Cibersicurezza dei sistemi di intelligenza artificiale nel Cyber Resilience Act e impatti per banche e intermediari finanziari

La disciplina europea della cibersicurezza sta assumendo un ruolo centrale anche nella regolazione dei sistemi di intelligenza artificiale. Il tema è particolarmente rilevante nei settori bancario e finanziario, nei quali l’impiego di modelli algoritmici e soluzioni digitali incide su processi decisionali, controlli antifrode, analisi dei dati e valutazione del merito creditizio.

Il Regolamento (UE) 2024/2847, noto come Cyber Resilience Act, introduce requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali. La finalità è assicurare che tali prodotti siano progettati, sviluppati e mantenuti in condizioni di sicurezza lungo l’intero ciclo di vita.

L’applicazione generale del regolamento è prevista dall’11 dicembre 2027. Tuttavia, alcuni obblighi sono destinati a operare prima di tale data: dall’11 settembre 2026 trovano applicazione gli obblighi di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi previsti dall’articolo 14.

Il Cyber Resilience Act come disciplina di sicurezza dei prodotti digitali

Il Cyber Resilience Act non si limita a intervenire su singoli settori, ma stabilisce un quadro comune per i prodotti con elementi digitali. La prospettiva adottata dal legislatore europeo è quella della sicurezza incorporata nel prodotto, con obblighi che riguardano in primo luogo i fabbricanti e la relativa documentazione di conformità.

Questa impostazione assume rilievo quando il prodotto digitale integra funzionalità di intelligenza artificiale oppure costituisce una componente essenziale per il funzionamento di un sistema di IA. In tali casi, la sicurezza informatica non è un profilo accessorio, ma una condizione che incide sulla corretta operatività del sistema e sulla sua affidabilità.

Coordinamento con il Regolamento (UE) 2024/1689, AI Act

Il rapporto tra Cyber Resilience Act e Regolamento (UE) 2024/1689, AI Act, è disciplinato espressamente dall’articolo 12 del Cyber Resilience Act. La norma riguarda i prodotti con elementi digitali che siano qualificabili anche come sistemi di intelligenza artificiale ad alto rischio.

In base a tale disposizione, questi prodotti possono essere considerati conformi ai requisiti di cibersicurezza previsti dall’articolo 15 dell’AI Act, a condizione che risultino rispettate le condizioni stabilite dal Cyber Resilience Act, anche con riferimento alla documentazione di conformità.

Le vulnerabilità proprie dei sistemi di IA

Il considerando 51 del Cyber Resilience Act richiama specifiche vulnerabilità dei sistemi di intelligenza artificiale. Tra queste rientrano gli attacchi diretti ad alterare i dati utilizzati dagli algoritmi, indicati come data poisoning, e le tecniche volte a manipolare le prestazioni del sistema, indicate come adversarial attacks.

La disciplina europea considera quindi la cibersicurezza dell’IA in una prospettiva ampia: non solo protezione del codice o dell’infrastruttura software, ma anche tutela dell’integrità dei dati, della stabilità del modello e della capacità del sistema di resistere a manipolazioni esterne.

Rilevanza per banche, intermediari e operatori finanziari

Gli operatori finanziari utilizzano sistemi di intelligenza artificiale in aree sempre più sensibili, tra cui l’analisi massiva dei dati, la prevenzione delle frodi e la valutazione del merito creditizio. In tali contesti, eventuali vulnerabilità informatiche possono incidere sia sulla continuità operativa sia sulla correttezza dei processi decisionali.

Per banche e intermediari, la conformità del prodotto digitale al Cyber Resilience Act rappresenta un elemento importante nella selezione e nel controllo delle soluzioni tecnologiche adottate. Tale conformità, tuttavia, non assorbe gli obblighi autonomi che gravano sugli operatori finanziari in materia di gestione dei rischi informatici e delle dipendenze tecnologiche.

Interazione con il Regolamento (UE) 2022/2554, DORA

Nel settore finanziario il Cyber Resilience Act deve essere letto insieme al Regolamento (UE) 2022/2554, Digital Operational Resilience Act, DORA, applicabile dal 17 gennaio 2025. DORA impone alle entità finanziarie presidi specifici per la gestione dei rischi informatici e per il controllo dei fornitori terzi di servizi ICT.

Le due discipline operano su livelli diversi. Il Cyber Resilience Act si concentra sui requisiti di sicurezza dei prodotti digitali e sugli obblighi dei fabbricanti. DORA, invece, disciplina la resilienza operativa digitale degli intermediari finanziari e la gestione dei rischi derivanti dall’utilizzo di servizi ICT, anche quando tali servizi siano prestati da fornitori esterni.

Il considerando 125 del Cyber Resilience Act riconosce espressamente questa complementarità, evidenziando che i requisiti di sicurezza dei prodotti digitali possono agevolare il rispetto degli obblighi relativi alla catena di approvvigionamento previsti da DORA.

Verifiche operative nella scelta delle soluzioni di IA

Nel nuovo quadro europeo, l’adozione di sistemi di intelligenza artificiale in ambito finanziario richiede una valutazione coordinata della conformità del prodotto, della sicurezza informatica e della resilienza operativa. La verifica deve riguardare sia il fornitore della tecnologia sia l’impatto della soluzione sui processi interni dell’intermediario.

Profili da presidiare

• qualificazione del prodotto come prodotto con elementi digitali ai sensi del Cyber Resilience Act;
• eventuale qualificazione del sistema di intelligenza artificiale come sistema ad alto rischio ai sensi dell’AI Act;
• coerenza della documentazione di conformità rispetto ai requisiti richiamati dall’articolo 12 del Cyber Resilience Act e dall’articolo 15 dell’AI Act;
• gestione delle vulnerabilità attivamente sfruttate e degli incidenti gravi ai sensi dell’articolo 14 del Cyber Resilience Act;
• integrazione dei controlli sul prodotto digitale con i presidi richiesti da DORA per la gestione dei rischi ICT e dei fornitori terzi.

La progressiva applicazione del Cyber Resilience Act rende quindi necessario anticipare le verifiche tecniche, contrattuali e organizzative sui sistemi di intelligenza artificiale utilizzati nel settore finanziario, in modo da coordinare sicurezza del prodotto, affidabilità dell’IA e resilienza operativa dell’intermediario.