L’intelligenza artificiale sta trasformando il settore dei servizi finanziari a una velocità senza precedenti. Banche, compagnie assicurative e operatori dei mercati finanziari, stanno adottando soluzioni basate sull’AI per accelerare i processi decisionali, ottimizzare le operazioni e offrire esperienze sempre più efficaci e personalizzate ai clienti. Tuttavia, mentre l’innovazione tecnologica procede a ritmi serrati, i modelli di governance, sicurezza e conformità faticano a tenere il passo. Questo divario sta dando origine a un nuovo rischio sistemico: le aziende stanno evolvendo più rapidamente della capacità dei loro controlli di sicurezza di garantire un adeguato livello di protezione.
Il divario normativo continua ad ampliarsi
Il settore finanziario opera da sempre in un contesto caratterizzato da una forte regolamentazione. Tuttavia, l’intelligenza artificiale sta mettendo in luce i limiti di un modello normativo pensato per rispondere ai cambiamenti piuttosto che anticiparli. Regolamenti come il DORA (Digital Operational Resilience Act), che definisce requisiti chiari in materia di resilienza operativa e gestione del rischio cyber per gli istituti finanziari europei, rappresentano un passo fondamentale nella giusta direzione. Per loro natura, però, le normative intervengono spesso per disciplinare vulnerabilità già emerse. L’AI, al contrario, viene adottata e sviluppata in tempo reale, con capacità e casi d’uso che evolvono molto più rapidamente di quanto i legislatori riescano a valutare e regolamentare.
Questo scenario pone le istituzioni finanziarie di fronte a una sfida complessa. Da un lato, la pressione a innovare è costante: migliorare l’esperienza dei clienti, aumentare l’efficienza operativa, rafforzare le capacità di rilevamento delle frodi e rendere i processi decisionali più rapidi e accurati sono ormai obiettivi imprescindibili. Dall’altro, il quadro normativo non riesce ad evolvere con la stessa velocità con cui vengono sviluppati e adottati i nuovi modelli di AI.
Il risultato è un divario sempre più ampio tra ciò che le aziende possono realizzare grazie all’intelligenza artificiale e ciò che i loro modelli di governance sono effettivamente in grado di governare e controllare. Nel settore dei servizi finanziari questo squilibrio assume un’importanza ancora maggiore: innovare senza disporre di adeguati meccanismi di controllo non rappresenta soltanto un rischio operativo, ma può tradursi in un rischio sistemico per l’intero ecosistema finanziario.
L’intelligenza artificiale accelera la trasformazione dei servizi finanziari e del settore assicurativo
I benefici dell’intelligenza artificiale nel settore dei servizi finanziari sono ormai concreti e sempre più misurabili. Nel comparto assicurativo, ad esempio, l’adozione dell’AI sta avanzando rapidamente in ambiti chiave come la valutazione del rischio e la gestione dei sinistri, dove i sistemi intelligenti sono in grado di analizzare grandi volumi di informazioni e supportare il processo decisionale con una rapidità nettamente superiore rispetto agli approcci tradizionali.
Anche nella prevenzione delle frodi e nell’analisi del rischio, l’intelligenza artificiale sta cambiando il paradigma operativo. I modelli AI consentono infatti di analizzare le transazioni in tempo reale, permettendo di individuare anomalie e potenziali minacce mentre si verificano, superando i limiti dei tradizionali processi batch che identificano le criticità solo a posteriori.
Anche il servizio clienti sta vivendo una profonda trasformazione. Grazie a copiloti AI e assistenti virtuali, richieste che un tempo richiedevano ore o addirittura giorni per essere gestite possono oggi essere risolte in pochi istanti.
Nei contesti di trading e gestione degli investimenti, i sistemi ottimizzati dall’intelligenza artificiale sono in grado di individuare schemi, correlazioni e segnali di mercato con una velocità e una continuità che difficilmente potrebbero essere replicate dall’analisi umana. Anche le funzioni di compliance, tradizionalmente considerate tra le più complesse e articolate all’interno delle aziende, stanno iniziando a sfruttare l’AI per sintetizzare gli aggiornamenti normativi e automatizzare parte delle attività di reporting. Nel loro insieme, queste applicazioni si riducono processi che storicamente richiedevano ore, giorni o persino settimane, a pochi secondi.
