Con due comunicazioni al mercato sostanzialmente identiche, Banca d'Italia e IVASS hanno chiesto ai soggetti vigilati di adeguare con tempestività i presidi di resilienza operativa digitale ai rischi derivanti da modelli avanzati di intelligenza artificiale.

I destinatari sono, da un lato, banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, IMEL, SIM, SGR, gestori di FIA, prestatori di servizi per le cripto-attività, piattaforme di crowdfunding e intermediari ex art. 106 TUB; dall'altro, imprese di assicurazione e riassicurazione con sede in Italia e rappresentanze di imprese extra SEE.

Le comunicazioni esprimono aspettative di vigilanza e si collocano sullo sfondo del Digital Operational Resilience Act (DORA), regolamento europeo sulla resilienza operativa digitale del settore finanziario applicabile dal 17 gennaio 2025, i cui requisiti mantengono piena valenza anche in questo contesto.

Casi di cronaca come la frode con voce clonata subita da Fideuram o l'esfiltrazione di dati di clienti Revolut tramite una PEC istituzionale compromessa confermano l'attualità del tema e la necessità di risposte rapide, soprattutto per garantire l'affidabilità degli intermediari nei confronti dei clienti, in settori caratterizzati da una significativa asimmetria informativa.