MAS AIRG: piano di transizione per l'IA agentica verso ottobre 2027 e 2028

Cosa sono le AIRG e a che punto sono¶

AIRG è la sigla delle Guidelines on Artificial Intelligence Risk Management della MAS. La MAS ha posto in consultazione una bozza dal 13 novembre 2025 (documento di consultazione P017-2025) al 31 gennaio 2026 e ha emanato le linee guida definitive il 7 ottobre 2026. Le linee guida definiscono le aspettative di vigilanza della MAS in quattro ambiti: supervisione dell'IA da parte del consiglio di amministrazione e dell'alta direzione (sezione 3); sistemi, politiche e procedure chiave di gestione del rischio dell'IA per identificazione, inventario e valutazione della rilevanza del rischio (sezione 4); controlli sul ciclo di vita dell'IA (sezione 5); competenze e capacità in materia di IA (sezione 6).

Il paragrafo 1.8 fissa il calendario: «Le presenti linee guida entrano in vigore il 7 ottobre 2027. Gli istituti finanziari possono soddisfare le aspettative di cui alle sezioni da 3 a 4 dal 7 ottobre 2027 e le sezioni 5 e 6 delle linee guida entro il 7 ottobre 2028.» La consultazione aveva proposto un'unica transizione di 12 mesi. Il testo definitivo mantiene 12 mesi per la governance e concede 24 mesi per i controlli.

La definizione di IA è volutamente ampia. Per IA si intendono «sistemi o modelli basati su macchine che derivano output da premesse apprese, come i dati o gli input che ricevono». L'elenco esemplificativo comprende machine learning, deep learning, elaborazione del linguaggio naturale, visione artificiale, IA generativa e «agenti IA (compresi i sistemi multi-agente)». Ne restano esclusi i sistemi basati su regole, le formule definite manualmente e la robotic process automation priva di apprendimento.

La risposta parlamentare di agosto 2026, resa dal Vice Primo Ministro Gan Kim Yong in qualità di presidente della MAS, aveva affermato che le linee guida «si applicano a tutti i casi d'uso dell'IA da parte degli istituti finanziari, compresa l'IA agentica, e saranno finalizzate a breve». Il testo definitivo conferma la prima parte. Sugli agenti in particolare, la MAS afferma che «nel 2027 la MAS intende consultare ulteriormente il settore finanziario su quali indicazioni aggiuntive sull'IA agentica sarebbero utili».

Chi rientra nel perimetro e come funziona la proporzionalità¶

Le linee guida si applicano a tutti gli istituti finanziari come definiti nella sezione 2 del Financial Services and Markets Act 2022 e a «tutte le forme di tecnologie di IA». Si applicano a livello di gruppo agli istituti finanziari costituiti localmente che sono soggetti a vigilanza consolidata della MAS o sono titolari di infrastrutture informative critiche. Un istituto finanziario che fa parte di un gruppo globale può usare il quadro di gruppo se questo soddisfa le linee guida, e l'alta direzione locale deve essere in grado di dimostrare alla MAS come assolve le proprie responsabilità di supervisione.

L'applicazione è proporzionata lungo due assi. Il primo è l'istituto: supervisione, politiche e procedure si commisurano alla dimensione e alla natura delle attività, all'uso dell'IA e al profilo di rischio. Il secondo è l'IA stessa: i controlli sul ciclo di vita sono calibrati sulla rilevanza del rischio valutata per ciascun caso d'uso.

I paragrafi da 2.3 a 2.5 definiscono un percorso semplificato. Un istituto finanziario può applicare politiche di governance dell'IA di base se prestazioni scadenti o l'indisponibilità della sua IA «difficilmente avranno un impatto negativo rilevante sull'istituto finanziario, sui suoi clienti o su altri portatori di interessi». L'insieme di base comprende un dirigente responsabile, gli usi consentiti e vietati con i relativi requisiti di revisione umana, un elenco di strumenti di IA approvati, la formazione del personale, verifiche periodiche di conformità e un riesame periodico per stabilire se l'istituto possiede ancora i requisiti. Gli esempi indicati dalla MAS sono redazione di testi, sintesi, analisi interne e ricerca interna, con una persona che controlla l'output. Un agente che smista gli alert AML, esegue lo screening dei pagamenti o redige valutazioni del merito creditizio all'interno di un flusso di produzione non rientra in questo percorso.

