Il 18 dicembre 2024, l'Autorità federale di vigilanza sui mercati finanziari (FINMA) ha pubblicato la comunicazione di vigilanza 08/2024 su governance e gestione dei rischi nell'uso dell'intelligenza artificiale. In Svizzera non esiste una legge specifica sull'IA per i mercati finanziari; la FINMA si basa sui requisiti esistenti, tecnologicamente neutrali e basati su principi, per una governance e una gestione dei rischi efficaci.
La comunicazione si rivolge agli istituti assoggettati. Per altri settori non è uno standard vincolante — ma un utile quadro orientativo quando banche, assicuratori o gestori patrimoniali acquistano o dispiegano l'IA.
Messaggio centrale
Gli istituti che utilizzano l'IA devono considerare attivamente gli effetti sul proprio profilo di rischio e allineare di conseguenza governance, gestione dei rischi e sistemi di controllo. Il parametro è la dimensione, la complessità, la struttura e il profilo di rischio dell'istituto nonché la materialità delle applicazioni e la probabilità che i rischi si concretizzino.
Aree di rischio osservate
Secondo la FINMA, i rischi riguardano soprattutto:
- i rischi operativi, in particolare i rischi di modello (robustezza, correttezza, bias, spiegabilità);
- i rischi IT e cyber;
- la crescente dipendenza da terzi (hardware, modelli, cloud) in un mercato concentrato;
- i rischi giuridici e reputazionali;
- una ripartizione poco chiara delle responsabilità in caso di sviluppo decentralizzato e sistemi difficilmente spiegabili.
Cosa esamina la FINMA nella vigilanza (selezione)
Governance
Steering centrale, responsabilità chiare per sviluppo, attuazione, sorveglianza e utilizzo, requisiti di test, standard di documentazione, formazione. In caso di outsourcing: test aggiuntivi, controlli, disposizioni contrattuali su responsabilità e responsabilità civile nonché esame delle capacità dei terzi.
Inventario e classificazione del rischio
Definizione sufficientemente ampia di IA, inventario completo e criteri coerenti per le applicazioni che, per materialità, richiedono particolare attenzione. La FINMA ha osservato in modo critico definizioni troppo strette volte a cogliere «solo i grandi rischi».
Qualità dei dati
Requisiti e controlli per completezza, correttezza e integrità dei dati; garanzia di disponibilità e accesso. Per soluzioni acquistate, l'influenza limitata sui dati di addestramento è spesso un rischio noto.
Test e monitoraggio continuo
Test di accuratezza, robustezza, stabilità e, se del caso, bias; indicatori di prestazione predefiniti; rilevamento di data drift; analisi dei casi in cui gli output sono stati corretti o ignorati manualmente; considerazioni sul fallback.
Documentazione e spiegabilità
Per le applicazioni materiali: finalità, selezione dei dati, scelta del modello, misure di prestazione, assunzioni, limiti, test, controlli e fallback. I risultati devono essere tracciabili e plausibilizzabili per le decisioni critiche.
Esame indipendente
Per le applicazioni materiali: parere obiettivo, informato e imparziale sull'adeguatezza e l'affidabilità — separato dallo sviluppo.
Derivazioni pratiche per l'acquisto
Anche se non siete voi stessi assoggettati alla FINMA, i clienti FINMA chiedono tipicamente:
- Esiste un inventario IA con classe di rischio?
- Chi è owner per modello, dati e esercizio?
- Quali test e soglie di monitoraggio sono documentati?
- Come è coperto contrattualmente e operativamente il rischio di terzi (LLM cloud, API)?
- Le decisioni possono essere spiegate a clienti, audit e vigilanza?
Avvertenza
Questa pagina è informativa e non costituisce consulenza legale o di vigilanza. Fanno fede la comunicazione FINMA e le disposizioni sui mercati finanziari applicabili al vostro istituto.