L’intelligenza artificiale sta entrando rapidamente nei servizi finanziari: come viene accompagnato questo processo dalle autorità di settore? Oggi la sfida non è più soltanto la regolamentazione della tecnologia: considerando il potenziale dell’AI, bisogna accompagnarne l’adozione con una corretta governance, per non compromettere stabilità, resilienza e fiducia.
Il 14 luglio 2026 l’HM Treasury ha pubblicato il Financial Services AI Adoption Plan, un rapporto indipendente commissionato dal governo britannico che traduce in una roadmap operativa le evidenze raccolte negli ultimi anni sull’uso dell’intelligenza artificiale nel settore finanziario. È interessante confrontare le indicazioni contenute nel Financial Services AI Adoption Plan del Governo britannico con le Considerazioni di policy elaborate da OCSE e Banca d’Italia nel rapporto sull’intelligenza artificiale nei mercati finanziari italiani (il rapporto “L’intelligenza artificiale nei mercati finanziari italiani – From Analysis to Action” di OECD e Banca d’Italia del 24 aprile 2026, i cui risultati sono commentati nel precedente articolo: “AI nel settore finanziario: dall’adozione alla governance, il confronto UK – Italia”).
I due documenti nascono in contesti differenti: il piano britannico è fortemente orientato a creare le condizioni per accelerare l’adozione dell’AI nel settore finanziario; il rapporto di OCSE si concentra maggiormente sulle condizioni necessarie per una diffusione sicura e responsabile dell’AI nel mondo finanziario. Mettendo a confronto le raccomandazioni, emerge in ogni modo una convergenza molto significativa.
Il messaggio di fondo è comune: con l’AI siamo di fronte a un importante cambio di paradigma, questa tecnologia, data la sua rilevanza, deve entrare nella governance, nella gestione dei rischi e nei meccanismi di resilienza degli operatori finanziari.
Dalla sperimentazione allo scaling
La differenza di prospettiva tra i due Paesi riflette innanzitutto un diverso livello di maturità.
Nel Regno Unito l’AI comincia a essere ampiamente diffusa nel settore finanziario (era adottata dal 75% degli operatori nel 2024, come leggiamo in “AI nel settore finanziario: dall’adozione alla governance, il confronto UK – Italia”): il problema principale diventa quindi come passare dai singoli progetti a un utilizzo più esteso e sistematico. Il Financial Services AI Adoption Plan assume esplicitamente lo scaling dell’AI come una priorità strategica. In Italia, invece, l’adozione è ancora più disomogenea, ma la sperimentazione e il numero di casi d’uso stanno crescendo rapidamente, soprattutto per quanto riguarda la GenAI. La priorità diventa quindi creare le condizioni affinché questa sperimentazione possa trasformarsi in un’adozione industriale, evitando che la velocità dell’innovazione superi quella della capacità di governarla.
Veniamo alle Raccomandazioni: i principi comuni dei due documenti sono molti.
Più chiarezza normativa, non necessariamente più regole
La prima area di convergenza riguarda il quadro regolatorio: sia il Regno Unito sia l’Italia riconoscono che uno dei principali ostacoli all’adozione dell’AI è l’incertezza su come applicare le regole esistenti ai nuovi casi d’uso. Il piano britannico punta quindi su un approccio principles-based e outcomes-focused, chiedendo ai regolatori di chiarire come i framework esistenti — dal model risk management all’operational resilience, fino al third-party risk — debbano essere applicati all’AI.
Il rapporto OCSE-Banca d’Italia arriva a una conclusione molto simile: le autorità dovrebbero fornire maggiore chiarezza agli operatori, semplificare e coordinare il quadro normativo e adottare un approccio proporzionato e basato sul rischio, evitando requisiti eccessivamente prescrittivi. L‘obiettivo non deve essere necessariamente creare nuove regole per l’AI, ma rendere più chiaro come quelle esistenti si applichino all’AI. Questo è particolarmente importante in un settore fortemente regolamentato come quello finanziario, nel quale l’incertezza normativa può diventare un freno concreto all’innovazione.
L’AI entra nella governance aziendale
Una seconda convergenza riguarda la governance: nel modello delineato dal Regno Unito, l’AI deve essere ricondotta all’interno dei framework già esistenti di model risk management, operational resilience, third-party risk e consumer protection, chiarendo responsabilità e accountability.
Il rapporto italiano sottolinea analogamente il ruolo del Consiglio di amministrazione, della strategia AI, della gestione dei rischi operativi, legali e reputazionali, della data governance, della model governance e della supervisione umana. La direzione è quindi comune: l’AI deve diventare una componente della governance complessiva dell’impresa, non un progetto tecnologico separato.
Questo passaggio è fondamentale soprattutto con l’aumentare della complessità dei modelli e del loro grado di autonomia. Più un sistema AI incide sui processi decisionali dell’organizzazione, più diventa necessario sapere chi lo ha autorizzato, chi lo controlla, quali rischi comporta e chi risponde delle sue decisioni.
