La vigilanza bancaria europea ha chiesto ai maggiori istituti dell’UE di presentare entro fine ottobre piani per rafforzare sistemi interni, fornitori tecnologici e capacità di risposta agli incidenti. Il timore è che modelli AI avanzati, capaci di individuare vulnerabilità e generare exploit, possano amplificare i rischi cyber nel sistema finanziario.

Le grandi banche europee dovranno spiegare come intendono affrontare i rischi legati ai modelli avanzati di intelligenza artificiale. Secondo Politico, la richiesta arriva dalla Banca centrale europea, che ha chiesto ai principali istituti vigilati di predisporre entro la fine di ottobre piani d’azione specifici.

La presidente del Consiglio di vigilanza della BCE, Claudia Buch, ha scritto ai CEO delle maggiori banche dell’Unione europea chiedendo di rafforzare i sistemi interni, verificare l’affidabilità dei fornitori tecnologici esterni e migliorare le capacità di risposta, recupero e gestione delle crisi.

Il punto non è l’uso ordinario dell’AI nei servizi bancari, ma il rischio sistemico generato dai modelli di frontiera. Alcuni sistemi avanzati, come Mythos di Anthropic, vengono descritti come dotati di capacità cyber molto potenti. Il timore dei regolatori è che strumenti di questo tipo possano rendere più veloce l’individuazione di vulnerabilità software e la generazione di exploit funzionanti.

AI cyber e il rischio per i sistemi ICT delle banche

Nelle lettere inviate agli amministratori delegati, Buch avverte che i nuovi modelli AI sono in grado di identificare vulnerabilità software e produrre exploit a una velocità senza precedenti, riducendo il tempo tra scoperta della falla e sfruttamento della stessa.

Per le banche, questo scenario ha implicazioni dirette sulla riservatezza, integrità e resilienza dei sistemi ICT. Un attacco più rapido e automatizzato potrebbe colpire infrastrutture critiche, servizi digitali, reti interne, sistemi di pagamento o ambienti gestiti da fornitori terzi.

La BCE chiede quindi alle banche di non limitarsi a valutazioni generiche, ma di definire azioni concrete: aggiornamento delle infrastrutture, verifica dei presidi di sicurezza, controllo delle dipendenze tecnologiche e rafforzamento dei meccanismi di incident response.

Nessuna sanzione immediata, ma confronto tra banche

Secondo Politico, al momento non sono previste sanzioni per gli istituti che non dovessero rispettare la richiesta. Tuttavia, la BCE potrà usare i piani ricevuti per confrontare il livello di preparazione delle diverse banche e avviare successivi approfondimenti con gli operatori meno avanzati.

È un approccio di vigilanza preventiva. Francoforte vuole capire se il sistema bancario europeo sia preparato a un salto di qualità del rischio cyber, prima che l’uso malevolo dell’AI produca incidenti su larga scala.

Il tema riguarda anche i fornitori esterni. Molti servizi bancari dipendono da provider tecnologici, cloud, software house e piattaforme terze. Se uno di questi soggetti diventa un punto debole, il rischio può propagarsi oltre il singolo istituto.

L’allarme dell’ESRB sui rischi sistemici

Nella stessa giornata, anche l’European Systemic Risk Board, l’organismo europeo che monitora i rischi per la stabilità finanziaria, ha pubblicato un avvertimento sui rischi cyber sistemici derivanti dai modelli AI di frontiera.

Secondo l’ESRB, questi modelli devono essere trattati dal settore finanziario come una fonte di rischio sistemico. Il pericolo maggiore è la propagazione degli incidenti attraverso colli di bottiglia operativi, come sistemi di pagamento, clearing e settlement.

Se un attacco cyber colpisse questi nodi, l’impatto potrebbe andare oltre la singola banca e generare shock per l’intero sistema finanziario. Senza un’azione coordinata a livello europeo, avverte l’ESRB, questi rischi potrebbero trasformarsi in vulnerabilità strutturali, aumentando la probabilità di un evento sistemico.

Il piano di Bruxelles sull’AI cyber

Nelle stesse ore, la Commissione europea ha presentato un piano d’azione sull’AI applicata alla cybersecurity, con l’obiettivo di costruire una risposta comune ai rischi dei modelli avanzati. Bruxelles vuole mettere insieme Stati membri, industria, ENISA, Ufficio AI e organizzazioni europee per valutare i modelli prima del mercato, testarne l’uso in ambienti sicuri e definire condizioni trasparenti di accesso alle capacità più avanzate.

Per questo il piano europeo punta su tre assi: valutazione dei modelli di frontiera, accesso controllato alle capacità AI più avanzate e piattaforme sicure di test, anche per settori critici come finanza, energia, sanità, trasporti e pubblica amministrazione. La Commissione prevede inoltre una capacità europea di valutazione cyber dei modelli AI, operativa dal 2027, e una grande sfida europea per sviluppare soluzioni AI per la cybersecurity.

Vai al sito di Cybersecurity Italia.

L'articolo AI cyber, la BCE chiede alle banche piani d’azione sui rischi dei modelli di frontiera sembra essere il primo su CyberSecurity Italia.