AI ACT e DORA: cosa cambia per le banche dopo il 2 agosto?

Il 2 agosto 2026 ha segnato una nuova fase nell’applicazione dell’AI Act, con l’entrata in vigore di numerosi obblighi in particolare per i sistemi AI ad altro rischio. Per le banche italiane, la priorità ora è trasformare principi e policy sull’Intelligenza Artificiale in governance operativa, controlli, tracciabilità e capacità di dimostrare come i sistemi di IA vengono gestiti durante tutto il loro ciclo di vita all’interno dell’organizzazione. Questo percorso si intreccia sempre più con la cybersecurity e la resilienza operativa digitale già disciplinate dal Digital Operational Resilience Act, (DORA). I due regolamenti hanno finalità e ambiti di applicazione differenti, ma nell’operatività bancaria possono convergere quando un sistema di IA utilizza dati, infrastrutture, applicazioni o fornitori tecnologici rilevanti per i processi della banca.

Dal 2 agosto 2026 sono applicabili, tra le altre disposizioni dell’AI Act, gli obblighi di trasparenza previsti dall’articolo 50. Le principali disposizioni relative ai sistemi classificati high-risk ai sensi dell’articolo 6(2) e dell’Allegato III entreranno invece in applicazione dal 2 dicembre 2027, mentre quelle relative ai sistemi high-risk collegati ai prodotti disciplinati dall’Allegato I si applicheranno dal 2 agosto 2028, a seguito delle modifiche introdotte dal Regolamento (UE) 2026/1744.

Punti chiave

• Dal 2 agosto l’AI Act è entrato nella sua fase generale di applicazione e alcuni obblighi, in particolare quelli di trasparenza dell’articolo 50, sono diventati operativi.
• Le banche devono sapere dove e come utilizzano l’Intelligenza Artificiale: finalità, processi interessati, dati, fornitori, livello di autonomia e responsabilità devono essere chiaramente identificabili.
• Il credit scoring delle persone fisiche è uno dei casi d’uso espressamente individuati dall’Allegato III, fatta salva la valutazione prevista dall’articolo 6 e le eccezioni del Regolamento; i sistemi destinati alla rilevazione delle frodi finanziarie sono esclusi da questa specifica categoria.
• AI governance e Digital Operational Resilience devono essere coordinate: DORA resta pienamente rilevante anche nell’attuale evoluzione dei rischi associati all’IA, come sottolineato da Banca d’Italia nel luglio 2026.
• Le policy da sole non bastano: governance significa anche dimostrare controllo, logging, monitoraggio, responsabilità e capacità di ricostruire gli eventi.

Cosa significa oggi l’AI Act per le banche?

L’AI Act non impedisce alle banche di utilizzare l’Intelligenza Artificiale. Introduce un modello regolamentare basato sul rischio, nel quale gli obblighi dipendono dalla natura del sistema, dalla sua finalità e dal contesto in cui viene utilizzato.

Il Regolamento europeo sull’Intelligenza Artificiale è entrato in vigore nel 2024 ed è stato applicato progressivamente. I divieti relativi a determinate pratiche di IA e gli obblighi di AI literacy hanno iniziato ad applicarsi nel febbraio 2025; altre disposizioni, comprese quelle relative alla governance e ai modelli di IA per finalità generali, sono diventate applicabili nell’agosto 2025.

Dal 2 agosto 2026 il Regolamento è entrato nella fase generale di applicazione e sono entrati in vigore gli obblighi di trasparenza previsti dall’articolo 50, che riguardano, a seconda del sistema, aspetti come l’informazione agli utenti che interagiscono direttamente con un sistema di IA e la riconoscibilità di determinati contenuti generati o manipolati artificialmente.

Il quadro prevede una specifica disposizione transitoria: per i sistemi che generano contenuti sintetici già immessi sul mercato prima del 2 agosto 2026, l’adeguamento all’obbligo di marcatura machine-readable dell’articolo 50(2) è richiesto entro il 2 dicembre 2026.

