichiarati corrispondono a un documento autentico?
2. Il giocatore ha l'età richiesta? La data di nascita verificata conferma la maggiore età?
3. Il giocatore è autorizzato a giocare? Non è iscritto al Registro Unico degli Auto-esclusi (RUA)?

Perché la semplice dichiarazione non basta

Chiedere all'utente di spuntare «certifico di avere più di 18 anni» non ha alcun valore probatorio. Una casella da spuntare non protegge né il minore né l'operatore. Per questo il controllo si basa sulla verifica di un documento d'identità e, spesso, su incroci di dati. È esattamente il ruolo di un dispositivo di verifica dell'identità e di punteggio di frode integrato nel percorso di registrazione, come descritto nella nostra pagina dedicata al punteggio di frode e alla verifica dell'identità.

Gli obblighi antiriciclaggio degli operatori

Oltre al controllo dell'età, gli operatori di gioco d'azzardo sono soggetti obbligati in materia di antiriciclaggio (AML, lotta al riciclaggio di capitali e al finanziamento del terrorismo). Il gioco è infatti un vettore di riciclaggio noto: consente di immettere fondi di origine dubbia, di farli circolare e di recuperarli sotto un'apparenza legittima (le vincite).

A questo titolo, gli operatori devono in particolare:

• Conoscere il proprio cliente (KYC). L'identificazione e la verifica dell'identità del giocatore sono il punto di partenza di tutta la catena di conformità.
• Esercitare una vigilanza adeguata al rischio. Il livello di controllo deve essere proporzionato al profilo del giocatore e alle sue operazioni, con una vigilanza rafforzata per le situazioni a rischio.
• Segnalare le operazioni sospette. In presenza di operazioni o comportamenti sospetti, l'operatore deve trasmettere una segnalazione di operazione sospetta alla UIF (Unità di Informazione Finanziaria per l'Italia), istituita presso la Banca d'Italia.

In altre parole, il KYC non si limita alla registrazione: alimenta un obbligo continuo di conoscenza e sorveglianza del giocatore per tutta la durata della relazione. Per una panoramica completa delle fasi del KYC, consulta la nostra guida completa al KYC.

La sfida: affidabilità senza attriti

Ecco la tensione tipica del settore del gioco online. Da un lato, l'operatore deve controllare rigorosamente l'età e l'identità. Dall'altro, ogni passaggio aggiuntivo alla registrazione fa crollare il tasso di conversione: un giocatore che deve fotografare il proprio documento, farsi un selfie e attendere una convalida manuale è un giocatore che abbandona.

Due insidie opposte minacciano gli operatori:

• Troppi attriti: percorso lungo, verifiche ridondanti, tempi di convalida. Risultato: abbandono della registrazione e perdita di giocatori legittimi.
• Controllo insufficiente: verifica superficiale, puramente dichiarativa. Risultato: rischio di minori, di frode, di furto d'identità e di inadempienza normativa.

A questo si aggiunge una minaccia che si aggrava: la frode documentale a distanza. Documenti falsi, carte d'identità falsificate, fotomontaggi e ormai deepfake consentono a un truffatore di aggirare un'auto-esclusione o di usurpare l'identità di un terzo. La verifica a distanza deve quindi essere in grado di rilevare un documento manipolato o un'immagine generata, e non solo di leggere le informazioni che mostra.

La risposta giusta non è scegliere tra affidabilità e fluidità, ma combinare le due: un controllo automatizzato, robusto e quasi istantaneo, che aggiunge solo un minimo di passaggi visibili per il giocatore.

Cosa cambierà il wallet europeo per il controllo dell'età

Il regolamento eIDAS 2.0 e il futuro portafoglio d'identità digitale europeo (EUDI Wallet) trasformeranno la logica del controllo dell'età. Il loro apporto chiave per il gioco d'azzardo: la divulgazione selettiva.

In concreto, un giocatore potrà provare di essere maggiorenne senza esporre l'insieme della propria identità. Anziché trasmettere una copia completa del proprio documento (nome, cognome, indirizzo, numero del documento, foto), potrà presentare un'attestazione verificabile che risponde a una sola domanda: «questa persona ha più di 18 anni?». La risposta è sì o no, senza divulgare la data di nascita esatta né gli altri attributi.

