The Pulse
Le autorità di vigilanza statunitensi chiedono alle banche come fermerebbero gli agenti di IA
La Federal Reserve, l’OCC e la FDIC chiedono alle banche quali controlli abbiano sugli agenti autonomi di IA, anche se il personale possa seguirne le decisioni e fermarli. Le autorità di vigilanza europee sollecitano gli istituti di credito
AI.info Team · Scritto con l’IA ·
Il 13 ottobre, le autorità statunitensi di vigilanza bancaria ponevano agli istituti di credito una domanda molto concreta: se un agente di IA agisce oltre i limiti della propria autorità, la banca può fermarlo? La Federal Reserve, l’Office of the Comptroller of the Currency e la Federal Deposit Insurance Corporation chiedono informazioni sull’uso dell’IA avanzata da parte delle banche, compresi i sistemi in grado di identificare le minacce alla cybersicurezza e rispondervi. Le richieste mettono sotto pressione le banche desiderose di impiegare agenti che svolgono compiti con una supervisione umana limitata.
Fed, OCC e FDIC esaminano chi può fermare un agente
Secondo persone a conoscenza delle richieste, le domande riguardano i limiti imposti ai sistemi di IA, le modalità con cui le loro azioni vengono monitorate e approvate e la possibilità per le banche di tracciare e sottoporre a verifica le decisioni degli agenti. Le autorità chiedono anche che cosa impedisca a un agente di oltrepassare i limiti della propria autorità, se una persona continui a partecipare alle decisioni fondamentali e come una banca possa arrestare un sistema autonomo. Le domande riguardano inoltre l’uso, da parte delle banche, di tecnologie sviluppate in Cina e di agenti di IA nella difesa informatica.
Secondo Reuters, le agenzie inviano domande scritte e le sollevano nei colloqui con banche grandi, medie e piccole. Le richieste si concentrano su come gli istituti usano gli agenti per identificare le minacce alla sicurezza, stabilirne le priorità e rispondervi, nonché su quanto siano preparati a intervenire se un sistema o l’ambiente in cui opera viene compromesso. La Fed, l’OCC e la FDIC non hanno voluto commentare.
L’interesse delle banche per gli agenti si scontra con il problema del controllo
L’IA agentica può eseguire sequenze di compiti con una supervisione umana diretta minore rispetto agli strumenti di IA convenzionali, assumendo così un ruolo più attivo nelle operazioni bancarie. Le domande sulle approvazioni, sui registri delle attività e sull’autorità di arrestare i sistemi vanno quindi oltre la governance dei modelli: riguardano chi può intervenire quando è il software ad agire. Le autorità verificano se le banche sappiano spiegare non solo che cosa un sistema dovrebbe fare, ma anche come ne riprenderebbero il controllo.
«L’adozione dell’IA spesso procede più rapidamente della capacità di predisporre i controlli», ha detto Michael Woodbridge, partner di Grant Thornton specializzato in cybersicurezza e con sede a Londra. Le richieste delle autorità, tuttavia, non costituiscono ancora una nuova norma statunitense sugli agenti di IA. Secondo persone a conoscenza delle discussioni, le autorità di vigilanza stanno ancora raccogliendo informazioni, anziché prescrivere come gli istituti debbano impiegare questi sistemi.
Le autorità europee si concentrano sul ripristino dopo un attacco
In Europa, le autorità sollecitano le banche a pianificare non solo la prevenzione, ma anche la risposta alle interruzioni. La Bank of England incoraggia i maggiori istituti di credito a esaminare piani di ripristino «bare metal»: sistemi mantenuti indipendenti dall’infrastruttura tecnologica principale di una banca, utilizzabili se i sistemi primari vengono compromessi. Predisporre e mantenere questi piani può essere costoso e, secondo quanto riportato da Reuters, le autorità del Regno Unito intendono collaborare con il settore anziché introdurre nuovi obblighi.
La Banca centrale europea ha adottato un approccio con una scadenza precisa, fissando alla fine di ottobre il termine entro cui gli istituti di credito devono presentare piani per affrontare le minacce informatiche che sfruttano l’IA, compresi backup e ripristino. Le autorità chiedono inoltre alle banche dell’eurozona di mappare l’uso dell’IA nelle proprie attività e presso i fornitori terzi e di dimostrare di poter spegnere e riavviare i sistemi in modo controllato. Secondo persone a conoscenza della questione, in alcune aziende permangono lacune significative.
La scadenza di ottobre fissa i tempi per la preparazione
Il contrasto è chiaro: le autorità statunitensi raccolgono elementi su come le banche gestiscono i sistemi autonomi, mentre la vigilanza europea prevede anche una scadenza precisa per i piani di risposta agli attacchi informatici. Entrambi gli approcci affrontano la stessa tensione: le banche adottano l’IA per la sicurezza proprio mentre la crescente autonomia dei sistemi rende più difficile dimostrare di poterli supervisionare e ripristinare. Per gli istituti di credito dell’eurozona, la prova immediata è presentare i piani entro la fine di ottobre e rendere conto di come l’IA viene usata, controllata e riavviata.