Un problema comune: la dipendenza dalle terze parti tecnologiche
Se c’è un tema che negli ultimi anni ha acquisito una rilevanza crescente è quello della third-party dependency. Come visto analizzando lo stato dell’arte nel settore finanziario, l’AI dipende infatti sempre più da infrastrutture cloud, foundation model, dati e servizi tecnologici forniti da operatori esterni. Con una crescente concentrazione: gli stessi operatori servono un numero molto elevato di banche, assicurazioni e altri intermediari.
Il problema, quindi, non è più soltanto quello di valutare il rischio di un singolo fornitore per la singola azienda: se molte istituzioni finanziarie utilizzano lo stesso cloud provider o lo stesso foundation model, un incidente presso quel provider può avere conseguenze simultanee su una parte significativa dell’intero sistema finanziario.
Il Regno Unito affronta esplicitamente questo problema attraverso il regime dei Critical Third Parties, proponendo di considerare anche i provider AI e cloud nell’ambito dei soggetti che possono generare rischi sistemici. Il piano propone inoltre forme di AI third-party assurance, per evitare che ogni singola istituzione debba replicare gli stessi processi di verifica sui medesimi fornitori. Anche il rapporto italiano sottolinea la necessità di rafforzare la governance delle terze parti e la cooperazione nella supervisione dei provider tecnologici.
La convergenza è quindi particolarmente significativa: la dipendenza tecnologica dall’AI provider sta diventando una questione di resilienza finanziaria, non soltanto di procurement o vendor management.
Cybersecurity e operational resilience diventano parte della governance dell’AI
La cybersecurity e la resilienza operativa – come visto dall’analisi dello stato dell’arte – è oggi ai primi posti nella lista delle priorità che accompagna l’adozione dell’AI. Come viene affrontato il tema nei due Paesi per il settore finanziario? Il Regno Unito propone di rafforzare la resilienza attraverso:
- gestione dei Critical Third Parties;
- condivisione di incident e near miss;
- sistemi di AI third-party assurance;
- maggiore coordinamento tra settori;
- attenzione alla concentrazione dei provider.
Il rapporto italiano propone a sua volta di rafforzare la AI cyber-resilience, preparare gli operatori agli attacchi avversari e alle vulnerabilità dei modelli e integrare gli scenari AI nei framework esistenti, compresi DORA e TIBER-EU.
Il principio sottostante è molto importante: l’AI non deve essere considerata un nuovo rischio completamente separato, ma deve essere integrata nei sistemi esistenti di cyber e operational resilience. Questo significa, ad esempio, che la gestione di un modello AI dovrebbe essere collegata agli stessi processi di risk assessment, business continuity, incident management e third-party risk management già utilizzati dall’organizzazione.
L’intelligenza artificiale, in altre parole, non elimina i framework di sicurezza esistenti: ne amplia il perimetro.
Servono nuove competenze, ma non solo quelle tecniche
Un altro punto comune riguarda le competenze. Dal confronto emergono considerazioni interessanti: da un lato, non mancano soltanto data scientist o AI engineer. Il piano britannico richiama infatti la necessità di sviluppare competenze AI anche tra:
- board e senior management;
- risk manager;
- funzioni legali;
- personale operativo;
- dipendenti a contatto con la clientela.
Il rapporto italiano segue una direzione analoga, chiedendo di rafforzare le competenze degli operatori e delle stesse autorità di vigilanza.
La diffusione dell’AI richiede quindi una nuova forma di AI literacy organizzativa: un’organizzazione finanziaria deve essere in grado non soltanto di sviluppare o acquistare un modello, ma anche di comprenderne i limiti, valutarne i rischi, interpretarne i risultati e intervenire quando il comportamento del sistema non è coerente con gli obiettivi.
Regolatori e industria devono sperimentare insieme
Entrambi i documenti attribuiscono inoltre un ruolo importante alla collaborazione tra pubblico e privato. Il Regno Unito punta su strumenti come AI Lab, Live Testing e Supercharged Sandbox, mentre in Italia esistono strumenti quali la sandbox regolamentare, il Milano Hub e il Canale Fintech.
L’obiettivo è simile: creare ambienti nei quali gli operatori possano sperimentare nuove applicazioni AI prima che queste vengano implementate su larga scala, consentendo contemporaneamente alle autorità di comprenderne meglio rischi e implicazioni.
La vigilanza non viene più vista soltanto come un’attività ex-post, chiamata a intervenire quando una tecnologia è già stata introdotta, ma anche come un processo di confronto e sperimentazione ex-ante. Il regolatore deve conoscere la tecnologia abbastanza bene da poterla governare.
Dati, interoperabilità e sovranità tecnologica
L’Italia dedica particolare attenzione alla creazione di framework sicuri e interoperabili per il data sharing, all’Open Finance, alle API e agli European Data Spaces. Il Regno Unito insiste maggiormente su infrastrutture dati, accesso, portabilità tra provider e resilienza delle infrastrutture. Il punto di fondo è lo stesso: non è possibile scalare l’AI senza una solida infrastruttura di dati e senza ridurre le dipendenze tecnologiche eccessivamente concentrate.
