L’AI Act introduce i suoi obblighi per fasi e l’ESMA ha già avvertito nel 2024: la responsabilità non si delega alla macchina. Ti aiutiamo a censire gli usi di IA della tua società, a classificarne il rischio e a mettere in piedi i controlli che la MiFID II richiede oggi.
Usi l’IA con i clienti o nella tua operatività? Diagnosi gratuita
Raccontaci quali strumenti di IA usa (o vuole usare) la tua società e ti restituiamo una mappa di rischi e controlli in ordine di priorità.
Dall’inventario degli usi al contratto con il fornitore: i sei servizi con cui portiamo l’AI Act e la MiFID II nella tua operatività reale.
Classifichiamo i tuoi sistemi ai sensi del Regolamento (UE) 2024/1689 – pratiche vietate, alto rischio, GPAI –, stabiliamo le priorità in base al calendario di applicazione e definiamo un piano di compliance proporzionato all’uso reale che ne fai.
La normativa sui servizi di investimento non aspetta il 2026: se l’IA interviene su adeguatezza, raccomandazioni o informazioni al cliente, la società ne risponde già oggi per controllo e spiegabilità. Integriamo l’IA nelle tue policy.
Se l’IA non si limita a supportare ma raccomanda o gestisce, va rivisto l’inquadramento completo della piattaforma e della sua licenza.
Profilazione con l’IA: utile per individuare incoerenze, pericolosa senza tracciabilità. Il test resta tuo, non del modello.
L’IA arriva spesso tramite un fornitore: registro di informazioni, clausole dell’art. 30 e gestione degli incidenti ai sensi del DORA.
Modelli di terzi in processi critici: che cosa deve riservarsi la società per contratto e che cosa deve poter sottoporre ad audit.
Quattro conversazioni reali degli ultimi mesi. L’IA è già dentro; la domanda è se è governata.
«Il team usa un assistente di IA per preparare le proposte di investimento. Ci fa risparmiare ore, ma che succede se una raccomandazione va male? Si può dire che l’ha suggerita lo strumento?»
«Il nostro modello assegna un punteggio al merito creditizio dei clienti privati. Ci hanno detto che per l’AI Act è alto rischio e che agosto 2026 è una scadenza seria. Ci serve un piano con milestone.»
«Generiamo creatività e audience con l’IA per acquisire investitori. La funzione compliance ci ha fermato una campagna: voleva sapere chi revisionava i messaggi prima della pubblicazione.»
«Usiamo l’IA per riconciliazioni, alert e riassunti delle chiamate. Sembra a basso rischio, ma vogliamo criteri chiari su che cosa può decidere da sola e che cosa no.»
Nessuno di questi errori è tecnologico. Tutti e tre sono di governance: chi risponde, che cosa si spiega e come si classifica.
Delegare la responsabilità allo strumento: l’ESMA lo ha detto pubblicamente nel 2024: la società risponde delle decisioni anche quando le genera un’IA. «Lo ha detto il modello» non regge né davanti al cliente né davanti all’autorità di vigilanza.
Usare l’IA nell’adeguatezza senza saperla spiegare: se la profilazione o la proposta escono da un modello che nessuno sa giustificare, il tuo test di adeguatezza perde il suo valore probatorio proprio dove ti serve di più.
Classificare male (o tardi) ai sensi dell’AI Act: confondere un uso ad alto rischio – come il credit scoring di persone fisiche – con uno minore, o scoprire il calendario scaglionato quando ormai è addosso, trasforma un progetto ordinato in un’emergenza.
| Uso dell’IA | Livello di rischio regolamentare | Controllo atteso |
|---|---|---|
| Credit scoring di persone fisiche | Alto rischio ai sensi dell’AI Act; la maggior parte degli obblighi si applica da agosto 2026 | Gestione dei rischi del sistema, qualità dei dati, documentazione tecnica, supervisione umana e trasparenza. |
| Profilazione ai fini dell’adeguatezza e generazione di raccomandazioni | Non è alto rischio di per sé, ma la MiFID II richiede già controllo, spiegabilità e responsabilità piena della società | Tracciabilità della profilazione, validazione del modello, revisione umana delle proposte e coerenza con le policy MiFID II. |
| Marketing, comunicazione e automazione interna | Rischio regolamentare in genere minore, senza restare fuori dal quadro normativo | Revisione preventiva dei messaggi pubblicitari, criteri di uso interno e vigilanza proporzionata all’impatto sui clienti. |
Censiamo i tuoi usi di IA, li classifichiamo ai sensi dell’AI Act, li inseriamo nelle tue policy MiFID II e chiudiamo contratti e controlli con i fornitori. Compliance proporzionata: senza frenare l’innovazione e senza firmare assegni in bianco sul rischio.
