FINMA e intelligenza artificiale: diffusione ampia, governance limitata

Con la sua ultima indagine, FINMA ha lanciato un segnale chiaro: l’intelligenza artificiale (IA) è ormai parte integrante dell’operatività quotidiana del mercato finanziario svizzero, in particolare presso banche e compagnie assicurative. Viene utilizzata soprattutto per l’ottimizzazione dei processi, la gestione dei sinistri, le attività di front-office e il risk management. Lo spettro spazia da sistemi basati su regole a modelli auto-apprendenti che influenzano sempre più le decisioni.

I progressi sono evidenti, ma disomogenei. Mentre l’innovazione tecnologica avanza e i primi casi d’uso vengono avviati, la governance resta spesso indietro. FINMA è diretta nella sua valutazione: a molti istituti mancano quadri interni chiari, le responsabilità non sono definite e le implicazioni dell’IA sull’esposizione al rischio, sull’accountability e sulla conformità normativa non vengono affrontate in modo strutturato.

Il risultato è una lacuna strutturale tra il potenziale tecnologico e il controllo istituzionale. L’IA viene utilizzata, ma spesso senza un’integrazione formale nella governance organizzativa. I meccanismi di controllo sono frammentati, reattivi o confinati all’interno di singoli dipartimenti, con scarso allineamento alle strutture GRC complessive. Ciò comporta rischi operativi, reputazionali e regolamentari significativi, in particolare per i casi d’uso critici.

Diffusione ampia, struttura limitata

Nonostante l’uso crescente dell’IA, molti istituti non dispongono ancora di un modello di gestione completo. Secondo FINMA, circa il 50% ha integrato l’IA in una strategia esplicita, ma l’attuazione rimane disomogenea. I quadri di governance esistenti si concentrano tipicamente sulla protezione dei dati, sulla cybersicurezza o sulla gestione dei dati, mentre le sfide specifiche legate ai sistemi algoritmici, come la spiegabilità, i bias o i rischi di automazione, vengono spesso trascurate.

Il grafico seguente, tratto dal rapporto FINMA, illustra in quali ambiti l’IA viene attualmente utilizzata: le banche sono in testa, con una forte concentrazione nell’ottimizzazione dei processi e nella categoria generica «Altre applicazioni».

Grafico: numero di applicazioni di IA per ambito e tipo di istituto. Fonte: 187 istituti con casi d’uso di IA approvati.

Questo utilizzo ampio e in parte non definito evidenzia l’urgente necessità di un quadro di governance dell’IA strutturato e specifico per ciascun istituto, che vada oltre l’IT o la protezione dei dati e affronti l’intera dimensione organizzativa, etica e regolamentare dell’IA.

La governance non è opzionale: è fondamentale

FINMA ha chiarito la propria posizione: sta monitorando da vicino il modo in cui gli istituti gestiscono l’IA e ne terrà conto sempre più nella propria attività di vigilanza. Allo stesso tempo, il prossimo EU AI Act introdurrà un quadro normativo vincolante, destinato a interessare anche le aziende svizzere con operatività transfrontaliera.

In questo scenario in evoluzione, le organizzazioni si trovano di fronte a domande cruciali:

• Come possono essere identificati e gestiti tempestivamente i rischi legati all’IA?

• Come può l’IA essere integrata nelle strutture GRC esistenti?

• Come si possono garantire trasparenza e verificabilità per le decisioni guidate dall’IA?

• Come possono essere soddisfatti i requisiti normativi in un contesto in rapida evoluzione?

Non si tratta solo di domande tecniche. Toccano il cuore del controllo organizzativo e devono quindi essere affrontate a livello di direzione.

Un approccio integrato: Swiss GRC e la governance dell’IA

In Swiss GRC ci occupiamo da tempo di come le strutture di governance debbano evolvere per stare al passo con gli sviluppi tecnologici. A nostro avviso, l’IA non richiede un universo di governance separato: deve essere integrata nei sistemi di controllo aziendali esistenti.

L’AI GRC Module di Swiss GRC è una componente pienamente integrata della nostra consolidata GRC Toolbox e si interfaccia perfettamente con:

• Enterprise Risk Management

• Sistema di controllo interno (ICS)

• Business Continuity Management (BCM)

• Third Party Risk Management (TPRM)

• Protezione dei dati e sicurezza delle informazioni (ISMS)

• Audit interno

Questo approccio integrato offre una visione a 360 gradi dei rischi legati all’IA, metodologicamente solida, verificata nella pratica e pienamente allineata ai quadri normativi attuali e futuri.

Immagine: cruscotto dell’AI GRC Module nella GRC Toolbox

Conclusione: usare l’IA, ma mantenerla sotto controllo

L’indagine FINMA mette in luce un aspetto chiaro: l’IA è già ampiamente diffusa, ma la governance non ha tenuto il passo. La sfida è concreta: l’adozione dell’IA accelera, ma il risk management, i meccanismi di controllo e le strutture di sorveglianza non si sviluppano allo stesso ritmo. Questo genera una tensione tra progresso tecnologico e accountability aziendale, con potenziali conseguenze sull’integrità dei sistemi, sulla conformità normativa e sulla fiducia nei processi decisionali automatizzati.

È il momento di ripensare la governance, non come un ripensamento tardivo, ma come fondamento strategico per un’implementazione dell’IA sicura, trasparente e pronta per il futuro.

Swiss GRC aiuta le organizzazioni a costruire esattamente questo fondamento: integrato, orientato alla pratica e perfettamente connesso alle strutture GRC esistenti.

Vuole scoprire come potrebbe apparire l’AI Governance nella sua organizzazione?
Prenoti oggi stesso un colloquio con il nostro team di esperti. Fissi un appuntamento.