Il paragrafo 1.11 spiega perché gli agenti si collocano all'estremo più impegnativo. Un agente con accesso a strumenti «potrebbe eseguire autonomamente azioni non autorizzate o errate, non in linea con gli obiettivi di business dell'istituto finanziario o con il miglior interesse del cliente», e un agente compromesso potrebbe «esfiltrare dati sensibili o eseguire comandi malevoli su larga scala».

Come le AIRG si collegano a SAFR¶

AIRG e SAFR operano su livelli diversi. Le AIRG fissano le aspettative di vigilanza della MAS. SAFR (Safeguards for Agentic Finance at Runtime), il white paper del programma BuildFin.ai della MAS pubblicato per la prima volta a luglio 2026, descrive come vengono autorizzate le azioni degli agenti, come si attiva la supervisione umana e cosa viene registrato nel momento di ogni decisione rilevante. La risposta parlamentare di agosto 2026 aveva descritto SAFR in questi termini e indicato il Project MindForge AI Risk Management Toolkit come seconda risorsa per il settore.

Le linee guida definitive non citano SAFR. SAFR versione 1.1, pubblicata il 9 ottobre 2026, afferma che il documento «non costituisce orientamento regolamentare né aspettativa di vigilanza, né prescrive o anticipa futuri indirizzi per tali orientamenti o aspettative». SAFR resta volontario e la MAS non si è impegnata a renderlo obbligatorio.

SAFR conta comunque per la pianificazione. Le AIRG indicano cosa il consiglio di amministrazione, le funzioni di controllo e i responsabili dell'IA di un istituto finanziario devono essere in grado di dimostrare. SAFR descrive i meccanismi di runtime che producono questa dimostrazione per gli agenti: identità verificata dell'agente, mandati espliciti, una disposizione per ogni azione proposta e un registro di audit append-only. La spiegazione completa è in SAFR, spiegato; la guida all'implementazione, con un esempio svolto di mandato e di registrazione della decisione, è in Come implementare SAFR.

Le aspettative delle AIRG che determinano il tuo programma di agenti¶

Nel testo definitivo, cinque gruppi di aspettative hanno il peso maggiore per l'IA agentica.

Responsabilità del consiglio di amministrazione e dell'alta direzione (sezione 3). Il consiglio di amministrazione, o un comitato da esso delegato, approva l'approccio complessivo alla governance e assicura che i rischi dell'IA siano trattati nel quadro di riferimento per la propensione al rischio, «comprese dichiarazioni qualitative e, ove opportuno, misure quantitative per tali rischi». L'alta direzione assegna i ruoli lungo le tre linee di difesa, istituisce «un processo interno di escalation per la gestione dei rischi rilevanti e delle eccezioni derivanti dall'uso dell'IA, come gli incidenti di IA» e aggiorna tempestivamente il consiglio sulle questioni rilevanti di rischio dell'IA. La MAS non richiede un comitato dedicato all'IA; si possono usare le strutture di governance esistenti.

Identificazione, inventario e rilevanza del rischio (sezione 4). Una funzione di controllo designata è responsabile dell'identificazione ed è «l'arbitro finale nello stabilire se un determinato uso costituisca uso dell'IA». L'inventario registra finalità, ambito d'uso approvato, tipo di modello, dati utilizzati, dipendenze, stato del ciclo di vita, classificazione di rilevanza del rischio, stato di revisione e responsabili. Per gli agenti, la nota 25 aggiunge «identificativi specifici dell'agente, informazioni sugli strumenti e sui sistemi a cui l'agente può accedere, i suoi componenti e i guardrail imposti per gestire il rischio». Le valutazioni di rilevanza coprono almeno impatto, complessità e dipendenza, e la dipendenza comprende «il grado di autonomia concesso al sistema o modello di IA e il livello di coinvolgimento o supervisione umana».

