La Banca centrale europea ha dato alle principali banche dell’eurozona poco meno di quattro mesi per preparare un piano contro una minaccia che fino a pochi mesi fa sembrava soprattutto teorica: l’uso dell’intelligenza artificiale avanzata per scoprire vulnerabilità, scrivere exploit e accelerare attacchi informatici su larga scala.
Nella lettera firmata il 7 luglio 2026 da Claudia Buch, presidente del consiglio di vigilanza della BCE, l’istituto parla di un cambiamento strutturale del panorama cyber, non di un rischio passeggero legato a un singolo strumento. I piani dovranno arrivare entro il 31 ottobre.
La mossa di Francoforte segna una differenza netta rispetto agli altri grandi regolatori occidentali. La Bank of England ha definito “sensato” l’avvertimento europeo, ma Andrew Bailey ha chiarito che Londra non intende procedere per ordini pubblici e scadenze imposte. La Federal Reserve, con Michelle Bowman, ha insistito su un’impostazione proporzionata e più leggera per gli usi a basso rischio dell’IA, pur riconoscendo che la cyber-sicurezza è diventata un punto critico per la vigilanza bancaria.
Il cuore della richiesta europea è operativo. La BCE vuole che gli istituti accelerino la gestione delle vulnerabilità e delle patch, rafforzino monitoraggio e capacità difensive assistite dall’AI, verifichino la tenuta del rischio di terza parte e proteggano con priorità i sistemi esposti su internet, i componenti software di fornitori esterni e i pacchetti open source. Nella fase successiva, Francoforte chiede anche misure strutturali: più difese multilivello, migliore igiene cyber, aggiornamento o sostituzione delle tecnologie legacy e piani più solidi di risposta, ripristino e gestione delle crisi.
Non è un dettaglio procedurale. La BCE collega esplicitamente queste richieste agli esiti delle ispezioni pregresse, delle review mirate e dello stress test sulla resilienza cyber del 2024. In altre parole, il supervisore teme che debolezze già note possano diventare più pericolose in un contesto in cui i tempi tra scoperta della falla e sfruttamento si riducono drasticamente. Per liberare risorse interne, la BCE ha anche rinviato a febbraio 2027 il questionario annuale sui rischi IT e si è detta pronta a ritarare altre attività ispettive.
La svolta non riguarda soltanto l’arrivo di nuovi software. Secondo la BCE, i modelli di frontiera sono ormai in grado di identificare vulnerabilità e generare exploit funzionanti a una velocità senza precedenti. L’ESRB, l’organismo macroprudenziale dell’Unione, va oltre: nel warning del 25 giugno 2026 scrive che questi modelli possono eseguire attacchi completamente automatizzati su sistemi complessi e comprimere i “cuscinetti temporali” che finora hanno permesso ai difensori di correggere le falle prima della loro industrializzazione da parte degli attaccanti.
Il rischio, per il sistema finanziario, è doppio. Da un lato aumenta il numero di vulnerabilità individuate e quindi il carico sulle procedure di patching, già spesso lente per ragioni di stabilità operativa. Dall’altro cresce la possibilità che un attacco si propaghi tramite fornitori comuni, cloud, software condivisi e infrastrutture critiche, colpendo più soggetti nello stesso momento.
L’ESRB segnala che la combinazione tra maggiore velocità offensiva, dipendenze tecnologiche concentrate e alta interconnessione del sistema finanziario europeo può trasformare un incidente operativo in un problema di fiducia sistemica. Il punto che preoccupa i regolatori non è solo la perdita di dati o l’interruzione di un servizio digitale. Nello scenario delineato dall’ESRB, un attacco esteso potrebbe erodere la fiducia in banche, infrastrutture di pagamento o intermediari percepiti come più fragili, con effetti di contagio tra operatori e paesi. Il warning europeo richiama il rischio che interruzioni cyber gravi finiscano per incidere sulla continuità di funzioni critiche e, nei casi estremi, inneschino corse verso controparti considerate più sicure. Per le autorità di vigilanza, il rischio cyber non è più confinato all’IT: entra nella stabilità finanziaria.
Questa lettura spiega anche il tono più assertivo della BCE. Nel suo intervento al Parlamento europeo del 2 luglio 2026, Claudia Buch ha ricordato che oltre l’85% delle banche sotto supervisione europea usa già strumenti di AI e che più del 40% considera almeno un caso d’uso “altamente rilevante” per il business. L’adozione quindi è già ampia, mentre la capacità di difesa non è uniforme. La redditività oggi elevata del settore, ha osservato Buch, offre alle banche margini per investire in sistemi IT, personale specializzato e resilienza operativa.
La Bank of England condivide la diagnosi, ma non la terapia regolatoria. Nelle osservazioni introduttive al Financial Stability Report del 7 luglio 2026, Andrew Bailey ha detto che i progressi dell’AI di frontiera accrescono in modo significativo i rischi per la stabilità finanziaria derivanti da vulnerabilità cyber e operative. Ha anche aggiunto che le imprese devono applicare le indicazioni diffuse a maggio con FCA e Tesoro britannico. Quel documento congiunto parla di “step change” nelle capacità cyber dei modelli di frontiera e sottolinea che gli attuali sistemi superano già, in velocità, scala e costo, il lavoro di un professionista qualificato. Ma Londra continua a preferire un metodo di confronto continuo con il settore, senza ultimatum pubblici.
Negli Stati Uniti, Michelle Bowman ha scelto un lessico ancora diverso. Nel discorso pubblicato il 1° maggio 2026, la vicepresidente della Fed per la supervisione ha sostenuto che l’AI può aumentare efficienza, velocità e qualità dei processi nelle banche di ogni dimensione. La vigilanza, secondo Bowman, deve valutare i singoli casi d’uso, evitare di ostacolare l’innovazione e mantenere flessibilità, soprattutto per gli istituti più piccoli. Anche nella testimonianza del 4 giugno 2026 al Congresso, Bowman ha parlato di collaborazione pubblico-privato, monitoraggio continuo e quadro regolatorio agile, senza proporre obblighi standardizzati paragonabili a quelli fissati dalla BCE.
La stretta europea si appoggia a un impianto normativo già esistente. La BCE richiama apertamente il Digital Operational Resilience Act, il regolamento europeo sulla resilienza operativa digitale, applicabile dal 17 gennaio 2025. DORA impone a banche, assicurazioni, imprese di investimento e altri soggetti finanziari regole comuni su gestione del rischio ICT, incident reporting, test di resilienza e controllo dei fornitori critici di tecnologia. La BCE però sostiene che la nuova ondata di rischio legata ai modelli di IA richiede