(AGENPARL) - Roma, 5 Giugno 2024 - (AGENPARL) – mer 05 giugno 2024 Le interconnessioni tra Intelligenza Artificiale, Cloud
e Cyber nel settore finanziario
Alessandra Perrazzelli
Vice Direttrice Generale della Banca d’Italia
Cetif Summit. Innovation Trends in Finance 2024: Journey to AI, Cloud e Cyber
Milano, 5 giugno 2024
Signore e Signori, buongiorno.
Ringrazio gli organizzatori di questo evento per avermi invitata a discutere oggi temi di
rilevante interesse per il settore finanziario, quali l’Intelligenza Artificiale (IA), il cloud e
il cyber risk.
Si tratta di tre aspetti fortemente interconnessi, non solo dal punto di vista del business,
ma anche da quello delle funzioni istituzionali attribuite alla Banca d’Italia, come la
vigilanza prudenziale e di tutela, la sorveglianza sul sistema dei pagamenti e la stabilità
finanziaria.
Le opportunità collegate alle nuove tecnologie e il presidio dei relativi rischi sono due
facce della stessa medaglia. Gli intermediari in grado di trovare un equilibrio tra queste
due componenti potranno ottenere un rilevante vantaggio competitivo da un utilizzo
più spinto della leva tecnologica.
Nel mio intervento passerò in rassegna i principali elementi che caratterizzano queste
soluzioni tecnologiche, soffermandomi sugli effetti e le esternalità generate dalla loro
diffusa adozione sul sistema bancario, finanziario e dei pagamenti1.
Prima di iniziare, vorrei però esprimere il cordoglio mio personale e della Banca d’Italia
per la recente scomparsa del Magnifico Rettore, il Prof. Franco Anelli. La dedizione
del Prof. Anelli verso l’Università Cattolica, ma più in generale verso la produzione
e la diffusione della conoscenza, sono d’esempio per tutti noi e per il Paese. Il nostro
affettuoso pensiero va ai familiari e a tutti coloro che hanno avuto la fortuna di
conoscerlo.
Ringrazio Michele Lanotte, Simona Gallina, Luca Cusmano e Gabriele Bernardini, che mi hanno assistito
nella preparazione di questo intervento.
I riflessi dell’innovazione tecnologica sul sistema finanziario
Nelle prime riflessioni sui potenziali impatti del fintech sugli operatori già presenti sul
mercato, si è a lungo discusso del rischio che le società innovative – più all’avanguardia,
agili e meno regolamentate – potessero erodere consistenti quote di mercato a scapito
degli intermediari “tradizionali”.
L’esperienza maturata ha dimostrato che sino a oggi questo rischio non si è manifestato.
Stiamo, infatti, osservando che il rapporto tra banche e fintech sta evolvendo, da un
piano di competizione diretta a uno di collaborazione.
Tale tendenza è confermata dagli esiti della recente indagine della Banca d’Italia sul
settore fintech, finalizzata ad analizzare la trasformazione digitale e le prospettive di
innovazione del nostro sistema finanziario2.
L’indagine evidenzia un aumento dei progetti di investimento effettuati dagli intermediari,
realizzati spesso attraverso la collaborazione con imprese tecnologiche, allo scopo di
impiegare tecnologie o professionalità non disponibili all’interno e di accelerare i tempi
di realizzazione dei progetti. Rispetto alla precedente rilevazione, sono aumentati sia la
percentuale di intermediari che ha stretto rapporti di collaborazione (dal 46 al 51%), sia
il numero di accordi (da 330 a 470 unità).
Un’ulteriore opzione per realizzare i progetti fintech è l’acquisizione diretta di
partecipazioni in aziende specializzate nella fornitura di servizi di information technology
(IT): nel 2023 il valore delle operazioni ha superato 1,1 miliardi di euro, pari a cinque volte
l’ammontare osservato nel 2021.
La trasformazione digitale del sistema finanziario nelle sue diverse componenti è in atto
e interessa pressoché tutti i profili: governance, business model e gestione dei rischi.
