L'ACPR autorità di vigilanza del mercato per l'IA nel credito e nelle assicurazioni da dicembre 2027

Cosa prevede l'AI Act¶

Due casi d'uso finanziari figurano nell'Allegato III del Regolamento (UE) 2024/1689. Il punto 5, lettera b), riguarda i sistemi destinati a valutare l'affidabilità creditizia delle persone fisiche o a stabilirne il merito di credito, a eccezione dei sistemi usati per individuare frodi finanziarie. Il punto 5, lettera c), riguarda i sistemi destinati alla valutazione dei rischi e alla determinazione dei prezzi per le persone fisiche nelle assicurazioni vita e malattia.

Per questi sistemi l'articolo 74, paragrafo 6, indica l'autorità di vigilanza del mercato predefinita. Se il sistema è usato da istituti finanziari disciplinati dal diritto dell'Unione in materia di servizi finanziari, l'autorità di vigilanza del mercato è "l'autorità nazionale pertinente responsabile della vigilanza finanziaria di tali enti ai sensi di tale diritto", nella misura in cui l'uso sia direttamente connesso alla prestazione di quei servizi finanziari. L'articolo 74, paragrafo 7, consente a uno Stato membro di designare un'altra autorità, purché sia garantito il coordinamento. La scelta dell'ACPR segue la logica del Regolamento.

Il calendario è fissato. Il Digital Omnibus ha spostato al 2 dicembre 2027 l'applicazione del capo III, sezioni da 1 a 3, per i sistemi ad alto rischio dell'Allegato III. Dalla stessa data si applicano gli obblighi dei deployer, compresa la valutazione d'impatto sui diritti fondamentali (FRIA) dell'articolo 27 per la valutazione del merito creditizio e la tariffazione delle assicurazioni vita e malattia.

A che punto è la designazione francese¶

La designazione passa per il disegno di legge recante diverse disposizioni di adeguamento del diritto francese al diritto dell'UE (DDADUE). Depositato al Senato il 10 novembre 2025 con procedura accelerata, è stato adottato dal Senato in prima lettura il 18 febbraio 2026 e trasmesso all'Assemblea nazionale il 20 febbraio 2026 (progetto n. 2518).

Al Senato il Governo ha fatto approvare un emendamento che definisce l'assetto di governance: la CNIL diventa una delle autorità competenti ai sensi dell'articolo 70 dell'AI Act e l'autorità di vigilanza del mercato per diverse categorie dell'Allegato III. La relazione illustrativa dell'emendamento precisa che i sistemi usati dagli istituti finanziari per valutare il merito creditizio, il rischio o il prezzo relativi a persone fisiche rientrano nella competenza dell'ACPR.

Nel comunicato della consultazione sull'equità algoritmica, aggiornato il 24 settembre 2026, l'ACPR scrive che in base al disegno di legge DDADUE, all'esame del Parlamento, sarebbe designata autorità di vigilanza del mercato per i casi d'uso ad alto rischio legati ai servizi finanziari e che i nuovi compiti partirebbero il 2 dicembre 2027. Al 2 ottobre 2026 il disegno di legge non è stato adottato in via definitiva. Considerate la designazione come proposta; l'AI Act si applica direttamente qualunque sia l'autorità designata alla fine.

Cosa ha detto l'ACPR sul proprio metodo¶

Nella riunione di piazza del 1° luglio 2026 l'ACPR ha presentato la sua tabella di marcia partendo dall'ipotesi di lavoro di essere designata. Tre punti contano per i team di compliance e di gestione dei rischi.

Due fonti di competenza. L'ACPR trae i poteri di vigilanza sull'IA dall'AI Act, per i casi 5(b) e 5(c), e dalle regole settoriali esistenti, per ogni sistema di IA che comporta un rischio prudenziale o di condotta, compresi la tutela della clientela e l'AML-CFT. In virtù della neutralità tecnologica detiene già questi poteri, anche se, come indicano le sue slide, in pratica non li usa ancora. Un agente di IA che smista gli alert AML è fuori dall'Allegato III e resta soggetto a vigilanza.

Quattro aree prioritarie. Prestazioni e robustezza, spiegabilità, equità, cibersicurezza e riservatezza. Sono gli assi di una metodologia di audit dell'IA che l'ACPR dice di voler costruire con il settore e che presenta come destinata a diventare nel tempo un quadro di riferimento.

Una tabella di marcia in due parti. Progettare una vigilanza proporzionata (raccolta di informazioni, punteggio di rischio, definizione delle priorità, organizzazione interna) e aiutare gli enti a costruire la capacità umana e tecnica per dimostrare il rispetto dei requisiti.

