AI in banca: perché la vigilanza porta il tema nell'agenda del consiglio di amministrazione
Descrizione del post del blog.
LEADERSHIP & MANAGEMENTINDUSTRY TRANSFORMATIONITALIANOAI STRATEGY
Di solito l'intelligenza artificiale entra nell'agenda di una banca come opportunità: efficienza, relazione con la clientela, produttività. A luglio 2026 è entrata anche da un'altra porta. Il 17 luglio la Banca d'Italia ha pubblicato una comunicazione al mercato sulla resilienza operativa digitale e sui modelli avanzati di intelligenza artificiale, che chiede al consiglio di amministrazione di occuparsene in modo documentato, con una scadenza al 31 dicembre 2026.
Cosa chiede la comunicazione
Il punto di partenza è un rischio, non un'opportunità. La Banca d'Italia osserva che i modelli di ultima generazione riescono a individuare vulnerabilità dei sistemi e a generare le modalità per sfruttarle in tempi molto ridotti, anche senza specifiche competenze tecniche. Ne deriva un divario più stretto tra scoperta e attacco, a svantaggio di chi difende. Il testo precisa che la resilienza digitale non è solo un tema di conformità ma una condizione per la continuità del servizio, e conferma che i requisiti del regolamento DORA restano pienamente validi.
La comunicazione è rivolta agli intermediari direttamente vigilati dalla Banca d'Italia, tra cui le banche e i gruppi bancari meno significativi. Si attende che il consiglio di amministrazione, in una seduta congiunta con il collegio sindacale, esamini il documento e avvii la stesura di una relazione. Per ciascuna area indicata, la relazione deve descrivere il livello di esposizione e l'adeguatezza dei presìdi, individuare carenze e priorità, definire un piano con azioni, tempi e investimenti proporzionati al profilo di rischio e alla complessità dell'intermediario e indicare come il consiglio verificherà l'avanzamento. Ogni intermediario deve inoltre comunicare alla vigilanza un punto di responsabilità aziendale, per esempio la funzione di controllo dei rischi ICT di secondo livello. La relazione, con il piano allegato, va trasmessa entro il 31 dicembre 2026. Quella data è il termine per l'invio: gli interventi seguiranno i tempi indicati nel piano stesso.
La competenza entra nella governance
Le aree indicate vanno dalla governance all'igiene informatica, dalla gestione delle vulnerabilità ai test di resilienza. La prima è quella che riguarda direttamente il vertice. Gli organi di amministrazione e di gestione devono rivedere il quadro di propensione al rischio per includere i rischi delle tecnologie di frontiera, in coerenza con le scelte sugli investimenti in ICT, e assicurare un'attribuzione chiara delle responsabilità.
Nello stesso passaggio la comunicazione afferma che è importante che l'organo di amministrazione e di gestione annoveri al proprio interno componenti con adeguate competenze tecnologiche, anche in materia di intelligenza artificiale, e che preveda un budget per la propria formazione continua. Va letto per quello che è: il documento non fissa quote minime né richiede certificazioni, ma inserisce l'indicazione in un testo su cui il consiglio dovrà riferire. La comunicazione rende così esplicito il collegamento tra competenze tecnologiche del vertice, formazione continua e capacità di governare i rischi, elementi da considerare nella valutazione dell'adeguatezza dei presìdi di governance.
Il fornitore come questione di governo
Un secondo filo riguarda i fornitori. La comunicazione richiede requisiti contrattuali adeguati e criteri rigorosi di selezione e rileva che catene di fornitura articolate su più livelli e concentrate in pochi operatori possono trasformare criticità circoscritte in problemi di ampia portata. È la stessa preoccupazione espressa dalla vigilanza europea. Nell'intervento del 24 febbraio 2026, Pedro Machado ha indicato che oltre l'85% delle grandi banche vigilate usa già l'AI e ha segnalato, per l'AI generativa, la dipendenza da pochi fornitori e dal cloud, con effetti su concentrazione e strategie di uscita. In una lettera del 25 giugno 2026, Claudia Buch ha invitato le banche a testare uno scenario di minaccia informatica alimentato dall'AI e ha richiamato il rischio che modelli e fornitori comuni rendano sistemici eventuali guasti.
Per le banche significative, vigilate direttamente dalla BCE, il riferimento è il quadro europeo: le priorità di vigilanza 2026-2028 estendono l'attenzione su digitalizzazione, governance e gestione dei rischi anche all'AI, compresa quella generativa.
Il punto di partenza dichiarato
Per capire da dove si parte, l'ultima rilevazione disponibile è l'Indagine Fintech della Banca d'Italia, pubblicata a dicembre 2025 dopo una rilevazione condotta nel corso dell'anno. Analizza i progetti di investimento del biennio 2023-2024 e quelli previsti per il biennio successivo, e raccoglie anche autovalutazioni sulle competenze digitali. Secondo queste autovalutazioni, soltanto nell'11,6% degli intermediari il consiglio di amministrazione è composto da figure con competenze digitali almeno medio-alte; per l'alta direzione la quota è del 28,3%. Separatamente, solo il 3,4% degli intermediari dichiara di disporre di personale con competenze AI almeno medio-alte, un dato che non misura specificamente le competenze dei consiglieri. Sono autovalutazioni degli intermediari partecipanti, non misure indipendenti né una fotografia aggiornata alla comunicazione di luglio.
Tre domande per il consiglio
La prima è chi sia il punto di responsabilità comunicato alla vigilanza e come si coordini con la governance tecnologica e del rischio; se si adottano strumenti di difesa basati sull'AI, la comunicazione richiede che siano coerenti con la strategia in materia di AI e accompagnati da una valutazione dei rischi specifici. La seconda è quali competenze tecnologiche siedano oggi nel consiglio, come siano state valutate e quale budget di formazione sia previsto: sono aspetti rilevanti per documentare l'adeguatezza dei presìdi nell'area della governance. La terza è quali fornitori siano critici, quanto siano concentrati e quali alternative di uscita esistano.
Una precisazione sul perimetro: la comunicazione riguarda i rischi cibernetici connessi ai modelli avanzati, non le regole sull'adozione dell'AI, che dipendono da altre norme come l'AI Act. Il fatto significativo è un altro. La comunicazione collega esplicitamente i rischi dei modelli avanzati di intelligenza artificiale alle responsabilità del consiglio e alle competenze del vertice, in un percorso documentato di valutazione e intervento da trasmettere alla vigilanza.
Silvio Fontaneto è Senior Partner, Beaumont Group. Autore di "Stop Fearing AI" e della trilogia "The Vector".
Esplora il Knowledge Hub completo: www.silviofontaneto.com
📬 Iscriviti alla newsletter "AI Impact on Business" per ricevere analisi settimanali: LinkedIn Newsletter
Approfondisci: www.silviofontaneto.com/articles (filtra: AI Strategy / Leadership)
#AIGovernance #Banking #BancaDItalia #DORA #CorporateGovernance #BoardEffectiveness #Cybersecurity #ExecutiveSearch
Connect
Reach out for tailored AI leadership guidance
© 2026 Silvio Fontaneto. All rights reserved.