Central bank AI: le regole USA sui fornitori terzi

Quattro agenzie, una data, un testo aperto ai commenti

Il dossier central bank AI ha ricevuto una risposta indiretta l'11 settembre 2026, quando quattro agenzie federali statunitensi hanno chiesto commenti su una guidance proposta per la gestione del rischio nei rapporti con terzi. Il comunicato congiunto^[1] porta la firma di Federal Deposit Insurance Corporation, Federal Reserve Board, National Credit Union Administration e Office of the Comptroller of the Currency.

Il testo nasce dall'esperienza di vigilanza delle agenzie e dalle lezioni raccolte negli esami sulle pratiche di gestione dei fornitori. Lo scopo dichiarato è aiutare banche e credit union ad allineare quelle pratiche al rischio del singolo rapporto.

La proposta adotta un approccio per principi. La guidance di vigilanza, per sua natura, resta priva di forza vincolante. I commenti sono dovuti entro sessanta giorni dalla pubblicazione nel Federal Register.

Il delta normativo: revoca, sostituzione, coerenza

Fino a oggi il settore lavora sulla guida interagenzia già in vigore in materia di rapporti con terzi.

Il comunicato annuncia il passo successivo con chiarezza. Una volta finalizzato il nuovo testo, le agenzie prevedono di revocare la guida esistente e di sostituirla con quella finale. L'obiettivo dichiarato: coerenza di vigilanza e innovazione prudente nel settore bancario.

Il delta riguarda il metodo, prima ancora del contenuto. Una guida per principi chiede alla banca di calibrare i controlli sul profilo del singolo fornitore. Un elenco di obblighi puntuali avrebbe dato al General Counsel una checklist con date certe.

Questa differenza pesa sul lavoro di chi prepara l'esame di vigilanza. Il perimetro resta ampio e la prova di adeguatezza cade sulla banca, che deve spiegare le proprie scelte di calibrazione con carte alla mano.

Core service provider: la tassonomia che governa la vigilanza

Con un atto separato, le stesse agenzie hanno pubblicato una dichiarazione sul rapporto tra banche di comunità e core service provider. Il documento indica alcuni fattori che le autorità considereranno nelle decisioni di vigilanza e di enforcement su quei rapporti.

La categoria descrive chi fornisce l'infrastruttura centrale di elaborazione: conti, pagamenti, scritture contabili, canali digitali. È la spina dorsale operativa di migliaia di istituti piccoli.

La tassonomia è lo strumento di governo più potente dell'intero pacchetto. Chi rientra nella categoria attira l'attenzione della vigilanza e un peso diverso al tavolo contrattuale. Chi resta fuori viaggia come fornitore ordinario, con controlli calibrati dalla banca stessa.

Una lettura diffusa vede in questa scelta un alleggerimento per gli istituti minori. Una lettura opposta la legge come un invito a documentare meglio la dipendenza da pochi fornitori concentrati. Il testo in consultazione regge entrambe le letture.

Dove finiscono i modelli affidati a un fornitore

Un motore di scoring del credito consegnato in cloud è, sul piano giuridico, un rapporto con un terzo. Vale lo stesso per un assistente conversazionale in filiale o per un sistema antiriciclaggio addestrato altrove.

Il comunicato dell'11 settembre 2026 annuncia principi uniformi per tutti questi rapporti. Una categoria dedicata ai modelli resta assente dal testo diffuso.

La scelta ha due letture legittime. La prima: i principi invecchiano meglio delle categorie tecniche, e un elenco chiuso di sistemi diventerebbe obsoleto in diciotto mesi. La seconda: la mancanza di una classe dedicata lascia alla banca l'onere di provare che il modello del fornitore è governato davvero.

Per il Chief Risk Officer la conseguenza è operativa. Il registro dei contratti e l'inventario dei modelli, tenuti quasi sempre da funzioni diverse, devono parlarsi prima del prossimo ciclo di esame.