No. Il Regolamento (UE) 2024/1689 disciplina l’IA per livelli di rischio: vieta poche pratiche estreme, impone obblighi rafforzati ai sistemi ad alto rischio e lascia tutto il resto soggetto a requisiti molto più leggeri.
La consulenza finanziaria non rientra tra gli usi ad alto rischio di per sé. Questo non significa via libera: significa che il tuo quadro più esigente non è (ancora) l’AI Act, ma la normativa settoriale che già ti si applica: la MiFID II e tutto il suo apparato di condotta e controllo. Ne parliamo nel nostro servizio di adeguamento all’AI Act.
È scaglionato, ed è bene tenere a mente le tre date:
La conseguenza pratica: nel 2026 non c’è più margine per inventari in sospeso. Se un sistema della tua società potesse essere ad alto rischio, la classificazione andava fatta ieri.
Il caso paradigmatico nel settore è la valutazione del merito creditizio o credit scoring di persone fisiche, espressamente inclusa tra gli usi ad alto rischio. Un sistema di questo tipo deve rispettare il pacchetto completo: gestione dei rischi, governance dei dati, documentazione tecnica, supervisione umana e trasparenza.
La consulenza in materia di investimenti, la profilazione ai fini dell’adeguatezza o la generazione di proposte non sono elencate come alto rischio di per sé, ma la classificazione si fa sistema per sistema e uso per uso: la stessa tecnologia può rientrare in categorie diverse a seconda di come la impieghi.
In una dichiarazione pubblica del 2024 sull’uso dell’IA nei servizi di investimento, l’ESMA ha fissato il criterio che ordina tutto il resto: gli obblighi della MiFID II si applicano per intero quando c’è di mezzo l’IA, e la responsabilità verso il cliente resta della società, non dello strumento né del suo fornitore.
In pratica: agire nel migliore interesse del cliente, controllare la tecnologia che usi e saper spiegare i risultati non sono buone pratiche facoltative, sono lo standard esigibile oggi. È la lente con cui esaminiamo ogni caso in compliance MiFID II.
Puoi, con controlli proporzionati all’impatto. Tre regole pratiche: nulla di generato dall’IA arriva al cliente senza una revisione umana definita (chi approva, con quali criteri); i limiti d’uso sono messi per iscritto (che cosa può fare lo strumento e che cosa gli è vietato); e tutto viene registrato per poterlo ricostruire.
E un confine che non ammette sfumature: se lo strumento finisce per formulare raccomandazioni personalizzate su strumenti finanziari specifici, stai prestando consulenza in materia di investimenti, con la sua riserva di attività e il suo regime completo. Per l’inquadramento delle piattaforme vedi robo-advisor.
La società. Verso il cliente e verso l’autorità di vigilanza non c’è alcun trasferimento possibile: la raccomandazione è tua, che l’abbia redatta un dipendente, un algoritmo proprio o un modello fornito da un terzo.
Il contratto con il fornitore serve a ripartire i costi internamente – garanzie, manleve, livelli di servizio – ma non sposta di un millimetro la responsabilità regolamentare. Per questo i contratti di IA si negoziano con la logica dell’esternalizzazione di funzioni: informazioni, audit e uscita ordinata.
Come supporto, bene; come sostituto opaco, male. L’IA può aiutare a individuare incoerenze nelle risposte, a mantenere aggiornati i profili o a preparare proposte da sottoporre a revisione. Quello che non può fare è trasformare il test di adeguatezza in una scatola nera: il profilo e la raccomandazione devono poter essere giustificati con criteri comprensibili e ricostruibili.
Regola d’oro: se domani la CNMV ti chiede di spiegare perché quel cliente ha ricevuto quella proposta, la risposta deve esistere per iscritto, con date e versioni. Se dipende dal chiedere al modello, non hai evidenze: hai un problema.
