L'opinione
Le comunicazioni parallele di Banca d’Italia e IVASS sulla resilienza operativa digitale non rappresentano due iniziative settoriali isolate. Compongono, piuttosto, un unico messaggio di vigilanza rivolto al mercato bancario, finanziario e assicurativo: l’accelerazione dell’AI modifica la geografia del rischio cyber e impone un’accelerazione altrettanto netta dei sistemi di governo e controllo.
di Oreste Pollicino - Professor of Constitutional Law and AI Regulation, Bocconi
Il punto di partenza è tecnologico. I modelli più avanzati possono ridurre drasticamente il tempo che separa l’individuazione di una vulnerabilità dal suo sfruttamento, ampliando l’asimmetria tra attaccanti e difensori.
Ma la risposta richiesta dalle Autorità è soprattutto organizzativa. Governance dell’AI, sicurezza dei dati, resilienza operativa e gestione dei fornitori non possono più essere trattate come compartimenti separati né delegate esclusivamente alle funzioni tecniche.
Banca d’Italia e IVASS indicano infatti la stessa costellazione di priorità: revisione del Risk Appetite Framework alla luce delle tecnologie di frontiera; attribuzione chiara delle responsabilità; competenze sull’AI e formazione continua all’interno del CdA; inventari aggiornati delle risorse ICT; gestione tempestiva delle vulnerabilità e delle patch; controllo delle infrastrutture cloud, dei sistemi legacy e del software open source; monitoraggio degli accessi e del traffico; test di resilienza basati su scenari realistici; governo contrattuale e sostanziale delle catene di fornitura tecnologica.
Continua qui
