Tempo di lettura
Spunto di cronaca: la convocazione, nel maggio 2026, degli istituti di credito dell’area euro da parte della Banca Centrale Europea per valutare i rischi sistemici connessi a un modello di intelligenza artificiale in grado di individuare vulnerabilità nei sistemi informatici.
In breve
Quando le massime autorità finanziarie si mobilitano insieme per un rischio informatico, la domanda più utile non è “che cosa è successo”, ma “perché proprio ora”. Se gli strumenti e le competenze per scoprire le falle dei sistemi bancari – e per proteggere chi quei sistemi li usa ogni giorno – esistono da decenni, occorre chiedersi a vantaggio di chi siano stati impiegati finora. Queste pagine non accusano nessuno: pongono, in forma volutamente dubitativa, alcune domande che riguardano tutti noi – correntisti, risparmiatori, cittadini – perché la sicurezza dei nostri risparmi e dei nostri dati non sia mai un interesse di seconda fila.
1. Premessa metodologica
Le considerazioni che seguono muovono da un dato di cronaca – la convocazione, da parte della Banca Centrale Europea, degli istituti di credito dell’area euro per valutare i rischi sistemici connessi a un modello di intelligenza artificiale capace di individuare vulnerabilità software. L’episodio è qui assunto come mero fatto storico, occasione per un ragionamento di più ampio respiro – e di interesse collettivo – sulla responsabilità degli intermediari finanziari per i difetti dei sistemi informatici da cui dipende, oggi, la quasi totalità dei rapporti bancari e di investimento.
Si avverte sin d’ora che le domande poste hanno natura interrogativa e ipotetica: esse non affermano l’esistenza di condotte illecite in capo a soggetti determinati, ma sollecitano un dibattito pubblico su scenari giuridicamente rilevanti. Tale impostazione non è una cautela di stile, bensì il presidio che consente di distinguere la legittima critica d’interesse pubblico (art. 21 Cost.) dalla diffamazione e dalla denigrazione commerciale. Il fine di queste righe non è indicare colpevoli, ma restituire alla collettività – ai correntisti, ai risparmiatori, ai cittadini – alcune domande che la riguardano da vicino.
2. Se oggi si teme la scoperta delle falle, le falle erano già note?
La prima riflessione nasce da un’asimmetria logica. Se la BCE – quale autorità di vigilanza prudenziale dell’intero sistema – teme che uno strumento più evoluto e potenzialmente accessibile sia oggi in grado di dimostrare e provare l’esistenza di vulnerabilità nelle applicazioni bancarie, allora occorre interrogarsi: l’esistenza di tali vulnerabilità era già nota, almeno in termini di rischio, prima dell’avvento dello strumento?
La risposta onesta è che il rischio informatico nel settore creditizio non è affatto una scoperta recente: esso è da anni oggetto di una disciplina specifica e stringente. Si pensi al Regolamento (UE) 2022/2554 (DORA), agli Orientamenti EBA sulla gestione dei rischi ICT e di sicurezza, nonché ai più generali obblighi di adeguatezza dell’assetto organizzativo. La consapevolezza che i sistemi possano essere viziati e in difetto è dunque, sul piano del rischio astratto, un dato acquisito e regolato.
Resta allora la domanda di fondo, che si pone in forma rigorosamente dubitativa: perché una mobilitazione di tale portata – la convocazione contestuale delle banche e, a cascata, dei loro fornitori tecnologici – interviene solo ora? È lecito chiedersi se a mutare non sia stata la conoscenza del rischio, da tempo presente, bensì la probabilità che quel rischio divenga pubblicamente dimostrabile. È utile, sul punto, una distinzione netta: altro è conoscere l’esistenza di un rischio generico, altro è conoscere falle specifiche e averle deliberatamente taciute. La prima ipotesi è fisiologica e documentata; la seconda, se mai dovesse risultare, integrerebbe profili di responsabilità ben più gravi e andrebbe provata caso per caso.