L’aumento degli investimenti in tecnologie innovative è stato costante negli ultimi anni:
tra il 2021 e il 2024 la spesa per progetti fintech è stimata in quasi 1,9 miliardi di euro. La
crescita non è, tuttavia, uniforme: gli investimenti sono concentrati su un numero limitato
di grandi operatori, a cui è riconducibile l’87,5% della spesa totale connessa ai progetti
di investimento.
Le tecnologie più utilizzate sono le piattaforme web-mobile, l’intelligenza artificiale
(IA) e le Application Programming Interface (API), mentre il cloud computing – pur non
comparendo tra le prime posizioni per numero di progetti – è la prima tecnologia per
spesa complessiva (circa 90 milioni di euro, con un tasso di crescita del 50% in due anni). Le
aree di business maggiormente interessate dalla digitalizzazione sono l’intermediazione
creditizia e i pagamenti, ciascuna delle quali assorbe circa il 40% della spesa totale.
Trattandosi di una tecnologia più matura, i progetti di cloud computing sono solitamente
in uno stato più avanzato. Per gli intermediari il cloud è un modo efficiente e flessibile per
dotarsi di risorse IT a costi relativamente più contenuti; ciò, tuttavia, comporta la quasi
completa esternalizzazione di una funzione essenziale, perché trasversale a pressoché
tutti i processi di business.
Banca d’Italia, “Indagine Fintech nel sistema finanziario italiano”, aprile 2024.
L’indagine conferma altresì la crescente adozione dell’IA: il 72% degli intermediari italiani
ha già adottato tecnologie IA in almeno un’area della propria attività – prevalentemente
contact center/help desk; gestione delle frodi, servizi di investimento e credito – con un
incremento annuo del 10%.
L’impiego dell’IA e della Robotic Process Automation nell’erogazione del credito si sta
progressivamente ampliando a tutte le fasi del processo, dallo screening al monitoring,
automatizzando il calcolo dello score creditizio della clientela.
L’IA trova infine spazio nella gestione documentale e nella funzione di compliance,
come confermato anche dall’ultima rilevazione della Convenzione Interbancaria per
l’Automazione (CIPA)3.
I risultati dell’indagine evidenziano dunque che il sistema si sta muovendo nella giusta
direzione, sebbene a una velocità che dovrebbe essere superiore: è infatti necessario
continuare a investire per non rimanere indietro rispetto a soggetti operanti in altre
giurisdizioni, soprattutto per quanto riguarda le soluzioni basate sull’IA.
Secondo uno dei principali information provider di mercato, gli investimenti in IA
continuano a registrare a livello mondiale un aumento significativo4: i dati alla fine del
primo trimestre di questo anno segnalano un aumento del 24% nei finanziamenti rispetto
al trimestre precedente, per un controvalore superiore ai 13 miliardi di dollari americani.
Analizzando la distribuzione geografica degli investimenti, gli Stati Uniti si confermano
l’area leader tanto per numero di transazioni (389, circa la metà del totale), quanto per
ammontare degli investimenti (oltre 9 miliardi di dollari). Seguono a distanza l’Asia con
il 22% (166 deal per 1,9 miliardi di dollari) e l’Europa con il 20% (150 deal per 1,6 miliardi
di dollari).
In una prospettiva comunitaria, un adeguato flusso di investimenti pubblici e privati a
supporto del processo di digitalizzazione – che potrebbe essere agevolato da un mercato
dei capitali comune – è una condizione fondamentale per lo sviluppo delle imprese
europee, come ribadito anche nelle conclusioni del recente Consiglio dell’Unione Europea5.
A partire da novembre 2022, il settore dell’IA è balzato all’attenzione dei mass media a
seguito del lancio sul mercato di alcuni algoritmi di tipo generativo – come ChatGPT –
in grado di creare contenuti originali, come testi, immagini, video e persino codici. Le
informazioni che abbiamo raccolto attraverso l’interazione con gli operatori di mercato
– confermate anche dalle rilevazioni condotte nell’ambito del Single Supervisory
Mechanism – suggeriscono tuttavia che l’uso dell’IA generativa nel settore bancario è
ancora nelle prime fasi di diffusione, anche se osserviamo un forte interesse da parte
degli operatori.
CIPA e ABI, “Rilevazione sull’IT nel settore bancario italiano. Profili economici e organizzativi”, ottobre
2023.