Questa accelerazione rappresenta un’opportunità straordinaria, ma nel settore dei servizi finanziari la velocità, da sola, non è sinonimo di sicurezza. In un comparto fondato sulla fiducia, sulla resilienza operativa e sulla responsabilità nei confronti delle autorità di vigilanza, decisioni più rapide generano valore solo se accompagnate da controlli altrettanto solidi ed efficaci.
Quando la velocità diventa un fattore di rischio
È proprio a questo punto che lo scenario cambia. Più rapidamente vengono prese le decisioni, più velocemente possono propagarsi anche errori e attacchi informatici. Un risultato errato generato da un modello di intelligenza artificiale non è più un semplice errore confinato in un foglio di calcolo o destinato a essere corretto durante una revisione manuale. Può diffondersi istantaneamente tra sistemi e processi, influenzando modelli di valutazione del rischio, approvazioni, interazioni con i clienti e decisioni operative prima ancora che sia possibile intervenire. In ambienti altamente interconnessi come quelli del settore finanziario, anche un’anomalia apparentemente marginale può produrre conseguenze significative nel giro di pochi istanti.
Anche il panorama delle minacce sta evolvendo con la stessa rapidità. I cybercriminali hanno già integrato l’intelligenza artificiale nelle proprie strategie di attacco e, con il continuo miglioramento dei modelli, aumentano anche la loro capacità di individuare vulnerabilità, automatizzare le attività di ricognizione e sfruttare le debolezze dei sistemi in tempi sempre più ridotti.
Parallelamente, le aziende affidano un numero crescente di decisioni ai sistemi di AI, eliminando progressivamente quei passaggi di verifica e supervisione che in passato rappresentavano un’importante misura di sicurezza. Il controllo umano viene progressivamente ridotto proprio mentre aumenta la velocità con cui vengono eseguite operazioni e processi. Nel frattempo, i quadri normativi, concepiti per governare sistemi più lineari e prevedibili, faticano a tenere il passo con decisioni prese dall’intelligenza artificiale in tempo reale.
In un contesto come questo, i rischi non aumentano semplicemente ma si aggrava.
Il problema delle infrastrutture legacy
La situazione è ulteriormente aggravata dall’infrastruttura su cui molte istituzioni stanno cercando di integrare l’intelligenza artificiale. In numerosi casi, infatti, funzionalità AI avanzate vengono sovrapposte a ambienti legacy che non sono stati concepiti per gestire questo livello di connettività, velocità o accesso ai dati.
Ne derivano vulnerabilità che è facile sottovalutare: l’IA può sembrare moderna, ma l’infrastruttura su cui si basa rimane frammentata e complessa da mettere in sicurezza.
Molte aziende continuano a operare su piattaforme bancarie eoperative di base che nel tempo sono state progressivamente adattate, più che ripensate in modo strutturale. I modelli di sicurezza risultano spesso disomogenei, con approcci legacy basati sul perimetro che convivono con flussi di lavoro distribuiti e e basati sull’intelligenza artificiale.
Inoltre, i sistemi AI necessitano di accedere a grandi volumi di dati, spesso conservati in ambienti legacy non progettati né segmentati per supportare casi d’uso moderni. L’introduzione di API e connettori aggiunge un ulteriore livello di complessità, creando nuovi punti di ingresso che possono essere sfruttati dai criminali informatici.
Di fatto, molte istituzioni finanziarie stanno combinando intelligenza di nuova generazione con infrastrutture di vecchia generazione: un disallineamento che genera zone d’ombra e punti ciechi che né le autorità di vigilanza né i team della sicurezza sono oggi in grado di governare.
Colmare il divario: un approccio all’adozione dell’AI guidato dalla sicurezza
La risposta non è rallentare l’adozione dell’intelligenza artificiale. Le istituzioni finanziarie non possono permettersi di restare ferme mentre il mercato continua a evolvere. Devono però adottare un approccio diverso alla sicurezza dell’AI: innovazione e protezione devono avanzare in parallelo, non in sequenza.
