Gli istituti meno significativi dovranno valutare l’esposizione ai rischi legati ai modelli avanzati dell’AI, individuare le carenze nei propri sistemi e definire interventi, tempi e investimenti. “Le nuove tecnologie possono ridurre drasticamente il tempo tra la scoperta di una vulnerabilità e il suo sfruttamento”.

La Banca d’Italia mette in guardia le banche di piccole e medie dimensioni sui rischi informatici legati ai modelli avanzati dell’AI, come Mythos di Anthropic.

Secondo una nota diffusa dall’organo bancario italiano, gli istituti meno significativi, le cosiddette Less Significant Institutions vigilate direttamente da Via Nazionale, dovranno predisporre entro il 31 dicembre una relazione sul proprio livello di esposizione al rischio e sull’adeguatezza delle misure di sicurezza esistenti.

Il documento dovrà individuare le principali carenze, stabilire le priorità di intervento e definire un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari. Il piano dovrà essere proporzionato al profilo di rischio e alla complessità dei servizi offerti dall’intermediario e dovrà precisare le modalità con cui il consiglio di amministrazione controllerà l’avanzamento dei lavori.

La comunicazione agli intermediari finanziari

Le indicazioni emergono da una comunicazione della Banca d’Italia rivolta alle Less Significant Institutions, inclusa BancoPosta, ma anche agli istituti di pagamento e di moneta elettronica, alle imprese di investimento, ai fornitori di servizi per le cripto-attività e alle società di gestione.

La relazione dovrà essere avviata nel corso di una riunione specifica del consiglio di amministrazione, in seduta congiunta con il collegio sindacale, durante la quale saranno esaminate le richieste formulate dalla Vigilanza.

Il tema dell’AI e delle sue conseguenze sul settore finanziario è stato affrontato anche dal governatore Fabio Panetta nelle ultime Considerazioni Finali. Banca d’Italia e Banca centrale europea hanno inoltre avviato contatti con le principali società attive nell’AI.

La Vigilanza di Francoforte ha organizzato nei giorni scorsi una riunione dedicata al tema, ha inviato una lettera agli amministratori delegati e ha chiesto alle maggiori banche europee di predisporre un piano d’azione entro la fine di ottobre.

Modelli AI capaci di individuare le vulnerabilità

Secondo la Banca d’Italia, le nuove tecnologie e in particolare i sistemi di AI stanno “trasformando il panorama della cybersicurezza” e pongono nuove sfide per la riservatezza, l’integrità e la resilienza dei sistemi informatici.

I modelli più recenti sono infatti in grado di “identificare le vulnerabilità dei sistemi software” e di “generare modalità di sfruttamento in tempi estremamente ridotti e senza la necessità di specifiche competenze tecniche”.

Queste capacità determinano una significativa riduzione dell’intervallo temporale tra l’individuazione delle vulnerabilità e il loro sfruttamento, aumentando il rischio che gli intermediari possano subire attacchi cyber.

Le nuove tecnologie potrebbero quindi “accrescere l’asimmetria fra attaccanti e difensori, a scapito di questi ultimi”. In questo scenario, il rafforzamento della resilienza digitale rappresenta per Bankitalia una “condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi finanziari affidabili”.

Responsabilità chiare e controllo dei fornitori

Le banche più piccole, che dispongono di risorse inferiori rispetto ai grandi gruppi, dovranno intervenire in diversi ambiti. Sul piano della governance, gli istituti dovranno assicurare «una chiara e puntuale attribuzione delle responsabilità» e rafforzare il controllo sui fornitori esterni.

L’organo di amministrazione dovrà inoltre disporre di “adeguate competenze tecnologiche” e di un “budget adeguato” per affrontare i rischi collegati all’evoluzione delle minacce informatiche.

Patch, monitoraggio e infrastrutture da modernizzare

Via Nazionale chiede agli intermediari di migliorare la gestione degli aggiornamenti e delle patch di sicurezza, di potenziare la capacità di individuare le anomalie in tempo reale e di modernizzare le infrastrutture informatiche.

Gli istituti dovranno anche rafforzare i test di resilienza operativa digitale, per verificare la capacità dei sistemi e dell’organizzazione di reagire agli incidenti e garantire la continuità dei servizi finanziari.

L’Italia segue la linea europea

La richiesta della Banca d’Italia agli intermediari meno significativi si inserisce nel percorso già avviato dalla Banca centrale europea, che ha chiesto alle maggiori banche dell’area euro di presentare entro il 31 ottobre 2026 piani specifici per affrontare la crescente minaccia dei nuovi sistemi di AI. In una lettera inviata agli amministratori delegati lo scorso 7 luglio, la presidente del Supervisory Board della BCE, Claudia Buch, ha avvertito che i modelli emergenti possono individuare vulnerabilità nei software e generare exploit funzionanti a una velocità senza precedenti, riducendo drasticamente il tempo tra la scoperta di una falla e il suo sfruttamento. “Si tratta di un cambiamento a lungo termine nel panorama delle minacce, non di un fenomeno temporaneo o di un rischio legato a un singolo strumento”, ha sottolineato Buch.

La BCE chiede quindi di accelerare la gestione delle vulnerabilità e delle patch, potenziare il monitoraggio e la difesa basati sull’AI, rafforzare i controlli sui fornitori ICT e proteggere prioritariamente le risorse esposte a Internet. Nel medio-lungo periodo, gli istituti dovranno inoltre modernizzare le infrastrutture obsolete, migliorare i sistemi di risposta e ripristino e prepararsi anche all’impatto del calcolo quantistico, avviando investimenti nella crittografia post-quantistica.

Vai al sito di Cybersecurity Italia.

L'articolo AI cyber, Bankitalia chiede il cyber stress test alle banche entro il 31 dicembre sembra essere il primo su CyberSecurity Italia.