CBInsights, “State of AI – Global Q1 Report 2024” (pagg. 8-10), 8 maggio 2024.
Consiglio dell’Unione Europea, Comunicato stampa del 24 maggio 2024.
Secondo l’Università di Stanford, nel 2023 i finanziamenti per l’IA generativa sono quasi
raddoppiati rispetto al 2022, superando i 25 miliardi di dollari. Anche in questo caso Stati
Uniti e Cina guidano gli investimenti nel settore6.
Gli investimenti per creare sistemi di IA generativa sono talmente elevati che solo pochi
operatori possono sostenerli. La stessa Università di Stanford riporta che per addestrare
ChatGPT-4, OpenAI ha speso circa 78 milioni di dollari, mentre Google avrebbe investito
oltre 190 milioni per l’addestramento di Gemini Ultra. Non sorprendentemente, lo sviluppo
di questi algoritmi è al momento appannaggio delle “BigTech” americane e cinesi.
Lo sviluppo di soluzioni di IA generativa può rappresentare un significativo “salto
tecnologico”, per tutto il sistema finanziario. Bisogna però procedere con cautela e
considerare i diversi profili di potenziale criticità, sui quali mi soffermerò più avanti.
Il dialogo con il mercato
Il dialogo continuo con il mercato è un elemento imprescindibile per raccogliere
informazioni utili a monitorare l’evoluzione del sistema finanziario e i possibili use case,
a individuare nuovi strumenti per misurare i rischi e a definire la risposta regolamentare
capace di favorire la “buona innovazione”, quella cioè in grado di coniugare nuovi servizi
con l’integrità del mercato e la tutela dei risparmiatori.
Negli ultimi tre anni la Banca d’Italia ha dedicato significative risorse al potenziamento
dei canali di dialogo con il mercato, che noi definiamo “facilitatori di innovazione”,
in quanto pensati per intercettare le diverse esigenze degli operatori e per supportarli
nelle varie fasi di sviluppo dei loro progetti innovativi: faccio riferimento al Canale Fintech,
a Milano Hub e al Sandbox regolamentare.
Sono strumenti efficaci per comprendere e approfondire i rischi e i benefici che i progetti
del settore fintech possono comportare: i nostri canali di dialogo vogliono assicurare il
sostegno al mercato tramite il confronto sulle idee più innovative, la collaborazione nel
loro sviluppo progettuale, la messa a punto, il rispetto dei necessari presidi.
Dalla sua costituzione nel 2017, il Canale Fintech ha sviluppato oltre 200 interlocuzioni
con gli operatori del mercato. Le iniziative che prevedono l’utilizzo di soluzioni di IA
congiuntamente ad altre tecnologie sono passate, non sorprendentemente, dal 20% del
2022 al 35% del 2023. Tra i progetti ammessi alla Sandbox Regolamentare, l’IA figura tra
le tecnologie più utilizzate. La prima call for proposal di Milano Hub, dedicata all’IA, ha
visto l’arrivo di oltre 40 progetti diversi, a testimonianza della vivacità del sistema.
A questo proposito consentitemi una brevissima digressione: tra poche ore sarà annunciata
la terza call for proposal di Milano Hub, un evento su cui la Banca d’Italia ha lavorato
alacremente, che ci auguriamo possa essere un ulteriore tassello verso la modernizzazione
del nostro sistema finanziario.
Stanford University, “Artificial Intelligence Index Report 2024”.
Il dialogo con gli stakeholder è favorito anche dal confronto svolto dalla Banca d’Italia
con le altre autorità di settore che gestiscono innovation facilitators – per esempio,
nell’ambito dello European Forum of Innovation Facilitators (EFIF7) – e con altri innovation
hub internazionali (come quello della Bank for International Settlements)8.
Il quadro regolamentare
L’innovazione tecnologica è un driver fondamentale per la crescita del Paese, del sistema
finanziario e dei singoli intermediari, in quanto consente di incrementare la qualità dei
servizi offerti – anche in termini di rapidità di utilizzo, rendendoli più in linea con le
esigenze delle nuove generazioni – nonché di recuperare margini di efficienza.