Controlli sul ciclo di vita (sezione 5). Il ciclo di vita va dall'ideazione alla dismissione, secondo un modello adattato da ISO/IEC 22989. I controlli riguardano gestione dei dati, trasparenza e spiegabilità, equità, supervisione umana, IA di terzi, selezione, valutazione e test, tecnologia e cybersicurezza, riproducibilità e verificabilità, revisione prima del rilascio, monitoraggio, gestione delle modifiche e dismissione. I casi d'uso ad alta rilevanza richiedono una validazione indipendente formale prima del rilascio e piani di emergenza con opzioni di ripiego; per l'IA dotata di kill switch «dovrebbero essere predisposti protocolli chiari di attivazione delle misure di emergenza, da testare regolarmente».

Supervisione umana (5.9). Ruoli chiari con processi di escalation e di decisione, personale con «l'autorità e la capacità necessarie per intervenire», sistemi progettati con meccanismi che inoltrano gli output alla revisione umana «quando si verificano condizioni predefinite (ad esempio su affidabilità e accuratezza)» e una revisione documentata delle decisioni e degli interventi di supervisione, compresi i quasi incidenti. Le linee guida indicano l'automation bias e l'affaticamento decisionale come rischi per la supervisione.

Parità per l'IA di terzi (5.10–5.11). «La decisione di adottare e usare IA di terzi è in ultima analisi una decisione dell'istituto finanziario, e l'istituto finanziario mantiene la responsabilità primaria.» Gli istituti finanziari dovrebbero testare l'IA di terzi nei propri casi d'uso con i propri dati, eseguire test compensativi quando le informazioni fornite sono insufficienti, ottenere per contratto visibilità sull'introduzione dell'IA e sulle modifiche successive, valutare i rischi di filiera e di concentrazione e considerare la limitazione, la sospensione o la sostituzione di un servizio il cui rischio residuo supera la propensione al rischio. Un agente di un fornitore integrato nel tuo flusso di lavoro rientra nella tua responsabilità ai sensi delle AIRG.

Il piano di transizione: da ottobre 2026 a ottobre 2028¶

Il piano che segue ordina le due scadenze per un istituto finanziario che ha agenti in produzione o sta per portarli in produzione. La sequenza segue la logica delle linee guida: prima governance, inventario e rilevanza, perché si applicano per primi e tutto il resto dipende da loro; poi i controlli di runtime per gli agenti ad alta rilevanza, perché richiedono più tempo per essere costruiti e producono le evidenze su cui si basano le aspettative del 2028; infine validazione, monitoraggio e assurance, perché verificano ciò che è stato costruito nei trimestri precedenti.

Due attività permanenti attraversano tutti gli otto trimestri. Conservazione delle evidenze: dal primo trimestre, conserva le registrazioni di cui avrebbe bisogno un revisore indipendente, cioè documentazione di sviluppo, rapporti di validazione, decisioni e interventi di supervisione, risultati del monitoraggio, incidenti e registrazioni delle modifiche, con regole di conservazione fissate una sola volta in una politica. Informativa al consiglio di amministrazione: l'alta direzione aggiorna il consiglio sulle questioni rilevanti di rischio dell'IA per tutto il periodo, con una cadenza formale fissata prima della prima scadenza.

Un'ipotesi di pianificazione: la MAS intende avviare nel 2027 una consultazione su ulteriori indicazioni per l'IA agentica. Costruisci i controlli sugli agenti in modo che una nuova aspettativa aggiunga una politica o un campo del registro senza riprogettare il percorso di esecuzione.

