Il Financial Stability Board ha pubblicato le pratiche definitive per l’adozione responsabile dell’intelligenza artificiale da parte delle istituzioni finanziarie. Il documento chiede valutazioni continue dei rischi, governo dei dati, spiegabilità proporzionata, controllo delle prestazioni, supervisione umana effettiva e gestione delle dipendenze da fornitori esterni.
Il FSB coordina standard e analisi sulla stabilità finanziaria internazionale. Le sue pratiche non sono una legge direttamente applicabile ai clienti di una banca, ma offrono a regolatori e imprese un quadro comune. La versione finale del 15 ottobre incorpora le risposte ricevute durante la consultazione aperta a giugno.
Il principio centrale è seguire l’intero ciclo di vita. La valutazione non termina quando un modello supera i test iniziali. Dati, comportamento e contesto operativo possono cambiare dopo il rilascio. Una banca deve quindi riesaminare materialità e rischi, misurare le prestazioni e intervenire quando il sistema si allontana dall’uso per cui era stato approvato.
La supervisione umana deve essere concreta. Non basta nominare una persona formalmente responsabile se non riceve informazioni comprensibili, non può fermare il sistema o non ha tempo per verificare le decisioni. Il problema è particolarmente rilevante per l’IA agentica, capace di concatenare azioni, usare strumenti e operare con maggiore autonomia.
Il documento dedica attenzione alla spiegabilità. Non ogni modello può essere descritto con lo stesso livello di dettaglio, ma l’istituzione deve comprendere abbastanza per valutare errori, discriminazioni e risultati anomali. Quando la spiegazione tecnica è limitata, servono controlli compensativi: soglie, revisioni indipendenti, confronti con sistemi alternativi e limiti d’uso.
Un’altra area riguarda i dati. Informazioni incomplete o non rappresentative possono produrre decisioni scorrette su credito, frodi o assicurazioni. Il governo dei dati deve stabilire provenienza, qualità, accessi e conservazione. L’impiego di dati personali resta soggetto alle regole sulla privacy e non diventa legittimo soltanto perché migliora la precisione di un modello.
Il rischio informatico si intreccia con quello operativo. Un modello può essere manipolato attraverso input, dati di addestramento o strumenti collegati. Può anche generare codice o azioni che introducono vulnerabilità. Il FSB chiede che sicurezza cyber e gestione dell’IA non procedano su binari separati, soprattutto quando il sistema tocca pagamenti o infrastrutture critiche.
Le dipendenze da terze parti rappresentano un punto sistemico. Molte istituzioni acquistano modelli, capacità cloud e dati dagli stessi fornitori. Un errore o un’interruzione comune può quindi colpire più banche nello stesso momento. Servono mappatura dei servizi, clausole di audit, piani di uscita e alternative realistiche, non soltanto dichiarazioni contrattuali.
Per banche, assicurazioni e operatori italiani il quadro si affianca alle norme europee, compresi AI Act e DORA. Non crea da solo un nuovo obbligo per i correntisti, ma può orientare vigilanza e pratiche di mercato.
La conseguenza attesa è una richiesta più forte di responsabilità identificabili, prove documentate e capacità di sospendere l’IA quando il rischio supera i limiti approvati.
Le autorità nazionali dovranno ora tradurre i principi in controlli proporzionati al rischio e confrontabili fra giurisdizioni. Banche e assicurazioni potranno usare le indicazioni per mappare modelli, dati, fornitori e responsabilità. La prova decisiva sarà la capacità di fermare o correggere un sistema senza interrompere servizi essenziali e senza lasciare decisioni critiche prive di un responsabile identificabile.