Allo stesso tempo, l’utilizzo delle tecnologie comporta per sua natura nuovi rischi – in
primis di natura cibernetica, visto l’aumento della superficie di attacco – che devono
essere opportunamente presidiati per consentire un’innovazione “sostenibile”.
Le Istituzioni europee sono consapevoli di entrambi gli aspetti. Affinché l’Europa si
affermi come digital player globale – capace di coniugare progresso tecnologico,
stabilità finanziaria e protezione dei consumatori – nel 2020 la Commissione Europea
ha sviluppato un approccio all’innovazione sostenibile, con la pubblicazione del “Digital
Finance Package”9.
Sono state adottate specifiche iniziative normative per presidiare adeguatamente i rischi
associati all’innovazione – come il rischio IT, con il “Digital Operational Resilience Act”
(DORA) – ovvero alle nuove tecnologie (come l’IA, con l’“AI Act”). Un focus particolare
è stato dedicato dal legislatore al settore dei pagamenti al dettaglio quale volano per il
processo di digitalizzazione, individuando specifiche strategie per supportarne la crescita
(la “Digital Retail Payment strategy”).
Dalla DORA discenderà l’introduzione di poteri di oversight sulle “terze parti” ritenute
critiche, nonché l’esigenza di rafforzare i presidi interni di banche e intermediari.
L’architettura istituzionale è molto complessa e richiederà un impegnativo periodo di
messa a punto, tuttavia arricchisce in modo significativo lo strumentario a disposizione
dell’Europa per gestire i profili di resilienza operativa, oggi particolarmente critici e
delicati per l’incremento degli incidenti operativi e degli attacchi cibernetici.
Nelle scorse settimane si sono conclusi i lavori concernenti il regolamento in materia
di IA, la cui pubblicazione avverrà a breve. Il regolamento entrerà in vigore in tutte le
sue parti entro due anni dalla pubblicazione, per consentire agli operatori di adeguare i
propri sistemi operativi.
Partecipano all’EFIF tutte le Autorità nazionali che gestiscono innovation facilitators (per il nostro
Paese, Banca d’Italia, CONSOB e IVASS) e le tre Autorità di supervisione europee.
La Bank for International Settlements (BIS) ha avviato nel 2019 il “BIS Innovation Hub” con l’obiettivo
di acquisire conoscenze approfondite sulle innovazioni tecnologiche e sviluppare beni pubblici nel
settore tecnologico per sostenere l’attività delle banche centrali e migliorare il funzionamento del
sistema finanziario globale.
Commissione Europea, “Digital finance package”, 24 settembre 2020.
Si tratta del primo tentativo a livello internazionale di disciplinare l’IA attraverso un
provvedimento normativo organico, basato su un principio di neutralità tecnologica,
finalizzato anche a favorire la creazione di un mercato unico di queste applicazioni.
Il regolamento – che trova applicazione in tutti i settori – classifica i modelli IA in base
al rischio di impatto negativo sui diritti fondamentali delle persone fisiche, associando a
ciascuna classe di rischio un crescente livello di requisiti e obblighi da rispettare. Presidi
rafforzati sono previsti nel caso di utilizzo di sistemi IA di tipo generativo.
Specifiche previsioni sono individuate per i settori bancario e assicurativo, per tener conto
delle loro peculiarità e dell’articolata regolamentazione che caratterizza i due comparti.
L’obiettivo è quello di dare vita a un quadro normativo chiaro e ben definito, in modo da
ridurre gli oneri di compliance per i soggetti vigilati.
A titolo meramente esemplificativo vorrei ricordare che il regolamento classifica come
potenzialmente ad alto rischio i sistemi di IA utilizzati per la valutazione del merito
creditizio, nonché il risk assessment ed il pricing nell’ambito dei prodotti assicurativi vita
e salute.
In vista della prossima entrata in vigore del regolamento comunitario sull’IA, il 23 aprile
scorso il Consiglio dei Ministri ha approvato il disegno di legge recante disposizioni e
delega al Governo in materia10. In tale contesto, il provvedimento individua tra l’altro le
autorità nazionali competenti per l’applicazione del regolamento. Sono tuttora in corso
riflessioni per valutare eventuali opportuni adattamenti all’articolato per ciò che concerne
il settore finanziario prima della sua approvazione.
