L’ingresso dell’intelligenza artificiale nei processi bancari sta spostando il baricentro della discussione dall’adozione al controllo. Finché l’AI rimane circoscritta alla sperimentazione, il tema principale è valutarne efficacia e utilità; quando invece contribuisce ad analisi, raccomandazioni e decisioni rilevanti, diventa necessario poter dimostrare non solo che il sistema produce un risultato plausibile, ma anche come quel risultato è stato generato, su quali evidenze si fonda e con quale grado di coerenza rispetto a casi comparabili.
È questo lo scenario in cui il tema della testability acquista rilevanza. Secondo ABI Lab, nel 2026 l’80% delle banche ha già progetti di intelligenza artificiale in esercizio e sono oltre 150 i casi d’uso monitorati; a livello europeo, più dell’85% delle grandi banche sottoposte alla Vigilanza bancaria europea utilizza sistemi di AI. Numeri che mostrano come il tema non sia più circoscritto ai laboratori di innovazione, ma riguardi sempre più direttamente processi, controlli e responsabilità.
Non solo explainability
Per anni il dibattito sulla governance dell’AI si è concentrato soprattutto sull’explainability, cioè sulla possibilità di comprendere le determinanti di un risultato. In un settore regolamentato come quello bancario questo requisito resta essenziale, ma l’evoluzione dell’AI generativa ne evidenzia anche i limiti: una spiegazione coerente e plausibile non costituisce necessariamente una prova delle evidenze che hanno effettivamente determinato l’output.
Da qui l’esigenza di affiancare alla spiegabilità una seconda dimensione, quella della testability, intesa come la capacità di verificare il comportamento del sistema in maniera concreta, ripetibile e documentabile.
Dalla spiegazione alla verifica
Nel sistema bancario, rendere un sistema testabile significa poter ricostruire quali evidenze siano state realmente utilizzate, verificare se il comportamento rimanga sufficientemente coerente di fronte a situazioni comparabili e individuare eventuali anomalie o deviazioni rispetto ai risultati attesi. Per questo è necessario creare le condizioni affinché gli errori possano essere identificati, ricostruiti e gestiti.
La distinzione è sostanziale: l’explainability risponde alla necessità di comprendere una decisione o una raccomandazione, mentre la testability introduce la possibilità di sottoporla a verifica. Un sistema può fornire una spiegazione convincente del proprio comportamento senza che questo garantisca che abbia utilizzato le informazioni dichiarate o che si comporti in modo coerente davanti a casi analoghi.
Per una banca, quindi, il controllo non può fondarsi esclusivamente sulla plausibilità della spiegazione, ma deve poggiare su evidenze che consentano di valutare se il comportamento del sistema rimanga entro i limiti stabiliti.
Quando l’AI diventa parte dell’operatività bancaria
La rilevanza del tema cresce con il progressivo consolidamento dell’AI nei processi core della banca: il passaggio dall’introduzione all’adozione è infatti uno dei nodi della fase attuale, così come la necessità di governarla e misurarne gli effetti.
Anche la Vigilanza bancaria europea rileva come l’AI non sia più confinata a pochi ambiti specialistici, ma stia progressivamente estendendosi alle attività di analisi documentale e normativa, alle funzioni IT, ai processi di relazione con il cliente e ad altre aree operative.
Con questa estensione cambia anche il perimetro del rischio. L’intelligenza artificiale non può essere ricondotta soltanto al model risk in senso stretto, perché il suo utilizzo coinvolge progressivamente governance, rischio operativo, compliance, condotta e rischio strategico.
Di conseguenza, il controllo non può più concentrarsi esclusivamente sul singolo progetto, ma deve accompagnare il sistema lungo il suo ciclo di vita, assicurando che rimangano disponibili le informazioni necessarie a verificarne il comportamento e a intercettare eventuali variazioni rilevanti.
Dalla policy all’evidenza verificabile
È su questo terreno che la testability assume una valenza realmente operativa. La governance non può limitarsi a stabilire ex ante quali utilizzi siano consentiti, ma deve tradursi nella disponibilità di evidenze che permettano di ricostruire il comportamento del sistema e sottoporlo a controllo anche successivamente.
Quando l’AI contribuisce a una valutazione o a una decisione, diventa quindi rilevante poter risalire alle informazioni effettivamente utilizzate, al contesto in cui è stato prodotto l’output e ai vincoli applicabili. Allo stesso modo, la verifica deve considerare non soltanto la correttezza del singolo risultato, ma anche la coerenza del comportamento su casi comparabili e la possibilità di individuare scostamenti significativi rispetto alle attese.
