I supervisori dell'UE sollecitano una governance unificata del rischio AI e una supervisione DORA per il settore finanziario

Il 31 luglio 2026 l'Autorità bancaria europea (EBA), l'Autorità europea delle assicurazioni e delle pensioni professionali (EIOPA) e l'Autorità europea dei mercati finanziari (ESMA) hanno rilasciato una dichiarazione congiunta che invita a un approccio di vigilanza trasversale, basato sul rischio e coerente per mitigare i rischi ICT derivanti dai modelli di intelligenza artificiale (AI) di frontiera. La dichiarazione esorta inoltre le entità finanziarie ad adottare strutture di governance robuste e ad applicare il Digital Operational Resilience Act (DORA) ai fornitori terzi ICT critici (CTPP).

Dichiarazione congiunta e contesto normativo

Il comunicato stampa pubblicato da ESMA conferma che i tre elementi fondamentali della proposta, vigilanza trasversale, supervisione basata sul rischio e governance allineata a DORA, sono al centro della risposta delle ESA ai nuovi vettori di rischio cyber legati all'AI. Il documento fa riferimento al Piano d'azione della Commissione UE su cybersicurezza e AI, nonché alle linee guida dell'European Systemic Risk Board (ESRB), dell'European Union Agency for Cybersecurity (ENISA) e del Meccanismo unico di vigilanza. Ancorando le nuove aspettative di vigilanza nei quadri normativi esistenti, le ESA mirano a evitare una frammentazione regolamentare garantendo al contempo che le istituzioni finanziarie adottino salvaguardie coerenti.

Settore bancario: negoziazione dei contratti e resilienza operativa

Per le banche, la richiesta di una supervisione DORA più stringente si traduce in un probabile cambiamento nel modo in cui gestiscono i contratti con i fornitori di servizi cloud e altri fornitori ICT che ospitano o elaborano modelli AI di frontiera. Ai sensi di DORA, le banche devono garantire che i fornitori terzi critici rispettino standard di resilienza rigorosi, comprese le obbligazioni di segnalazione degli incidenti e i test regolari dei controlli di sicurezza. La dichiarazione delle ESA indica che i supervisori esamineranno se le banche hanno integrato valutazioni del rischio AI nei criteri di selezione dei fornitori e se gli organi di governance, come i comitati di rischio, hanno una chiara responsabilità per le esposizioni cyber legate all'AI.

In pratica, le banche potrebbero dover rinegoziare i service‑level agreement (SLA) per includere clausole sulla trasparenza dei modelli AI, diritti di audit e notifiche obbligatorie di violazione. L'enfasi della vigilanza su un approccio basato sul rischio suggerisce che le istituzioni con una maggiore esposizione ad algoritmi di trading alimentati dall'AI, modelli di scoring creditizio o strumenti di rilevamento delle frodi saranno soggette alla supervisione più intensiva. Sebbene la dichiarazione non prescriva soglie quantitative specifiche, chiarisce che la lente di supervisione sarà calibrata sulla materialità del rischio ICT legato all'AI all'interno del profilo operativo di ciascuna banca.

Assicurazioni e pensioni: protezione dei dati degli assicurati

Le compagnie assicurative e i fondi pensionistici professionali si trovano in una posizione analoga per avvertire l'impatto delle indicazioni delle ESA. La dichiarazione sottolinea la necessità di una governance robusta dei modelli AI che elaborano grandi volumi di dati personali e sanitari. Ai sensi di DORA, gli assicuratori devono dimostrare che i loro CTPP siano in grado di resistere a attacchi cyber che potrebbero compromettere le informazioni degli assicurati o interrompere i sistemi di gestione dei sinistri alimentati dall'AI.

Ci si attende che i supervisori esaminino se gli assicuratori hanno integrato indicatori di rischio AI nei loro quadri di gestione del rischio a livello aziendale e se effettuano stress‑test regolari delle piattaforme di underwriting abilitate dall'AI. La natura trasversale della richiesta delle ESA implica che i regolatori assicurativi coordineranno le attività con i supervisori bancari e dei mercati per garantire che standard comparabili vengano applicati in tutto l'ecosistema finanziario. Tale coordinamento potrebbe portare a ispezioni congiunte di vigilanza focalizzate sulla governance AI, sulle salvaguardie della privacy dei dati e sulla resilienza dei servizi ICT esternalizzati.

Gestori di fondi e mercato più ampio: effetti a valle sui fornitori ICT

I gestori di fondi, che si affidano sempre più all'AI di frontiera per la costruzione di portafogli, l'analisi del rischio e la reportistica ai clienti, dovranno inoltre allineare le loro pratiche di approvvigionamento ICT alle aspettative DORA delineate nella dichiarazione congiunta. Le ESA osservano che la supervisione dei fornitori terzi ICT critici è una leva fondamentale per mitigare il rischio sistemico. Di conseguenza, i gestori di fondi potrebbero dover affrontare requisiti di due diligence più stringenti quando integrano piattaforme cloud che ospitano strumenti di analisi basati sull'AI.

Dal lato dei fornitori, le imprese ICT che forniscono infrastrutture AI al settore finanziario possono prevedere una supervisione più rigorosa. Il riferimento della dichiarazione a "governance robusta" implica che i fornitori dovranno fornire documentazione dettagliata sulla provenienza dei modelli, sui flussi di addestramento dei dati e sui controlli di sicurezza. Il mancato rispetto degli standard allineati a DORA potrebbe comportare azioni di vigilanza, incluse restrizioni all'accesso al mercato per i fornitori non conformi.

Ciò che rimane incerto

La dichiarazione congiunta non specifica una tempistica per l'implementazione del regime di vigilanza potenziato, né quantifica i costi di conformità attesi per le istituzioni finanziarie o i fornitori ICT. Le ESA hanno inoltre evitato di dettagliare come monitoreranno l'efficacia del nuovo quadro di governance una volta attuato. Di conseguenza, gli operatori di mercato seguiranno le indicazioni successive della Commissione europea e delle autorità di vigilanza nazionali per chiarire gli obblighi di segnalazione e i meccanismi di applicazione.

Gli analisti prevedono che l'approccio coordinato delle ESA genererà un'ondata di rinegoziazioni contrattuali e revisioni delle politiche interne tra banche, assicuratori e gestori di fondi per tutta la seconda metà del 2026. L'enfasi su una metodologia basata sul rischio e trasversale suggerisce che le istituzioni con le implementazioni AI più avanzate saranno le prime a percepire la pressione della vigilanza, mentre le imprese più piccole potranno ricevere una supervisione proporzionale.

In assenza di obiettivi quantitativi dettagliati, il messaggio principale per gli operatori del mercato finanziario è chiaro: il panorama di vigilanza per il rischio ICT legato all'AI sta passando da indicazioni frammentate e settoriali a un quadro unificato ancorato a DORA. Le imprese che integrano proattivamente la governance del rischio AI nei loro programmi di resilienza operativa saranno probabilmente in grado di gestire la transizione più agevolmente rispetto a quelle che considerano la supervisione dell'AI un ripensamento.