Contesto e obiettivi del nuovo framework
Il 4 novembre 2026 l'OCC ha pubblicato un documento di vigilanza pensato per supportare gli ispettori bancari nella valutazione dell'uso della cosiddetta “Super Intelligence” (SI), termine adottato dall’amministrazione Trump per indicare le tecnologie di intelligenza artificiale generativa e agentica. Il framework è stato concepito come una risorsa pratica, non come una fonte di nuovi requisiti regolamentari.
In particolare, l’OCC sottolinea che il documento non crea una nuova categoria di rischio di supervisione né richiede alle banche di definire un appetito di rischio specifico per la SI. Gli esaminatori devono invece considerare come l’impiego della SI possa introdurre, amplificare o modificare i rischi già gestiti nei quadri di vigilanza esistenti.
Questa distinzione è cruciale perché le istituzioni finanziarie chiedono maggiore chiarezza normativa sul modo di impiegare le tecnologie AI generativa e agentica, soprattutto in un contesto di rapida evoluzione tecnologica.
Approccio dell’OCC: supervisione neutrale rispetto alla tecnologia
Il nuovo documento ribadisce l’impegno dell’OCC a favorire l’innovazione responsabile senza compromettere la solidità e la sicurezza del sistema bancario. L’agenzia riconosce i benefici della SI, tra cui:
- Servizio clienti più efficiente
- Rilevamento delle frodi migliorato
- Cyber‑security più robusta
- Riduzione dei costi operativi
- Automazione di processi manuali
Allo stesso tempo, l’OCC avverte che i rischi legati a AI generativa e agentica potrebbero non essere adeguatamente coperti dai controlli pensati per le tecnologie tradizionali.
Gli ispettori non devono trattare la SI come una categoria di rischio separata, né le banche devono definire un appetito di rischio dedicato. I rischi della SI vanno inseriti nei quadri di gestione del rischio già esistenti, quali rischio operativo, di conformità, di credito, di modello, di cyber‑security, di privacy e di terze parti.
Questo approccio è coerente con la filosofia dell’OCC di supervisione neutrale rispetto alla tecnologia: la valutazione si concentra sul rischio specifico dell’applicazione, non sulla novità della tecnologia.
Il principio di proporzionalità è al centro della linea guida: gli ispettori devono adattare il loro giudizio in base a dimensioni, complessità, profilo di rischio e potenziali conseguenze delle specifiche applicazioni di SI della banca.
Le sei colonne portanti e i sedici componenti di vigilanza
Il framework si articola in sei pilastri fondamentali, ognuno dei quali è scomposto in sedici componenti di supervisione:
1. Scopo (Purpose)
Definire le azioni che un sistema SI o un agente è autorizzato a compiere.
2. Rischio (Risk)
Valutare le conseguenze di output o azioni imprecise, inappropriate o non idonee.
3. Controllo (Control)
Implementare salvaguardie contro azioni non autorizzate, inadeguate o pericolose.
4. Supervisione (Oversight)
Identificare chi monitora il sistema e chi è responsabile del suo utilizzo.
5. Resilienza (Resilience)
Garantire che la banca possa rilevare, contenere, ripristinare e rimediare a guasti del sistema mantenendo le operazioni critiche.
6. Assurance (Assurance)
Assicurare che i controlli continuino a funzionare efficacemente mediante test, documentazione, revisione indipendente e supervisione di terze parti.
I sedici componenti includono: governance e responsabilità, gestione del rischio di modello, governance dei dati, privacy, conformità, gestione dei fornitori, resilienza operativa, cyber‑security, monitoraggio delle prestazioni, test, documentazione, audit interno e reporting.
