Così gli intermediari finanziari affrontano la governance dell’AI

Il sistema dei controlli interni degli intermediari finanziari sta attraversando una profonda evoluzione. La tradizionale dimensione organizzativa e procedurale non è più sufficiente: l’intelligenza artificiale modifica contemporaneamente l’oggetto del controllo e gli strumenti del controllo. Da un lato viene incorporata nei processi operativi, decisionali e commerciali; dall’altro rende possibili controlli continui, predittivi e data-driven. Diventa quindi necessario un framework che integri governance, data management, model risk, Ict risk, compliance, audit e responsabilità degli organi aziendali.

L’AI sta entrando stabilmente nei processi core del sistema finanziario. La questione centrale non è più se adottare l’AI, ma come governarla. Il sistema dei controlli deve estendersi all’intero ciclo di vita dei modelli: dall’ideazione dello use case alla classificazione del rischio, dallo sviluppo alla validazione, dal deployment al monitoraggio continuo, fino alla gestione degli incidenti e al riesame periodico.

Il controllo evolve così da funzione prevalentemente ex post a presidio ex ante, continuo e integrato. Si passa dal controllo procedurale al controllo data-driven, basato su indicatori, anomalie e scenari predittivi, e dal controllo periodico al continuous monitoring, capace di intercettare tempestivamente deterioramento dei modelli, incidenti Ict e deviazioni operative. Parallelamente cambia la natura dei rischi. Ai tradizionali rischi operativi si affiancano data risk, model risk, cyber risk, cloud concentration risk e rischi derivanti dai fornitori Ict e dai sistemi algoritmici.

Il regolamento Dora per gli intermediari finanziari

Per gli intermediari europei il Regolamento Dora ha già ricondotto questi profili all’interno di un quadro unitario di resilienza operativa digitale. Non tutte le applicazioni di AI presentano lo stesso livello di rischio. Occorre distinguere tra sistemi di supporto alle decisioni e sistemi decisionali automatizzati, tra modelli sviluppati internamente e acquisiti da fornitori, nonché valutare finalità, grado di automazione e classificazione prevista dall’AI Act.

• Leggi anche: Cybersecurity e l’AI oltre le chatbot: per Zenita Group è il momento dell’Autonomia Delegata

Il punto di partenza non può essere la tecnologia in astratto, ma il rischio dello specifico use case. Per questo diventa fondamentale costruire un inventario dei casi d’uso AI che censisca finalità, dati impiegati, modello, fornitore, livello di automazione, popolazione coinvolta, classificazione regolamentare e controlli applicabili. Solo una mappatura completa consente di applicare controlli proporzionati ai rischi effettivi. L’AI deve essere considerata contemporaneamente come fonte di rischio e come strumento di rafforzamento dei controlli. Un utilizzo non governato può infatti generare una pericolosa control illusion, ossia l’apparenza di controlli più sofisticati ma in realtà meno affidabili.

Gli oneri dell’AI governance in capo ai cda

La letteratura sull’automation bias dimostra inoltre che gli operatori tendono a riporre un’eccessiva fiducia nelle decisioni algoritmiche, rendendo essenziale uno human oversight realmente efficace. Il nuovo framework di AI governance non può limitarsi ad aggiungere una policy dedicata. Deve ridisegnare l’interazione tra governance, dati, modelli, processi e responsabilità.

Il cda è chiamato a definire la propensione all’uso dell’AI, i limiti di automazione e il livello di rischio accettabile. I controlli devono essere graduati in funzione dell’impatto dello use case, garantendo segregazione tra sviluppo e validazione dei modelli, tracciabilità, logging, versioning e spiegabilità delle decisioni, soprattutto nei casi ad alto impatto. Anche il modello delle tre linee di difesa resta valido, ma richiede una rilettura.

La prima linea diventa proprietaria dello use case e del corretto utilizzo del modello; la seconda integra competenze di data governance, model risk, compliance tecnologica e resilienza operativa; la terza sviluppa capacità di audit algoritmico. Il sistema dei controlli interni evolve così in un vero ecosystem of assurance, nel quale indipendenza, competenze interdisciplinari e governo dell’AI diventano condizioni essenziali per garantire stabilità, fiducia e sana gestione degli intermediari finanziari. (riproduzione riservata)

* Managing Partner Refink

• Leggi anche: L’AI è strategica per l’87% dei finance leader italiani. Ma sono carenti le policy per governarla