L’adozione dell’intelligenza artificiale nel settore finanziario italiano ha superato la fase puramente esplorativa nei comparti più maturi, pur restando in larga parte sperimentale negli altri e mantenendo caratteristiche profondamente eterogenee.
È quanto emerge dal recente rapporto dell’OCSE, elaborato nell’ambito di un progetto finanziato dall’Unione europea con la Banca d’Italia quale autorità beneficiaria, che fotografa un ecosistema in rapida evoluzione sulla base di un’indagine condotta nel secondo trimestre del 2025 su 450 operatori del settore. Complessivamente il 39% degli intervistati dichiara di impiegare l’IA nell’operatività quotidiana, con il comparto assicurativo in posizione di avanguardia (70%) seguito da quello bancario (59%), mentre gli operatori dei mercati finanziari, pur a un tasso di adozione inferiore (31%), stanno progressivamente ampliando gli ambiti di utilizzo delle relative tecnologie.
L’aspetto di maggiore interesse, sotto il profilo giuridico, non risiede tanto nei dati quantitativi sull’adozione quanto nel cambiamento del paradigma regolatorio. L’indagine evidenzia infatti che l’intelligenza artificiale viene impiegata prevalentemente per finalità di efficientamento interno, analisi dei dati, generazione di contenuti, prevenzione delle frodi e supporto agli obblighi di antiriciclaggio. La maggior parte dei casi d’uso dell’IA per finalità generali si colloca, peraltro, ancora nella fase di sviluppo e sperimentazione, a conferma di un’intensa attività esplorativa e di un approccio prudenziale da parte degli operatori, tanto più marcato laddove le applicazioni siano destinate a incidere su funzioni e decisioni di maggiore sensibilità.
Questo dato si collega direttamente all’attuale quadro normativo europeo. L’entrata in vigore dell’AI Act non sostituisce la disciplina finanziaria esistente, ma si sovrappone ad essa, imponendo agli intermediari un coordinamento con il GDPR, con il Digital Operational Resilience Act (DORA), con la disciplina in materia di esternalizzazione, nonché con le normative settoriali di vigilanza bancaria, assicurativa e dei mercati finanziari. Il rapporto segnala infatti che uno dei principali ostacoli percepiti dagli operatori è rappresentato proprio dall’incertezza normativa e dal rischio di sovrapposizioni tra discipline diverse, problema particolarmente avvertito dalle imprese di minori dimensioni.
Su questo terreno si concentrano i principali nodi interpretativi che il giurista è chiamato ad affrontare. Gli obblighi gravanti sul deployer di sistemi di IA ad alto rischio ai sensi del regolamento (UE) 2024/1689 (AI Act) devono essere coordinati con i requisiti di gestione del rischio informatico derivante da terzi previsti dal regolamento (UE) 2022/2554 (DORA), così da evitare duplicazioni e disallineamenti negli assetti di controllo interno; l’impiego di sistemi destinati a incidere su decisioni produttive di effetti nei confronti della clientela impone, inoltre, un raccordo con la disciplina del processo decisionale automatizzato di cui all’art. 22 del regolamento (UE) 2016/679 (GDPR); il ricorso diffuso a fornitori terzi richiama, infine, i principi in materia di esternalizzazione elaborati in sede europea.
Il coordinamento di tali discipline, oggi affidato in larga misura all’interprete, costituisce il terreno sul quale si misurerà la concreta tenuta degli assetti di compliance.
Particolarmente significativa appare inoltre la crescente attenzione agli aspetti di governance. Soltanto il 16% degli intervistati ha introdotto un autonomo sistema di governance dell’IA, mentre la maggior parte ha preferito integrare i nuovi rischi nei modelli organizzativi già esistenti.
Rimane centrale il principio della supervisione umana (human-in-the-loop), mentre le applicazioni completamente autonome risultano ancora marginali. Permane, per contro, un’area di vulnerabilità non trascurabile: circa la metà degli operatori non ha ancora adottato presìdi di sicurezza informatica specificamente calibrati sui rischi propri dell’IA. Nel complesso si tratta di un’impostazione coerente con il modello di accountability promosso dall’AI Act e con l’approccio risk-based che caratterizza la regolazione europea delle tecnologie digitali.
Il rapporto richiama inoltre l’attenzione su un profilo destinato ad assumere crescente rilievo anche sotto il profilo giuridico: la forte dipendenza degli operatori finanziari dai fornitori terzi di servizi cloud e di modelli di intelligenza artificiale. Circa il 75% degli intervistati ricorre a servizi cloud di terzi e il 39% a modelli di GPAI (General Purpose AI: Intelligenza Artificiale per finalità generali) implementati da terzi, con una marcata concentrazione sui quattro principali fornitori. Tale concentrazione pone questioni rilevanti in termini di gestione del rischio operativo, sicurezza informatica, continuità operativa e responsabilità, rendendo evidente la necessità di una vigilanza sempre più attenta anche lungo la catena dei fornitori tecnologici.
Le raccomandazioni formulate dall’OCSE convergono pertanto verso una duplice direttrice: da un lato, favorire la diffusione dell’innovazione mediante maggiore chiarezza regolatoria, raccolta coordinata dei dati e cooperazione pubblico-privato; dall’altro, rafforzare gli assetti di governance, la resilienza cibernetica e le capacità di supervisione delle autorità competenti. L’obiettivo dichiarato è quello di consentire uno sviluppo dell’intelligenza artificiale che incrementi l’efficienza e la competitività del sistema finanziario senza sacrificare la tutela degli investitori, dei consumatori e della stabilità del mercato.
Conclusioni
Il rapporto dell’OCSE conferma che l’intelligenza artificiale rappresenta ormai un fattore strutturale di trasformazione del settore finanziario italiano e che la vera sfida da essa posta non è più tecnologica, bensì giuridico-organizzativa. La diffusione della tecnologia non coincide, tuttavia, con una piena maturità del relativo quadro di governo: l’adozione dell’IA procede infatti con un approccio prudente, caratterizzato da un significativo ricorso alla supervisione umana, da una forte dipendenza da fornitori esterni e dalla ricerca di un equilibrio tra innovazione, sicurezza e conformità normativa.
In questo contesto, l’AI Act è destinato a svolgere un ruolo fondamentale, ma non potrà essere considerato isolatamente. La sua effettiva applicazione richiederà un coordinamento con la disciplina europea sulla resilienza operativa digitale (DORA), con la normativa in materia di protezione dei dati personali, con le regole sull’esternalizzazione e con l’intero sistema della vigilanza finanziaria europea. Ne deriva una progressiva evoluzione del concetto stesso di compliance, che assume una dimensione trasversale e integrata, nella quale la governance dell’intelligenza artificiale diviene parte integrante della governance societaria e della gestione dei rischi.
La sfida per gli intermediari finanziari e per le autorità di vigilanza non consiste quindi soltanto nel favorire l’adozione delle nuove tecnologie, ma nel costruire un ecosistema regolatorio capace di accompagnarne lo sviluppo in modo proporzionato e responsabile.
La competitività del settore finanziario europeo dipenderà sempre più dalla capacità di coniugare innovazione tecnologica, certezza del diritto e tutela dei diritti fondamentali, secondo un modello di sviluppo nel quale la fiducia costituisce il principale fattore abilitante dell’intelligenza artificiale.
31.07.2026
