POTENTIAL-pilot eindresultaten: 6 use cases, 5 lessen voor elke relying party

Wat POTENTIAL werkelijk was

POTENTIAL was de grootste van de vier EU Large Scale Pilots voor de European Digital Identity Wallet. Het project liep van april 2023 tot september 2025, eindigde op schema en presenteerde in november 2025 zijn geconsolideerde eindresultaten. De cijfers zijn ongebruikelijk overzichtelijk voor een EU-programma: 140 organisaties, 19 EU-lidstaten plus Oekraïne, zes use cases en één enkele coördinator — het Franse nationale agentschap voor digitale identiteit. Projectcoördinator Florent Tournois formuleerde de zin die sindsdien verder heeft gereisd dan de rest van het rapport: gemeenschappelijke standaarden moeten "rigoureus worden toegepast" (Biometric Update, 28 november 2025). Elke relying party die een lancering in 2027 plant, zou die zin als scope moeten behandelen.

Waarom POTENTIAL meer gewicht heeft dan de andere pilots

De vier grootschalige pilots — POTENTIAL, EWC, NOBID en DC4EU — waren nooit gelijkwaardig. POTENTIAL was de grootste naar aantal organisaties, de breedste naar dekking van use cases en de meest heterogene naar deelname van lidstaten. Het consortium omvatte onder meer het Duitse Bundesdruckerei, het Franse Idemia, Amadeus, Deutsche Telekom, en een lange rij nationale identity providers, banken, telecomaanbieders, gezondheidsautoriteiten en overheidsinstanties (POTENTIAL-consortium homepage). Waar EWC zich concentreerde op reizen en betalingen en NOBID op Noordse betaalflows, testte POTENTIAL bewust het moeilijkere probleem: zou dezelfde wallet, uitgegeven in één lidstaat, ook probleemloos werken bij een relying party in een andere lidstaat, over zes onderling losstaande bedrijfsdomeinen, met implementaties die onafhankelijk van elkaar door concurrerende leveranciers waren gebouwd.

Dat is de eigenlijke betekenis van de pilot. Het lanceringsprobleem — één nationale wallet laten praten met één nationale relying party — is relatief eenvoudig, en veel lidstaten hebben dat al opgelost. Het harde probleem is grensoverschrijdende, leveranciersoverschrijdende, use-case-overschrijdende interoperabiliteit, en POTENTIAL was de enige pilot die specifiek was opgezet om bloot te leggen waar dat breekt. Er kwam meer breuk aan het licht dan de kopcommunicatie liet doorschemeren, en dat is precies het deel dat relying parties zouden moeten lezen.

De 6 geteste use cases

eGov — online overheidsdiensten. Burgers gebruikten hun wallet om zich grensoverschrijdend te authenticeren bij nationale e-overheidsportalen: een Belgische wallet die inlogde bij een Spaanse gemeentelijke dienst, een Italiaanse wallet bij een Duits federaal portaal. De flow verliep vlekkeloos binnen goed op elkaar afgestemde bilaterale paren en produceerde consistente storingen aan de randen, met name waar nationale betrouwbaarheidsniveaus niet één-op-één op het eIDAS-LoA-model konden worden afgebeeld. eGov is de use case die de meeste relying parties al begrijpen, en POTENTIAL bevestigde dat dit het gemakkelijke uiteinde van het spectrum is.

Opening van een bankrekening. Remote KYC tegen een wallet, in plaats van video-ident of een bezoek aan het filiaal. De technische flow is eenvoudig; de regelgevende flow is dat niet. POTENTIAL legde de nog altijd onopgeloste spanning bloot tussen AMLD-vereisten en selectieve openbaarmaking: banken willen alles, de wallet is ontworpen om het minimum te delen, en de juridische acceptatie van zuiver attribuutgebaseerde KYC verschilt per nationale toezichthouder. Verschillende pilotbanken meldden dat parallelle documentupload-trajecten nodig bleven om aan compliance te voldoen, zelfs wanneer de wallet-flow technisch werd voltooid.

