Il Regolamento Europeo sull’Intelligenza Artificiale

L’introduzione del Regolamento Europeo sull’Intelligenza Artificiale, noto a livello internazionale come AI Act, rappresenta uno spartiacque fondamentale per il settore bancario. Per i Direttori Generali, i Vicedirettori e i responsabili di area delle Banche di Credito Cooperativo e delle banche del territorio, questa normativa non deve essere interpretata esclusivamente come un mero adempimento legale o un onere tecnologico delegabile alla funzione IT. Al contrario, si tratta di un quadro di governance strategica che impatta direttamente il modello di business, la gestione del rischio e, soprattutto, la fiducia che lega la banca al proprio territorio e ai propri soci.

Il legislatore europeo ha costruito questo regolamento non per frenare l’innovazione tecnologica, ma per garantire che i sistemi automatizzati siano sicuri, trasparenti, tracciabili e non discriminatori. Nel contesto di una banca regionale o cooperativa, dove la conoscenza diretta del cliente e la valorizzazione del tessuto economico locale sono i principali vantaggi competitivi, comprendere queste regole significa assicurarsi che gli algoritmi potenzino il lavoro dei collaboratori senza snaturare l’identità dell’istituto. La normativa stabilisce obblighi chiari per chi sviluppa e per chi utilizza queste tecnologie, con sanzioni significative per le inadempienze, rendendo essenziale la consapevolezza ai vertici aziendali.

L’Approccio Basato sul Rischio: Le Quattro Categorie

Il cuore del Regolamento Europeo sull’Intelligenza Artificiale è il suo approccio proporzionale basato sul rischio. La normativa non regola la tecnologia in sé, ma l’uso specifico che ne viene fatto. Le applicazioni sono classificate in quattro categorie, a ciascuna delle quali corrispondono requisiti organizzativi e tecnici crescenti.

• Rischio inaccettabile: Include i sistemi considerati una chiara minaccia per la sicurezza, i diritti e le libertà delle persone. Rientrano in questa categoria i sistemi di manipolazione cognitiva, il social scoring e l’identificazione biometrica remota in tempo reale in spazi pubblici (salvo eccezioni per le forze dell’ordine). Questi sistemi sono rigorosamente vietati. Per il settore bancario, questa categoria non presenta impatti operativi diretti, in quanto estranea alle pratiche commerciali lecite.
• Alto rischio: È la categoria di maggiore interesse per i vertici bancari. Comprende i sistemi di intelligenza artificiale che hanno un impatto significativo sulla vita delle persone, come i modelli utilizzati per valutare il merito creditizio di persone fisiche o piccole imprese, la determinazione dei premi assicurativi e i software per lo screening dei curriculum nella selezione del personale. Questi sistemi sono soggetti a requisiti rigorosi prima della loro immissione sul mercato e durante tutto il loro ciclo di vita.
• Rischio limitato: Riguarda i sistemi con i quali le persone interagiscono direttamente, come i chatbot utilizzati per il servizio clienti o il supporto interno. L’obbligo principale per questa categoria è la trasparenza. Il cliente o il dipendente deve essere chiaramente informato che sta interagendo con una macchina e non con un essere umano, permettendogli di prendere decisioni informate.
• Rischio minimo o nullo: Include la maggior parte delle applicazioni attuali, come i filtri antispam, i sistemi di smistamento automatico dei documenti nel back office o i videogiochi. Il regolamento non impone obblighi normativi specifici per questa categoria, sebbene raccomandi l’adozione di codici di condotta volontari.

Sistemi ad Alto Rischio nel Contesto Bancario

Per una Banca di Credito Cooperativo, l’impiego di sistemi classificati ad alto rischio richiede un’analisi approfondita. Il caso d’uso più critico è senza dubbio il credit scoring automatizzato. Quando un algoritmo valuta la probabilità di default di un artigiano locale o di una piccola impresa agricola, sta prendendo una decisione che incide sui diritti fondamentali del soggetto e sull’economia del territorio. Se il modello di intelligenza artificiale è stato addestrato su dati prevalentemente urbani o relativi a grandi aziende, potrebbe penalizzare ingiustamente i clienti tipici della banca cooperativa. È qui che la classificazione di alto rischio si traduce in azioni concrete di governo aziendale.

Oneri Organizzativi per i Vertici Aziendali

Quando una banca adotta un sistema ad alto rischio, la Direzione Generale deve assicurare l’implementazione di un solido impianto organizzativo. La responsabilità finale del corretto funzionamento e della conformità di questi strumenti risiede nei vertici aziendali, in coordinamento con il Consiglio di Amministrazione.

Il primo onere è l’integrazione dell’intelligenza artificiale nel Sistema di Gestione del Rischio aziendale. Non è sufficiente valutare il rischio finanziario o di credito. È necessario mappare il rischio di modello, ovvero la possibilità che l’algoritmo produca risultati errati, discriminatori o inattesi nel tempo a causa di variazioni nel contesto economico. Questo richiede audit periodici e test continui sui modelli in produzione.

