Secondo alcune fonti, le autorità di vigilanza bancaria intensificano i controlli sull’intelligenza artificiale a fronte dei crescenti timori per la stabilità
di Nupur Anand, Phoebe Seers e Tommy Reggiori Wilkes
NEW YORK/LONDRA, 13 ottobre (Reuters) - Le autorità di vigilanza bancaria stanno intensificando gli sforzi per contenere i crescenti rischi legati all’IA, secondo quanto riferito da sei persone informate sulla questione; alcune di esse sottolineano il rischio che attacchi informatici alle banche o agenti ribelli possano minare la stabilità finanziaria globale.
L’attenzione delle autorità di vigilanza, i cui nuovi dettagli vengono riportati qui per la prima volta, riflette la crescente consapevolezza che i progressi nell’IA all’avanguardia potrebbero richiedere costosi investimenti nella ripresa informatica, una maggiore attenzione alle dipendenze da fornitori di tecnologia esterni e, in alcune giurisdizioni, linee guida normative più formali, hanno affermato le fonti.
Tre delle principali autorità di vigilanza degli Stati Uniti, tra cui la Federal Reserve, stanno interrogando le banche sul loro utilizzo di modelli avanzati di intelligenza artificiale, hanno riferito due delle fonti a Reuters, il che si aggiunge al precedente controllo (link).
Le domande vertono, tra l’altro, sull’eventuale impiego di tecnologie sviluppate in Cina, sull’uso di agenti di IA nella difesa informatica e sulla capacità di controllare sistemi sempre più autonomi, hanno affermato tre delle fonti.
In Europa, le autorità di vigilanza, tra cui la Banca d’Inghilterra e la Banca centrale europea, stanno esercitando pressioni sulle banche affinché migliorino i piani di ripristino, preoccupate che i rapidi progressi nell’IA possano causare gravi danni e perturbazioni nei mercati finanziari prima di quanto temuto in precedenza, hanno affermato tre persone a conoscenza delle loro intenzioni.
Un alto dirigente di una grande banca europea ha detto che anche loro sono preoccupati per i potenziali danni ingenti ai mercati bancari e finanziari «entro sei mesi».
Il dibattito sulla supervisione dell’IA si è intensificato sulla scia degli avvertimenti provenienti dal settore a seguito di recenti incidenti; Jamie Dimon, CEO di JPMorgan JPM.N, ha esortato i leader aziendali ad aderire a un gruppo di settore incentrato sugli Stati Uniti per affrontare i rischi legati all’IA, secondo quanto riportato da Reuters (link).
L’azienda statunitense di sicurezza informatica CrowdStrike ha detto questo mese che una persona in Cina ha probabilmente utilizzato un agente di IA sviluppato in Cina e il Claude Code di Anthropic in un attacco hacker (link) ai danni di banche sudcoreane. Agenti di IA non autorizzati sviluppati da OpenAI sono stati nel frattempo coinvolti in una violazione della piattaforma di IA Hugging Face, secondo quanto riportato da Reuters (link).
I ricercatori di Anthropic hanno avvertito che sistemi di IA sempre più potenti potrebbero alla fine sfuggire al controllo umano e persino rappresentare una minaccia esistenziale, suscitando richieste di una regolamentazione più rigorosa (link).
Le banche sono in competizione per adottare l’IA «agente» (link), in grado di svolgere compiti con una supervisione umana minima, mentre allo stesso tempo devono affrontare le sfide poste dai nuovi modelli, tra cui le vulnerabilità informatiche segnalate dallo strumento Mythos (link) di Anthropic.
«L’adozione dell’IA sta spesso superando la capacità di mettere in atto i controlli necessari», ha affermato Michael Woodbridge, partner specializzato in sicurezza informatica presso Grant Thornton con sede a Londra.
i timori DEGLI STATI UNITI RIGUARDANO L’IA AGENTICA
Le indagini delle autorità di regolamentazione statunitensi si concentrano sul modo in cui le banche utilizzano l’IA agentica in settori quali la sicurezza informatica, verificando in particolare se gli agenti di IA vengano impiegati per identificare, classificare per priorità e rispondere alle minacce.
Le domande poste dall’Office of the Comptroller of the Currency (OCC), dalla Federal Deposit Insurance Corporation e dalla Fed si concentrano sui limiti imposti ai sistemi, sulle modalità di monitoraggio e approvazione delle loro azioni e sulla capacità delle banche di tracciare e verificare chiaramente le decisioni degli agenti di IA, hanno affermato due delle persone intervistate.