SIM- en eSIM-registratie — multi-wallet bij Deutsche Telekom. De operationeel meest interessante tak. Deutsche Telekom testte SIM-activering parallel tegen meerdere wallet-implementaties uit verschillende lidstaten — precies de productierealiteit waarmee een telecomaanbieder in 2027 te maken krijgt. De bevindingen waren ontnuchterend: zelfs binnen POTENTIAL, waar elke wallet volgens dezelfde architecturale referentie was gebouwd, week het gedrag op protocolniveau genoeg af om per wallet conditionele logica in de code van de relying party te vereisen.

Mobile driving licence (mDL). De use case met de meest volwassen internationale standaard (ISO/IEC 18013-5) en, voorspelbaar genoeg, het schoonste grensoverschrijdende gedrag. mDL-implementaties interopereerden relatief goed, vooral bij offline ISO/IEC 18013-5-flows. De moeilijkere gevallen waren online presentatie via OpenID4VP, waar het mdoc-over-OpenID4VP-profiel tijdens de pilot nog aan het consolideren was.

Gekwalificeerde elektronische handtekening (QES). Wallet-gemedieerde QES tegen een externe QSCD, afgestemd op ETSI TS 119 475. De cryptografische flow werkte. De juridisch bindende flow legde nationale variatie bloot in hoe QTSP's de door de wallet bevestigde authenticatie van de ondertekenaar accepteren. QES is voor de meeste relying parties eerder een probleem voor 2027 dan voor 2026.

E-recept. Grensoverschrijdende medische recepten bij apotheken in een andere lidstaat. De gezondheidsattributenset is gevoeliger dan bij elke andere use case in de pilot en botst met nationale regelgeving voor gezondheidsgegevens die zich verzet tegen harmonisatie. Technisch werkend, juridisch beperkt, en afhankelijk van het parallelle werk binnen de European Health Data Space, niet alleen van de wallet-stack.

Over de zes heen is het patroon consistent: de technische laag rijpte sneller dan de juridische en operationele lagen eromheen. Relying parties die een lancering in 2027 aan het scopen zijn, moeten de regelgevende mapping plannen als een werkstroom parallel aan de integratie, niet als een afvinkmoment achteraf.

Les 1 — Standaarden zijn niet optioneel

Tournois zei niet dat standaarden belangrijk zijn. Hij zei dat ze "rigoureus" moeten worden toegepast. Dat onderscheid is van belang. Binnen POTENTIAL kwamen de dominante interoperabiliteitsfouten niet voort uit ontbrekende standaarden — het OpenID4VP-profiel, ISO/IEC 18013-5, ETSI TS 119 475 en het bijbehorende EU Architecture and Reference Framework bestonden al vóór de start van de pilot. De fouten kwamen voort uit implementaties die de standaarden losjes lazen.

Het soort concrete divergentie waarmee een relying party rekening moet houden bij het integreren van meerdere wallets, is welbekend in het leveranciersoverschrijdende wallet-engineering: OpenID4VP-requestprofielen waarbij de ene wallet client_id_scheme=x509_san_dns verwacht en de andere redirect_uri; mdoc-encoderingsgrensgevallen rond CBOR-canonicalisatie die in de ene bibliotheek werken en in een andere falen; presentation-definition-structuren die de ene verifier als JSON Schema accepteert terwijl een andere ze afwijst als niet-conform Presentation Exchange 2.0; verschillen in de afhandeling van salts voor selectieve openbaarmaking tussen SD-JWT-VC-implementaties. De publieke POTENTIAL-samenvatting somt deze niet regel voor regel op, maar het is precies deze klasse van fouten waarop Tournois' "rigoureus" doelde, en het is het soort breuk dat relying-party-teams die tegen meer dan één wallet testen, in 2026 tegenkomen.

Voor een relying party vertaalt "rigoureus" zich direct naar engineeringpraktijk. Het betekent vastpinnen op het specifieke OpenID4VP-profielconcept dat uw wallets aansturen, niet op "OpenID4VP" in algemene zin. Het betekent testen tegen meerdere wallet-implementaties vóór lancering — niet tegen één. Het betekent de conformance suite van de OpenID Foundation behandelen als basislijn in plaats van als mijlpaal. En het betekent het EU Reference Framework lezen als bindende scope, niet als inspiratie. Relying parties die de conformance-stap bij lancering overslaan, erven in productie dezelfde divergenties die POTENTIAL in testomgevingen blootlegde.

