EUDI Wallets: dependencia de Google y Apple en 2026

Las billeteras de identidad digital de la UE dependen de Google y Apple

La implementación actual de las billeteras de identidad digital europeas (EUDI Wallets) requiere verificación mediante Play Integrity API de Google y App Attest de Apple, creando una dependencia tecnológica que contradice los principios de soberanía digital que la propia Unión Europea promueve. Para founders que construyen soluciones de identidad en Europa, esto representa un riesgo regulatorio y de mercado que no pueden ignorar.

¿Por qué las EUDI Wallets dependen de APIs estadounidenses?

El marco técnico de eIDAS 2.0 establece que los proveedores de billeteras deben verificar la integridad de la instancia usando "el flujo más seguro permitido por la API del proveedor del sistema operativo". Las reglas técnicas italianas y la orientación del consorcio EUDI Wallet citan explícitamente Play Integrity API para Android y App Attest para iOS como ejemplos principales, creando una dependencia de facto.

El problema es estructural: Play Integrity API requiere Platform Key Attestation firmada por Google desde mayo de 2025. Esto significa que dispositivos con ROMs personalizadas, sistemas como GrapheneOS, builds empresariales sin Google Mobile Services (GMS) y dispositivos Huawei quedan excluidos automáticamente. Para usar la billetera, el usuario necesita una cuenta de Google, Play Store instalado y un sistema operativo certificado por Google.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

¿Esto viola el Digital Markets Act (DMA)?

Múltiples desarrolladores y defensores de soberanía tecnológica argumentan que esta implementación viola principios del DMA. La regulación europea contra gatekeepers prohíbe comportamientos que refuercen monopolios tecnológicos, pero el consorcio EUDI está enforcing procedimientos que la propia Comisión Europea está sancionando a Google por infringir.

Según discusiones técnicas en GitHub del proyecto EUDI, usar Play Integrity con los niveles de integridad "device" o "strong" significa prohibir cualquier dispositivo que no licencie Google Mobile Services donde el usuario esté logueado en una cuenta de Google y la app haya sido instalada desde Play Store. Esto es una violación clara del DMA y no es necesario para realizar verificaciones de integridad del dispositivo.

¿Qué alternativas de soberanía tecnológica existen?

La buena noticia es que alternativas abiertas ya están disponibles. Android cuenta con una Hardware Attestation API que soporta verificar otros sistemas operativos y puede usar una raíz de confianza independiente de Google. Esta es la solución que desarrolladores de GrapheneOS recomiendan en lugar de Play Integrity.

AppiCrypt de Talsec se posiciona como una puerta de attestación primaria para apps Relying Party, con Play Integrity y App Attest como señales secundarias opcionales. Esta arquitectura evita caídas de servicio frecuentes y limitaciones de tasa que afectan a las APIs de Google y Apple.

Proyectos como Yivi, la app de identidad holandesa, ya soportan verificación de edad sin dependencia estadounidense y están disponibles en tiendas de apps open source como F-Droid. Scytales, la empresa que desarrolla la app white-label de verificación de edad para la UE, confirmó en julio de 2025 que Play Integrity no será obligatorio y que se soportarán múltiples métodos de attestación, incluyendo key attestation.

¿Qué significa esto para tu startup?

Si estás construyendo soluciones de identidad digital, verificación de edad o cualquier servicio que interactúe con EUDI Wallets en Europa, tienes decisiones críticas que tomar ahora.

Riesgos de depender exclusivamente de Play Integrity/App Attest:

Exclusión de mercado: Usuarios con dispositivos Huawei, GrapheneOS, /e/OS y builds empresariales no podrán usar tu servicio, reduciendo tu alcance potencial en un mercado europeo que valora la privacidad.
Inestabilidad operativa: Play Integrity API sufre caídas de servicio frecuentes y limitaciones de tasa que pueden romper tus flujos de verificación en momentos críticos.
Riesgo regulatorio: Si la Comisión Europea enforce el DMA más estrictamente, podrías enfrentar requerimientos de re-arquitectura costosos o sanciones por no-compliance.
Dependencia estratégica: Tu infraestructura crítica depende de decisiones de negocio de dos empresas estadounidenses que no tienen incentivos alineados con la soberanía europea.

Acciones concretas para founders:

Implementa attestación multi-capas: Usa AppiCrypt o Hardware Attestation API como puerta primaria, y Play Integrity/App Attest solo como señal secundaria opcional. Esto te da resiliencia operativa y compliance con DMA.
Soporta dispositivos no-GMS desde el diseño: Si tu mercado objetivo incluye Europa, diseña tu arquitectura para funcionar en AOSP, dispositivos Huawei y ROMs personalizadas. El 3-5% del mercado europeo usa alternativas a GMS, y ese segmento crecerá con la conciencia de soberanía digital.
Monitorea evolución regulatoria: El estado de eIDAS 2.0 y enforcement del DMA cambia rápidamente. Suscríbete a actualizaciones del consorcio EUDI y sigue discusiones técnicas en GitHub para anticipar cambios.
Considera Yivi como referencia: La app holandesa demuestra que es posible construir identidad digital soberana. Estudia su arquitectura open source y considera integraciones si tu caso de uso lo permite.

El panorama competitivo para startups de identidad en Europa

El mercado de identidad digital en Europa está en transformación. eIDAS 2.0 entra en vigor completamente en 2027, creando oportunidades para startups que resuelvan los gaps de soberanía tecnológica que las implementaciones actuales dejan abiertos.

Startups que construyan soluciones DMA-compliant desde el inicio tendrán ventaja competitiva sobre incumbentes que dependan de Big Tech. La capacidad de servir a usuarios en dispositivos no-GMS, evitar caídas por API downtimes, y demostrar compliance regulatorio serán diferenciadores clave en licitaciones públicas y partnerships con instituciones europeas.

El costo de implementar alternativas como Hardware Attestation API o AppiCrypt es marginal comparado con el riesgo de construir sobre infraestructura que puede volverse non-compliant overnight. La soberanía tecnológica no es solo un principio político: es una ventaja competitiva medible en el mercado europeo.

Conclusión

Las billeteras de identidad digital europeas representan una paradoja: buscan soberanía digital pero dependen de infraestructura estadounidense. Para founders, esto crea tanto riesgos como oportunidades. Los riesgos son claros: exclusión de mercado, inestabilidad operativa y exposición regulatoria. Las oportunidades son igualmente claras: startups que resuelvan estos gaps con arquitecturas abiertas y DMA-compliant capturarán valor en un mercado europeo que prioriza cada vez más la soberanía tecnológica.

La decisión estratégica es simple: ¿construyes para el Europa de hoy o para el Europa de 2027? Las arquitecturas abiertas no son solo éticamente correctas: son comercialmente inteligentes.