Un ruolo centrale, perché la maggior parte dell’IA entra nelle società tramite terzi. Il DORA – applicabile da gennaio 2025 – impone di tenere il registro di informazioni dei fornitori ICT, di inserire le clausole contrattuali dell’art. 30 e di gestire gli incidenti; e se il modello supporta una funzione critica, si aggiunge il regime di esternalizzazione con controllo effettivo da parte della società.
In pratica: prima di collegare un modello esterno a un processo rilevante, verifica il contratto, le informazioni disponibili sul sistema e il piano di uscita. Ti aiutiamo con i nostri servizi DORA.
Non ti serve un nuovo reparto: ti servono inventario, classificazione e controlli con un responsabile. In quest’ordine.
Elenca tutti gli usi reali di IA, compresi quelli non ufficiali: l’assistente che il team commerciale usa per conto proprio conta quanto il modello aziendale. Ciò che non è nell’inventario non si può governare.
Ogni uso si guarda con la lente dell’AI Act (vietato, alto rischio, resto?) e con quella della MiFID II (tocca il cliente, l’adeguatezza, l’informativa?). Dall’incrocio escono la priorità e il livello di controllo esigibile.
Validazione prima del rilascio, supervisione umana con autorità, registro delle decisioni e revisione periodica. Tutto documentato: il giorno della richiesta di informazioni non si improvvisa.
Per il dettaglio normativo, visita il nostro servizio di adeguamento all’AI Act; per l’inserimento nella tua operatività di investimento, compliance MiFID II.
Nove termini che incrociano l’AI Act con la normativa sui servizi di investimento. Li incontrerai nei questionari delle autorità di vigilanza, nei contratti con i fornitori e nei comitati interni.
Il quadro europeo dell’intelligenza artificiale: disciplina per livelli di rischio, dalle pratiche vietate agli usi a rischio minimo, con applicazione scaglionata.
Sistemi elencati dall’AI Act con obblighi rafforzati: gestione dei rischi, dati di qualità, documentazione e supervisione umana. Il credit scoring di persone fisiche ne fa parte.
I grandi modelli che servono per più compiti. I loro obblighi specifici si applicano da agosto 2025 e ricadono soprattutto sui loro fornitori.
Categorie di uso che l’AI Act vieta direttamente da febbraio 2025. Nessun progetto di un ente finanziario dovrebbe sfiorarle.
Capacità di spiegare perché il sistema ha profilato, raccomandato o scartato qualcosa, in termini comprensibili per il cliente e per l’autorità di vigilanza.
Responsabili con autorità e mezzi per rivedere i risultati dell’IA, correggerli e fermare il sistema se necessario.
Presa di posizione pubblica dell’ESMA sull’IA nei servizi di investimento: gli obblighi MiFID restano integri e la responsabilità è della società.
Uso di modelli per classificare i clienti e stimarne il profilo di investitore. Utile come supporto; delicato se sostituisce il test senza tracciabilità.
La maggior parte dei modelli arriva tramite terzi. Il DORA richiede registro di informazioni, clausole contrattuali e gestione degli incidenti; l’esternalizzazione, controllo effettivo.
Quadro MiFID II pieno: il supporto dell’IA non abbassa i requisiti del test né il suo valore probatorio.
Tracciabilità del profilo, validazione documentata del modello e revisione umana dei casi limite.
Piena responsabilità della società su ogni proposta, con spiegabilità e revisione prima che arrivi al cliente.
Flusso di approvazione umano, registro delle proposte generate e giustificazione riproducibile di ogni raccomandazione.
Messaggi generati con l’IA sottoposti allo stesso filtro di qualsiasi pubblicità finanziaria: chiarezza, equilibrio e approvazione preventiva.
Procedura di revisione pubblicitaria, versioni approvate e registro delle campagne.
Trattamento da alto rischio ai sensi dell’AI Act, con la maggior parte degli obblighi applicabile da agosto 2026.
Classificazione formale del sistema, piano di adeguamento con milestone e documentazione tecnica del modello.
Uso proporzionato: criteri chiari su ciò che la macchina decide da sola e vigilanza in linea con l’impatto.
Policy di uso interno dell’IA, matrice delle decisioni automatizzabili e registro degli incidenti.
Cinque sintomi che troviamo in quasi tutte le diagnosi iniziali. Nessuno si risolve da solo.
