Qué es una QEAA y por qué tu organización debería empezar a emitirlas ya 

Hay un concepto en el ecosistema de la EUDI Wallet que muchas organizaciones todavía no tienen en el radar y que va a definir quién tiene ventaja competitiva en el mercado de confianza digital de los próximos años: las QEAA, Qualified Electronic Attestations of Attributes, o Declaraciones Electrónicas Cualificadas de Atributos en español. 

Una QEAA es, en términos simples, una credencial verificable con pleno valor legal en toda la Unión Europea que acredita un atributo concreto de una persona, que es médico colegiado, que tiene poderes de representación para firmar contratos por encima de determinado importe, que ha completado una certificación profesional, que es mayor de edad, que su empresa está inscrita en el Registro Mercantil con tal objeto social. Y tiene una característica que la distingue de cualquier otra credencial digital: solo puede ser emitida por un prestador cualificado de servicios de confianza (QTSP). 

Eso convierte a los QTSP (y a las organizaciones que tienen a un QTSP como aliado para emitir sus credenciales) en los actores centrales del ecosistema de confianza digital que la EUDI Wallet está construyendo. Lo que las notarías fueron para los documentos en papel, los QTSP van a ser para las credenciales verificables digitales. Y la ventana para posicionarse en ese rol se está abriendo ahora. 

Glosario 

Atributo

Cualidad, propiedad o condición de una persona que puede ser acreditada mediante una QEAA. Ejemplos: colegiación profesional, titulación académica, poder de representación, mayoría de edad, condición de empleado. 

Fuente auténtica

Organismo o sistema que tiene la información oficial sobre el atributo que se va a acreditar. Para la colegiación, la fuente auténtica es el colegio profesional. Para el título universitario, la universidad. Para los poderes de representación, el Registro Mercantil o el poder notarial. El QTSP verifica el atributo contra la fuente auténtica antes de emitir la QEAA. 

Política de revocación

Mecanismo por el que el emisor de una QEAA puede invalidarla antes de su fecha de caducidad. Relevante cuando un profesional pierde la colegiación, un empleado abandona la empresa o una certificación deja de ser válida. 

QTSP emisor

QTSP que actúa como emisor de QEAA, firmando las credenciales con su propio sello cualificado y garantizando que los atributos que acredita son auténticos. EADTrust actúa como QTSP emisor para las organizaciones que quieren emitir sus credenciales en el ecosistema de la Cartera IDUE. 

Qué es exactamente una QEAA: la definición técnica y jurídica 

El artículo 45 nonies del Reglamento (UE) 2024/1183 define el servicio cualificado de declaraciones electrónicas de atributos y establece sus requisitos. Una QEAA es una declaración electrónica de atributos, es decir, un conjunto de datos que afirman que una persona o entidad tiene determinada cualidad, propiedad o condición, que cumple los requisitos técnicos y organizativos más exigentes del Reglamento eIDAS 2. 

Los requisitos técnicos de una QEAA son concretos: debe basarse en información auténtica procedente directamente de fuentes auténticas o verificadas mediante organismos con acceso autorizado, debe identificar con precisión al emisor, estar vinculada de forma inequívoca a la persona a la que se refiere, incluir los atributos que atestigua con precisión, incluir metadatos sobre su validez y ser reconocible como QEAA en los sistemas de la wallet. 

La consecuencia jurídica es análoga a la de la firma cualificada: una QEAA emitida por un QTSP en cualquier Estado miembro de la Unión Europea es reconocida como QEAA en todos los demás Estados miembros. No hay intermediación consular, no hay apostilla, no hay verificación cruzada. El diploma universitario emitido como QEAA en España tiene pleno valor legal en Alemania, Francia o Polonia sin ningún trámite adicional. 

La QEAA es el diploma, la colegiación o el poder de representación digital que cualquier organización en Europa puede verificar de forma instantánea y sin llamar a la entidad emisora. Es la revolución silenciosa de la identidad digital profesional. 

La diferencia con otras credenciales digitales que ya existen 

El mercado ya tiene credenciales digitales: badges de LinkedIn, certificados PDF con firma digital, acreditaciones en formato QR. ¿Qué hace diferente a una QEAA? 

El nivel de garantía jurídica

Un badge de LinkedIn puede ser falso (no hay verificación de la fuente. Un certificado PDF puede ser modificado) sin un mecanismo de verificación robusta, no hay certeza de que es auténtico. Una QEAA emitida por un QTSP tiene presunción legal de autenticidad bajo el Reglamento eIDAS 2. El receptor puede verificar criptográficamente que la credencial fue emitida por ese QTSP concreto, en esa fecha, para esa persona, y que no ha sido modificada. 