Controlli di runtime e autorizzazione di ogni azione dell'agente¶

Le aspettative delle AIRG più impegnative per gli agenti presuppongono che l'istituto finanziario sappia rendere conto di ciò che l'IA ha fatto. Il monitoraggio dovrebbe coprire, ove pertinente, «il flusso di informazioni e i percorsi decisionali nei flussi di lavoro che usano l'IA, come i processi di ragionamento, le azioni eseguite, gli strumenti utilizzati». La supervisione umana richiede personale con l'autorità e la capacità di intervenire e decisioni di supervisione documentate. Riproducibilità e verificabilità richiedono registrazioni su cui un revisore indipendente possa lavorare. Per un modello statico, la registrazione dei log e il riesame periodico possono bastare. Per un agente che sceglie la propria azione successiva a runtime, serve un punto di controllo nel percorso di esecuzione.

Un checkpoint di autorizzazione a runtime è quel punto di controllo. Ogni azione proposta dall'agente viene intercettata prima dell'esecuzione e ricondotta, in base alla politica approvata, a uno di quattro esiti: allow, warn, require_approval o block. La specifica SAFR formalizza lo stesso schema nelle sue quattro disposizioni e aggiunge la proprietà decisiva per gli agenti che operano in più passaggi: l'autorizzazione ottenuta in un passaggio non conferisce alcuna autorità per il successivo, quindi il terzo passaggio di un flusso viene valutato in modo indipendente quanto il primo.

Questa struttura risponde direttamente alle aspettative delle AIRG. Il percorso require_approval fornisce alla supervisione umana il meccanismo di escalation descritto dal paragrafo 5.9, con un revisore designato, una decisione e una registrazione prima che l'azione venga eseguita. Il registro delle decisioni fornisce al monitoraggio la traccia per singola azione: cosa è stato proposto, quale politica si è applicata e cosa è successo. L'esito block, insieme a un kill switch, dà all'aspettativa sui piani di emergenza il suo meccanismo di applicazione. Lo stesso checkpoint posto davanti all'agente di un fornitore supporta la parità per i terzi senza modifiche al codice del fornitore. KLA Control Plane implementa questo schema, con le quattro disposizioni SAFR mappate una a una su allow, warn, require_approval e block; la mappatura dei componenti è nella pagina sull'implementazione di SAFR.

Abbiamo imparato una lezione di calibrazione nei nostri tenant di test. La prima politica AML che abbiamo configurato ricadeva su block quando nessuna regola corrispondeva. Ogni caso imprevisto si fermava, nessuna richiesta arrivava a un revisore e, agli occhi dell'utente della compliance, il controllo sembrava guasto. Nella politica di rilascio dei pagamenti costruita in seguito, l'esito predefinito in assenza di corrispondenze è require_approval, così un caso che le regole non avevano previsto arriva a una persona con l'autorità di decidere. Per gli agenti che rientrano nel paragrafo 5.9, è questo il valore predefinito da cui partire.

La conservazione conta quanto l'applicazione. Un checkpoint che decide ma non registra in modo durevole non soddisfa l'aspettativa di verificabilità; una conservazione che raccoglie log senza una struttura decisionale non soddisfa quella di supervisione. La registrazione di ogni azione rilevante dovrebbe contenere l'azione proposta, la versione della politica valutata, l'esito, la decisione umana quando richiesta e il risultato dell'esecuzione, essere conservata per il periodo fissato dalla tua politica di conservazione dei documenti ed essere recuperabile quando la richiede un validatore o la MAS.

Cosa fare in questo trimestre¶

Tre azioni rientrano nel trimestre che si chiude a dicembre 2026. Primo, esegui l'analisi dei divari: valuta lo stato attuale su inventario, mandati, controlli, disposizioni, escalation ed evidenze con la SAFR Readiness Checklist. Secondo, informa il consiglio di amministrazione: la sezione 3 lo riguarda da ottobre 2027 e il SAFR Executive Briefing è scritto per questo pubblico. Terzo, scegli il primo agente ad alta rilevanza e mettigli davanti un checkpoint di autorizzazione a runtime, così i controlli del 2028 partono da un'implementazione di riferimento funzionante.