La consultazione sull'equità algoritmica¶

Il 1° luglio 2026 l'ACPR ha pubblicato un documento di discussione, "L'équité algorithmique dans le secteur financier" (l'equità algoritmica nel settore finanziario), e ha aperto una consultazione pubblica fino al 30 settembre 2026. La questione è come conciliare la tariffazione differenziata in base al rischio con la prevenzione di trattamenti iniqui o discriminatori, in particolare quelli legati a caratteristiche personali sensibili. Il perimetro rinvia ai due casi d'uso ad alto rischio: il credito e le assicurazioni vita e malattia.

Il documento tratta il quadro giuridico applicabile, i concetti e le metriche di equità, i metodi per individuare, misurare e correggere le distorsioni e i modi per integrarli nella prassi degli enti. Si basa su laboratori tecnici con enti volontari. L'ACPR precisa che non costituisce una posizione ufficiale dell'ACPR.

Per un ente la conseguenza è concreta. L'equità sarà uno dei quattro assi di vigilanza e la consultazione fornisce il lessico delle domande che verranno poste: quale definizione di equità l'ente applica a ciascun modello, quali metriche monitora, come tratta le variabili correlate a caratteristiche sensibili e quale traccia conserva dei compromessi adottati.

La nota CNIL e CIANum sull'IA agentica¶

Il 20 luglio 2026 la CNIL e il Conseil de l'IA et du Numérique hanno pubblicato una nota esplorativa, "IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs" (IA agentica e protezione dei dati personali). Non crea nuovi obblighi. Descrive come il passaggio agli agenti metta sotto pressione i principi del GDPR e osserva che l'AI Act non contiene regole specifiche per gli agenti di IA.

Diverse constatazioni riguardano direttamente le banche. La memoria persistente degli agenti consente profili utente molto precisi; i flussi di dati tra servizi rendono più difficile attribuire le responsabilità; l'opacità di queste architetture aumenta i rischi delle decisioni automatizzate, e la nota cita come esempi settori regolamentati come la finanza. Tra le piste suggerite figurano regole di trasparenza più rigorose sulle azioni degli agenti, la convalida umana obbligatoria per le decisioni più critiche e, fin dalla progettazione, una memoria degli agenti compartimentata, l'esecuzione in ambienti isolati e un pulsante di arresto di emergenza.

Un ente che affida a un agente parte di un percorso di credito o di sottoscrizione si trova dove i due regimi si incontrano: l'ACPR per il sistema ad alto rischio e la condotta, la CNIL per i dati personali. La nota mostra le domande che porrà la CNIL, che coincidono con quelle dell'ACPR su tracciabilità e controllo umano.

Preparare le prove per un'ispezione¶

L'ACPR non ha ancora pubblicato la sua metodologia di audit. Le quattro aree prioritarie e i criteri del 2020 (gestione dei dati, prestazioni, stabilità, spiegabilità) bastano per iniziare subito a preparare le prove. La tabella è una lettura pratica; non riproduce un requisito pubblicato.

Cosa abbiamo imparato sulle esportazioni di prove¶

Preparando una demo a luglio 2026 abbiamo generato un pacchetto di prove sigillato dai nostri ambienti di test. L’esportazione si è chiusa come "completata con omissioni": mancavano due eventi di sicurezza provenienti da una fonte non autorevole e l’esportazione li ha segnalati come avviso. È il comportamento corretto: un pacchetto di prove deve dichiarare ciò che non contiene. Un ispettore che trova una lacuna non dichiarata smette di fidarsi del resto del fascicolo.

Per una banca che si prepara a un'ispezione dell'ACPR, la regola vale al di là di qualsiasi strumento. L'inventario dei sistemi, le convalide e i registri delle decisioni devono dichiarare ciascuno il proprio perimetro e le proprie esclusioni, con il motivo di ognuna.

Cronologia¶

Le date note al 2 ottobre 2026.

Cosa fare prima di dicembre 2027¶

Quattro cantieri. Censite i sistemi che rientrano nei punti 5(b) e 5(c), compresi quelli forniti da terzi e le funzioni di credito integrate in percorsi più ampi. Per ciascuno preparate la FRIA dell'articolo 27 e le prove per le quattro aree prioritarie. Documentate una definizione di equità e le metriche per ogni modello, servendovi del documento di discussione dell'ACPR. Per gli agenti registrate ogni azione proposta, la regola applicata e la decisione umana quando è richiesta, così da poter riprodurre una decisione davanti a un ispettore.

Per le fasi di un percorso affidate a un agente, un punto di controllo a runtime valuta ogni azione prima che venga eseguita e produce queste registrazioni. KLA Control Plane implementa questo schema con quattro esiti (allow, warn, require_approval, block) e una registrazione per decisione. Gli obblighi del deployer sono descritti nel modello di FRIA e nella FRIA svolta per il credit scoring.