La interoperabilidad técnica

Las credenciales digitales existentes son silos: funcionan en el ecosistema del proveedor que las emite, pero no son presentables de forma interoperable en cualquier sistema de verificación. Una QEAA sigue el estándar SD-JWT VC e ISO/IEC 18013-5, los formatos definidos en los actos de ejecución europeos. Cualquier verificador que implemente esos estándares puede verificarla, independientemente de quién la emitió o dónde está la sede electrónica del verificador. 

La privacidad por diseño

Las credenciales tradicionales revelan todo el documento: para verificar que alguien es médico, el hospital tiene que ver el número de colegiado, la fecha de emisión y todos los datos del diploma. Una QEAA con divulgación selectiva permite que el médico demuestre que está colegiado sin revelar ningún dato adicional que no sea estrictamente necesario para ese propósito concreto. 

El control del titular

La QEAA vive en la wallet del ciudadano, bajo su control. La organización que la emitió no puede revocar el acceso a ella sin el conocimiento del titular, ni puede rastrear dónde y cuándo la usa. El poder de presentación está en el ciudadano, no en el emisor. 

Quién puede emitir QEAA: solo los QTSP 

Esta es la restricción central que define el valor estratégico de las QEAA: solo los prestadores cualificados de servicios de confianza incluidos en la EU Trusted List como prestadores de QEAA pueden emitirlas con pleno valor legal. 

Eso tiene varias implicaciones directas. Un colegio profesional no puede emitir por sí mismo una QEAA de colegiación con pleno valor legal: necesita que un QTSP la emita en su nombre o que el propio colegio obtenga la cualificación de QTSP, lo que es un proceso largo y costoso. Una universidad no puede emitir directamente un diploma como QEAA: necesita un QTSP detrás. Una empresa no puede emitir poderes de representación verificables como QEAA de forma autónoma: necesita un QTSP. 

Y aquí está la oportunidad: las organizaciones que establezcan una relación con un QTSP para emitir sus QEAA ahora (mientras el ecosistema se está construyendo) van a tener ventaja sobre las que lleguen tarde. Los primeros emisores de QEAA en cada sector van a definir los estándares de cómo se emiten esas credenciales en ese sector. El que llegue después tendrá que adaptarse a lo que los primeros hayan establecido. 

EADTrust es QTSP con capacidad de emitir QEAA desde que el marco técnico de eIDAS 2 lo permite. Y ya estamos trabajando con organizaciones que quieren ser las primeras en emitir sus credenciales en formato QEAA en el ecosistema de la Cartera IDUE. 

Los casos de uso más relevantes por sector 

Colegios profesionales: la colegiación como QEAA 

El caso de uso más obvio y con mayor impacto inmediato. Un médico, un abogado, un arquitecto o cualquier profesional colegiado tiene que acreditar su colegiación en decenas de contextos a lo largo de su carrera: al incorporarse a una empresa, al contratar con un cliente, al acceder a determinados servicios, al actuar en procedimientos que requieren habilitación profesional. 

Hoy ese proceso implica solicitar un certificado de colegiación, esperar a que el colegio lo emita, adjuntarlo a la documentación correspondiente, y que el receptor lo verifique llamando al colegio o accediendo a un registro en línea que puede o no ser fiable. 

Con la QEAA de colegiación emitida por el colegio a través de un QTSP, el proceso se transforma: el profesional tiene la QEAA de colegiación en su wallet, la presenta en segundos a quien la necesita, y el receptor la verifica criptográficamente en tiempo real sin contactar con el colegio. La colegiación está al día de forma permanente: cuando el colegio revoca la colegiación, la QEAA deja de ser válida automáticamente. 

Universidades: el título académico como QEAA 

El título universitario digital ya existe en varios países europeos en formatos propietarios. Con la QEAA, el título se convierte en una credencial interoperable que cualquier empleador o institución en los 27 Estados miembros puede verificar en segundos. 

El impacto para los graduados es claro: pueden demostrar su titulación en cualquier proceso de selección, en cualquier país de la Unión, sin necesidad de apostilla ni de traducción oficial, con la misma validez que si presentaran el título físico. Para las universidades, emitir sus títulos como QEAA es una diferenciación competitiva y un servicio de valor para sus graduados. 

Empresas: poderes de representación como QEAA 

Cuando un empleado negocia un contrato, firma un acuerdo o actúa en nombre de su empresa ante terceros, tiene que demostrar que tiene poder de representación para ello. Hoy ese proceso implica presentar una copia del poder notarial, que el receptor verifica o no según su nivel de diligencia. 

Con la QEAA de poder de representación, la empresa puede emitir credenciales verificables para sus empleados que acreditan exactamente qué pueden firmar y por qué importe. El empleado la presenta desde su wallet. El receptor la verifica en segundos. No hay ambigüedad sobre el alcance del poder, no hay riesgo de que se presente un poder caducado, y la empresa puede revocar el poder de forma inmediata si el empleado deja la empresa. 

