Il 9 ottobre 2026 la Banca d’Italia ha promosso a Roma il seminario «Resilienza operativa digitale e modelli avanzati di intelligenza artificiale: sfide e prospettive» (documento integrale), a seguito della Comunicazione del 17 luglio 2026 (documento integrale). L’iniziativa si inserisce nel rafforzamento della supervisione sui rischi ICT e di terza parte, in linea con il Meccanismo di Vigilanza Unico (MVU).

Il quadro di riferimento generale è costituito dal Regolamento europeo DORA. L’adozione dei modelli di intelligenza artificiale di frontiera amplifica le minacce informatiche su tre direttrici chiave:

– Velocità: drastica contrazione dei tempi tra l’individuazione di una vulnerabilità e il suo sfruttamento.

– Accessibilità: disponibilità di capacità informatiche avanzate anche ad attori con competenze tecniche limitate.

– Scala: automazione e moltiplicazione su vasta scala delle attività di ricognizione e attacco.

Nel corso del seminario la Banca d’Italia ha precisato i soggetti tenuti agli adempimenti e le relative eccezioni:

– Soggetti destinatari dell’obbligo: Banche e gruppi bancari meno significativi (LSI), istituti di pagamento (IP), istituti di moneta elettronica (IMEL), intermediari finanziari ex art. 106 TUB, imprese di investimento (SIM), SGR, prestatori di servizi per cripto-attività e di crowdfunding.

– Soggetti non destinatari dell’invio della relazione entro il 31/12/2026: Gruppi bancari significativi, società fiduciarie e gestori di fondi di investimento alternativi (GEFIA) sotto-soglia.

Per i Gestori Sotto-Soglia e le società fiduciarie: l’esonero riguarda la redazione e l’invio formale della relazione entro il 31/12 2026.

Tuttavia, la Banca d’Italia chiarisce che i gestori sotto-soglia e le società fiduciarie non sono esentati dall’adeguamento sostanziale.

Infatti tali soggetti sono comunque tenuti ad applicare le indicazioni e i presidi previsti dalla Comunicazione del 17 luglio 2026, graduandone l’attuazione in base al principio di proporzionalità in relazione alle proprie dimensioni e al profilo di rischio specifico.