I profili di attenzione
L’adozione di tecnologie innovative da parte del settore finanziario solleva questioni di
grande rilevanza per le autorità di vigilanza e di sorveglianza. Tre aspetti complementari
meritano a mio avviso particolare attenzione: (i) l’impatto sulla governance e sui sistemi
di controllo degli operatori vigilati; (ii) le connessioni tra AI, cloud e rischi cyber; (iii) i
riflessi per le autorità nello svolgimento delle proprie funzioni istituzionali.
Dal primo punto di vista, la capacità di gestire adeguatamente il rischio tecnologico è
sempre più un fattore strategico; di conseguenza, è necessario che i sistemi di controllo
interno siano efficaci nel presidiare i maggiori rischi IT collegati al più ampio ricorso alla
leva tecnologica.
Allo stesso tempo, occorre che le competenze in materia di innovazione siano disseminate
nei vari snodi della struttura organizzativa, affinché siano adottate le soluzioni tecnologiche
più funzionali alle caratteristiche operative, economiche e strategiche dell’intermediario.
Investire nella formazione e nell’acquisizione di talenti sarà cruciale per il successo di
questa trasformazione.
Presidenza del Consiglio dei Ministri, Comunicato Stampa del 23 aprile 2024.
Non meno importante è la consapevolezza da parte degli investitori stabili che gli
investimenti in innovazione possono avere ritorni economici positivi diluiti nel tempo,
tuttavia sono necessari per assicurare la capacità competitiva della società e per garantirne
la sostenibilità del modello operativo.
Presidi rafforzati sono fondamentali nello sviluppo e nell’utilizzo dell’IA, tecnologia che ha
il potenziale di esporre gli intermediari a nuove categorie di rischi, come la discriminazione
algoritmica o la manipolazione dei dati utilizzati per addestrare i modelli stessi.
È essenziale garantire che l’utilizzo dell’IA sia etico e trasparente. Da un lato, non possiamo
permettere che questa tecnologia – anche in maniera fortuita – generi contenuti dannosi;
dall’altro, dobbiamo essere in grado di capire come questi sistemi prendono le decisioni,
mantenendo un ruolo attivo della componente umana nelle scelte.
L’impatto della diffusione dell’IA deve essere ancora valutato e dipenderà – come
recentemente sottolineato dalla BCE11 – da come saranno affrontate le sfide legate ai
dati, allo sviluppo dei modelli e alla loro diffusione, sia a livello di singola istituzione, sia
di sistema finanziario nel suo complesso.
Questo ci porta al secondo punto che ho sollevato, ossia le connessioni tra AI, cloud e
rischi cyber.
Lo sviluppo di soluzioni tecnologiche beneficia di enormi economie di scala, che rendono
conveniente per il singolo operatore ricorrere a provider esterni, i quali, tuttavia, tendono
ad avere dimensioni molto più ampie rispetto a quelle del soggetto servito e a operare
in mercati molto concentrati12.
Per il singolo intermediario si pongono innanzitutto questioni di “forza contrattuale”,
che possono tradursi in minore capacità di ottenere condizioni economiche favorevoli,
scarsa personalizzazione del rapporto e, più in generale, ridotta attenzione da parte del
fornitore, con potenziali riflessi negativi sulla qualità dei prodotti e servizi offerti, nonché
sulla competitività.
In ottica macro-prudenziale, la concentrazione del mercato dei fornitori di tecnologia e
la mancanza di alternative prontamente accessibili possono determinare un aumento dei
rischi operativi e delle esternalità negative tipiche del “too-big-to-fail”.
Si tratta di un tema noto, già emerso con l’outsourcing dei servizi di cloud computing.
Il mercato del cloud è di fatto controllato da poche aziende di grandi dimensioni, che
spesso offrono contemporaneamente un ampio ventaglio di servizi IT, inclusi prodotti
collegati all’IA.
La crescente esternalizzazione di servizi IT comporta quindi un aumento del rischio di
terza parte, sia a livello di singola entità (cioè pochi fornitori a sostegno di molte funzioni
di uno stesso intermediario) sia di sistema (pochi provider al servizio di una molteplicità
di intermediari).