Stanno inoltre chiedendo quali misure di salvaguardia esistano per impedire agli agenti di eccedere nella loro autorità, se gli esseri umani continuino a essere coinvolti nelle decisioni chiave e in che modo le banche possano disattivare i sistemi autonomi.
L’OCC, la Fed e la FDIC hanno rifiutato di commentare.
Attraverso le loro domande, le autorità di regolamentazione stanno approfondendo questioni più specifiche legate ai modelli avanzati di IA, tra cui l’uso di agenti IA autonomi, modelli sviluppati all’estero e nuovi rischi informatici, hanno affermato le tre fonti a conoscenza del loro orientamento.
Le richieste scritte e verbali rivolte a banche di grandi, medie e piccole dimensioni dimostrano che le autorità di regolamentazione si stanno concentrando sulle vulnerabilità derivanti dall’uso dell’IA da parte delle banche e sulla loro prontezza ad agire, hanno aggiunto.
Le autorità di regolamentazione stanno ancora raccogliendo informazioni e non stanno ancora fornendo indicazioni prescrittive su ciò che gli istituti di credito dovrebbero fare, hanno affermato.
GLI EUROPEI PREOCCUPATI PER IL RECUPERO
Le autorità di vigilanza britanniche stanno incoraggiando separatamente le banche più grandi a esaminare i cosiddetti piani di ripristino «bare metal», hanno affermato due delle fonti a conoscenza delle loro intenzioni. Questi sistemi sono completamente indipendenti dall’infrastruttura tecnologica principale di una banca e possono entrare in funzione qualora i sistemi operativi primari fossero compromessi.
La realizzazione e la manutenzione di tali sistemi di ripristino all’avanguardia sono tuttavia costose, hanno affermato le fonti.
Piuttosto che introdurre nuovi requisiti, le autorità britanniche intendono collaborare con il settore, hanno aggiunto.
La Banca d’Inghilterra (BoE) ha rifiutato di commentare.
A luglio la Bce ha fissato ai finanziatori la scadenza di fine ottobre per presentare piani volti a contrastare le minacce informatiche basate sull’intelligenza artificiale (link), compresi sistemi di backup e ripristino potenziati.
Interrogata sulla propria strategia di regolamentazione dell’IA, la Bce ha fatto riferimento alla propria lettera di luglio e a un discorso tenuto a giugno dal membro del consiglio Frank Elderson, il quale ha sottolineato la necessità di creare un senso di urgenza, non di allarme, riguardo alle minacce.
La necessità di un intervento di vigilanza ha assunto maggiore urgenza dopo che le banche e le autorità di regolamentazione europee hanno espresso frustrazione (link) per l’accesso limitato a Mythos quest’anno, tra i timori che alle banche statunitensi venga concessa la priorità nel testare i modelli all’avanguardia.
Come le loro controparti statunitensi, anche le autorità di vigilanza del Regno Unito stanno chiedendo alle banche di utilizzare l’IA all’avanguardia per identificare le vulnerabilità e accelerare l’applicazione delle patch, hanno affermato due fonti, con una delle quali che ha aggiunto che gli istituti di credito stanno finora facendo un buon lavoro.
La terza fonte ha affermato che alle banche dell’eurozona è stato chiesto anche di mappare le modalità di utilizzo dell’IA all’interno delle proprie attività e presso i fornitori terzi, per comprendere le dipendenze chiave e garantire di poter spegnere e riavviare i sistemi in modo controllato.
In alcune aziende permangono tuttavia notevoli lacune, hanno aggiunto.
«Per proteggersi dagli attacchi, il ripristino rapido è importante tanto quanto la prevenzione», ha affermato Sukand Ramachandran, amministratore delegato e socio senior di BCG.
Senza copie separate, pulite e sicure dei dati critici, «un attacco grave potrebbe impedire ai clienti l’accesso ai propri conti e interrompere i pagamenti in tutta l’economia», ha detto Ramachandran a Reuters.
(A beneficio di chi non è di madrelingua inglese, Reuters automatizza la traduzione delle sue storie in una serie di altre lingue. Poiché la traduzione automatica può introdurre errori o non includere il contesto necessario, Reuters non garantisce l'accuratezza del testo tradotto automaticamente, ma fornisce queste traduzioni esclusivamente per la comodità dei suoi lettori. Reuters declina ogni responsabilità per danni o perdite di qualsiasi tipo causati dall'uso della funzione di traduzione completamente automatica.)