AI e risk management: due facce della stessa medaglia
L’intelligenza artificiale offre strumenti sempre più potenti per migliorare le capacità di analisi, identificazione e monitoraggio dei rischi, ma introduce anche nuove vulnerabilità operative, informatiche, reputazionali e legate all’affidabilità dei modelli. Questa doppia prospettiva rende l’AI sia uno strumento di gestione del rischio sia una nuova fonte di rischio da governare.
La contraddizione è solo apparente: l’ambiente in cui operano le imprese è sempre più complesso e l’adozione dell’AI non è più una scelta opzionale, ma una necessità. Il vero interrogativo è come sfruttare le opportunità offerte dall’AI senza perdere il controllo sui rischi che essa stessa genera.
Le tre direttrici di evoluzione emerse dal seminario AI & GenAI for Risk Management & Compliance
Nel seminario organizzato da CETIF, a cui ho partecipato come relatore, sono state individuate tre principali direttrici di evoluzione per il risk management:
- Utilizzo di AI per superare la scarsità di dati strutturati
- Integrazione della generative AI per trasformare dati non strutturati in risk intelligence
- Implementazione di architetture di agentic AI per automatizzare e orchestrare le attività di controllo
1. Dati non strutturati e pattern detection
Uno dei limiti storici nella gestione dei rischi operativi, cyber, di filiera e reputazionali è la scarsità di serie storiche e dati strutturati. A differenza dei rischi di mercato o di credito, raramente si misurano con numeri già disponibili. Minacce informatiche, vulnerabilità operative e fenomeni emergenti sono spesso difficili da interpretare con modelli basati esclusivamente sull’esperienza passata.
L’intelligenza artificiale e il machine learning stanno modificando questo paradigma, permettendo di riconoscere pattern, individuare correlazioni e identificare segnali deboli che potrebbero sfuggire alle metodologie tradizionali. Le applicazioni includono:
- sistemi di rating del rischio cyber;
- quantificazione dell’esposizione con stime di probabilità e frequenza espresse come intervalli;
- confronto di scenari per dare priorità agli investimenti.
Il cambiamento più importante riguarda la prospettiva stessa delle funzioni di controllo: non si tratta più solo di elaborare un maggior numero di informazioni, ma di usarle per anticipare le criticità e orientare tempestivamente le decisioni.
2. Generative AI per la risk intelligence
Le organizzazioni possiedono un patrimonio informativo molto più ampio di quello tradizionalmente utilizzato nei processi di controllo: contratti, normative, policy, report, assessment, documentazione dei fornitori e fonti esterne contengono dati preziosi per identificare vulnerabilità e valutare l’esposizione ai rischi. Tuttavia, la natura prevalentemente non strutturata di questi dati ha limitato il loro utilizzo sistematico.
La generative AI consente di superare questo ostacolo. Oggi è possibile applicare queste tecnologie all’analisi contrattuale, alle attività di due diligence, all’individuazione di gap normativi e al popolamento e aggiornamento dei cataloghi dei controlli. Il vero salto di qualità avviene quando si collegano dati strutturati e non strutturati attraverso un livello semantico comune, riconoscendo relazioni tra informazioni che, considerate singolarmente, avrebbero un valore limitato.
Il risultato è una vera risk intelligence**, capace di fornire una visione più completa e integrata dei fenomeni di rischio.
3. Architetture di agentic AI e super‑agent
Un terzo sviluppo riguarda l’evoluzione verso architetture di agentic AI, nelle quali diversi agenti intelligenti possono:
- ricercare informazioni;
- eseguire analisi;
- effettuare assessment;
- identificare anomalie;
- indirizzare il lavoro degli analisti.
Si sperimenta anche l’impiego di super‑agent, sistemi progettati per orchestrare e verificare le attività di altri agenti. Le potenzialità sono significative per funzioni che devono monitorare una molteplicità di processi e fonti informative, garantendo tempestività e accuratezza.