Considerazioni specifiche per AI generativa e agentica
Molti dei temi sopra elencati sono noti ai professionisti della conformità, ma il documento evidenzia aspetti peculiari delle tecnologie AI non deterministiche. La convalida tradizionale dei modelli può rivelarsi insufficiente per sistemi che:
- Producono output non deterministici
- Subiscono modifiche frequenti
- Si basano su modelli di base di terze parti
Perciò l’OCC incoraggia test che considerino:
- Cambiamenti di comportamento del modello nel tempo
- Hallucinations (informazioni inventate)
- Input avversari
- Variabilità di risposta a prompt simili
Il framework segnala inoltre che un sistema AI può funzionare correttamente dal punto di vista tecnico ma compiere azioni inappropriate o dannose. Le banche dovrebbero prevedere salvaguardie quali:
- Interruttori di circuito (circuit breakers)
- Limiti di frequenza (rate limits)
- Permessi restrittivi
- Procedure di fallback
- Meccanismi per sospendere o terminare l’attività di un agente
AI agentica e supervisione umana
Uno degli elementi più rilevanti del documento è la distinzione tra il grado di autonomia dell’AI e il livello di supervisione umana richiesto. L’OCC osserva che un agente semplice basato su regole, in grado di avviare transazioni, può presentare un rischio maggiore rispetto a un modello sofisticato usato solo per redigere bozze interne.
Il framework differenzia due tipologie di controllo umano:
- Human‑in‑the‑loop: l’uomo rivede e approva l’output o l’azione prima dell’attuazione.
- Human‑on‑the‑loop: l’uomo monitora attivamente un sistema autonomo e può intervenire in tempo reale.
Il livello di coinvolgimento umano deve essere calibrato in base alle potenziali conseguenze, al grado di autonomia e alla reversibilità delle azioni dell’AI. L’OCC avverte contro una supervisione formale e superficiale: il revisore designato deve possedere competenze, informazioni, autorità e capacità operative per valutare, modificare o bloccare le azioni del sistema.
Focus sulla conformità verso i consumatori
Il settore dei servizi finanziari al consumo riceve un’attenzione particolare. L’OCC riconosce che l’uso della SI nei contatti con i clienti – servizio clienti, marketing, riscossioni, comunicazioni di divulgazione – può generare rischi di conformità quando gli output sono imprecisi, fuorvianti o in contrasto con le condizioni contrattuali.
Il documento segnala le “hallucinations” relative a commissioni, tassi d’interesse, stato del conto e politiche bancarie come fonti potenziali di responsabilità legale e danno al cliente. Le banche sono invitate a introdurre controlli che:
- Limitino le rappresentazioni automatizzate in situazioni ad alto impatto
- Richiedano verifiche umane per informazioni sensibili
- Facilitino la correzione tempestiva e la remediation quando vengono forniti dati errati
Questa indicazione è cruciale poiché l’adozione di AI generativa sta passando da semplici strumenti di produttività interna a agenti capaci di interagire direttamente con i clienti, accedere a conti, avviare transazioni e operare con minima supervisione umana.
Implicazioni operative per le banche
Le istituzioni finanziarie dovranno quindi:
- Integrare la valutazione della SI nei processi di gestione del rischio già esistenti.
- Aggiornare le politiche di governance per includere responsabilità specifiche relative a sistemi AI autonomi.
- Implementare test continui che coprano scenari di output non deterministici e di input avversari.
- Definire chiaramente i livelli di supervisione umana necessari per ciascuna applicazione.
- Rivedere i contratti con fornitori di modelli di base per assicurare clausole di responsabilità e monitoraggio.
In pratica, le banche dovranno adottare un approccio basato sul rischio, valutando caso per caso l’impatto potenziale di ogni applicazione di SI e adeguando i controlli di conseguenza.
Conclusioni
Il nuovo framework dell’OCC rappresenta un passo significativo verso una supervisione più articolata e proporzionale dell’intelligenza artificiale avanzata nel settore bancario. Pur non introducendo nuovi obblighi normativi, fornisce una guida dettagliata per incorporare i rischi della SI nei sistemi di gestione del rischio già in uso.
La chiave del successo sarà la capacità delle banche di adattare i propri processi di governance, testing e oversight alle peculiarità di AI generativa e agentica, garantendo al contempo la protezione dei consumatori e la continuità operativa.