Il legislatore, con il D.Lgs. 27 marzo 2026, n. 47, pubblicato nella Gazzetta Ufficiale n. 86 del 14 aprile 2026 ed entrato in vigore il 29 aprile 2026, introduce formalmente l’intelligenza artificiale all’interno del Testo Unico della Finanza, segnando un passaggio significativo nel processo di integrazione delle nuove tecnologie nella disciplina dei mercati finanziari e della corporate governance. Tale intervento normativo non si limita ad ampliare gli obblighi informativi degli emittenti, ma evidenzia un cambiamento più profondo: l’utilizzo dell’IA viene ricondotto nell’ambito dei sistemi di governo societario, dei controlli interni e della gestione del rischio, assumendo così una rilevanza organizzativa e strategica.
Il decreto introduce anzitutto due nuove definizioni nel corpo del TUF. La prima riguarda il “sistema di intelligenza artificiale”, definito rinviando all’art. 3, punto 1), del Regolamento (UE) 2024/1689 (AI Act). La seconda concerne i “rischi informatici”, individuati in qualsiasi circostanza ragionevolmente identificabile, collegata all’utilizzo di sistemi informatici e di rete, suscettibile di compromettere la sicurezza o incidere negativamente su strumenti, processi, operazioni o servizi, tanto nel mondo digitale quanto in quello fisico.
I nuovi obblighi informativi
In tale contesto, si colloca la modifica dell’art. 123-bis TUF, dedicato alla relazione sul governo societario e sugli assetti proprietari. Il legislatore integra, infatti, il comma 2 con le nuove lettere d-ter) e d-quater), ampliando il contenuto delle informazioni che gli emittenti sono chiamati a rendere al mercato.
La nuova lettera d-ter) prevede di indicare, ove adottate, le politiche relative all’utilizzo e al monitoraggio delle nuove tecnologie e, in particolare, dei sistemi di intelligenza artificiale impiegati negli assetti amministrativi, organizzativi e contabili della società.
La lettera d-quater), invece, impone di descrivere le politiche di gestione e monitoraggio dei rischi informatici, includendo sia i rischi di sicurezza cibernetica sia quelli derivanti dall’integrazione di nuove tecnologie nei processi aziendali.
La riforma estende inoltre l’ambito delle verifiche demandate al revisore legale o alla società di revisione, prevedendo che il controllo riguardi anche la presenza, nella relazione sul governo societario, delle informazioni introdotte dalle nuove disposizioni.
Il nuovo art. 149-ter TUF e il ruolo dell’IA nei controlli interni
Ulteriori novità interessano il sistema dei controlli interni attraverso l’introduzione del nuovo art. 149-ter TUF. La norma in parola dispone che, qualora vengano adottati sistemi di monitoraggio continuo o strumenti di controllo automatici e predittivi, questi debbano essere adeguati e proporzionati rispetto alla natura dell’impresa, alle sue dimensioni e ai rischi cui essa è esposta.
L’intelligenza artificiale viene dunque considerata da un lato, come tecnologia che richiede specifici presidi di controllo e gestione del rischio e dall’altro, come strumento idoneo a rafforzare l’efficacia dei controlli interni, rendendoli più continui, tempestivi e coerenti con la crescente complessità operativa degli intermediari e degli emittenti.
L’adozione dell’IA nel settore finanziario: il quadro OCSE/Banca d’Italia
La riforma de qua si insinua in un contesto in cui l’adozione dell’IA nel settore finanziario è già ampiamente diffusa, ma caratterizzata da livelli di maturità organizzativa ancora eterogenei. Il rapporto OCSE/Banca d’Italia 2026 evidenzia infatti come l’intelligenza artificiale venga ormai impiegata in numerosi ambiti dell’operatività quotidiana, tra cui l’analisi dei dati, l’ottimizzazione dei processi interni, la generazione e sintesi di contenuti testuali, le attività di antiriciclaggio, la prevenzione delle frodi e l’assistenza alla clientela.
Il dato più significativo riguarda tuttavia il divario tra diffusione tecnologica e strutturazione dei relativi modelli di governance. Solo una quota limitata degli operatori ha adottato assetti specificamente dedicati alla governance dell’IA, mentre molti soggetti continuano a fare affidamento su presidi organizzativi tradizionali adattati alle nuove esigenze tecnologiche.
Il rapporto evidenzia inoltre come una parte rilevante degli operatori non abbia ancora implementato misure specifiche per contrastare le minacce informatiche emergenti connesse all’utilizzo dell’intelligenza artificiale.
Conclusioni
Nel complesso, l’intervento normativo conferma come l’intelligenza artificiale non possa più essere considerata soltanto una questione tecnologica. Nel momento in cui l’IA viene integrata negli assetti organizzativi, nei processi decisionali e nei sistemi di controllo, essa assume piena rilevanza sul piano della governance societaria, della gestione del rischio e della responsabilità degli organi aziendali.
31.07.2026
