Banche e AI agentica: i regolatori chiedono kill switch e recovery

📌 In Sintesi

• Regolatori statunitensi ed europei stanno aumentando le richieste di informazioni alle banche sull’impiego di AI generativa e agentica.
• Il punto critico non è soltanto il modello: vigilanza e supervisione guardano a autonomia, autorizzazioni, accountability, fornitori e capacità di interrompere gli agenti.
• La recovery diventa parte del rischio AI: una banca deve poter continuare a operare anche se agenti, cloud o infrastrutture intelligenti diventano indisponibili o compromessi.

L’intelligenza artificiale agentica entra nella vigilanza bancaria prima ancora che esista una normativa specifica costruita intorno agli agenti. Federal Reserve, Office of the Comptroller of the Currency e FDIC negli Stati Uniti, insieme a BCE e Bank of England in Europa, stanno intensificando le domande rivolte agli istituti finanziari sull’utilizzo di modelli generativi e sistemi capaci di operare con livelli crescenti di autonomia. Il problema non è più soltanto se l’AI produca una previsione sbagliata o discrimini un cliente: un agente può utilizzare strumenti, eseguire procedure, interrogare sistemi interni e prendere una sequenza di decisioni senza che un operatore approvi ogni singolo passaggio. È il salto già evidente quando agenti dotati di wallet e accesso finanziario hanno trasformato autorizzazioni e revoca in controlli sistemici. Ora quel rischio entra direttamente nelle domande dei supervisori.

I regolatori chiedono alle banche chi può fermare un agente AI

La ricostruzione pubblicata da Reuters descrive autorità statunitensi ed europee impegnate a capire come le banche stiano introducendo modelli avanzati nei processi operativi. Tra i temi ricorrenti figurano livelli di autonomia, responsabilità delle decisioni, accesso ai sistemi, possibilità di interrompere rapidamente l’agente e controlli sui fornitori esterni. Non risulta al momento una nuova norma specifica né un divieto generalizzato: le autorità stanno raccogliendo informazioni e utilizzando strumenti di supervisione già esistenti per valutare se i controlli tradizionali restino adeguati. Il passaggio è rilevante perché il model risk management bancario nasce pensando a modelli che producono un output da sottoporre a un processo umano; un agente può invece trasformare l’output direttamente in un’azione.

Leggi anche: Microsoft tratta l’AI come insider threat: Nadella chiede il freno d’emergenza

Il vecchio model risk management non copre ancora gli agenti più avanzati

La lacuna è stata riconosciuta esplicitamente anche dall’OCC. Nella revisione 2026 delle proprie linee guida sul model risk management, l’autorità ha precisato che AI generativa e AI agentica restano fuori dal perimetro della guidance aggiornata perché considerate tecnologie nuove e in rapida evoluzione. Fed, FDIC e OCC hanno contemporaneamente indicato l’intenzione di approfondire attraverso ulteriori richieste di informazioni l’utilizzo dell’AI da parte delle banche. La separazione è significativa: validare un modello tradizionale significa verificare dati, assunzioni, performance e stabilità degli output; validare un agente significa anche controllare quali tool può chiamare, quale identità utilizza, quali transazioni può effettuare, quanto contesto conserva e in quali condizioni deve fermarsi. È una superficie molto più vicina alla gestione dei privilegi che al semplice machine learning.

Il kill switch deve funzionare anche quando l’agente ha già iniziato ad agire

La richiesta di poter interrompere un sistema autonomo sembra banale, ma diventa complicata nei workflow distribuiti. Un agente può aver già creato ordini, interrogato database, modificato una configurazione o avviato altri processi prima che un comportamento anomalo venga riconosciuto. Spegnere il modello non equivale necessariamente a revocare tutte le sue azioni downstream. È lo stesso principio che ha reso sensibile l’uso degli agenti in ambienti finanziari: l’errore diventa economicamente significativo quando il software dispone di credenziali, API e capacità operative reali. Nel settore bancario questo sposta l’attenzione verso autorizzazioni granulari, segregazione dei compiti, limiti transazionali, registrazione completa delle azioni e possibilità di revocare immediatamente token e sessioni.

Terze parti e cloud diventano parte del rischio del modello

La seconda questione riguarda la dipendenza dai fornitori. Molte banche non addestrano internamente i frontier model e dipendono da hyperscaler, API esterne, middleware, sistemi di orchestrazione e provider specializzati. Il rischio non consiste soltanto nella fuga dei dati. Una modifica del modello, del classificatore o delle policy del vendor può cambiare il comportamento dell’agente senza che la banca abbia modificato il proprio codice. Questo rende particolarmente importante la nuova attenzione dei supervisori al third-party risk, già rafforzata nel 2026 da Fed, FDIC, OCC e NCUA. La questione ricorda quanto emerso con Perplexity e i fondi sovrani che chiedono sistemi AI senza telemetria verso il produttore: nei workload più sensibili il vero controllo tecnologico inizia quando l’organizzazione può decidere anche cosa il vendor non può vedere o modificare.

La BCE guarda anche alla capacità di ricostruire la banca dopo un incidente

Sul versante europeo il tema si intreccia con la resilienza operativa. Secondo Reuters, i supervisori stanno chiedendo alle banche non soltanto come prevengano comportamenti anomali, ma quanto rapidamente possano ripristinare infrastrutture e dati dopo un attacco o un malfunzionamento grave. Il principio va oltre l’AI: se agenti, automazione e servizi cloud diventano parte dei processi critici, la banca deve mantenere procedure che consentano di ricostruire gli ambienti senza dipendere dallo stesso sistema eventualmente compromesso. Questa impostazione è coerente con DORA e con la crescente attenzione europea alle dipendenze ICT: innovazione e continuità operativa non possono essere gestite da funzioni separate.

Continua con:

Agenti AI con accesso al denaro: banche e crypto scoprono un nuovo rischio sistemico

ARTEX e Claude contro le banche: l’AI entra nel workflow dell’hacker

Per le banche l’AI diventa un problema di privilegi prima che di intelligenza

La nuova attenzione dei regolatori mostra quindi un cambio di paradigma. Il rischio bancario dell’AI non dipende soltanto da quanto il modello sia accurato, ma da ciò che gli viene permesso di fare quando sbaglia. Un chatbot che produce una risposta errata crea un problema informativo; un agente che dispone di credenziali, workflow e accesso operativo può produrre direttamente un incidente. Per questo kill switch, recovery, segregazione dei privilegi e controllo dei provider stanno entrando nel vocabolario della supervisione bancaria. Le autorità non stanno vietando l’AI agentica e non hanno ancora definito un regime separato, ma stanno ponendo la domanda che precede ogni regolamentazione seria: se un agente prende una decisione sbagliata alle tre di notte, chi può fermarlo, quali sistemi ha già toccato e quanto tempo serve alla banca per tornare operativa?