Il 18 dicembre 2024 l'Autorità federale di vigilanza sui mercati finanziari (FINMA) ha pubblicato la comunicazione di vigilanza 08/2024 relativa alla governance e alla gestione dei rischi nell'impiego dell'intelligenza artificiale. In Svizzera non esiste una legge sui mercati finanziari specifica per l'IA. La FINMA si basa sui requisiti esistenti, neutrali dal punto di vista tecnologico e basati su principi, relativi a una governance efficace e a una gestione dei rischi adeguata.
Le comunicazioni di vigilanza non sono ordinanze. Esse indicano quali rischi la FINMA osserva e cosa si aspetta e verifica presso gli istituti sottoposti a vigilanza. Per le imprese al di fuori del settore finanziario la comunicazione non si applica. Chi fornisce soluzioni di IA a banche, assicurazioni o gestori patrimoniali dovrebbe tuttavia conoscerla, poiché gli istituti trasmettono queste aspettative ai propri fornitori.
Messaggio chiave
Gli istituti che impiegano l'IA devono tenere attivamente conto degli effetti sul proprio profilo di rischio e orientare di conseguenza governance, gestione dei rischi e sistemi di controllo. Il metro di giudizio è costituito da dimensione, complessità, struttura e profilo di rischio dell'istituto, dalla rilevanza delle singole applicazioni e dalla probabilità che si concretizzino i rischi.
Rischi osservati dalla FINMA
Secondo la FINMA, i rischi riguardano in particolare:
- i rischi operativi, in particolare i rischi di modello quali mancanza di robustezza, correttezza, distorsioni (bias) e spiegabilità;
- i rischi IT e cibernetici;
- la crescente dipendenza da terzi (hardware, modelli, cloud) in un mercato concentrato;
- i rischi legali e reputazionali;
- le responsabilità poco chiare, quando i sistemi sono sviluppati in modo decentralizzato o sono difficilmente spiegabili.
Cosa verifica la FINMA nell'ambito della vigilanza (selezione)
Governance
Pilotaggio centrale, responsabilità chiare per sviluppo, attuazione, sorveglianza e utilizzo, prescrizioni su test e documentazione nonché formazione. Per le soluzioni esternalizzate, inoltre: test e controlli, regole contrattuali su responsabilità e obblighi di risarcimento, e una verifica se il fornitore dispone delle competenze necessarie.
Inventario e classificazione dei rischi
Una definizione di IA sufficientemente ampia, un inventario completo e criteri uniformi per individuare le applicazioni rilevanti che richiedono particolare attenzione. La FINMA ha osservato che alcuni istituti definiscono l'IA in modo talmente restrittivo che viene rilevata solo una parte delle applicazioni e dei rischi.
Qualità dei dati
Prescrizioni e controlli su completezza, correttezza e integrità dei dati, nonché sulla loro disponibilità e sull'accesso. Nel caso di soluzioni acquistate, gli istituti spesso non hanno alcuna influenza sui dati di addestramento; questo rischio deve essere conosciuto e gestito.
Test e sorveglianza continua
Test su precisione, robustezza, stabilità ed eventualmente bias; indicatori di prestazione definiti in anticipo; individuazione di cambiamenti nei dati (data drift); valutazione dei casi in cui i risultati sono stati corretti manualmente o non utilizzati; considerazioni sulla gestione dei guasti (fallback).
Documentazione e spiegabilità
Per le applicazioni rilevanti: scopo, selezione dei dati, scelta del modello, misure di prestazione, ipotesi, limiti, test, controlli e fallback. Per le decisioni importanti, i risultati devono essere tracciabili e motivabili in modo plausibile.
Verifica indipendente
Per le applicazioni rilevanti: una valutazione oggettiva, competente e imparziale sull'adeguatezza e l'affidabilità dell'applicazione, effettuata da persone non coinvolte nello sviluppo.
Cosa vogliono sapere gli istituti finanziari dai propri fornitori
Anche se non siete direttamente sottoposti alla vigilanza FINMA, gli istituti finanziari, in qualità di clienti, pongono tipicamente le seguenti domande:
- Esiste un inventario dell'IA con classificazione del rischio?
- Chi è responsabile del modello, dei dati e dell'esercizio?
- Quali test e soglie di sorveglianza sono documentati?
- In che modo i rischi derivanti da fornitori terzi (ad es. LLM cloud, API) sono coperti a livello contrattuale e operativo?
- I risultati possono essere spiegati alla clientela, alla società di audit e all'autorità di vigilanza?
Sono determinanti le leggi sui mercati finanziari e le circolari applicabili al rispettivo istituto, ad esempio in materia di esternalizzazione e rischi operativi. La comunicazione di vigilanza mostra in che modo la FINMA applica tali requisiti nell'impiego dell'IA.