Ed è qui che si introduce il tema della sovranità tecnologica: il piano britannico considera la diversificazione dei provider, la disponibilità di capacità di calcolo e lo sviluppo di competenze domestiche elementi importanti della resilienza. Il rapporto italiano guarda a sua volta a infrastrutture europee, AI Factory, collaborazione tra industria, università e settore pubblico e utilizzo di modelli open-weight come possibili strumenti per rafforzare la capacità tecnologica europea.
Il Regno Unito più avanti sull’Agentic AI
Dal confronto dei due documenti dei Regolatori emerge poi una differenza interessante. Il piano britannico dedica una raccomandazione specifica agli agentic payments, affrontando questioni come responsabilità, autenticazione, governance e il concetto di Know Your Agent. In sostanza affronta il problema di andare oltre l’AI generativa tradizionale.
Se un sistema AI non si limita più a produrre un testo o un’analisi, ma può prendere decisioni e compiere autonomamente un’azione finanziaria, chi è responsabile di quella decisione? Come si autentica l’agente? Come si verifica che abbia l’autorizzazione a operare? E come si gestiscono eventuali errori o comportamenti malevoli? Considerando quanto avvenuto di recente (gli incidenti registrati sia da Anthropic sia da OpenAI, con agenti di intelligenza artificiale che evolvono e si adattano per raggiungere i propri obiettivi, in modo imprevedibile e anche malevolo) è evidente che la tematica è di grande attualità.
Nel rapporto italiano questi temi sono presenti soprattutto attraverso le raccomandazioni su human oversight, accountability, explainability e governance, ma non raggiungono ancora lo stesso livello di specificità rispetto all’uso degli agenti autonomi nelle transazioni finanziarie.
In conclusione
Regno Unito e Italia possono avere livelli di adozione differenti e possono trovarsi in fasi diverse del processo di maturazione, ma le condizioni considerate necessarie per un’adozione sostenibile sono molto vicine. Entrambi i documenti individuano almeno sette priorità:
- Regulatory clarity. Regole chiare, coordinate e proporzionate al rischio.
- AI governance. Responsabilità e accountability integrate nella governance aziendale.
- Third-party resilience. Controllo della dipendenza da cloud, foundation model e AI provider.
- Cyber & operational resilience. Integrazione dei rischi AI nei framework di sicurezza e resilienza esistenti.
- Skills & AI literacy. Competenze diffuse oltre i soli team tecnologici.
- Public-private innovation. Sandbox e sperimentazione congiunta tra operatori e autorità.
- Data & technological sovereignty. Dati affidabili, interoperabilità, infrastrutture e diversificazione dei provider.
Il confronto tra le raccomandazioni UK e italiane porta infine a una considerazione più ampia. La prima fase dell’AI nei servizi finanziari è stata caratterizzata dalla domanda: “Dove possiamo utilizzare l’intelligenza artificiale?”. La seconda fase è stata: “Come possiamo ottenere valore dall’AI?”. La fase che si sta aprendo sembra invece essere: “Come possiamo scalare l’AI mantenendo controllo, resilienza e fiducia?”
È questo il passaggio che rende le raccomandazioni delle autorità particolarmente significative. Quando l’AI viene utilizzata in pochi progetti sperimentali, il rischio può essere gestito prevalentemente a livello di singola organizzazione. Quando invece diventa una tecnologia infrastrutturale utilizzata da banche, assicurazioni, asset manager e infrastrutture di mercato, i rischi possono propagarsi attraverso l’intero ecosistema finanziario. La concentrazione dei provider, la dipendenza dal cloud, la qualità dei dati, la vulnerabilità dei modelli, la crescente automazione delle decisioni e, in prospettiva, l’autonomia degli agenti AI diventano quindi questioni di resilienza sistemica.
Ed è probabilmente questo il principale punto di convergenza tra Regno Unito e Italia: l’adozione dell’AI non può essere separata dalla capacità di governarla. La competitività futura del settore finanziario non dipenderà soltanto da chi riuscirà a utilizzare prima l’intelligenza artificiale, ma da chi riuscirà a portarla su scala mantenendo il controllo sui dati, sui modelli, sui fornitori e sulle decisioni che questi sistemi contribuiscono a prendere. In questo senso, la cybersecurity non rappresenta un capitolo separato dell’AI strategy. È una delle condizioni fondamentali perché quella strategia possa essere realmente sostenibile.
A cura di: Elena Vaciago, Research Manager, TIG – The Innovation Group
Fonti: Financial Services AI Adoption Plan, HM Treasury, 14 July 2026; “L’intelligenza artificiale nei mercati finanziari italiani – From Analysis to Action” di OECD e Banca d’Italia del 24 aprile 2026.
Credits immagine; designed by Freepik – Magnific.com
