Le linee guida MAS sulla gestione del rischio dell'IA sono definitive: cosa devono fare le banche entro il 2027 e il 2028

Cosa ha emanato la MAS¶

Le Guidelines on Artificial Intelligence Risk Management recano la data di pubblicazione del 7 ottobre 2026. La MAS afferma che "si applicano a tutti gli istituti finanziari e a tutte le forme di tecnologie di IA". Gli istituti finanziari sono definiti per rinvio alla sezione 2 del Financial Services and Markets Act 2022, e le linee guida si applicano su base di gruppo agli istituti costituiti localmente soggetti a vigilanza consolidata della MAS o titolari di infrastrutture informative critiche.

La definizione di IA si basa sul comportamento appreso. Per IA si intendono sistemi o modelli basati su macchine che ricavano output attraverso premesse apprese, come i dati o gli input che ricevono. Ne restano esclusi i sistemi basati su regole, le formule specificate a mano e l’automazione robotica dei processi che segue istruzioni fisse senza apprendimento. L’elenco esemplificativo di ciò che vi rientra comprende l’IA generativa e gli agenti IA, compresi i sistemi multi-agente.

Le linee guida integrano gli strumenti MAS esistenti. I principi FEAT (Fairness, Ethics, Accountability and Transparency) continuano ad applicarsi, e le aspettative della MAS su esternalizzazione e terze parti si applicano all’IA di terzi. Un istituto che fa parte di un gruppo globale può usare il quadro di gruppo se questo soddisfa le linee guida, e l’alta dirigenza locale deve poter dimostrare alla MAS come assolve le proprie responsabilità di supervisione.

Due date di applicazione¶

Il paragrafo 1.8 fissa il calendario: le linee guida entrano in vigore il 7 ottobre 2027; gli istituti finanziari possono soddisfare le aspettative delle sezioni da 3 a 4 dal 7 ottobre 2027 e quelle delle sezioni 5 e 6 entro il 7 ottobre 2028. Il documento di consultazione aveva proposto un’unica transizione di 12 mesi dall’emanazione. Il testo definitivo mantiene 12 mesi per il livello di governance e concede un anno in più per il livello dei controlli.

La suddivisione segue la struttura del documento. Le sezioni 3 e 4 stabiliscono chi è responsabile del rischio dell’IA e quale IA l’istituto utilizza. Le sezioni 5 e 6 stabiliscono come ogni caso d’uso viene costruito, testato, monitorato, modificato e dismesso. Un istituto non può calibrare i controlli sul ciclo di vita prima di avere un inventario e un rating di rilevanza, quindi l’ordine delle date corrisponde all’ordine del lavoro.

Cosa deve essere in essere entro il 7 ottobre 2027¶

Supervisione. Il consiglio di amministrazione, o un comitato da esso delegato, approva l’approccio complessivo di governance per la gestione del rischio dell’IA e garantisce che i rischi derivanti dall’uso dell’IA siano trattati nel quadro di propensione al rischio, comprese, se del caso, dichiarazioni qualitative e misure quantitative per tali rischi. La MAS fornisce esempi di misure quantitative: soglie sul numero o sull’impatto finanziario degli incidenti legati all’IA, il numero di casi d’uso rilevanti che dipendono da un unico fornitore e il numero di casi d’uso rilevanti che violano le soglie di prestazione. L’alta dirigenza definisce i ruoli nelle tre linee, istituisce un processo interno di escalation per gestire i rischi rilevanti e le eccezioni derivanti dall’uso dell’IA, come gli incidenti di IA, e aggiorna tempestivamente il consiglio sulle questioni rilevanti di rischio dell’IA.

Identificazione. Una funzione di controllo designata è responsabile del processo di identificazione ed è l’arbitro finale nel determinare se un dato uso costituisce uso di IA. L’identificazione deve coprire l’IA integrata nei servizi dei fornitori terzi rilevanti, compreso il software venduto senza l’etichetta IA.

Inventario. L’istituto mantiene un inventario accurato dei casi d’uso, sistemi o modelli di IA. Tra gli attributi suggeriti figurano finalità, ambito d’uso approvato, tipo di modello, dati utilizzati, dipendenze, stato nel ciclo di vita, rating di rilevanza del rischio, stato della revisione, responsabili e collegamenti alla documentazione. Per gli agenti, la nota 25 aggiunge identificativi specifici dell’agente, informazioni sugli strumenti e sui sistemi a cui l’agente può accedere, sui suoi componenti e sulle salvaguardie imposte per gestire il rischio.