Questo implica che il controllo non si esaurisca al momento dell’introduzione del sistema. Se cambiano i dati, il contesto operativo, le regole o le modalità di utilizzo, è necessario poter rivalutare il comportamento dell’AI e verificare che i presidi definiti continuino a essere adeguati.
Si tratta, per molti aspetti, di una logica già familiare al settore bancario, che da tempo struttura i propri sistemi di controllo attorno alla possibilità di verificare decisioni, ricostruire processi e individuare responsabilità. La novità consiste nell’applicare questi principi a sistemi che possono produrre output variabili e che non sempre presentano caratteristiche integralmente deterministiche.
Dalla tecnologia al governo del rischio
Un’evoluzione che assume ulteriore rilevanza alla luce del quadro delineato dalle autorità europee. Nel Risk Assessment Report pubblicato nel giugno 2026, l’EBA riconosce il potenziale dell’AI in termini di efficienza operativa, automazione, gestione del rischio, consulenza, customer service e contrasto alle frodi, ma richiama parallelamente i rischi legati a malfunzionamenti operativi, bias, qualità dei dati, aspetti legali e di condotta, dipendenza da fornitori terzi e sicurezza informatica.
Il punto centrale è che la governance dell’AI tende sempre meno a essere una questione esclusivamente tecnologica e sempre più una componente dell’ampio sistema di governo dei rischi della banca.
Il presidio non può quindi essere delegato alle sole strutture IT, ma deve coinvolgere, con responsabilità differenti, le funzioni chiamate a valutare l’impatto dei sistemi e la loro compatibilità con i livelli di rischio accettati dall’organizzazione.
In questa prospettiva, la testability non sostituisce i principi già consolidati di governance, ma ne estende l’applicazione a una nuova generazione di tecnologie, rendendo centrali la disponibilità di evidenze, la capacità di confrontare comportamenti e l’individuazione tempestiva delle anomalie.
L’autonomia aumenta, il controllo deve evolvere
Il tema assume ulteriore rilevanza con lo sviluppo di sistemi agentici, capaci non soltanto di formulare raccomandazioni ma anche di concatenare attività e compiere azioni all’interno di un processo. All’aumentare del grado di autonomia cresce parallelamente la necessità di definire limiti operativi e responsabilità, assicurando che rimanga possibile ricostruire ex post ciò che il sistema ha fatto, sulla base di quali informazioni e nell’ambito di quali regole.
Anche il principio di human oversight deve tradursi in una capacità effettiva di supervisione. La presenza di un intervento umano all’interno del processo non è di per sé sufficiente a garantire un controllo adeguato, se il soggetto responsabile non dispone delle informazioni necessarie per valutare il comportamento del sistema e dell’autorità per intervenire quando necessario.
L’efficacia della supervisione dipende quindi dalla possibilità di interpretare correttamente gli output, riconoscere eventuali anomalie e assumere decisioni autonome rispetto alle indicazioni prodotte dall’AI.
Dalla fiducia dichiarata alla verificabilità
La crescente centralità della governance non deve essere letta come un freno alla diffusione dell’AI. Al contrario, nel momento in cui l’intelligenza artificiale diventa una componente strutturale dell’operatività, disporre di criteri omogenei per valutarne i rischi, misurarne i risultati e attribuirne le responsabilità diventa una condizione per portarne l’utilizzo su scala più ampia in modo sostenibile.
La maturità nell’adozione dell’AI non può quindi essere misurata esclusivamente dal numero di applicazioni introdotte, ma dalla capacità della banca di mantenerle sotto controllo nel tempo e di dimostrarne la coerenza rispetto ai propri presidi di rischio e governance.
L’explainability continuerà a essere una componente essenziale di questo modello, ma la qualità della spiegazione dovrà essere accompagnata dalla solidità delle evidenze che consentono di verificarla. Non basta più, infatti, comprendere perché un sistema abbia prodotto un determinato risultato: occorre poter dimostrare che abbia effettivamente utilizzato le evidenze dichiarate, che mantenga un comportamento sufficientemente coerente in situazioni analoghe e che eventuali errori possano essere identificati e gestiti.
Per il settore bancario, il passaggio dall’explainability alla testability rappresenta quindi una naturale evoluzione di una cultura da sempre fondata sulla responsabilità delle decisioni e sulla capacità di presidiare il rischio.
Proprio per questo, con l’aumentare del peso dell’AI nei processi, il punto non sarà soltanto estenderne l’adozione, ma assicurare che tale crescita avvenga all’interno di un modello di governance capace di garantirne nel tempo controllo, coerenza e sostenibilità. È infatti sulla capacità di coniugare innovazione e governo del rischio che, in futuro, si misurerà la solidità dell’integrazione dell’AI nel settore bancario.
