La Banca d’Italia interviene con linee guida su intelligenza artificiale e resilienza operativa digitale e sui relativi rischi.
Con la comunicazione al mercato del 17 luglio 2026, l’Autorità di Vigilanza nazionale interviene sui rischi posti dai modelli avanzati di apprendimento automatico, delineando gli adempimenti organizzativi e operativi richiesti agli operatori di settore in linea con il quadro normativo europeo.
Quadro di riferimento e impatto delle nuove tecnologie
La diffusione di sistemi avanzati di calcolo e generazione automatizzata ha sensibilmente ridotto l’intervallo temporale che intercorre tra l’individuazione di una falla informatica e il suo effettivo sfruttamento dannoso.
Tale dinamica consente a soggetti terzi di individuare vulnerabilità ed elaborare vettori di compromissione in tempi estremamente contenuti, anche in assenza di competenze specialistiche pregresse.
Questo scenario accentua l’asimmetria strutturale tra attaccanti e difensori a danno delle infrastrutture aziendali, rendendo indispensabile un adeguamento tempestivo delle difese. In tale prospettiva, la tenuta dei sistemi non rappresenta un mero elemento di conformità formale, bensì un presidio essenziale per la continuità operativa.
Il richiamo dell’Autorità si raccorda con i requisiti introdotti a livello eurounitario dal regolamento DORA, le cui prescrizioni mantengono integrale efficacia rispetto alle minacce emergenti.
I presidi tecnici e di governance richiesti
La comunicazione dell’Autorità individua puntuali ambiti di intervento sui quali gli intermediari vigilati sono chiamati ad adottare misure adeguate:
- revisione del quadro per la determinazione della propensione al rischio, con l’integrazione dei rischi derivanti dalle tecnologie di frontiera nelle decisioni strategiche e negli investimenti aziendali;
- attribuzione chiara delle responsabilità in capo agli organi collegiali e formazione specialistica continua in materia tecnologica per i loro componenti;
- definizione di requisiti contrattuali rigorosi per la selezione e il monitoraggio continuo dei fornitori esterni di servizi digitali, con particolare riguardo alle attività di correzione del software;
- adozione di principi di difesa in profondità, segmentazione delle reti e gestione granulare degli accessi ai sistemi critici;
- tenuta di inventari aggiornati delle risorse tecnologiche e mappatura della superficie d’attacco, con contestuale dismissione delle architetture obsolete;
- potenziamento dei processi di individuazione delle vulnerabilità e applicazione tempestiva dei relativi rimedi, prioritariamente per i software esposti all’esterno e privi di correzioni disponibili;
- sincronizzazione delle attività di monitoraggio del traffico di rete e degli accessi con la classificazione di criticità dei singoli beni informatici;
- esecuzione di test strutturati di resilienza, includendo simulazioni di scenari complessi conformemente agli standard di legge.
Analisi legale e adempimenti di conformità
Sotto il profilo regolamentare e societario, la gestione del rischio cyber viene definitivamente ricondotta nell’alveo delle responsabilità dirette degli organi di vertice.
La gestione delle filiere di approvvigionamento tecnologico evidenzia come la concentrazione di servizi presso terzi possa riverberarsi sulla stabilità dell’intero comparto.
I destinatari del provvedimento devono pianificare e attuare formalmente le seguenti attività:
- esame congiunto dei contenuti della comunicazione da parte del consiglio di amministrazione e del collegio sindacale;
- redazione di una relazione di dettaglio volta a rappresentare l’esposizione al rischio e l’adeguatezza dei presidi per ciascuna area individuata;
- predisposizione di un piano operativo di intervento con l’indicazione di tempi, investimenti e modalità di verifica interna dello stato di attuazione;
- individuazione e notifica formale all’Autorità di uno specifico punto di responsabilità aziendale dedicato;
- trasmissione della documentazione comprensiva del piano di lavoro entro il termine perentorio del 31 dicembre 2026.
Le linee guida di Banca d’Italia
20 luglio 2026