Tuttavia, questa evoluzione solleva una questione fondamentale: chi controlla gli agenti che controllano? L’aumento dell’autonomia dei sistemi richiede trasparenza, tracciabilità e affidabilità delle attività svolte, evitando che una catena di processi automatizzati renda sempre più difficile ricostruire le ragioni di una decisione o individuarne le responsabilità.
Governance, supervisione umana e normativa europea
L’evoluzione dell’intelligenza artificiale non porta alla completa sostituzione dell’analista, ma a una trasformazione profonda del suo ruolo. La centralità del controllo umano è rafforzata dal quadro normativo europeo:
- AI Act: l’articolo 14 richiede supervisione umana per sistemi di AI ad alto rischio; l’articolo 26 disciplina gli obblighi dei soggetti che li utilizzano professionalmente, includendo la designazione di persone competenti e autorizzate.
- Direttiva NIS2: rafforza la responsabilità degli organi di gestione in materia di cybersecurity.
- Regolamento DORA: disciplina la resilienza operativa digitale nel settore finanziario.
- Quadro prudenziale CRD/CRR e gli orientamenti EBA: completano il sistema di responsabilità e presidi organizzativi per le banche.
Il principio comune è che l’autonomia tecnologica non elimina la responsabilità umana e organizzativa, ma la valorizza. Quando le attività operative vengono automatizzate, il contributo umano si concentra sulla validazione, interpretazione, sintesi e, soprattutto, sulla capacità di mettere in discussione i risultati prodotti dai sistemi.
Human‑in‑the‑loop: oltre la semplice approvazione
Il modello human‑in‑the‑loop non deve ridursi a una formale conferma degli output dell’AI. Un analista che si limita a confermare una risposta generata automaticamente non esercita un controllo effettivo. Deve poter:
- verificare la coerenza con fonti affidabili;
- interpretare il contesto di business;
- contestare l’output quando riscontra incongruenze o “allucinazioni”.
Numerosi casi dimostrano i rischi delle allucinazioni della generative AI: citazioni legali inesistenti negli Stati Uniti, chatbot di compagnie aeree che fornivano informazioni errate e persino un chatbot automobilistico che vendeva veicoli nuovi a un dollaro. Questi esempi evidenziano l’importanza di una supervisione umana critica e consapevole.
Strategie pratiche per un risk management AI‑ready
Per rendere l’intelligenza artificiale realmente governabile, le organizzazioni devono adottare una serie di pratiche concrete:
- Definizione di policy di data governance: classificazione, qualità e tracciabilità dei dati, sia strutturati che non strutturati.
- Implementazione di meccanismi di audit dei modelli: registrazione delle versioni, dei parametri di training e dei dataset utilizzati.
- Creazione di “model cards” e “data sheets”: documenti standardizzati che descrivono le limitazioni, le assunzioni e i possibili bias di ogni modello AI.
- Formazione continua del personale: competenze tecniche e di interpretazione dei risultati AI per tutti i soggetti coinvolti nella supervisione.
- Costruzione di un “human‑in‑the‑loop” robusto: procedure operative che obbligano l’analista a validare, commentare e, se necessario, rifiutare gli output.
- Monitoraggio post‑deployment: metriche di performance, drift dei dati e segnalazione di anomalie in tempo reale.
Queste misure garantiscono che l’AI diventi un alleato affidabile nella gestione dei rischi, riducendo al contempo la superficie di attacco e le potenziali esposizioni reputazionali.
Conclusioni: un futuro di collaborazione uomo‑macchina
L’intelligenza artificiale sta trasformando radicalmente il panorama del risk management, offrendo capacità predittive e di analisi senza precedenti. Tuttavia, la stessa potenza tecnologica genera nuove vulnerabilità che richiedono una governance rigorosa, tracciabilità e una supervisione umana attiva.
Il percorso verso un risk management AI‑ready non consiste nell’eliminare il ruolo dell’analista, ma nel ridefinirlo: l’analista diventa il custode della qualità, dell’etica e della responsabilità dei sistemi. Solo con una sinergia equilibrata tra innovazione tecnologica e controllo umano le organizzazioni potranno trarre il massimo vantaggio dall’AI, mantenendo al contempo la resilienza operativa e la fiducia di stakeholder e clienti.