Quando un algoritmo entra nella decisione sul tuo prestito: che cosa cambia con l’AI Act?

di Gianpiero Chironna*

Sotto l’ombrellone potresti decidere che è arrivato il momento di acquistare l’auto che desideri o di compiere un passo ancora più importante: comprare casa.
Apri l’app della tua banca, richiedi un finanziamento, inserisci i dati personali e comunichi il reddito. Dopo pochi minuti ricevi una risposta.
Ma che cosa accadrebbe se dietro quella risposta ci fosse un sistema di intelligenza artificiale capace di analizzare numerose informazioni e contribuire alla valutazione della tua affidabilità creditizia?
I vantaggi sono evidenti: maggiore velocità, capacità di elaborare grandi quantità di dati e possibilità di cogliere relazioni difficilmente individuabili con strumenti tradizionali. Ma che cosa accade se il sistema sbaglia? Chi risponde di una decisione discriminatoria? E la banca è in grado di spiegare al cliente perché il finanziamento è stato rifiutato?
A queste domande cerca di rispondere il Regolamento (UE) 2024/1689, conosciuto come AI Act. Il Regolamento non vieta alle banche di utilizzare l’intelligenza artificiale, ma adotta un approccio basato sul rischio: quanto più rilevanti sono le possibili conseguenze del sistema, tanto più rigorosi devono essere i controlli.

A. Quando un sistema bancario è “ad alto rischio”
Non tutti i programmi utilizzati da una banca sono sistemi di intelligenza artificiale e non tutti i sistemi di AI sono automaticamente considerati ad alto rischio.
L’Allegato III dell’AI Act include, in particolare, i sistemi destinati a valutare l’affidabilità creditizia delle persone fisiche o a determinarne il credit score. Sono esclusi quelli utilizzati per individuare le frodi finanziarie.
La distinzione è importante. Un’applicazione che segnala una transazione sospetta non può essere automaticamente equiparata a un sistema che contribuisce a decidere se concedere un mutuo. Nel secondo caso, l’output può incidere sulla possibilità di acquistare una casa, avviare un’attività o sostenere una spesa importante.
La banca deve quindi verificare la finalità del sistema, i soggetti sui quali produce effetti e il peso attribuito al risultato algoritmico nella decisione finale. Deve inoltre stabilire se operi come utilizzatore — il deployer — oppure come provider, ad esempio quando sviluppa il sistema o lo utilizza con il proprio nome. Da questa qualificazione derivano obblighi e responsabilità differenti.
Il primo passo consiste nel censire i sistemi utilizzati, indicando per ciascuno finalità, dati, responsabili, fornitori e ruolo svolto nel processo decisionale.

B. L’AI Act amplia il perimetro del controllo sui modelli
Nel settore bancario la valutazione di un modello è già un processo articolato. Essa comprende, tra gli altri aspetti, la solidità metodologica, la qualità dei dati, il potere discriminante, la calibrazione, la stabilità nel tempo, il backtesting, la corretta implementazione e l’effettivo utilizzo nei processi decisionali. A tali verifiche si affiancano la validazione indipendente, la definizione delle responsabilità e il monitoraggio delle limitazioni conosciute.
L’AI Act non sostituisce questi presidi; li integra con una prospettiva specifica sui sistemi di intelligenza artificiale, rafforzando l’attenzione verso i diritti fondamentali, la governance dei dati, la tracciabilità, la trasparenza, la supervisione umana e la robustezza.
L’articolo 9 richiede che la gestione del rischio sia continuativa, documentata e aggiornata lungo l’intero ciclo di vita. La conformità deve quindi essere incorporata nei processi di sviluppo, validazione, approvazione, monitoraggio e revisione.
Un sistema adeguatamente validato al momento della sua introduzione può modificare le proprie prestazioni nel tempo. Possono cambiare le condizioni economiche, la composizione della clientela e la qualità dei dati. Diventa pertanto necessario controllare non soltanto la performance complessiva, ma anche l’eventuale comparsa di anomalie o risultati differenziati tra categorie di clienti.

C. La qualità dei dati viene prima dell’algoritmo
Vale anche per l’intelligenza artificiale il principio GIGO, Garbage in, garbage out: se i dati in ingresso sono inadeguati, anche il migliore algoritmo può produrre risultati inaffidabili.
L’articolo 10 richiede che i dati di addestramento, validazione e test siano pertinenti, sufficientemente rappresentativi e, per quanto possibile, completi e privi di errori rispetto alla finalità prevista.
Pensiamo a un sistema costruito prevalentemente sulla storia creditizia di lavoratori con contratti a tempo indeterminato. Se applicato senza adeguate verifiche a lavoratori autonomi, giovani professionisti o persone con redditi discontinui, potrebbe produrre valutazioni meno precise. Il problema non sarebbe necessariamente una discriminazione intenzionale, ma una base informativa scarsamente rappresentativa.
La banca deve conoscere l’origine dei dati, documentarne le trasformazioni, individuare le carenze informative e verificare se il sistema mantenga prestazioni adeguate nei diversi segmenti di applicazione.
Gli articoli 11 e 12 richiedono, inoltre, documentazione tecnica e registrazione automatica degli eventi. Deve essere possibile ricostruire il funzionamento del sistema, controllarne le prestazioni e individuare eventuali anomalie attraverso log e audit trail adeguati.