Entidades de formación: certificaciones profesionales 

Los certificados de formación y las acreditaciones profesionales, cursos de actualización, certificaciones de seguridad, habilitaciones específicas, tienen un valor limitado en el mercado laboral actual porque son difíciles de verificar. Muchos empleadores no verifican los certificados de formación porque el proceso es costoso y lento. 

Con la QEAA de certificación, la entidad de formación emite la credencial a través de un QTSP, el profesional la guarda en su wallet y cualquier empleador puede verificarla de forma instantánea. El mercado de credenciales de formación se vuelve transparente y fiable. 

Registros oficiales: inscripciones mercantiles y administrativas 

La condición de empresa legalmente constituida, con determinado objeto social, en determinado Registro Mercantil provincial, puede convertirse en una QEAA que la empresa presenta en procesos de contratación pública, en procesos de due diligence o en el onboarding con nuevos clientes bancarios o aseguradores. 

Esa QEAA emitida por el Registro Mercantil o por un QTSP autorizado con acceso a los datos del Registro elimina la necesidad de solicitar notas simples, certificados registrales o apostillas para acreditar la situación jurídica de una empresa. 

El proceso para que tu organización empiece a emitir QEAA 

Emitir QEAA requiere dos decisiones previas y un proceso técnico. Las decisiones previas son: 

Primera decisión: qué atributos quiero emitir

No todas las credenciales tienen el mismo valor para los destinatarios ni la misma complejidad de emisión. La organización tiene que identificar qué atributos son más valiosos para sus miembros, clientes o empleados y qué datos de origen verificable tiene para respaldar esas credenciales. 

Segunda decisión: qué QTSP va a emitir las QEAA

La organización no puede emitir QEAA directamente: necesita un QTSP cualificado que actúe como emisor. Puede ser una relación donde el QTSP emite en nombre de la organización (que actúa como fuente auténtica de los datos) o una relación donde el QTSP y la organización configuran un sistema de emisión automatizado. 

Una vez tomadas esas decisiones, el proceso técnico involucra: 

• Definición del esquema de la credencial: qué atributos incluye la QEAA, en qué formato, con qué metadatos de validez. 

• Configuración del emisor en el sistema de la wallet: el emisor debe estar registrado en el ecosistema con sus propios credenciales técnicas (certificados del QTSP), para que la wallet del ciudadano pueda verificar que la QEAA proviene de una fuente de confianza. 

• Desarrollo del flujo de emisión: cómo solicita el ciudadano la credencial, cómo la organización verifica que el ciudadano tiene derecho a ella, y cómo el QTSP la emite y la entrega a la wallet. 

• Política de revocación: qué ocurre cuando la credencial debe dejar de ser válida, un profesional pierde la colegiación, un empleado abandona la empresa, una certificación caduca. 

Por qué empezar ahora y no esperar a que el mercado esté maduro 

Esta es la objeción más frecuente: «esperamos a que más usuarios tengan la wallet antes de invertir en emitir credenciales para ella». La lógica es comprensible pero encierra una trampa. 

El ecosistema de una wallet se construye en paralelo: los usuarios adoptan la wallet porque hay credenciales útiles que guardar en ella, y las organizaciones emiten credenciales porque los usuarios las solicitan. Si todos esperan a que el otro lado del mercado esté maduro, el ecosistema no arranca. Los que arrancan primero crean la tracción. 

Además, las organizaciones que empiezan a emitir QEAA ahora tienen la oportunidad de influir en cómo se define el estándar sectorial de cada tipo de credencial. El primer colegio profesional que emita colegiación como QEAA en España va a definir cómo se hace eso en España. El segundo y el tercero van a adaptar su credencial al estándar que el primero estableció. 

Y hay una consideración regulatoria: las organizaciones que tienen sus credenciales en formato QEAA cuando el plazo de diciembre de 2027 llegue (obligando al sector privado regulado a aceptar la wallet) van a tener una ventaja real sobre las que tengan que emitirlas con urgencia.

Preguntas frecuentes

La pregunta no es si emitir QEAA. Es si serás el primero en tu sector. 

Las QEAA van a transformar cómo se acreditan identidades, habilitaciones y autorizaciones en el mercado europeo. Esa transformación ya ha empezado, en los pilotos, en los grupos de trabajo técnicos, en las primeras implementaciones. Lo que está por venir es la escala. 

Las organizaciones que lleguen primeras a ese mercado van a definir los estándares de su sector. Las que lleguen tarde van a adaptarse a lo que otros hayan construido. 

EADTrust es el QTSP que puede ayudarte a ser de los primeros.

---

---

También te puede interesar…