Il 2 agosto 2026 segna una tappa fondamentale nell’attuazione dell’AI Act. Da questa data è diventata applicabile una parte significativa del quadro normativo europeo sull’Intelligenza Artificiale, con l’entrata in vigore di numerosi obblighi, in particolare per i sistemi AI ad alto rischio.
Il percorso di implementazione proseguirà comunque fino al 2027 e, per alcune disposizioni, fino al 2028.
Che cosa cambia per le banche
Per il settore bancario europeo, e in particolare per gli istituti italiani, questo calendario non rappresenta semplicemente una successione di scadenze regolamentari. È una finestra temporale entro cui ripensare il modo in cui l'intelligenza artificiale viene gestita all'interno dell'organizzazione.
L'IA non può più essere considerata un progetto di innovazione confinato a singole funzioni aziendali: diventa un elemento strutturale del sistema di governance, della gestione del rischio, della conformità normativa e della resilienza operativa.
L'IA è già presente nel settore bancario
L'intelligenza artificiale è già parte integrante di numerosi processi bancari: rilevazione delle frodi, valutazione del merito creditizio, credit scoring, onboarding digitale, prevenzione del riciclaggio di denaro (AML), assistenza alla clientela, operazioni del Security Operations Center (SOC), automazione dei processi interni, chatbot, copiloti interni e modelli linguistici.
Tuttavia, non tutti questi impieghi hanno lo stesso impatto. Un sistema che sintetizza documentazione interna non presenta gli stessi rischi di un modello che influisce sulla concessione del credito. Allo stesso modo, un'IA che supporta la prioritizzazione degli alert di frode è diversa da un sistema che esegue automaticamente azioni su un conto, una transazione o un cliente.
Per questo motivo, il settore bancario dovrebbe distinguere tre livelli di utilizzo:
- IA che informa;
- IA che raccomanda;
- IA che agisce.
L'IA può accelerare le analisi, individuare pattern anomali, ridurre il carico operativo e supportare decisioni più efficaci. Il rischio emerge quando i risultati prodotti influenzano processi rilevanti senza un adeguato livello di tracciabilità, supervisione o possibilità di revisione.
L’AI Act non vieta l’IA, ne disciplina il rischio
L’AI Act non vieta l’utilizzo dell’intelligenza artificiale nei processi bancari, ma ambisce a regolarne l’impiego in base al livello di rischio. Le applicazioni ad alto rischio come la valutazione del merito creditizio e il credit scoring, restano consentite, purché rispettino requisiti stringenti di governance, tracciabilità, supervisione umana, robustezza e cybersicurezza.
Anche altri casi d’uso, come il rilevamento delle frodi, richiedono adeguati controlli quando gli output dell’IA influenzano decisioni operative o processi critici. L’obiettivo non è limitare l’innovazione, ma garantire che i sistemi di IA siano trasparenti, controllabili e verificabili.
L'IA come asset cyber critico
Un sistema di IA non è solo un modello bensì una combinazione di codice, dati, logiche decisionali, prompt, API, connettori, credenziali, registri, pipeline, strumenti interni, fornitori esterni e configurazioni. Ognuno di questi livelli può introdurre una vulnerabilità e ampliare la superficie di attacco.
Tra i rischi più rilevanti rientra il data poisoning: dati manipolati possono alternare il comportamento del modello, compromettendo attività come il rilevamento delle frodi o la prevenzione del riciclaggio. Nel settore bancario, queste vulnerabilità non sono solo un problema tecnologico, ma possono tradursi in rischi operativi, regolamentari, finanziari e anche reputazionali. Per questo l’IA deve essere governata e protetta come qualsiasi altro asset critico dell’organizzazione.
AI Act e DORA:due framework distinti, un unico punto di incontro
Nel contesto bancario, AI Act e DORA devono essere considerati congiuntamente, pur avendo ambiti di applicazione differenti e non dovendo essere confusi.
Il Digital Operational Resilience Act (DORA) non disciplina l'intelligenza artificiale in quanto tale. Il suo focus è la resilienza operativa digitale del settore finanziario: gestione del rischio ICT, incidenti, test di resilienza, continuità operativa, disaster recovery e rischio derivante dai fornitori terzi di servizi ICT.
L'AI Act, invece, è incentrato su un'intelligenza artificiale affidabile e basata sul rischio, introducendo obblighi relativi a governance, trasparenza, registrazione, supervisione umana, robustezza, cybersicurezza e controllo lungo l'intero ciclo di vita del sistema.
L'intersezione tra i due regolamenti assume particolare rilevanza nel settore bancario. Un sistema di IA utilizzato da un istituto finanziario può essere contemporaneamente soggetto agli obblighi di governance previsti dall'AI Act e costituire un asset ICT a supporto di una funzione bancaria importante o critica ai sensi del DORA.
Per questo motivo, i sistemi di IA critici non dovrebbero essere gestiti esclusivamente dalle funzioni di innovazione, analytics o business, ma dovrebbero essere integrati nell'inventario tecnologico, nel framework di rischio operativo, nel programma di cybersicurezza, nella gestione dei fornitori, nelle procedure di gestione degli incidenti e nei test di resilienza.
Dalle policy alle evidenze
La conformità all’AI Act non si dimostrerà con le sole policy, ma con evidenze oggettive che attestino il controllo effettivo dei sistemi di IA.
Le banche dovranno poter dimostrare, tra l’altro, l’inventario dei sistemi, la classificazione dei rischi, l’attribuzione delle responsabilità, la documentazione tecnica, la tracciabilità delle decisioni, i controlli di sicurezza, il monitoraggio continuo, la gestione degli incidenti e la governance dei fornitori.
La domanda chiave è semplice: se un sistema di IA produce un errore, prende una decisione non corretta o viene compromessa, la banca è in grado di ricostruire l’accaduto, valutarne l’impatto e intervenire tempestivamente? Se la risposta non è supportata da evidenze verificabili, il sistema non può considerarsi realmente sotto controllo.
