AI risk management in banca: cosa serve oggi

I modelli di intelligenza artificiale che la banca sta usando per rilevare frodi, velocizzare l'onboarding e generare insight per i clienti evolvono più in fretta di quanto i processi di validazione riescano a starci dietro.

Non è un'impressione isolata. Un recente report IBM Institute for Business Value, basato su un'indagine condotta su 100 dirigenti di risk, compliance e validation (RCV) di banche con oltre 10 miliardi di dollari di asset, fotografa esattamente questo scarto: le istituzioni finanziarie credono nel potenziale dell'AI, ma sanno di dover rafforzare in fretta i propri presidi di controllo prima di poterla scalare su larga scala.

Per un'azienda di consulenza come OT Consulting, che ogni giorno accompagna banche e istituti finanziari nell'adozione sicura di intelligenza artificiale e automazione, questi dati confermano una convinzione che portiamo avanti da tempo: l'innovazione tecnologica nel settore bancario non può più prescindere da un governo del rischio disegnato su misura per l'AI.

Dove l'intelligenza artificiale crea più valore (e dove le banche sono più caute)

Il report chiarisce subito le priorità dei dirigenti di rischio e compliance. Al primo posto per beneficio atteso c'è il fraud detection, indicato dal 61% degli intervistati, seguito da vicino dalla cybersecurity (52%) e da KYC e AML (45%). Sono gli ambiti dove i controlli manuali pesano di più sui costi operativi e dove il ritorno dell'automazione intelligente è più immediato da dimostrare.

Interessante è invece la cautela mostrata sui processi più "core" del banking: solo il 39% vede un forte valore nel credit risk e pricing, e appena il 28% nel market e liquidity risk. Il messaggio è chiaro: dove il rischio finanziario diretto è più alto, le banche preferiscono ancora affidarsi ai metodi quantitativi tradizionali, riservando all'AI un ruolo di supporto piuttosto che di sostituzione.

Allo stesso tempo, proprio KYC e AML vengono indicati come i processi più complessi da trasformare con l'AI (43% degli intervistati), perché richiedono di interpretare contesto, comportamento e normative in continua evoluzione, non solo di elaborare numeri.

Il vero collo di bottiglia: persone e competenze, non tecnologia

Se c'è un dato che dovrebbe far riflettere ogni funzione IT e HR del settore finanziario è questo: il 61% dei dirigenti RCV identifica la validazione dei modelli come l'area con il gap di competenze più critico, seguita dal risk control (46%). In altre parole, le banche non mancano di ambizione sull'AI: mancano di persone in grado di verificarne l'affidabilità prima e dopo il rilascio.

Questo è un tema che vediamo con chiarezza anche lavorando al fianco dei nostri clienti nel settore finanziario: l'adozione di soluzioni di Intelligent Automation e AI porta risultati concreti solo quando è accompagnata da un piano di formazione mirato su AI ethics, bias, interpretazione dei modelli e implicazioni normative e non solo su competenze tecniche di sviluppo.

Le tre priorità per scalare l'AI in azienda in sicurezza

Chiesti su quali iniziative servano davvero per scalare l'AI a livello enterprise mantenendo il rischio sotto controllo, i dirigenti RCV indicano tre priorità nette:

• Stress test simulations
  Simulare in anticipo le condizioni di stress per un modello AI, così da individuarne i punti deboli prima che vada in produzione, proprio come si fa da anni con i modelli di rischio di credito e mercato.
• Monitoraggio del rischio in tempo reale
  La capacità di intercettare deviazioni, drift o comportamenti anomali di un modello mentre sta già operando, e correggerli senza aspettare la revisione periodica successiva.
• Sviluppo di talenti e competenze
  Nessuno strumento di controllo, per quanto sofisticato, funziona senza persone capaci di interpretarne i segnali.