Les 2 — Grensoverschrijdende interoperabiliteit is het onopgeloste probleem

Dit is de les die lanceringen in 2027 het meest rechtstreeks bedreigt. Zelfs binnen POTENTIAL — één gecoördineerd programma met gedeelde architectuurdocumenten, gedeelde testinfrastructuur en gedeelde financiering — interopereerden meerdere wallets niet zomaar probleemloos met meerdere relying parties. Paren werkten. De volledige N-bij-M-matrix niet.

De implicatie voor grensoverschrijdende handelaren en dienstverleners in 2027 is ongemakkelijk. De eIDAS 2-verordening geeft EU-burgers het recht om hun wallet te gebruiken bij een relying party in elke lidstaat. De technische realiteit, op basis van het bewijs van POTENTIAL, is dat universele acceptatie ongelijkmatig zal zijn in de eerste 12 tot 18 maanden na lancering. Sommige wallet-relying-party-paren zullen vanaf januari 2027 solide zijn. Andere zullen conditionele afhandeling aan de kant van de relying party vereisen, leveranciersspecifieke eigenaardigheden, of tijdelijke fallback-trajecten.

Relying parties die van plan zijn grensoverschrijdend verkeer te bedienen, moeten er niet van uitgaan dat "ondersteuning voor EUDI Wallet" één enkele capaciteit is. Het is nauwkeuriger om te plannen voor "EUDI Wallet-ondersteuning per issuer-cluster", met een geteste set nationale wallets bij lancering en een expliciete roadmap om de dekking uit te breiden naarmate meer wallet-implementaties stabiliseren. Concreet betekent dat: intern en aan supportteams publiceren welke nationale wallets getest en werkend zijn, welke getest en verminderd functioneren, en welke nog niet zijn getest. De handelaren die deze fasering overslaan, blijven zitten met de interop-bugrapporten en de supporttickets die daarop volgen.

Les 3 — Attribuutscoping loont

Selectieve openbaarmaking is de wallet-functie die het contact met de realiteit het best heeft doorstaan. Over alle zes use cases heen meldden POTENTIAL-relying parties die alleen de voor de transactie minimaal benodigde attributen opvroegen, soepelere gebruikersflows, snellere toestemming en een lager afhaakpercentage. Relying parties die meer opvroegen — het volledige identiteitsbundel wanneer alleen leeftijd nodig was, of adres wanneer alleen het woonland telde — produceerden zichtbare gebruikersfrictie.

In een pilot uit die frictie zich als een lagere afrondingsgraad. In productie, na de lancering van de wallet in 2027, zal datzelfde overvragen iets duurders opleveren: regelgevende aandacht. Zowel het eIDAS 2-kader als het AVG-beginsel van minimale gegevensverwerking verplichten relying parties om de kleinste attributenset op te vragen die de use case vervult. Nationale gegevensbeschermingsautoriteiten zullen de wallet-flow vrijwel zeker vanuit dat perspectief controleren — en de relying parties die te veel opvragen, zullen de gemakkelijkste doelwitten zijn.

De praktische stap is om attribuutscoping vanaf dag één in het ontwerp van de relying party in te bouwen. Documenteer per flow welke attributen strikt noodzakelijk zijn; lever dat als het productieve presentation request; en weersta de engineeringverleiding om "alles te vragen voor het geval we het later nodig hebben." De data van POTENTIAL bevestigt dat flows met minimale attributen beter converteren. Het compliance-argument en het conversie-argument wijzen dezelfde kant op.

Les 4 — Uitsluitend-leeftijdsflows zijn het gemakkelijkste pad naar vroege ROI

Verscholen in de resultaten per use case van POTENTIAL zit een bevinding die het waard is om apart uit te lichten. Over alle zes use cases heen waren de attribuutcombinaties die het meest consistent werkten bij wallet-leveranciers en relying parties de eenvoudigste — en de meest consistente van allemaal was leeftijd. Leeftijd-boven-18, leeftijd-boven-21, leeftijdscategorie: deze flows overleefden de implementatiediversiteit betrouwbaarder dan volledige identiteit, betrouwbaarder dan naam-en-adres, betrouwbaarder dan QES.