Rilevanza del rischio. Ogni caso d’uso di IA è valutato su almeno tre dimensioni: impatto, complessità e affidamento. L’affidamento comprende il grado di autonomia concesso al sistema o modello di IA e il grado di coinvolgimento o supervisione umana. La valutazione copre la rilevanza intrinseca e quella residua, e il rating residuo deve rientrare nella propensione al rischio prima della messa in produzione. Una funzione di controllo designata approva o arbitra i rating.

Cosa deve essere in essere entro il 7 ottobre 2028¶

La sezione 5 chiede controlli lungo tutto il ciclo di vita di ogni caso d’uso, commisurati alla sua rilevanza di rischio. Per gli agenti contano soprattutto quattro aspettative.

Sorveglianza umana (5.9). Ruoli chiari con processi di escalation e decisionali, personale con l’autorità e la capacità necessarie per intervenire, sistemi progettati con meccanismi per sottoporre output o raccomandazioni dell’IA a revisione umana al verificarsi di condizioni predefinite (ad esempio su affidabilità e accuratezza) e revisione documentata delle decisioni e degli interventi di supervisione, compresi i quasi incidenti. Il testo cita anche il bias di automazione e l’affaticamento decisionale.

Revisione prima della messa in produzione (5.18–5.19). Revisione da parte di soggetti non coinvolti nello sviluppo e convalida indipendente formale prima della messa in produzione per i casi d’uso ad alta rilevanza.

Monitoraggio e incidenti (5.23). Metriche con soglie graduate e controlli sulla deriva. Ove pertinente, la MAS chiede di monitorare anche il flusso di informazioni e i percorsi decisionali nei flussi di lavoro che usano l’IA, come processi di ragionamento, azioni intraprese e strumenti utilizzati. Per l’IA ad alta rilevanza gli istituti dovrebbero valutare kill switch o meccanismi di override, e per gli agenti IA una documentazione rafforzata, come la registrazione di prompt e risposte del modello con le versioni del modello e i processi di ragionamento.

Gestione delle modifiche (5.25). Le modifiche significative attivano revisione e nuova approvazione, il controllo delle modifiche si svolge con sorveglianza umana e il controllo di versione consente di tornare indietro. La sezione 6 chiede poi personale competente, risorse adeguate e un’infrastruttura tecnologica dimensionata per il caso d’uso.

Il controllo delle modifiche è l’ambito in cui i nostri test ci hanno insegnato di più. In KLA, la pubblicazione di una modifica di policy crea un’approvazione a due persone, e la nuova versione resta inattiva finché un approvatore diverso non la convalida. Nei nostri tenant di test, l’esecuzione di un agente su una policy approvata ma non ancora attiva falliva in modo sicuro con un messaggio di verifica generico, e l’operatore non riusciva a capirne il motivo. Abbiamo modificato il messaggio perché indicasse il motivo e il passo successivo. La lezione per il punto 5.25 è che ogni versione di policy richiede uno stato visibile (bozza, approvata, attiva), e la registrazione di ogni azione dell’agente dovrebbe indicare la versione attiva al momento dell’esecuzione.

Cosa dice il testo definitivo sugli agenti IA¶

Gli agenti compaiono in quattro punti. Il paragrafo 1.5 afferma che le linee guida definiscono aspettative per gli istituti nel momento in cui impiegano l’IA, compresa l’IA generativa e sviluppi più recenti come gli agenti IA. Il paragrafo 1.11 descrive il rischio: un agente con accesso agli strumenti potrebbe eseguire autonomamente azioni non autorizzate o errate, non allineate agli obiettivi di business dell’istituto o al migliore interesse del cliente, e agenti compromessi potrebbero esfiltrare dati sensibili o eseguire comandi malevoli su larga scala. La nota sull’inventario elenca gli attributi degli agenti e il paragrafo sul monitoraggio cita azioni e strumenti.

