La Banca d’Italia è l’autorità che vigilerà sui sistemi di intelligenza artificiale ad alto rischio usati per concedere finanziamenti, come quelli che valutano il merito creditizio delle persone. Lo ha ricordato Giuseppe Siani, capo del Dipartimento vigilanza bancaria e finanziaria, nell’audizione del 5 novembre davanti alla commissione parlamentare d’inchiesta sul sistema bancario, finanziario e assicurativo. I requisiti e i poteri di controllo si applicheranno però dal 2 dicembre 2027.
Perché si aspetta il 2027
L’AI Act considera ad alto rischio i sistemi che valutano l’affidabilità creditizia delle persone fisiche. Gli obblighi per questa categoria dovevano scattare il 2 agosto 2026, ma l’omnibus digitale, pubblicato nella Gazzetta ufficiale dell’Unione a luglio, li ha rinviati al 2 dicembre 2027. In Italia il decreto legislativo 179 del 2026, in vigore dal 23 ottobre, ha diviso la vigilanza sul settore finanziario tra Banca d’Italia per banche e intermediari del Testo unico bancario, Consob per i mercati e IVASS per le assicurazioni, mentre l’Agenzia per la cybersicurezza nazionale resta l’autorità generale di vigilanza del mercato.
La scadenza più vicina
La data più ravvicinata riguarda un altro tema. Con una comunicazione del 17 luglio la Banca d’Italia ha chiesto agli intermediari che vigila direttamente, cioè banche meno significative, istituti di pagamento e di moneta elettronica, SIM, gestori di fondi, piattaforme di crowdfunding, fornitori di servizi per le cripto-attività e intermediari finanziari, un piano per rafforzare sicurezza informatica e resilienza operativa entro la fine del 2026. Il motivo sono i modelli di AI più avanzati, capaci di trovare vulnerabilità nel software e di generare il codice per sfruttarle, come mostra il caso di Bank of America. La BCE aveva inviato una lettera simile alle banche significative il 7 luglio, con scadenza al 31 ottobre. Secondo Siani questi modelli tendono ad amplificare rischi già esistenti, e “il rispetto formale delle regole non basta”.
I numeri degli incidenti
Nell’audizione Siani ha dato anche i dati sugli incidenti informatici gravi. Nel 2025 gli intermediari hanno segnalato 101 eventi, con 137 comunicazioni, e circa il 70% ha causato interruzioni di servizio mentre il 23% era di natura cyber. Nei primi nove mesi del 2026 le segnalazioni sono state 92 su 68 eventi, e quasi il 60% riguardava fornitori esterni. I registri dei contratti informatici contano circa 3.600 fornitori e subfornitori e circa 9.600 contratti, per una spesa superiore a 2,6 miliardi di euro l’anno, e circa la metà sostiene funzioni critiche. Dei 19 fornitori designati come critici a livello europeo, nessuno è italiano.
Fonti: Banca d’Italia, audizione di Giuseppe Siani, Banca d’Italia, comunicazione del 17 luglio 2026, SimplyBiz, Teleborsa, Future of Privacy Forum.