Daar is een structurele reden voor. Leeftijdsattributen hebben het kleinste specificatieoppervlak, de kleinste scope voor selectieve openbaarmaking, en de langste standaardisatiegeschiedenis (ISO/IEC 18013-5 draagt mDL-leeftijdsattributen al jaren). Wallet-leveranciers implementeerden ze als eerste en testten ze het meest. Relying parties verdraadden ze met de minste edge cases.

Voor een relying party die een lancering in 2027 plant, wijst dit op een duidelijke sequentiestrategie. Integreer eerst uitsluitend-leeftijdsverificatie — alcohol, gokken, leeftijdsgebonden content, gereguleerde marktplaatsen — en breid dan uit naar volledige identiteitsflows naarmate het wallet-ecosysteem rijpt. De relying parties die in die volgorde te werk gaan, zien echte ROI binnen Q1 en Q2 2027. De relying parties die direct mikken op volledige identiteitsonboarding, besteden diezelfde maanden aan debuggen.

Dit is geen strategisch compromis. Uitsluitend-leeftijdsflows vormen op zichzelf al een substantiële, groeiende markt, en het lanceringsecosysteem is er daadwerkelijk beter op toegerust om ze te leveren. Het is bovendien, gemakkelijk genoeg, de manier met het laagste risico om productie-operationele ervaring op te doen voordat de scope wordt uitgebreid.

Les 5 — Fallback-ontwerp scheidt productierijp van pilotrijp

De duidelijkste organisatorische bevinding van POTENTIAL is ook degene die het gemakkelijkst wordt genegeerd. Over alle zes use cases heen hadden de relying parties die edge cases overleefden — verloren apparaten, verlopen credentials, grensoverschrijdende houders, gebruikers die halverwege gewoon afhaakten — nette non-wallet-fallbacks. De relying parties zonder die fallbacks vielen terug op handmatige processen wanneer de wallet-flow faalde.

"Handmatig proces" is in pilot-taal een beleefde term voor een wachtrij bij de klantenservice, een afspraak in de vestiging, of een supportticket. Geen daarvan schaalt naar productievolumes, en ze verschuiven allemaal stilzwijgend de kosten van een ontbrekend fallback-traject naar het operations-budget. De relying parties die fallback behandelden als een volwaardig productietraject — het ontwerpen, instrumenteren en support erop trainen — hielden hun flows bruikbaar door pilot-edge cases heen. Degenen die fallback er als bijgedachte aan vastplakten, liepen vast bij de edge cases en stopten.

De les voor 2027 is direct. Een uitsluitend-wallet-flow bij lancering is een zelf veroorzaakt betrouwbaarheidsprobleem. Elke wallet-integratie zou moeten worden uitgeleverd met minstens één expliciet non-wallet-traject: een bestaande nationale eID-flow waar die bestaat, een documentupload-route voor niet-ingezetenen en edge cases, een fysiek traject waar het businessmodel dat ondersteunt. De fallback is geen tijdelijke stellage die in 2028 wordt verwijderd. Het maakt deel uit van het productieontwerp, en volgens het bewijs van POTENTIAL is het wat de relying parties die soepel door Q1 2027 zullen komen, scheidt van degenen die dat niet zullen doen.

De kern van de zaak

POTENTIAL is het dichtst wat de EU heeft bij een productie-smoketest voor de EUDI Wallet. De pilot liep tweeënhalf jaar, betrok 140 organisaties uit 19 landen, oefende zes onderling losstaande use cases uit, en leverde zijn bevindingen op vóórdat de regelgevende deadlines bindend worden. Lees de bevindingen als een gereedheidschecklist, niet als academische literatuur. Rigoureuze standaarden, multi-wallet-interoptests, attributenminimalisatie, leeftijd-eerst-sequentiëring, fallback-trajecten — dit zijn de vijf concrete verplichtingen waartegen elke relying party vandaag zijn eigen backlog kan auditeren. Alles op die lijst dat u vóór Q3 2026 niet eerlijk kunt afvinken, is een lanceringsblokkade voor 2027. De pilot is voorbij. De deadlines niet.