Un pasaporte SSI no elimina las obligaciones de las entidades: las desplaza. El exchange sigue siendo responsable de verificar que la credencial es válida y que el emisor está autorizado. Los reguladores exigen trazabilidad del proceso, conservación de pruebas de verificación y mecanismos de revocación. La privacidad del inversor se mantiene porque la entidad no almacena el documento original, pero sí debe poder demostrar ante una auditoría que la comprobación se realizó conforme a la normativa vigente.

La discusión suele centrarse en lo que el inversor deja de entregar. Menos atención recibe lo que la entidad debe conservar: registros de cuándo se validó la firma, qué versión del esquema se aplicó y bajo qué autorización operaba el emisor en ese momento. Ese rastro es lo que convierte una credencial en una prueba aceptable ante un supervisor.