Per le banche, quindi, la domanda che devono porsi non è più semplicemente se utilizzano l’IA, ma: Dove viene utilizzata? Quali processi influenza? Quali decisioni supporta? Quali dati utilizza? Chi ne è responsabile? E cosa accade se il sistema produce un risultato errato, inatteso, indisponibile o compromesso?

Dove viene già utilizzata l’Intelligenza Artificiale nel banking?

L’Intelligenza Artificiale può essere presente in numerosi ambiti del banking, come  analisi dei rischi, prevenzione delle frodi, antiriciclaggio, customer service, analisi documentale, cybersecurity e processi interni.

Il punto essenziale è che non tutte le applicazioni di Intelligenza Artificiale hanno lo stesso impatto sui processi bancari. Alcuni sistemi si limitano a informare, analizzando o sintetizzando dati a supporto della comprensione; altri formulano raccomandazioni che possono influenzare una decisione; altri ancora intervengono direttamente, attivando o modificando un processo. All’aumentare del livello di autonomia dell’IA cresce quindi anche la necessità di autorizzazione, supervisione umana, controllo e tracciabilità.

Un sistema che sintetizza documentazione interna presenta un profilo di rischio diverso da un sistema che influenza una decisione sul credito.

Allo stesso modo, uno strumento che aiuta un team antifrode a prioritizzare gli alert non è equivalente a un sistema autorizzato ad agire autonomamente su un conto, una transazione o un altro processo regolamentato.

Quali sistemi di IA nel banking possono essere classificati high-risk?

Non tutti gli utilizzi sensibili dell’IA sono vietati. L’AI Act distingue tra differenti livelli di rischio e associa requisiti differenti alla finalità e alle caratteristiche dei sistemi.

Per il settore bancario, uno degli esempi più rilevanti riguarda i sistemi di IA destinati a valutare il merito creditizio delle persone fisiche o determinarne il credit score. I sistemi utilizzati per rilevare frodi finanziarie sono espressamente esclusi da questa specifica categoria.

Essere classificato high-risk non significa che un sistema sia vietato. Significa che, quando le relative disposizioni saranno applicabili, entrerà in un regime più rigoroso di gestione del rischio, documentazione, logging, supervisione umana, accuratezza, robustezza e cybersecurity.

Cosa cambia per le banche italiane?

Nel mercato italiano, l’AI Act si inserisce in un quadro nazionale che nel 2025 e nel 2026 si è ulteriormente definito.

La Legge 23 settembre 2025, n. 132, entrata in vigore il 10 ottobre 2025, disciplina a livello nazionale principi e governance in materia di Intelligenza Artificiale e stabilisce che le proprie disposizioni siano interpretate in conformità al Regolamento europeo. La legge pone l’accento su un utilizzo corretto, trasparente, responsabile e antropocentrico dell’IA.

Sul piano istituzionale, l’articolo 20 individua AgID e ACN quali autorità nazionali per l’Intelligenza Artificiale, mantenendo il ruolo di Banca d’Italia, CONSOB e IVASS come autorità di vigilanza del mercato nei rispettivi ambiti, secondo quanto previsto dall’AI Act.

Il 17 luglio 2026 Banca d’Italia ha inoltre pubblicato una comunicazione dedicata alla resilienza operativa digitale e ai modelli avanzati di Intelligenza Artificiale. L’Istituto osserva che le tecnologie di IA più evolute possono modificare il panorama delle minacce cyber, anche riducendo il tempo che separa l’individuazione di una vulnerabilità dal suo possibile sfruttamento. La comunicazione richiama gli intermediari direttamente vigilati interessati a rafforzare processi e presidi di sicurezza e ribadisce che i requisiti previsti da DORA mantengono piena valenza anche in questo nuovo scenario.

Il messaggio operativo è rilevante: governance dell’IA e resilienza operativa digitale non dovrebbero essere sviluppate come programmi indipendenti ma dovrebbero essere considerate congiuntamente.

Perché un sistema di IA può diventare un asset cyber-critico?

Un sistema di Intelligenza Artificiale non coincide semplicemente con il modello.

Può comprendere dati, codice, prompt, API, connettori, credenziali, log, pipeline, applicazioni, servizi di terze parti e configurazioni. Ciascun componente introduce dipendenze e possibili superfici di rischio.

