Intelligenza artificiale nelle banche: obblighi AI Act e calendario

AI Act e intelligenza artificiale nelle banche: il quadro

Il Regolamento (UE) 2024/1689, noto come AI Act, è il primo quadro europeo sull'intelligenza artificiale. Classifica i sistemi per livello di rischio (pratiche vietate, alto rischio, obblighi di trasparenza, rischio minimo) e assegna obblighi diversi a fornitori (provider) e utilizzatori (deployer).

Per l'AI Act le banche sono di solito deployer: usano sistemi sviluppati da terzi per il credito, l'antifrode, l'assistenza clienti, la selezione del personale, la ricerca normativa. Diventano fornitori quando sviluppano un sistema internamente e lo mettono in servizio con il proprio nome, o quando modificano in modo sostanziale un sistema ad alto rischio di terzi. Lo stesso schema vale quando si applica l'AI Act agli intermediari finanziari non bancari.

L'AI Act non sostituisce la regolamentazione bancaria: si somma a essa. Per questo la funzione di conformità deve leggerlo insieme alle disposizioni su governance, controlli interni, esternalizzazione, resilienza operativa e protezione dei dati.

Il calendario dell'AI Act per le banche dopo il Digital Omnibus

Il Regolamento (UE) 2026/1744 dell'8 luglio 2026, il Digital Omnibus sull'IA (in italiano omnibus digitale), pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha modificato l'art. 113 dell'AI Act. Il calendario aggiornato è questo:

Il rinvio non cancella gli obblighi: dà più tempo per prepararsi. Una banca che usa modelli di scoring sulle persone fisiche ha davanti poco più di un anno per inventario, contratti con i fornitori, procedure di sorveglianza umana e valutazione d'impatto sui diritti fondamentali.

Intelligenza artificiale nelle banche: quali sistemi sono ad alto rischio

L'Allegato III elenca gli usi ad alto rischio. Per una banca o un intermediario i più rilevanti sono:

• Punto 5, lettera b): sistemi destinati a valutare il merito di credito delle persone fisiche o a stabilirne il punteggio di credito, con l'eccezione dei sistemi usati per individuare frodi finanziarie;
• Punto 5, lettera c): sistemi per la valutazione dei rischi e la determinazione dei prezzi nelle assicurazioni sulla vita e sanitarie, rilevanti per chi distribuisce polizze;
• Punto 4: sistemi usati nell'occupazione e nella gestione del personale, per esempio per selezionare candidati o valutare prestazioni, che riguardano la banca come datore di lavoro.

Per chi usa modelli di scoring, il caso più rilevante di alto rischio è il merito creditizio delle persone fisiche.

I sistemi di monitoraggio antiriciclaggio non sono elencati come tali nell'Allegato III. Restano però soggetti alle regole di settore: le istruzioni UIF del 18 dicembre 2025 ammettono strumenti di AI nella rilevazione delle anomalie solo se basati su dati oggettivi e verificabili e accompagnati da valutazioni con intervento umano.

Obblighi del deployer di un sistema ad alto rischio

Dal 2 dicembre 2027 chi usa un sistema dell'Allegato III deve, tra l'altro, seguire le istruzioni d'uso del fornitore, affidare la sorveglianza umana a persone competenti, monitorare il funzionamento e conservare i log (art. 26). Per le banche l'art. 26 contiene due regole specifiche: l'obbligo di monitoraggio si considera adempiuto rispettando le regole di governance interna previste dalla normativa sui servizi finanziari, e i log si conservano nella documentazione tenuta in base a quella normativa.

La valutazione d'impatto sui diritti fondamentali

L'art. 27 impone ai deployer dei sistemi dell'Allegato III, punto 5, lettere b) e c), di svolgere una valutazione d'impatto sui diritti fondamentali prima di usarli. È uno degli adempimenti che richiede più tempo, perché coinvolge rischio, compliance, legale e protezione dei dati.

