Il FSB affida ai board il rischio dell'AI nella finanza

Sul rischio dell'intelligenza artificiale in finanza, il Financial Stability Board ha scelto di parlare ai consigli di amministrazione prima che al sistema.

A ottobre 2026 il FSB ha consegnato al G20 il rapporto finale con 12 sound practices per un'adozione responsabile dell'AI^[1]. Sono pratiche volontarie. Il testo invita board e senior management a usarle come riferimento per strategia, scelte tecnologiche e gestione del rischio.

Il rapporto nasce dai rapidi progressi dell'AI generativa e dell'AI agentica, cioè sistemi che svolgono da soli compiti in più passaggi. Le pratiche sono divise in due gruppi. Il primo riguarda la governance dell'intera azienda, il secondo la gestione del rischio lungo tutta la vita di un modello.

L'ABA Banking Journal^[2] ha dato conto della versione finale, chiusa dopo una consultazione pubblica e un workshop.

La mia lettura è netta. La risposta al rischio AI arriva oggi come governance interna della singola banca. È la fase che precede le regole e la storia di Basilea lo mostra con precisione.

Basilea, 1974: prima i principi, poi il capitale

Il 26 giugno 1974 le autorità tedesche chiusero la Bankhaus Herstatt a metà della giornata di scambi. Le controparti in dollari restarono scoperte. A fine anno i governatori del G10 crearono a Basilea il Comitato per la vigilanza bancaria.

Il primo prodotto fu il Concordato del 1975. Era un testo volontario, privo di forza di legge. Divideva tra paese d'origine e paese ospite il compito di vigilare sulle filiali estere.

Tredici anni dopo arrivò il capitale.

Nel luglio 1988 l'accordo di Basilea fissò un rapporto minimo dell'8% tra capitale e attivi pesati per il rischio. Le banche dovevano rispettarlo entro la fine del 1992. I paesi lo tradussero poi in legge nazionale.

Il secondo caso è più vicino al tema di oggi. Nel gennaio 2013 il Comitato di Basilea pubblicò i principi BCBS 239 sulla raccolta dei dati di rischio, rivolti a board e senior management delle grandi banche globali.

Le banche dovevano adeguarsi entro il 2016. Nel maggio 2024 la BCE ha pubblicato una guida che trasforma quei principi in attese di vigilanza precise.

Lo schema è identico nei due casi. Prima arriva un testo per chi governa la banca, poi una regola che i vigilanti fanno rispettare.

A che punto siamo nel ciclo

Le 12 pratiche del FSB stanno nella prima casella di questo schema.

I verbi del testo lo dicono. Il board «allinea», l'azienda «definisce», «documenta», «valuta». È il lessico della governance, lo stesso del 1975 e del 2013.

• Pratica 1: il board lega l'adozione dell'AI a modello di business, propensione al rischio e strategia.
• Pratica 3: l'azienda documenta ogni uso dell'AI dentro il proprio quadro di gestione del rischio.
• Pratica 5: ogni caso d'uso viene pesato per rilevanza e rischio fin dall'inizio, poi nel tempo.
• Pratica 8: alcuni tipi di AI si spiegano meno di altri e dove serve l'azienda aggiunge controlli di compenso.

Il pattern è strutturale e copre decenni. Ogni nuova fonte di rischio bancario, dai cambi negli anni Settanta ai dati dopo il 2008, ha seguito la stessa sequenza.

Perché si comincia dal consiglio di amministrazione

Un regolatore scrive una regola di sistema quando sa misurare il rischio. Sull'AI quella misura manca ancora.

Le autorità sanno poco di quanti modelli usano le banche, da chi li comprano e per quali compiti. Per questo il primo passo chiede alle banche di contare e documentare. Quell'inventario diventa la base di dati su cui un vigilante potrà scrivere un requisito.

Il secondo motivo è il tempo. Un accordo sui requisiti tra le giurisdizioni del G20 richiede anni, mentre un testo volontario fissa subito un linguaggio comune.

Qui vedo il limite del documento.

Le pratiche guardano dentro la singola banca. Il rischio che mi preoccupa sta nei legami comuni, perché molte banche usano gli stessi pochi modelli e gli stessi fornitori di cloud. La pratica 6 sulla scelta dei modelli parla degli obiettivi e dei bisogni tecnici della singola azienda.

Una governance ben fatta in ogni banca lascia intatta questa dipendenza condivisa. Il rischio di sistema nasce proprio lì.

Tre conseguenze per chi gestisce capitale

1. Entro 24 mesi, la governance dell'AI entra nelle ispezioni. Le banche che oggi tengono un registro dei modelli spenderanno meno quando i vigilanti chiederanno prove. Chi investe in banche quotate può chiedere ai vertici se quel registro esiste e chi lo approva.
2. Entro 36 mesi, la dipendenza dai fornitori diventa il tema della seconda fase. Nei modelli di rischio attuali la dipendenza da pochi fornitori di AI pesa poco. Conviene simulare uno scenario in cui un grande fornitore resta fermo per giorni su più banche insieme.
3. Da subito, il racconto agli investitori va rivisto. Un'azienda che presenta l'AI come puro taglio di costi dovrà correggere i numeri quando arriveranno i costi di conformità. Meglio mettere in conto fin da ora la spesa per governance, dati e controlli.

Un codice di condotta che prepara la regola

La mia posizione è questa. Le 12 pratiche aprono la fase dei requisiti e chi le tratta come un punto d'arrivo legge male la storia della vigilanza.

Cambierei idea davanti a fatti precisi.

• Il FSB o il Comitato di Basilea dichiarano chiuso il lavoro sull'AI per i prossimi anni.
• BCE e PRA citano le pratiche come standard sufficiente, privo di seguito vincolante.
• I dati raccolti dalle banche mostrano una dipendenza bassa e frammentata dai fornitori di modelli.

Tre segnali da seguire

• Il prossimo programma di lavoro del FSB per il G20: cerco un capitolo sulla dipendenza da terze parti per l'AI.
• Le guide di vigilanza della BCE e della PRA: conto quante richiamano le 12 pratiche.
• Le relazioni annuali delle grandi banche: guardo se compare un inventario dei casi d'uso AI approvato dal board.

Il registro viene prima della regola. Chi lo tiene oggi decide quanto gli costerà domani.