La MAS rinvia inoltre gli istituti al Model AI Governance Framework for Agentic AI dell’IMDA come riferimento per le pratiche specifiche per gli agenti. Il comunicato stampa aggiunge il passo successivo: nel 2027 la MAS intende consultare ulteriormente il settore finanziario su quali ulteriori indicazioni sull’IA agentica sarebbero utili. Fino ad allora le linee guida sono la base di vigilanza per gli agenti, applicata attraverso le stesse aspettative di inventario, rilevanza, supervisione e monitoraggio previste per qualsiasi altra IA.

Letti insieme, questi passaggi descrivono un programma di agenti su cui la MAS può esercitare la vigilanza: ogni agente registrato con i suoi strumenti e le sue salvaguardie, l’autonomia valutata nella dimensione dell’affidamento, un punto definito in cui le azioni proposte passano a una persona con l’autorità di intervenire, una registrazione delle azioni e delle chiamate agli strumenti e un modo collaudato per fermare l’agente.

Cosa è cambiato rispetto alla bozza di consultazione¶

Tempistica. La consultazione proponeva 12 mesi dall’emanazione. Il testo definitivo concede 12 mesi per le sezioni 3 e 4 e 24 mesi per le sezioni 5 e 6.

Comitati. La consultazione proponeva un comitato interfunzionale dedicato quando l’esposizione dell’istituto al rischio dell’IA è rilevante. Il comunicato stampa afferma che si possono usare le strutture di governance esistenti e che non è richiesto un comitato dedicato all’IA. Il consiglio di amministrazione o un comitato da esso delegato assume le responsabilità della sezione 3.

Policy di base. I paragrafi da 2.3 a 2.5 definiscono un percorso per gli istituti il cui uso dell’IA non avrebbe un impatto negativo rilevante se funzionasse male o diventasse indisponibile. Questi istituti possono applicare policy di base di governance dell’IA: un dirigente responsabile, usi consentiti e vietati con requisiti di revisione umana, un elenco approvato di strumenti di IA, formazione del personale, controlli di conformità regolari e verifica periodica che l’istituto continui a rientrare in questa categoria. Gli esempi sono l’assistenza alla redazione, le sintesi interne e la ricerca interna. Un agente che agisce all’interno di un flusso di lavoro in produzione non vi rientra.

A che punto è SAFR¶

Le linee guida definitive non citano SAFR (Safeguards for Agentic Finance at Runtime), il white paper del programma BuildFin.ai della MAS. Due giorni dopo le linee guida, il 9 ottobre 2026, BuildFin.ai ha pubblicato la versione 1.1 di SAFR, che chiarisce ambito e approccio di implementazione e aggiunge casi di studio. La versione 1.1 afferma che SAFR "non costituisce orientamento regolamentare né aspettativa di vigilanza, né prescrive o anticipa direzioni future per tali orientamenti o aspettative".

SAFR resta quindi un riferimento volontario, e la MAS non si è impegnata a renderlo obbligatorio. Il suo valore per un istituto è pratico: descrive i meccanismi a runtime (identità dell’agente, mandati, una disposizione per ogni azione proposta e un registro di audit) che producono le registrazioni di supervisione e monitoraggio richieste dalla sezione 5. La guida a SAFR illustra la specifica e Come implementare SAFR presenta un esempio svolto di mandato e di registrazione della decisione.

Cosa fare prima del 7 ottobre 2027¶

La prima scadenza riguarda la governance, e gran parte del lavoro consiste nel fare emergere ciò che esiste. Tre attività rientrano nei prossimi due trimestri. Designate le funzioni di controllo per identificazione, inventario e rilevanza, e fate approvare dal consiglio l’approccio di governance e le misure di propensione al rischio dell’IA. Costruite l’inventario con gli attributi degli agenti della nota 25, compresa l’IA di terzi e quella integrata. Valutate ogni caso d’uso su impatto, complessità e affidamento, così da conoscere gli agenti ad alta rilevanza prima che inizi il lavoro sul ciclo di vita.

Per gli agenti ad alta rilevanza, iniziate presto il lavoro del 2028. Un punto di controllo a runtime che valuta ogni azione proposta prima della sua esecuzione, instrada i casi definiti a un revisore designato e registra l’azione, la versione della policy, l’esito e l’eventuale decisione umana produce le prove di supervisione e monitoraggio descritte dalla sezione 5. KLA Control Plane implementa questo schema con quattro esiti: allow, warn, require_approval e block.