Gli obblighi dell'AI Act che valgono già oggi

Anche senza sistemi ad alto rischio, tre gruppi di regole si applicano già a ogni banca che usa l'AI.

1. Alfabetizzazione (art. 4): fornitori e deployer adottano misure per sostenere l'alfabetizzazione in materia di AI del personale che usa i sistemi. Dopo il Digital Omnibus l'articolo precisa che non è richiesto di garantire un livello specifico di competenza a ciascuna persona: servono però misure concrete e documentate, calibrate su ruoli e contesto.
2. Pratiche vietate (art. 5): sono vietati, per esempio, i sistemi che sfruttano le vulnerabilità legate all'età, alla disabilità o a una specifica situazione sociale o economica per distorcere in modo rilevante il comportamento delle persone, causando un danno significativo. La compliance deve poter escludere che un uso commerciale vi rientri.
3. Trasparenza (art. 50): dal 2 agosto 2026 i sistemi destinati a interagire con le persone, come un assistente virtuale per la clientela, devono essere progettati in modo che l'utente sappia di parlare con un'AI, e i contenuti generati o manipolati vanno resi riconoscibili secondo le regole dell'articolo.

Banca d'Italia, CONSOB e IVASS nella legge 132/2025

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la legge italiana sull'intelligenza artificiale. L'art. 20 designa l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l'AI, ferma restando l'attribuzione a Banca d'Italia, CONSOB e IVASS del ruolo di autorità di vigilanza del mercato secondo l'art. 74, paragrafo 6, dell'AI Act.

In pratica, con la legge 132/2025 Banca d'Italia, CONSOB e IVASS restano l'interlocutore di vigilanza per i sistemi ad alto rischio usati dagli istituti finanziari in connessione con i servizi finanziari. Rappresentanti di Banca d'Italia, CONSOB e IVASS partecipano inoltre al Comitato di coordinamento istituito presso la Presidenza del Consiglio quando si trattano materie di loro competenza.

Due collegamenti con altre norme vanno tenuti presenti. Se un sistema di AI è fornito da un terzo come servizio digitale continuativo, il contratto ricade nelle regole del Regolamento (UE) 2022/2554 (DORA) sui fornitori di servizi ICT. Se il sistema entra nel processo antiriciclaggio, valgono le istruzioni UIF sulle operazioni sospette.

Checklist sull'AI nelle banche per la funzione compliance

Una sequenza di lavoro possibile in vista del 2027:

1. Inventario dei sistemi di AI in uso e in sviluppo, con fornitore, finalità, dati trattati e processo coinvolto.
2. Classificazione: ruolo della banca (fornitore o deployer) e livello di rischio di ciascun sistema, con la motivazione.
3. Alfabetizzazione: piano di formazione per ruolo, documentato.
4. Contratti: clausole su istruzioni d'uso, log, informazioni per la sorveglianza umana, oltre a quelle dell'art. 30 DORA.
5. Governance: policy interna sull'uso dell'AI, responsabilità, flussi verso gli organi.
6. Protezione dei dati: coordinamento con le valutazioni d'impatto previste dal GDPR.
7. Pianificazione al 2 dicembre 2027 per i sistemi dell'Allegato III, inclusa la valutazione d'impatto sui diritti fondamentali.

Come può aiutarti Next-OS sull'AI Act

Next-OS ti permette di interrogare in italiano AI Act, Digital Omnibus, legge 132/2025 e disposizioni di settore, con le fonti citate, e di confrontare la versione originaria dell'AI Act con quella modificata, con le differenze evidenziate. Puoi caricare la policy interna sull'uso dell'AI e chiedere una gap analysis normativa rispetto all'AI Act, o verificare i contratti dei fornitori di AI come descritto per i contratti ICT soggetti a DORA.

Quanto a Next-OS stesso: secondo la dichiarazione di Aptus.AI non è un sistema di AI per finalità generali e non rientra tra i sistemi ad alto rischio dell'AI Act. Per gli altri usi in banca torna all'intelligenza artificiale per l'antiriciclaggio.