Forza vincolante assente, effetti di vigilanza concreti

Una guidance priva di forza vincolante produce comunque conseguenze misurabili. L'esaminatore la usa come metro nel ciclo di controllo, e le carenze rilevate finiscono nei rilievi, nei piani di rimedio e, nei casi gravi, negli accordi formali.

Il tema corre anche fuori dagli Stati Uniti. Nel settembre 2026 il Financial Stability Board ha ospitato una tavola rotonda sulla collaborazione tra settore pubblico e privato per rafforzare la resilienza operativa (FSB, settembre 2026^[2]). La dipendenza da terzi occupa ormai i tavoli internazionali.

Le autorità monetarie parlano al mercato con dichiarazioni e interviste, uno strumento diverso dalla norma con articolo e sanzione. La Bank of England ha annunciato in questo registro un'intervista del Governatore nel settembre 2026 (Bank of England^[3]).

Il risultato è un quadro fatto di aspettative, dichiarazioni e prassi di esame. Date di entrata in vigore e sanzioni, tipiche del diritto europeo, restano fuori da questo perimetro.

Il segnale di governance: un nome, per iscritto, prima del deployment

Il segnale di governance è chiaro: la vigilanza statunitense affida alla banca la scelta dei ruoli interni e il disegno dei controlli.

La domanda che il General Counsel deve risolvere resta una, nella sostanza. Quale ruolo nominato dentro l'organizzazione risponde del comportamento del modello fornito da un terzo, per nome, per iscritto, prima del deployment?

L'Unione europea ha scelto un'altra strada. Il Regolamento (UE) 2024/1689 distingue fornitore e deployer, impone obblighi di trasparenza all'articolo 50 e classifica i sistemi ad alto rischio nell'Allegato III. La proposta nota come Digital Omnibus, tuttora in negoziato, sposta l'applicazione degli obblighi di alto rischio a dicembre 2027.

Una banca attiva su entrambe le sponde dell'Atlantico vive quindi due regimi. Accountability con un nome, audit trail e classificazione del rischio costruiti adesso valgono un vantaggio competitivo quando l'enforcement diventa serio.

Tre decisioni per il board

Il pacchetto dell'11 settembre 2026 apre una finestra di sessanta giorni dalla pubblicazione nel Federal Register. Il comitato audit e rischi ha materia per tre delibere.

1. Partecipazione alla consultazione: deliberare l'invio di un commento formale entro la scadenza, con posizione esplicita sui modelli forniti da terzi.
2. Mappa dei fornitori critici: approvare una revisione del registro contrattuale che identifichi i rapporti assimilabili a core service provider e i modelli incorporati in quei contratti.
3. Titolare con un nome: assegnare per iscritto a un ruolo esistente il ciclo di vita dei modelli di terzi, con riporto periodico al comitato.

Ogni delibera lascia traccia nel verbale. Il verbale è la prova che l'esaminatore chiede per prima, e la distanza tra governance e documentazione passa da lì.

Il Chief Compliance Officer trova qui il perimetro del proprio lavoro: diritti di audit, clausole di uscita, continuità operativa e livelli di servizio sui fornitori concentrati. Il CEO trova invece il vincolo strategico: la scelta del fornitore di modelli diventa una decisione di rischio, discussa in consiglio.

Regulatory horizon

Stato attuale: proposta in consultazione pubblica, priva di forza vincolante, aperta ai commenti per sessanta giorni dalla pubblicazione nel Federal Register.

Giurisdizione: Stati Uniti, banche e credit union vigilate da FDIC, Federal Reserve Board, NCUA e OCC. La revoca della guida esistente scatterà con la finalizzazione del nuovo testo, in una data ancora aperta.

Sul fronte europeo la scadenza rilevante per i sistemi ad alto rischio si colloca a dicembre 2027 nella proposta in negoziato. Gli obblighi di trasparenza dell'articolo 50 restano il riferimento per i sistemi rivolti al pubblico. Il quadro statale americano, intanto, continua a muoversi per posizione politica.

La domanda sull'esistenza di regole per i fornitori ha ormai una risposta. Una seconda domanda si è aperta: quale categoria accoglierà i modelli quando la guida finale sostituirà quella attuale.