Banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari, dovranno predisporre dovranno valutare l’esposizione ai rischi legati ai modelli avanzati dell’AI, individuare le carenze nei propri sistemi e definire interventi, tempi e investimenti.
La Banca d’Italia mette in guardia le banche grandi, medie e di piccole dimensioni sui rischi informatici legati ai modelli avanzati dell’AI, come Mythos di Anthropic.
Secondo una nota diffusa dall’organo bancario italiano, banche, gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari, dovranno predisporre entro il 31 dicembre una relazione sul proprio livello di esposizione al rischio e sull’adeguatezza delle misure di sicurezza esistenti.
Il documento dovrà individuare le principali carenze, stabilire le priorità di intervento e definire un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari. Il piano dovrà essere proporzionato al profilo di rischio e alla complessità dei servizi offerti dall’intermediario e dovrà precisare le modalità con cui il consiglio di amministrazione controllerà l’avanzamento dei lavori.
La comunicazione agli intermediari finanziari
La relazione dovrà essere avviata nel corso di una riunione specifica del consiglio di amministrazione, in seduta congiunta con il collegio sindacale, durante la quale saranno esaminate le richieste formulate dalla Vigilanza.
Il tema dell’AI e delle sue conseguenze sul settore finanziario è stato affrontato anche dal governatore Fabio Panetta nelle ultime Considerazioni Finali. Banca d’Italia e Banca centrale europea hanno inoltre avviato contatti con le principali società attive nell’AI.
Modelli AI capaci di individuare le vulnerabilità
Secondo la Banca d’Italia, le nuove tecnologie e in particolare i sistemi di AI stanno “trasformando il panorama della cybersicurezza” e pongono nuove sfide per la riservatezza, l’integrità e la resilienza dei sistemi informatici.
I modelli più recenti sono infatti in grado di “identificare le vulnerabilità dei sistemi software” e di “generare modalità di sfruttamento in tempi estremamente ridotti e senza la necessità di specifiche competenze tecniche”.
Queste capacità determinano una significativa riduzione dell’intervallo temporale tra l’individuazione delle vulnerabilità e il loro sfruttamento, aumentando il rischio che gli intermediari possano subire attacchi cyber.
Le nuove tecnologie potrebbero quindi “accrescere l’asimmetria fra attaccanti e difensori, a scapito di questi ultimi”. In questo scenario, il rafforzamento della resilienza digitale rappresenta per Bankitalia una “condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi finanziari affidabili”.
Responsabilità chiare e controllo dei fornitori
Le banche più piccole, che dispongono di risorse inferiori rispetto ai grandi gruppi, dovranno intervenire in diversi ambiti. Sul piano della governance, gli istituti dovranno assicurare «una chiara e puntuale attribuzione delle responsabilità» e rafforzare il controllo sui fornitori esterni.
L’organo di amministrazione dovrà inoltre disporre di “adeguate competenze tecnologiche” e di un “budget adeguato” per affrontare i rischi collegati all’evoluzione delle minacce informatiche.
Patch, monitoraggio e infrastrutture da modernizzare
Via Nazionale chiede agli intermediari di migliorare la gestione degli aggiornamenti e delle patch di sicurezza, di potenziare la capacità di individuare le anomalie in tempo reale e di modernizzare le infrastrutture informatiche.
Gli istituti dovranno anche rafforzare i test di resilienza operativa digitale, per verificare la capacità dei sistemi e dell’organizzazione di reagire agli incidenti e garantire la continuità dei servizi finanziari.
L’Italia segue la linea europea
La richiesta della Banca d’Italia agli intermediari meno significativi si inserisce nel percorso già avviato dalla Banca centrale europea, che ha chiesto alle maggiori banche dell’area euro di presentare entro il 31 ottobre 2026 piani specifici per affrontare la crescente minaccia dei nuovi sistemi di AI. In una lettera inviata agli amministratori delegati lo scorso 7 luglio, la presidente del Supervisory Board della BCE, Claudia Buch, ha avvertito che i modelli emergenti possono individuare vulnerabilità nei software e generare exploit funzionanti a una velocità senza precedenti, riducendo drasticamente il tempo tra la scoperta di una falla e il suo sfruttamento. “Si tratta di un cambiamento a lungo termine nel panorama delle minacce, non di un fenomeno temporaneo o di un rischio legato a un singolo strumento”, ha sottolineato Buch.
La BCE chiede quindi di accelerare la gestione delle vulnerabilità e delle patch, potenziare il monitoraggio e la difesa basati sull’AI, rafforzare i controlli sui fornitori ICT e proteggere prioritariamente le risorse esposte a Internet. Nel medio-lungo periodo, gli istituti dovranno inoltre modernizzare le infrastrutture obsolete, migliorare i sistemi di risposta e ripristino e prepararsi anche all’impatto del calcolo quantistico, avviando investimenti nella crittografia post-quantistica.
