Le banche hanno ora quattro mesi di tempo per alzare le proprie difese informatiche e evitare
una potenziale catastrofe causata dall’intelligenza artificiale. La Banca centrale europea ha
dato tempo fino al 31 ottobre ai maggiori istituti dell’area euro per presentare un piano contro
i cyberattacchi, resi più rapidi e efficaci dall’IA. La richiesta, contenuta in una lettera firmata
ieri da Claudia Buch, presidente del consiglio di vigilanza della Bce, segna un’accelerazione
rispetto alle avvisaglie dei mesi scorsi. Francoforte non si limita più a raccomandare
prudenza, ma fissa una scadenza e indica dove intervenire.
Il problema è uno: i nuovi modelli di IA (come quelli dell’americana Anthropic) sono diventati
molto bravi nell’individuare le vulnerabilità dei software e aiutare i criminali a sfruttarle per
entrare nei sistemi digitali di aziende e amministrazioni pubbliche. Gli obiettivi dei potenziali
attacchi, in questo caso le banche, devono quindi potenziare le difese, altrimenti sono in balia
dei nuovi pericoli. La responsabilità, scrive la Bce, ricade anzitutto sui vertici degli istituti.
Significa che investimenti informatici, risorse e soglie di tolleranza al rischio non possono
restare materia da specialisti: devono entrare nelle decisioni del board.
La Bce lega l’iniziativa anche al Dora, il regolamento europeo sulla resilienza operativa
digitale. Le norme insomma già impongono alle banche di fare un salto in avanti nelle
capacità di difesa informatica. Nel dettaglio significa, annota la Bce, ottimizzare i propri
processi, spesso legati a vecchie e lente logiche, per proteggere in fretta i propri sistemi
esposti su Internet; rafforzare il monitoraggio e la risposta agli attacchi; controllare meglio
fornitori terzi e tanto altro ancora.
La Bce è chiara: le banche restano pienamente responsabili anche per i rischi che arrivano dai
servizi informatici esternalizzati. In un settore che dipende sempre di più da cloud e software
di terzi, questo è forse il punto più problematico.