L’IA non si governa nel vuoto: si appoggia alla funzione di controllo dei rischi, alla gestione dei fornitori e al quadro dei dati personali. Questi tasselli completano il tuo sistema di governance.
La seconda linea deve vigilare anche sul rischio di modello: come integrare l’IA nella mappa dei rischi della società.
Per i progetti innovativi con IA, lo spazio controllato di sperimentazione della Legge 7/2020 può essere la porta d’ingresso.
L’IA si alimenta di dati personali: il responsabile della protezione dei dati è parte del sistema di governance.
Integra l’IA nel tuo programma di compliance generale invece di trattarla come un progetto isolato.
Parti dalla diagnosi AI Act e da come si coordina con la compliance MiFID II. Se il tuo caso è una piattaforma completamente automatizzata, consulta i robo-advisor; se l’IA entra tramite i fornitori, il DORA.
Raccontaci quali processi supporta l’IA nella tua società – profilazione, proposte, marketing, back office – e ti spieghiamo che cosa richiede l’AI Act e che cosa richiede già la MiFID II.
L’intelligenza artificiale lavora già all’interno delle imprese di investimento spagnole: profila i clienti, prepara proposte, genera campagne e automatizza il back office. Il Regolamento (UE) 2024/1689 (AI Act) le dà un quadro normativo con un’applicazione scaglionata, ma l’errore più costoso è credere che, finché quel calendario non sarà completato, ci sia un vuoto: un ente vigilato non parte mai da zero, perché la MiFID II richiede già controllo, spiegabilità e piena responsabilità su qualsiasi tecnologia che tocchi il cliente. Questa pagina mette in ordine entrambi i piani e li trasforma in una mappa di lavoro.
L’AI Act si applica per fasi: i divieti sulle pratiche vietate valgono da febbraio 2025; gli obblighi dei modelli per finalità generali (GPAI) da agosto 2025; e la maggior parte degli obblighi per i sistemi ad alto rischio da agosto 2026. Nel settore finanziario, il caso di alto rischio per eccellenza è la valutazione del merito creditizio o credit scoring di persone fisiche, che comporta gestione dei rischi, governance dei dati, documentazione tecnica, supervisione umana e trasparenza. La classificazione si fa sistema per sistema: la stessa tecnologia può essere ad alto rischio in un uso e non esserlo in un altro.
La consulenza finanziaria non rientra tra gli usi ad alto rischio dell’AI Act. Sarebbe un errore leggervi una zona franca: l’ESMA ha pubblicato nel 2024 una dichiarazione sull’uso dell’IA nei servizi di investimento con un messaggio inequivocabile: gli obblighi della MiFID II si applicano per intero e la responsabilità non si delega all’IA né al suo fornitore. Se un modello partecipa al test di adeguatezza, alla generazione di raccomandazioni o all’informativa al cliente, la società deve controllarlo, saper spiegare i suoi risultati e risponderne come se li avesse prodotti un dipendente. È lo standard che applichiamo in compliance MiFID II.
In pratica ordiniamo gli usi in quattro famiglie con requisiti decrescenti. La profilazione e l’adeguatezza: massima attenzione, perché incide sul cuore probatorio della consulenza. La generazione di raccomandazioni: revisione umana preventiva e giustificazione riproducibile; se il sistema raccomanda in modo autonomo, sei in territorio robo-advisor e l’analisi include la licenza. Il marketing: i messaggi generati con l’IA passano lo stesso filtro di qualsiasi pubblicità finanziaria. E l’automazione interna: rischio minore, ma con criteri scritti su ciò che può essere deciso senza intervento umano e con registro degli incidenti.
Quasi tutta l’IA entra tramite terzi, quindi la governance si gioca sui contratti. Il DORA – applicabile da gennaio 2025 – impone di tenere il registro di informazioni dei fornitori ICT, di inserire le clausole dell’art. 30 e di gestire gli incidenti; quando il modello supporta una funzione rilevante, si aggiunge il regime di esternalizzazione con diritti di informazione, audit e uscita. La chiusura del sistema sono le evidenze: inventario vivo, classificazioni documentate, validazioni, interventi umani registrati e revisione periodica. Quando l’autorità di vigilanza farà domande, e le farà, la risposta deve essere già scritta.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .