Perché la banca sconsiglia di condividere le credenziali con l’AI

Nel febbraio 2024 Bank of America ha mandato a tutti i suoi clienti un’email intitolata “Protecting your finances in the AI World”, in cui si invitava a non fornire username e password a nessun agente esterno, nemmeno a strumenti basati sull’intelligenza artificiale. La raccomandazione nasce da due preoccupazioni fondamentali: la possibilità che l’assistente digitale compia operazioni finanziarie non autorizzate e il rischio che una falla di sicurezza nell’AI esponga i dati sensibili a criminali.

Con l’aumento esponenziale dell’uso di assistenti vocali come Siri, Alexa o ChatGPT, molti utenti hanno iniziato a chiedere a questi strumenti di gestire le proprie finanze: controllare saldo, effettuare bonifici o addirittura impostare pagamenti ricorrenti. Tuttavia, la maggior parte di questi assistenti non è certificata per operare su reti bancarie e non rispetta gli standard di crittografia richiesti dalle istituzioni finanziarie.

Esempi concreti di vulnerabilità

    • Accesso non autorizzato: se un AI riceve le credenziali, può inviare richieste di trasferimento a server bancari senza alcuna verifica aggiuntiva, sfruttando le API aperte.
    • Leak di dati: alcuni modelli di AI memorizzano temporaneamente le informazioni inserite per “imparare” dal contesto; se il servizio subisce un attacco, le password potrebbero essere rubate.
    • Blocco dell’account: le banche, rilevando attività insolite provenienti da dispositivi sconosciuti, possono bloccare immediatamente l’account, lasciando il cliente impossibilitato a operare.

Le responsabilità legali del cliente

Le condizioni di servizio della maggior parte delle banche, inclusa Bank of America, prevedono che il titolare del conto sia responsabile di tutte le operazioni compiute con le proprie credenziali. In caso di perdita di denaro dovuta a una condivisione non autorizzata, la banca può rifiutare di rimborsare le transazioni, attribuendo la responsabilità al cliente.

L’email di Bank of America recita esplicitamente: “If you do share your credentials, keep in mind that you’re responsible for activity resulting from that access.” Questo avviso è un richiamo legale: il consumatore deve considerare il rischio come parte integrante della decisione di utilizzare un assistente AI.

Come proteggere il proprio conto

    • Utilizzare l’autenticazione a due fattori (2FA) per tutti gli accessi online.
    • Abilitare le notifiche push per ogni transazione, in modo da poter reagire subito a movimenti sospetti.
    • Limitare l’uso di credenziali su dispositivi personali e mai su sistemi condivisi o pubblici.
    • Preferire soluzioni di banking digitale offerte direttamente dalla banca (app ufficiali, portali web certificati) piuttosto che passare per un assistente di terze parti.

Il futuro dell’AI nel settore bancario

Nonostante le preoccupazioni, le banche stanno investendo massicciamente in tecnologie AI per migliorare i propri servizi. Progetti come “agentic payments” consentono a sistemi automatizzati di eseguire acquisti al momento più opportuno, ottimizzando prezzo e disponibilità. Tuttavia, queste soluzioni sono sviluppate internamente o in partnership con fornitori certificati, garantendo che le credenziali non vengano mai esposte a piattaforme esterne.

Durante il TechCrunch Disrupt 2024, esperti del settore hanno evidenziato come le istituzioni stiano creando “sandbox” di sicurezza, ambienti controllati in cui gli AI agent possono interagire con i dati bancari solo dopo rigorosi test di penetrazione e audit di conformità. Questo approccio permette di offrire funzionalità avanzate senza compromettere la privacy.

Strategie operative per le banche

    • Implementare API tokenizzate che non richiedono la password dell’utente ma solo un token temporaneo.
    • Adottare standard di sicurezza come OAuth 2.0 e OpenID Connect per autorizzare gli AI agent.
    • Formare i clienti su best practice digitali attraverso campagne educative continue.

Conclusioni e consigli pratici

Il messaggio di Bank of America è chiaro: la sicurezza delle proprie finanze dipende dalla prudenza nell’uso delle nuove tecnologie. Condividere username e password con un assistente AI può sembrare comodo, ma espone a rischi concreti di frode e a responsabilità legali.

Per navigare in modo sicuro il mondo dell’intelligenza artificiale, i clienti dovrebbero:

    • Rifiutare ogni richiesta di inserire credenziali in un assistente non certificato.
    • Usare strumenti di gestione delle password che generano codici unici per ogni servizio.
    • Monitorare regolarmente l’attività del proprio conto e segnalare immediatamente anomalie.
    • Seguire le indicazioni della propria banca, che spesso offre canali di supporto dedicati per domande su AI e sicurezza.

Seguendo queste linee guida, è possibile beneficiare delle potenzialità dell’AI senza compromettere la protezione dei propri risparmi.