Banche, stretta sui rischi cyber legati all’Intelligenza artificiale: nuovi piani di sicurezza richiesti dalla vigilanza

Nelle banche italiane si intensifica il lavoro per affrontare i nuovi rischi informatici legati alla diffusione dell’Intelligenza artificiale. Consigli di amministrazione e strutture tecniche degli istituti sono impegnati nella definizione di un’analisi strutturata delle minacce e di un piano d’azione specificamente dedicato alla sicurezza dei sistemi che utilizzano tecnologie di IA. La richiesta è arrivata nei mesi scorsi dalle autorità di vigilanza nazionali, Banca d’Italia e Ivass, insieme alla Bce, che esercita la supervisione diretta sugli istituti più rilevanti dell’area euro. Alle banche è stato chiesto di individuare e valutare i rischi cyber collegati all’impiego dell’Intelligenza artificiale e di predisporre adeguate misure di intervento. L’attenzione riguarda un insieme sempre più ampio di potenziali minacce, dagli attacchi informatici all’utilizzo improprio dei dati, fino alle vulnerabilità dei sistemi digitali. Il tema assume particolare rilevanza considerando la crescente presenza dell’IA nei processi bancari, dove queste tecnologie vengono utilizzate per l’analisi di grandi quantità di dati, l’automazione delle attività interne e lo sviluppo di servizi destinati alla clientela. Opportunità che, parallelamente, possono determinare nuove superfici di attacco e rendere necessario un aggiornamento dei tradizionali sistemi di controllo e protezione. Per le banche classificate come “significant”, ovvero gli istituti di maggiori dimensioni e rilevanza sistemica sottoposti alla vigilanza diretta della Bce, i tempi sono particolarmente stretti: la scadenza inizialmente prevista per la fine dell’anno è stata anticipata al 31 ottobre. Entro quella data i principali gruppi bancari dovranno quindi disporre di un quadro definito dei rischi informatici connessi all’IA e di un primo piano operativo per affrontarli. Per gli altri istituti sono previste tempistiche più ampie, ma la direzione indicata dalle autorità di vigilanza resta la stessa. A spingere Banca d’Italia, Ivass e Bce ad accelerare su questo fronte è soprattutto la rapidità con cui stanno evolvendo i sistemi di Intelligenza artificiale e, di conseguenza, le minacce potenzialmente associate al loro utilizzo. In particolare, l’attenzione si sarebbe concentrata sul nuovo modello Anthopic Mythos, ritenuto in grado di aggirare alcuni degli attuali standard di sicurezza. La possibilità che sistemi avanzati di IA riescano a superare meccanismi di protezione già esistenti rappresenta un elemento di particolare preoccupazione per il settore finanziario, dove la tutela dei dati sensibili dei clienti, la sicurezza delle transazioni e la continuità operativa dei servizi costituiscono requisiti essenziali. Le indicazioni della vigilanza, tuttavia, non si esauriscono nella predisposizione del piano. Il documento richiesto agli istituti rappresenta infatti soltanto il punto di partenza di un processo destinato a diventare permanente. L’obiettivo è superare la logica dell’adempimento una tantum e costruire invece un sistema capace di aggiornarsi continuamente in funzione dell’evoluzione tecnologica e delle nuove minacce. Un ruolo centrale sarà affidato agli organi di governo delle banche e, in particolare, ai consigli di amministrazione, chiamati ad acquisire una maggiore consapevolezza dei rischi collegati all’IA e a garantire risposte tempestive quando emergeranno nuove vulnerabilità. La velocità con cui si sviluppano i modelli di Intelligenza artificiale rende infatti necessario un monitoraggio costante, accompagnato dalla revisione periodica delle procedure, dei controlli interni e delle misure di sicurezza. Per gli istituti di credito si apre così una sfida su due fronti: da una parte sfruttare le potenzialità dell’IA per rendere più efficienti i processi, migliorare l’analisi dei dati e sviluppare nuovi servizi; dall’altra evitare che la crescente integrazione di queste tecnologie determini un aumento dell’esposizione alle minacce informatiche. La richiesta avanzata da Banca d’Italia, Ivass e Bce si inserisce proprio in questo delicato equilibrio tra innovazione e sicurezza, con l’obiettivo di fare in modo che l’accelerazione dell’Intelligenza artificiale nel settore finanziario proceda parallelamente al rafforzamento delle capacità di prevenzione, controllo e risposta agli attacchi cyber.