3. I difetti applicativi possono aver già cagionato danni ai correntisti?
La seconda riflessione attiene al danno già eventualmente prodottosi. Se le applicazioni potevano essere affette da errori o vulnerabilità, è legittimo domandarsi se da tali difetti siano già derivati pregiudizi economici ai clienti e ai correntisti.
Sul piano giuridico la questione non è nuova. La banca risponde a titolo di responsabilità contrattuale ex art. 1218 c.c. quale operatore professionale qualificato, tenuto alla diligenza rafforzata dell’art. 1176, comma 2, c.c.; in tema di operazioni non autorizzate, il D.lgs. 11/2010 (attuativo della direttiva PSD2) pone a carico del prestatore di servizi di pagamento l’onere di provare l’autenticazione e l’assenza di malfunzionamenti, addossandogli il rischio del difetto tecnico. Non è peraltro peregrino il richiamo all’art. 2050 c.c. quanto al trattamento di dati personali su larga scala, secondo un orientamento giurisprudenziale consolidato.
La domanda pubblica, allora, è la seguente: nei casi in cui un disservizio sia stato indotto dal software o dalle applicazioni, siamo certi che il costo non sia gravato, in concreto, sul cliente – in termini di addebiti contestati, ritardi, operazioni anomale o oneri non dovuti – anziché sull’intermediario cui la legge ne attribuisce il rischio?
4. E i risparmiatori? Il vizio non segnalato e gli obblighi di trasparenza
Una terza riflessione, di particolare delicatezza, riguarda non il correntista “ordinario” ma chi ha investito impiegando prodotti finanziari predisposti dalle banche. Se gli strumenti, le piattaforme o gli algoritmi di pricing, esecuzione e rendicontazione potevano essere viziati da falle o errori, perché ciò non è stato segnalato?
Il quadro normativo dei servizi di investimento è qui particolarmente esigente. Gli obblighi informativi e di correttezza di cui all’art. 21 del TUF (D.lgs. 58/1998), la disciplina di product governance e gli obblighi di adeguatezza e appropriatezza di matrice MiFID II impongono all’intermediario una trasparenza piena sui rischi del prodotto. È dunque legittimo chiedersi se un difetto tecnico idoneo a incidere sull’esecuzione degli ordini o sulla valorizzazione degli strumenti rientri tra le informazioni che avrebbero dovuto essere rese note.
Ne discendono due interrogativi che meritano risposta pubblica: gli eventuali danni ai risparmiatori, ove verificatisi, sono stati effettivamente resi noti al mercato e agli interessati? E il principio di accountability – oggi cardine anche dell’art. 5, par. 2, del Regolamento (UE) 2016/679 (GDPR) – è stato osservato, o l’assenza di evidenze pubbliche è essa stessa il dato che sollecita la domanda?
5. L’AI esiste da decenni: perché non è stata impiegata prima a tutela dell’utente?
La quarta riflessione è, a mio avviso, la più stringente. Il dibattito odierno discorre finalmente di intelligenza artificiale e non solo di IA generativa; ma l’intelligenza artificiale – nelle forme dei sistemi esperti, del machine learning e dell’analisi predittiva – è presente e operativa da decenni. Le banche la utilizzano da tempo, e massicciamente, per la rilevazione delle frodi, per il credit scoring e per l’ottimizzazione dei ricavi.
La domanda, allora, si impone da sé: se la tecnologia e le competenze esistono da anni, perché non sono state parimenti impiegate a tutela dell’utente – per scoprire e mitigare le vulnerabilità, per rendere più sicure e verificabili le transazioni e la gestione dei rapporti? Perché l’enorme capacità analitica già disponibile è stata orientata prevalentemente verso la protezione del patrimonio e dei margini dell’intermediario, e assai meno verso la protezione del cliente?
