Den svenska spelmarknaden omreglerades i januari 2019.
Från och med det datumet krävde lagen att alla licensierade speloperatörer identifierade varje spelare vid varje inloggning – inte bara vid registrering.
Kravet kom direkt ur penningtvättsdirektivet och Spelinspektionens tillämpningsregler, och det skapade ett omedelbart teknikproblem: hur genomför man ett fullständigt KYC-flöde utan att friktionen driver bort användarna? Svaret som branschen landade i är nu ett av de mest konkreta exemplen på hur stark autentisering faktiskt fungerar i bred konsumentskala.
Svaret var BankID. Inte för att lösningen var ny – bankerna hade använt infrastrukturen sedan tidigt 2000-tal – utan för att spelbolagen insåg att BankID redan löste precis de tre krav som penningtvättsdirektivet ställer: identitetsverifiering, ålderskontroll och koppling till ett bankregistrerat personnummer. Integrationen innebar att ett flöde som manuellt kunde ta dagar att administrera plötsligt utfördes på under 30 sekunder.
Infrastrukturens skala och tekniska arkitektur
Skalan på BankID-infrastrukturen är svår att överskatta. År 2024 genomfördes 7,6 miljarder identifieringar och underskrifter via systemet – en ökning med 500 miljoner jämfört med föregående år. Dygnet runt sker i snitt 18 miljoner identifieringar per dag, fördelade på drygt 7 500 anslutna tjänster. Tillgängligheten uppmättes till 99,99 procent. Det är en infrastruktur dimensionerad för att hantera trafiktoppar från samtliga reglerade sektorer i Sverige samtidigt. BankID:s egna sidor om säker digital identifiering beskriver hur varje identifieringstransaktion utför realtidskontroller mot bankregistrerade uppgifter, vilket gör att operatören aldrig behöver lagra känsliga identitetshandlingar lokalt.
Myndigheten för digital förvaltning, Digg, godkände BankID inom det nationella auktorisationssystemet för elektronisk identifiering från januari 2026. Det innebär att BankID numera uppfyller de krav som gäller även för statliga e-tjänster. Digg:s ramverk för e-legitimering specificerar att en godkänd e-legitimation måste klara granskning mot det svenska förtroenderamverket – ett krav som speloperatörerna fick hantera kommersiellt redan sju år tidigare.
Från ett IT-arkitekturperspektiv är spelmarknadens BankID-integration ett läroböckesexempel på hur en befintlig autentiseringsinfrastruktur återanvänds i en ny reglerad kontext. Speloperatören integrerar mot BankID-API:et, som returnerar ett verifierat personnummer och en tidsstämpel. Operatören behöver sedan bara kontrollera om personnumret är spärrat i Spelpaus-registret och om åldern överstiger 18 år – båda kontrollerna är automatiserade. Det manuella KYC-momentet, som annars kräver manuell dokumentgranskning och ibland flera dagars handläggningstid, är reducerat till en API-anropssvarstid på under en sekund. Speloperatören slipper lagra kopior av pass eller körkort, vilket i sig eliminerar en hel kategori av GDPR-risker kopplade till hantering av känsliga identitetshandlingar.
Trustly kompletterar flödet på uttagssidan. Eftersom Trustly också är bankkopplat och kräver BankID-autentisering vid initiering kan speloperatören verifiera att utbetalning sker till ett konto som tillhör samma person som spelade. Det stänger den lucka i penningtvättsflödet som annars uppstår när insättnings- och uttagskanal skiljer sig åt. Kombinationen av BankID vid inloggning och Trustly vid utbetalning innebär att hela transaktionskedjan – från identifiering till pengaöverföring – är knuten till ett och samma bankverifierade personnummer.
För aktörer som erbjuder ett online casino under svensk licens är BankID-integrationen därmed inte ett val utan ett regulatoriskt villkor. Mega Riches är ett exempel på en operator med giltig licens fram till 2030, utfärdad av Malta Gaming Authority, som kombinerar BankID-inloggning med Trustly och Swish för ett flöde där identitets- och betalningsverifiering sammanfaller i samma autentiseringskedja.
Stresstestet som stärkte svensk e-legitimeringsinfrastruktur
Det intressanta ur ett bredare IT-perspektiv är vad casinobranschens implementationer har demonstrerat om stark autentisering i konsumenttjänster med hög transaktionsfrekvens. Bankerna använde BankID internt i år innan de licensierade det externt. Myndigheter kopplade på gradvis. Men speloperatörerna – drivna av ett hårt regulatoriskt datum – genomförde fullskalig driftsättning mot en bred konsumentbas under en relativt kort period. Det gav systemet ett stresstest i verklig skala som få andra branscher har bidragit med.
Resultatet av det stresstestet är synligt i statistiken: 7,6 miljarder transaktioner per år med 99,99 procents tillgänglighet. De siffrorna är inte enbart bankernas och myndigheternas förtjänst. De är delvis ett resultat av att reglerade konsumenttjänster med högt transaktionsflöde – däribland licensierade spelplattformar – under de senaste åren har belastat och därigenom stärkt den infrastruktur som nu utgör ryggraden i svensk digital identifiering.
Frågan för IT-arkitekter och produktansvariga i andra reglerade branscher – vård, fintech, fastighet – är om de kan hämta lärdomar från ett implementationsmönster som spelmarknaden i praktiken tvingades pionjära. KYC-kraven i penningtvättsdirektivet är sektorsöverskridande. BankID-infrastrukturen är redan på plats och bevisat skalbar. Det enda som varierar mellan sektorerna är vilka register som kontrolleras mot det returnerade personnumret. Tröskeln för att uppnå regulatorisk compliance via stark autentisering har aldrig varit lägre – och speloperatörernas tekniska vägval från 2019 är en praktisk referensimplementation för alla som ska ta nästa steg.