D. L’algoritmo non può diventare un alibi
L’articolo 14 richiede che i sistemi ad alto rischio siano sottoposti alla supervisione di persone dotate di competenza, formazione e autorità adeguate. L’operatore deve conoscere capacità e limiti del sistema, interpretarne il risultato e, quando necessario, poterlo ignorare, modificare o revocare.
Il rischio principale è l’automation bias, cioè la tendenza a fidarsi eccessivamente della risposta fornita dalla macchina. La presenza di una persona davanti allo schermo non garantisce, da sola, un controllo effettivo. Se l’operatore non comprende il sistema o non dispone del potere di discostarsi dal risultato, la supervisione rimane soltanto formale.
A ciò si collega l’articolo 86, che riconosce, in presenza delle condizioni previste dal Regolamento, il diritto della persona interessata a ottenere spiegazioni chiare e significative sul ruolo svolto dal sistema e sui principali elementi della decisione.
Dire al cliente “lo ha deciso il computer” non è sufficiente. Spiegare non significa necessariamente rivelare il codice sorgente, ma chiarire quali fattori abbiano inciso sulla valutazione e come l’output sia stato utilizzato nella decisione finale.

Conclusioni
Il Regolamento (UE) 2024/1689, entrato in vigore il 1° agosto 2024, ha previsto all’articolo 113 un’applicazione graduale delle proprie disposizioni. Per i sistemi di AI utilizzati nella valutazione dell’affidabilità creditizia delle persone fisiche, classificati ad alto rischio ai sensi dell’articolo 6(2) e dell’Allegato III, punto 5(b), il calendario applicativo deve essere letto alla luce dell’accordo politico raggiunto il 7 maggio 2026 sull’AI Omnibus, che prospetta il differimento delle relative prescrizioni al 2 dicembre 2027.
L’AI Act non chiede alle banche di scegliere tra innovazione e prudenza. Chiede di innovare senza perdere il controllo delle decisioni.
La qualità di un sistema non dipenderà soltanto dalla sua performance quantitativa, ma anche dalla qualità dei dati, dalla tracciabilità delle operazioni, dall’integrazione nei processi di governance e dall’esistenza di una supervisione umana effettiva.
La questione decisiva può essere riassunta così: non basta sapere che cosa abbia indicato l’algoritmo. La banca deve comprendere perché lo abbia indicato, quando non dovrebbe fidarsi e chi possieda l’autorità per intervenire.
I sistemi di AI potranno liberare risorse e tempo, ma non libereranno le banche dalla responsabilità. Il principio dello human in the loop ricorda che, quando una decisione incide concretamente sulla vita delle persone, la tecnologia deve rimanere inserita in un sistema di controlli nel quale competenza, giudizio e responsabilità umana conservano un ruolo essenziale.
In definitiva, l’intelligenza artificiale può migliorare la decisione creditizia, ma non può trasformarsi in un alibi: dietro ogni algoritmo deve continuare a esserci un’organizzazione capace di governarlo, controllarlo e spiegarlo.

“Eternal vigilance is the price of freedom.” John Philpot Curran

_________________________________________________________________________

* Gianpiero Chironna: testo ideato, sviluppato e revisionato dall’autore con il supporto di sistemi di intelligenza artificiale, utilizzati sotto la sua supervisione.  “I contenuti sono riferibili unicamente all’autore ed esprimono la sua personale opinione alla data di pubblicazione; non costituiscono raccomandazioni d’investimento e non impegnano le società, le associazioni o le istituzioni di appartenenza.”

Riferimenti
Unione europea, Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (Artificial Intelligence Act), GUUE L, 2024/1689, 12 luglio 2024. In particolare: artt. 3, 6, 9–15, 25–26, 86 e 113; Allegato III, punto 5(b), e Allegato IV.
EUR-Lex – Regolamento (UE) 2024/1689
Commissione europea, AI Act – Regulatory framework for artificial intelligence, sezione “Application timeline”, ultimo aggiornamento 7 luglio 2026.
Commissione europea – AI Act e calendario applicativo
Commissione europea, EU agrees to simplify AI rules to boost innovation and ban “nudification” apps to protect citizens, comunicato del 7 maggio 2026.
Commissione europea – Accordo politico sull’AI Omnibus
Commissione europea, Standardisation of the AI Act, sezione relativa al Digital Omnibus e al calendario dei sistemi ad alto rischio.
Commissione europea – Standardizzazione dell’AI Act
European Banking Authority, AI Act: implications for the EU banking and payments sector, 21 novembre 2025.
EBA – Implicazioni dell’AI Act per il settore bancario e dei pagamenti
European Banking Authority, Rising application of AI in EU banking and payments sector, 25 settembre 2025.
EBA – Diffusione dell’AI nel settore bancario e dei pagamenti
European Banking Authority, Follow-up Report on the use of machine learning for Internal Ratings Based models, 4 agosto 2023.
EBA – Machine learning e modelli IRB
European Central Bank, The rise of artificial intelligence: benefits and risks for financial stability, in Financial Stability Review, maggio 2024.
BCE – Benefici e rischi dell’intelligenza artificiale per la stabilità finanziaria