Per gli operatori, questo promette un controllo dell'età al tempo stesso più affidabile (l'attestazione è ancorata a un'identità verificata dallo Stato), più fluido (meno dati da raccogliere e trattare) e più rispettoso della privacy (minimizzazione dei dati conforme al GDPR). Approfondiamo questi meccanismi nel nostro articolo sulla verifica dell'età e il wallet europeo.

In attesa del dispiegamento completo del wallet, gli operatori devono affidarsi a dispositivi di verifica compatibili con questa evoluzione, capaci di integrare domani la prova d'età proveniente dal portafoglio europeo.

Come mettere in sicurezza l'onboarding del giocatore

Un percorso di registrazione conforme e performante si basa su alcuni principi concreti:

• Verificare un documento d'identità autentico. Controllare la validità e l'integrità del documento, oltre le informazioni mostrate, per stabilire un'identità reale.
• Rilevare la frode documentale. Individuare falsificazioni, montaggi e documenti sintetici, compresi quelli generati o ritoccati con l'IA.
• Confermare la maggiore età. Estrarre e verificare la data di nascita per garantire che il giocatore abbia 18 anni o più.
• Incrociare con i registri. Verificare in particolare che il giocatore non figuri nel Registro Unico degli Auto-esclusi (RUA).
• Automatizzare la decisione. Emettere un verdetto in pochi secondi, documentato e verificabile, per conciliare conformità e conversione.
• Tracciare ogni controllo. Conservare una pista di audit utilizzabile in caso di controllo di ADM o di obbligo antiriciclaggio.

L'obiettivo è un onboarding in cui il controllo è forte ma quasi invisibile per il giocatore legittimo, e bloccante per il truffatore o il minore.

In conclusione

Per un operatore di gioco d'azzardo online, la verifica dell'età e il KYC non sono un'opzione: sono obblighi posti dal quadro concessorio dell'ADM e dalla normativa antiriciclaggio, da cui dipende la concessione. La vera posta in gioco operativa è rendere questo controllo affidabile di fronte alla frode documentale e ai deepfake, mantenendo al contempo una registrazione fluida che non faccia scappare i giocatori. Il portafoglio europeo e la divulgazione selettiva delineano un futuro in cui provare la propria maggiore età sarà al tempo stesso più sicuro e più discreto. Fino ad allora, l'equazione vincente è un onboarding che verifica l'identità, controlla l'età e rileva la frode in 2-5 secondi, senza attriti inutili.

FAQ

La verifica dell'età è obbligatoria per il gioco online in Italia?

Sì. Il gioco d'azzardo online è riservato ai maggiori di 18 anni e ogni operatore concessionario ADM deve verificare l'età e l'identità del giocatore alla registrazione. La semplice dichiarazione dell'utente non ha valore probatorio: serve la verifica di un documento d'identità autentico.

Cos'è il RUA (Registro Unico degli Auto-esclusi)?

Il RUA è il registro gestito da ADM che raccoglie le persone che hanno chiesto di essere escluse dal gioco. Prima di consentire l'accesso, l'operatore deve verificare che chi si registra non risulti iscritto al RUA.

Chi regola il gioco online in Italia?

L'autorità competente è l'ADM (Agenzia delle Dogane e dei Monopoli), che rilascia le concessioni per il gioco a distanza e vigila sul rispetto degli obblighi da parte degli operatori concessionari.

Come verificare l'età senza aggiungere attriti?

Con un onboarding automatizzato che combina verifica dell'identità, controllo della data di nascita e rilevamento della frode documentale in pochi secondi. In futuro, la divulgazione selettiva dell'EUDI Wallet permetterà di provare la maggiore età senza esporre l'intera identità.

Fonti: Agenzia delle Dogane e dei Monopoli (ADM); Registro Unico degli Auto-esclusi (RUA); Unità di Informazione Finanziaria per l'Italia (UIF, Banca d'Italia).

‍