Le Aspettative di BaFin per la Gestione del Rischio ICT e l’Uso dell’IA
In Sintesi
La situazione attuale: l’Autorità di Vigilanza Finanziaria Tedesca ha emesso linee guida non vincolanti che chiariscono come le istituzioni finanziarie debbano gestire i rischi legati alla Tecnologia dell’Informazione e della Comunicazione (ICT) derivanti da sistemi basati su Intelligenza Artificiale (IA) secondo la Regolamentazione (UE) 2022/2554 (DORA) e normative correlate dell’UE.
Il risultato: i sistemi di IA, in particolare quelli generativi e i modelli di linguaggio di grandi dimensioni (LLM), devono essere completamente integrati nei quadri di governance ICT esistenti, nei test e nella gestione dei rischi di terzi, con un’attenzione particolare da parte degli organi di vigilanza.
Guardando al futuro: le istituzioni finanziarie che utilizzano o pianificano di implementare l’IA devono rivalutare la governance, i test, l’outsourcing in cloud e le pratiche di reporting degli incidenti per soddisfare le aspettative di vigilanza in evoluzione.
Linee Guida e Principi Chiave
Le linee guida mirano a fornire ulteriori indicazioni sulle modalità di trattamento dei sistemi basati su IA secondo il DORA e sui rischi di terzi e outsourcing secondo le normative delegate dell’UE. In particolare, le istituzioni finanziarie devono garantire che i sistemi basati su IA siano governati, sicuri e monitorati in modo coerente all’interno dei loro quadri di conformità al DORA, includendo:
- Strategia di IA approvata dalla direzione: deve essere definita una strategia chiara, con responsabilità definite e collaborazione interdisciplinare.
- Integrazione nei quadri di gestione dei rischi ICT conformi al DORA: ciò include l’identificazione, protezione, rilevamento, risposta agli incidenti e comunicazione durante le crisi.
- Standard di sviluppo e gestione dei cambiamenti robusti: particolare attenzione deve essere prestata all’uso di componenti open-source e alla generazione di codice assistita da IA.
- Obblighi di testing estesi: i sistemi basati su IA devono essere testati come gli altri sistemi ICT, con particolare attenzione alla loro complessità.
- Gestione dei rischi di terzi nel ICT: è essenziale condurre valutazioni di rischio approfondite e stabilire chiari requisiti di sicurezza nei contratti.
- Controlli di sicurezza informatica e protezione dei dati: devono essere applicati durante l’intero ciclo di vita dell’IA, inclusi accessi, registrazioni e misure di protezione dei dati.
Conclusioni
Le linee guida confermano che i sistemi basati su IA non sono soggetti a un regime separato, ma devono essere integrati nella governance ICT esistente. Sebbene non siano vincolanti, queste linee guida sono destinate a diventare un benchmark de facto, richiedendo una maggiore attenzione nella supervisione. Le istituzioni finanziarie devono continuare a focalizzarsi sulla gestione robusta dei rischi di terzi, sulla sicurezza informatica end-to-end e sulla rilevazione e reporting degli incidenti legati all’IA per garantire la conformità alle aspettative normative.