Questo significa abbandonare modelli di accesso ampio alla rete e logiche di fiducia implicita, per adottare invece un approccio basato su controlli rigorosi e granulari a livello di applicazione, riducendo al minimo l’esposizione di sistemi e dati.
In pratica, il primo passo consiste nel ridurre i percorsi non necessari verso gli ambienti più sensibili. Le aziende dovrebbero identificare ed eliminare le vie di accesso ridondanti, assicurandosi che i sistemi di intelligenza artificiale possano interagire esclusivamente con le applicazioni e i dataset strettamente necessari allo svolgimento delle proprie funzioni.
È in questo contesto che il modello Zero Trust assume un ruolo centrale. Negli ambienti guidati dall’AI, il rischio di movimento laterale aumenta, poiché i sistemi sono più interconnessi, più automatizzati e sempre più dipendenti da dati condivisi. Se una violazione dovesse verificarsi, l’obiettivo non può essere presumere che possa essere evitata del tutto, ma limitarne il perimetro di impatto, contenendone la propagazione.
Zero Trust è inoltre in grado di gestire l’identità e l’accesso basato sul contesto anche per entità non umane — workload, dispositivi IoT e sistemi automatizzati — un aspetto sempre più strategico con l’emergere di sistemi di Agentic AI. In un mondo guidato dall’intelligenza artificiale, le violazioni non sono una possibilità remota, ma una realtà da mettere in conto. Ciò che davvero fa la differenza è la capacità di limitarne la diffusione.
Adottare il modello Zero Trust per contenere l’impatto
Esiste anche una dimensione di leadership in questa sfida. I vertici aziendali non possono governare ciò che non comprendono, e questo è particolarmente vero nel caso dell’Agentic AI. È fondamentale che responsabili della sicurezza e del business sviluppino una familiarità diretta con il funzionamento di questi strumenti, con i contesti in cui generano valore e con le modalità attraverso cui possono essere impropriamente utilizzati.
I leader più efficaci stanno già sviluppando questa consapevolezza sperimentando in prima persona, in modo sicuro e controllato, al di fuori degli ambienti di produzione.Questo tipo di esperienza è fondamentale perché la comprensione teorica non può sostituire il giudizio pratico. L’intelligenza artificiale rappresenta una trasformazione tecnologica paragonabile, per impatto, a quella di Internet, e i leader chiamati a prendere decisioni strategiche in questo ambito hanno bisogno di molto più di briefing da parte di terzi.
Affideremmo mai un intervento a un chirurgo che ha studiato esclusivamente sui libri senza aver mai operato? Lo stesso principio vale per l’AI. La conoscenza teorica non può sostituire la capacità di giudizio che deriva dall’utilizzo concreto della tecnologia. La curiosità professionale diventa quindi un fattore chiave per sviluppare competenze reali, e queste competenze si traducono in decisioni più solide e consapevoli.
L’obiettivo non è favorire fenomeni di shadow IT o sperimentazioni parallele all’interno dell’impresa, ma promuovere una leadership informata, basata su una comprensione diretta e di prima mano delle tecnologie che stanno ridefinendo il settore.
La velocità richiede protezioni adeguate
L’intelligenza artificiale sta trasformando i servizi finanziari a un ritmo più rapido di quanto le autorità di vigilanza possano seguire, e questo sposta inevitabilmente il tema della resilienza direttamente sulle istituzioni che la stanno adottando.
A vincere non saranno necessariamente le aziende che si muoveranno più velocemente, ma quelle in grado di mantenere solidità e continuità operativa anche di fronte alla prima violazione su larga scala legata all’intelligenza artificiale — un evento che colpirà con maggiore intensità chi ha accelerato senza costruire fondamenta adeguate a sostegno dell’innovazione.
La velocità, di per sé, è facile da ottenere. Il vero punto non è la rapidità in quanto tale, ma la capacità di reggere l’urto quando qualcosa va storto.
Di James Tucker, Head of CISOs International, Zscaler