Ad esempio:

• dati compromessi possono influenzare il comportamento del sistema;
• un prompt o un’interfaccia possono esporre informazioni sensibili;
• un’API può disporre di autorizzazioni eccessive;
• un agente di IA può ottenere accesso a sistemi o funzioni non coerenti con il proprio ruolo;
• la dipendenza da un provider esterno può introdurre rischio ICT di terza parte;
• logging insufficiente può rendere difficile ricostruire le cause e la sequenza di un incidente.

Nel banking, questi aspetti non rappresentano esclusivamente un problema tecnico ma possono tradursi in rischio operativo, cyber, normativo, finanziario e reputazionale.

Come interagiscono AI Act e DORA?

AI Act e DORA non sono intercambiabili, perché disciplinano ambiti differenti ma complementari. L’AI Act si concentra sulla governance e sui requisiti applicabili ai sistemi di Intelligenza Artificiale, con particolare attenzione all’approccio basato sul rischio, alla trasparenza e tracciabilità, alla supervisione umana, alla robustezza, alla cybersecurity e alla gestione del ciclo di vita dei sistemi di IA. DORA, applicabile dal 17 gennaio 2025, definisce invece il framework europeo per la resilienza operativa digitale del settore finanziario, comprendendo la gestione del rischio ICT, l’incident management e il reporting, la business continuity e il recovery, i test di resilienza e la gestione del rischio ICT derivante da terze parti.

Il collegamento tra i due framework diventa particolarmente rilevante quando un sistema di IA costituisce una componente ICT di un processo bancario importante o critico. In questi casi, l’Intelligenza Artificiale non dovrebbe essere considerata soltanto come un tema di innovazione, data science o business, ma integrata nei processi di gestione delle risorse tecnologiche, ICT risk management, cybersecurity, third-party risk management, incident response, business continuity, resilienza operativa, logging, audit trail e change management. È proprio nell’integrazione tra governance dell’IA e modello operativo della banca che emergono i principali punti di contatto tra AI Act e DORA.

Dalle policy alle evidenze: come dimostrare il controllo sull’IA?

La conformità non si esaurisce nella creazione di nuove policy.

La questione centrale è la capacità dell’organizzazione di dimostrare il controllo sui sistemi utilizzati.

In funzione della normativa applicabile e del rischio del sistema, la banca dovrebbe poter ricostruire:

• quali sistemi di IA sono utilizzati;
• per quali finalità;
• chi ne è responsabile;
• quali processi e decisioni possono essere influenzati;
• quali dati e fonti utilizzano;
• quali provider e servizi esterni sono coinvolti;
• quali accessi e autorizzazioni sono configurati;
• quali test e controlli sono stati eseguiti;
• quali attività vengono registrate;
• come vengono monitorate prestazioni e anomalie;
• quali procedure vengono attivate in caso di incidente o indisponibilità.

La domanda da porre è semplice:

Se un sistema di IA produce un output errato, si comporta in modo inatteso, diventa indisponibile o viene compromesso, la banca è in grado di capire cosa è successo, ricostruirlo e intervenire rapidamente?

Una governance matura richiede che la risposta non sia soltanto teorica, ma supportata da processi, controlli ed evidenze verificabili.

Come dovrebbero prepararsi ora le banche?

La data del  2 agosto 2026 non ha concluso il percorso di implementazione dell’AI Act. Ha aperto una fase in cui una parte crescente del framework è già applicabile, mentre altre scadenze devono essere preparate con anticipo.

Per le banche italiane, una roadmap efficace può partire da cinque priorità:

1. Mappare l’utilizzo dell’IA, comprese soluzioni sviluppate internamente, integrate in applicazioni di terze parti o utilizzate attraverso servizi esterni.
2. Definire ownership e responsabilità per sistemi, dati, controlli e processi influenzati.
3. Classificare i sistemi sulla base dell’effettiva finalità e del contesto di utilizzo, evitando categorie troppo generiche.
4. Integrare l’IA nei framework ICT, cybersecurity, third-party risk e operational resilience esistenti, invece di creare governance parallele.
5. Produrre evidenze, attraverso logging, documentazione, test, monitoraggio e procedure di escalation.