Banca Centrale Europea, Financial Stability Review, maggio 2024.
A oggi poco più della metà degli investimenti è stata indirizzata verso quattro società; tra queste quasi
un quarto verso la sola OpenAI.
Ulteriori minacce alla stabilità finanziaria possono derivare dall’interconnessione tra
IA, cloud e sistemi di gestione del rischio cyber, dal momento che molti sistemi di
monitoraggio e presidio contro attacchi cibernetici si basano proprio sull’utilizzo
dell’IA.
L’impegno dei policy maker, dei regolatori e delle autorità di supervisione su questi
profili di rischio è elevata. Tuttavia, è fondamentale che gli intermediari adottino
visioni unitarie e strategie accorte per poter gestire i rischi emergenti dai rapporti con
fornitori relativamente “nuovi” per il mondo bancario, eppure divenuti in poco tempo
indispensabili.
Elevata è anche l’attenzione della supervisione sugli attacchi cibernetici mirati agli
intermediari, ai loro effetti idiosincratici e sistemici. È importante quindi che gli intermediari
segnalino adeguatamente e tempestivamente alle autorità eventuali incidenti informatici
ai sensi dei relativi schemi di incident reporting.
Un’ultima considerazione riguarda la provenienza dei grandi provider tecnologici, in larga
parte insediati in paesi extra-europei. Le recenti innovazioni normative – come il DORA –
hanno l’obiettivo di introdurre presidi stringenti anche per gli attori globali che operano
nel mercato unico. Tuttavia, per rimanere al passo con gli sviluppi tecnologici, è cruciale
che anche l’Europa faccia crescere i propri provider, capaci di supportare le esigenze di
business degli intermediari europei.
Estremamente importante è, inoltre, il ruolo della cooperazione internazionale, per
contribuire ad assicurare regole omogenee tra le varie aree del mondo ed evitare
una “competition in laxity” per un settore nel quale la dimensione idiosincratica può
rapidamente generare rischi per la stabilità finanziaria complessiva, data la forte
interconnessione con i soggetti vigilati.
Arrivando al terzo punto, l’innovazione digitale rappresenta una sfida anche per le
Autorità.
Alla luce dei nuovi compiti loro affidati dal nuovo contesto regolamentare, le Autorità si
dovranno dotare – ora più che in passato – di risorse in grado di valutare adeguatamente
le iniziative innovative, valorizzandone il contenuto strategico, ma anche avendo contezza
dei rischi strategici, organizzativi e operativi a esse connaturati.
L’innovazione chiede di aggiornare le proprie competenze e il proprio strumentario. La
Banca d’Italia – anche nel più ampio contesto del Meccanismo di Vigilanza Unico – ha da
tempo avviato progetti tesi a sviluppare strumenti Suptech in grado di sfruttare in modo
efficiente l’ampio patrimonio informativo disponibile, anche facendo leva su tecnologie
innovative.
Poche settimane fa, la Banca d’Italia ha altresì avviato una selezione di personale – la
prima nel suo genere – dedicata esclusivamente a candidati con competenze in data
science, da impegnare “nell’utilizzo e nella gestione di big data, anche con la finalità di
applicare tecniche di machine learning e di intelligenza artificiale a supporto dei processi
decisionali”.
Conclusioni
Il contesto in cui operiamo è caratterizzato dalla complessità e dalla rapidità del
cambiamento. Il mancato governo di questi due fattori può generare rischi per i singoli
operatori, ma anche incidere in modo significativo sulla stabilita del sistema, a causa
dell’interconnessione tra operatori, provider tecnologici, mercati e sistemi di pagamento.
Le nuove tecnologie offrono opportunità di sviluppo, trasformano rischi noti e creano
nuove vulnerabilità. Il crescente ricorso a infrastrutture digitali come il cloud, l’utilizzo di
sistemi per la gestione del rischio IT/cyber e la più recente introduzione dell’IA nei processi
aziendali rappresentano una combinazione di fattori che, se non opportunamente
monitorati e presidiati dalle competenti funzioni aziendali, possono comportare lo
sviluppo di un ecosistema di mercato meno resiliente.
Emblematico è a questo proposito il ruolo dell’IA, che se da un lato consente di individuare