La risposta che mi pare più solida non è di ordine tecnico, ma di incentivo. Finché individuare una falla era attività costosa, specialistica e di fatto riservata, l’incentivo economico a cercarla – e ancor più a divulgarla – era strutturalmente debole. Uno strumento potente e (potenzialmente) accessibile abbassa quella soglia e sposta l’equilibrio: ed è verosimilmente questo, più di un’improvvisa scoperta tecnica, a spiegare la mobilitazione odierna. Il problema, in altri termini, non era la mancanza di mezzi, ma l’assenza di un incentivo a usarli nell’interesse dell’utente.
6. Ulteriori considerazioni a sostegno della ratio
A corredo del ragionamento, si segnalano alcuni profili ulteriori che ne rafforzano l’impianto e che invito il lettore a considerare:
- Asimmetria informativa e onere della prova. Il cliente non dispone né del codice sorgente, né dei log, né delle competenze per dimostrare il difetto. È proprio questa asimmetria che la legge corregge ribaltando l’onere probatorio sull’intermediario (art. 1218 c.c.; disciplina PSD2): una ragione in più per chiedere trasparenza a chi quei dati li detiene.
- Disclosure coordinata delle vulnerabilità. Le buone pratiche internazionali (cfr. le linee guida NIST sulla coordinated vulnerability disclosure) presuppongono processi ordinati di segnalazione e correzione. Ci si può chiedere se, e in che misura, tali processi siano stati finora applicati con eguale rigore quando la vulnerabilità incideva sull’utente finale e non sull’infrastruttura dell’istituto.
- Vigilanza prudenziale e nuovo perimetro del rischio AI. L’iniziativa BCE segnala che i rischi legati all’AI entrano stabilmente nel perimetro della vigilanza, pur in assenza di un quadro regolatorio dedicato. Ciò conferma che si tratta di un rischio già maturo, non improvviso, e rende ancora più pertinente la domanda sul perché dell’intervento solo odierno.
- Accesso diseguale alla tecnologia. La circostanza che lo strumento sia oggi accessibile solo ad alcuni attori introduce un’asimmetria competitiva e di resilienza. Sul piano della tutela dell’utente, tuttavia, ciò non muta la sostanza: la sicurezza del cliente non può dipendere dalla collocazione geografica o dimensionale del proprio intermediario.
- Rischio sistemico e fiducia. Il bene ultimo in gioco è la fiducia nel sistema dei pagamenti e del risparmio. Una gestione opaca delle vulnerabilità erode quella fiducia ben più della loro tempestiva e trasparente divulgazione.
7. La domanda di fondo
Tutte le riflessioni convergono in un unico interrogativo, che propongo al dibattito senza pretesa di chiuderlo: se le tecnologie e le competenze necessarie a scoprire le falle, a prevenirle e a tutelare l’utente esistono da decenni, perché – fino ad oggi – ben poco è stato fatto a protezione del cliente e del risparmiatore, e molto invece a protezione dei conti dell’intermediario?
Non si tratta di formulare accuse, ma di pretendere risposte. La circostanza che la mobilitazione avvenga solo quando il rischio rischia di divenire pubblicamente dimostrabile è essa stessa, a prescindere da ogni intento, il fatto che merita una spiegazione. E quella spiegazione, in uno Stato di diritto, è dovuta alla collettività: a chi ha affidato a quei sistemi il proprio denaro, i propri dati e, in ultima analisi, la propria fiducia. Promuovere questa riflessione – prima e a prescindere da qualsiasi contenzioso – è un modo per ricordare che la sicurezza dell’utente non può mai essere un interesse di seconda fila.
Nota. Il presente scritto esprime opinioni e interrogativi di interesse pubblico, formulati in termini ipotetici e non riferiti a condotte accertate di soggetti determinati. Non costituisce parere legale né consulenza professionale resa nell’ambito di un incarico, ma contributo al dibattito tecnico-giuridico destinato a pubblicazione editoriale.