Il vantaggio competitivo non dipenderà semplicemente dalla velocità con cui le banche adotteranno l’Intelligenza Artificiale.

Dipenderà dalla capacità di utilizzarla all’interno di un modello operativo sicuro, governato, tracciabile e resiliente.

AI Act, DORA e l’evoluzione del framework italiano convergono così su un principio operativo fondamentale: innovazione, controllo e resilienza devono evolvere insieme.

Key takeaways

Dopo il 2 agosto 2026, l’AI Act non è più soltanto una normativa da preparare: una parte significativa del framework è già applicabile. Per le banche, la priorità è costruire una visione affidabile dei sistemi di IA in uso e collegarla ai processi di governance, cybersecurity e resilienza già esistenti.

DORA offre un framework operativo importante per governare le componenti ICT, i fornitori, gli incidenti e la resilienza associati anche ai sistemi di IA. Non sostituisce l’AI Act, ma può contribuire a evitare una gestione frammentata del rischio tecnologico.

La capacità di dimostrare governance e controllo diventa quindi tanto importante quanto la definizione delle policy.

FAQ

Cosa significa l’AI Act per le banche nel 2026?

L’AI Act introduce un framework europeo basato sul rischio. Dal 2 agosto 2026 è entrato nella fase generale di applicazione e le banche devono valutare quali obblighi si applichino ai sistemi di IA che utilizzano, considerando finalità, rischio, ruolo dell’organizzazione e disposizioni transitorie.

Dal 2 agosto 2026 si applicano già tutte le regole sui sistemi high-risk?

No. Il Regolamento (UE) 2026/1744 ha spostato al 2 dicembre 2027 l’applicazione delle principali disposizioni del Capo III, sezioni 1, 2 e 3, per i sistemi high-risk ai sensi dell’articolo 6(2) e dell’Allegato III, e al 2 agosto 2028 per quelli ai sensi dell’articolo 6(1) e dell’Allegato I.

Quali obblighi di trasparenza sono applicabili dal 2 agosto 2026?

L’articolo 50 disciplina, tra l’altro, la trasparenza nelle interazioni dirette con determinati sistemi di IA e la marcatura o disclosure di specifiche tipologie di contenuti generati o manipolati dall’IA. Gli obblighi sono applicabili dal 2 agosto 2026, con una specifica finestra fino al 2 dicembre 2026 per alcuni sistemi già sul mercato e limitatamente all’articolo 50(2).

Il credit scoring basato sull’IA è considerato high-risk?

I sistemi di IA destinati a valutare il merito creditizio di persone fisiche o stabilire il loro credit score sono inclusi nell’Allegato III dell’AI Act. Sono esclusi da questa specifica voce i sistemi utilizzati per rilevare frodi finanziarie. La classificazione deve comunque essere letta insieme alle condizioni previste dall’articolo 6 del Regolamento.

Qual è il rapporto tra AI Act e DORA?

L’AI Act disciplina governance e requisiti dei sistemi di IA, mentre DORA disciplina la resilienza operativa digitale e il rischio ICT nel settore finanziario. Quando un sistema di IA utilizza o costituisce una componente dell’infrastruttura ICT della banca, i due framework possono richiedere un approccio coordinato.

Qual è il ruolo di Banca d’Italia?

La Legge italiana n. 132/2025 mantiene Banca d’Italia, CONSOB e IVASS quali autorità di vigilanza del mercato nei rispettivi ambiti secondo l’AI Act. Nel luglio 2026 Banca d’Italia ha inoltre richiamato gli intermediari direttamente vigilati interessati dalla comunicazione sulla necessità di rafforzare i presidi di sicurezza e resilienza alla luce dell’evoluzione dei modelli avanzati di IA.

Da dove dovrebbe iniziare una banca?

Da una mappatura affidabile dell’IA utilizzata nell’organizzazione: sistemi, finalità, dati, fornitori, owner, livello di autonomia e processi interessati. Questa base consente poi di sviluppare classificazione del rischio, controlli, monitoring e integrazione con i framework ICT, cybersecurity e DORA.