Il dato più scomodo del report, però, è un altro: solo il 25% delle istituzioni applica sistematicamente il monitoraggio in tempo reale agli use case AI a più alto rischio. Un divario enorme rispetto alla priorità dichiarata, che espone le banche a rischi di deriva dei modelli proprio dove le conseguenze di un errore sono più gravi.

Agentic AI e KYC: un esempio concreto di come cambia il lavoro dei compliance officer

Il report dedica un approfondimento a come l'agentic AI possa trasformare la Customer Due Diligence, oggi spesso un processo sequenziale che richiede giorni o settimane tra raccolta documenti, verifica e valutazione del rischio.

Con un livello di orchestrazione che coordina agenti paralleli capaci di raccogliere dati da fonti diverse e verificare l'autenticità dei documenti con tecnologie di riconoscimento ottico e linguaggio naturale, i tempi di revisione possono ridursi in modo significativo, con maggiore trasparenza sulle decisioni prese, ma questa efficienza regge solo se accompagnata da presidi precisi. Obiettivi espliciti definiti per ogni agente, guardrail comportamentali, monitoraggio continuo, meccanismi di apprendimento dei valori aziendali e benchmark di valutazione; senza questi checkpoint, la velocità dell'agentic AI diventa un rischio, non un vantaggio.

Un approccio proporzionato: non tutto l'uso dell'AI merita lo stesso livello di controllo

Un altro elemento utile emerso dal report riguarda il metodo con cui le funzioni di rischio stanno imparando a dosare i controlli: il criterio più adottato è la classificazione degli use case per livello di rischio complessivo (37%), seguito da touchpoint con il cliente (24%), sensibilità dei dati trattati (20%) e, solo al quarto posto, la cybersecurity (19%).

Questo approccio a livelli è esattamente la metodologia che applichiamo quando affianchiamo i clienti finanziari nella definizione delle proprie roadmap di adozione dell'AI: non tutti i casi d'uso richiedono lo stesso livello di supervisione, ma tutti richiedono una valutazione esplicita, documentata e ripetibile.

Sei azioni concrete per rafforzare rischio e compliance nell'era dell'AI

Sintetizzando le raccomandazioni del report insieme alla nostra esperienza diretta sul campo, ecco le direzioni su cui una banca o un istituto finanziario dovrebbe muoversi per primo:

1. Rafforzare la formazione, coprendo sia competenze tecniche (dati, modelli, programmazione) sia temi trasversali come etica dell'AI, bias e implicazioni legali.
2. Costruire resilienza organizzativa, con piani di fallback per i processi gestiti da agenti autonomi e ambienti sandbox per testare aggiornamenti senza rischi in produzione.
3. Potenziare il monitoraggio in tempo reale, con un framework unificato che tracci performance, qualità e costi su tutte le applicazioni AI, non solo su quelle più visibili.
4. Gestire il rischio di terze parti, definendo con team legal, procurement e IT accordi chiari su trasparenza, audit periodici e obblighi di disclosure dei fornitori AI.
5. Integrare la cybersecurity nel disegno dell'AI fin dall'inizio, non come controllo successivo, con test di red teaming e librerie di controlli standardizzate.
6. Ridefinire il ciclo di sviluppo software, stabilendo quando il codice generato da AI può essere usato senza revisione umana e quando invece serve un secondo controllo, con audit trail chiari su contributi umani e automatizzati.

Perché affidarsi a un partner esperto per governare il rischio AI

L'intelligenza artificiale nel settore bancario non è più solo un tema di innovazione, ma un tema di governance. Le banche che sapranno costruire per tempo le competenze, i controlli e i processi di validazione giusti saranno quelle in grado di scalare l'AI più velocemente e con meno sorprese rispetto a chi insegue l'innovazione senza un impianto di rischio solido alle spalle.

OT Consulting affianca da anni le aziende del settore finanziario nella progettazione di soluzioni di Intelligent Automation e intelligenza artificiale pensate per bilanciare innovazione, sicurezza e conformità normativa, dalla definizione della strategia fino alla messa a terra dei controlli operativi.

Cosa possiamo fare per la tua banca?