Il secondo elemento fondamentale è la Data Governance. I sistemi ad alto rischio devono essere addestrati e testati su set di dati pertinenti, rappresentativi, privi di errori e completi. Per i dirigenti, ciò significa investire nella qualità dei dati aziendali prima ancora di investire negli algoritmi. Una scarsa qualità dei dati immessi in un sistema di antiriciclaggio avanzato, ad esempio, può generare un numero inaccettabile di falsi positivi, bloccando l’operatività di clienti legittimi e sovraccaricando le funzioni di controllo interno.

Un ulteriore onere essenziale è la Sorveglianza Umana, definita come l’approccio che mantiene l’uomo al centro del processo decisionale. Il regolamento impone che i sistemi ad alto rischio siano progettati in modo da poter essere controllati da persone fisiche. In ambito bancario, questo significa che il direttore di filiale o l’analista fidi deve avere gli strumenti, la formazione e l’autorità per ignorare, annullare o modificare l’output del sistema automatizzato se ritiene che non rispecchi la reale situazione del cliente. La macchina consiglia, ma il banchiere del territorio decide e se ne assume la responsabilità.

Sinergie Normative: Regolamento Europeo sull’Intelligenza Artificiale, DORA e Gestione dei Fornitori

Nel panorama delle banche regionali e delle BCC, è raro che i modelli di intelligenza artificiale complessi vengano sviluppati interamente all’interno dell’istituto. Nella maggior parte dei casi, questi sistemi vengono acquisiti da fornitori esterni specializzati o vengono messi a disposizione dalla Capogruppo nell’ambito del gruppo bancario cooperativo. Questa dinamica sposta il focus manageriale dalla fase di sviluppo alla fase di selezione, contrattualizzazione e monitoraggio dei fornitori.

In questo contesto, il Regolamento Europeo sull’Intelligenza Artificiale si interseca fortemente con un’altra normativa cruciale: il Digital Operational Resilience Act, noto come DORA. Mentre l’AI Act si concentra sulla sicurezza e l’equità degli algoritmi, DORA mira a garantire la resilienza operativa digitale del settore finanziario, ponendo un’enfasi estrema sulla gestione del rischio derivante da fornitori terzi di servizi ICT. Quando la banca esternalizza un processo di credit scoring basato sull’intelligenza artificiale, deve assicurarsi che il fornitore non solo rispetti i parametri di sicurezza informatica previsti da DORA, ma fornisca anche tutta la documentazione tecnica e le garanzie di conformità richieste per i sistemi ad alto rischio.

Per le banche appartenenti a un gruppo cooperativo, il ruolo della Capogruppo diventa centrale. La Capogruppo funge spesso da centro di competenza per lo sviluppo o l’acquisto dei modelli avanzati. Tuttavia, la singola banca affiliata, in quanto utilizzatrice finale (deployer) del sistema, mantiene precisi obblighi normativi. La Direzione Generale della singola BCC deve pretendere dalla Capogruppo piena trasparenza sul funzionamento dei modelli, sui dati utilizzati per l’addestramento e sulle metriche di performance. Solo comprendendo le logiche interne del sistema, la banca locale può esercitare quell’adeguata sorveglianza umana richiesta dalla legge ed essenziale per tutelare i propri soci.

I Prossimi Passi per la Direzione Generale

L’adeguamento al nuovo quadro normativo europeo richiede un piano d’azione strutturato e proattivo. I dirigenti bancari devono avviare tempestivamente un cantiere interno per mappare tutte le iniziative di intelligenza artificiale già in corso o in fase di valutazione, classificandole secondo le categorie di rischio previste dalla legge.

• Mappatura e Classificazione: Eseguire un inventario di tutti gli algoritmi e i sistemi di automazione presenti in banca, dal back office all’antiriciclaggio, definendo chiaramente quali rientrano nella categoria ad alto rischio.
• Revisione dei Contratti: Iniziare un dialogo con i fornitori IT e con la Capogruppo per aggiornare i Service Level Agreement. È imperativo includere clausole che garantiscano il rilascio della documentazione necessaria per la trasparenza e la spiegabilità degli algoritmi.
• Aggiornamento delle Procedure di Governance: Integrare la valutazione dei sistemi di intelligenza artificiale all’interno del comitato rischi aziendale. La funzione Compliance e la funzione Risk Management devono dotarsi di nuove competenze per validare l’uso dei modelli complessi.
• Formazione del Personale: Investire nell’alfabetizzazione digitale di tutti i collaboratori, con particolare attenzione a chi utilizza i sistemi ad alto rischio. La sorveglianza umana è impossibile se il dipendente non comprende le dinamiche di base del software che sta operando.

Governare l’intelligenza artificiale attraverso le lenti del nuovo regolamento europeo non è un limite, ma una garanzia. Assicura che le banche del territorio continuino a essere motori di sviluppo economico, combinando l’efficienza delle nuove tecnologie con l’etica, la trasparenza e la profonda conoscenza del tessuto relazionale locale che da sempre le contraddistingue.