Process AI Innovation

Il problema: processi lenti e sperimentazioni che non arrivano in produzione

In banche e assicurazioni molti processi sono cresciuti per aggiunte successive: passaggi manuali tra sistemi diversi, dati ricopiati, controlli ripetuti, email e fogli di calcolo al posto di un flusso tracciato. Il risultato sono tempi lunghi, arretrati nei picchi di lavoro, rilavorazioni e prove difficili da ricostruire in caso di controllo.

Anche l'AI si ferma spesso alla prova di concetto. I motivi sono ricorrenti: si applica a un processo mai analizzato, mancano misure di partenza, i dati non possono uscire dal perimetro, non è chiaro chi risponde dell'errore e il fornitore del modello non è stato valutato come fornitore ICT. Il nostro metodo affronta questi punti prima di scrivere codice.

I segnali che un processo va rivisto

Un intervento conviene quando in azienda si riconoscono situazioni come queste:

• gli stessi dati vengono inseriti a mano in più sistemi;
• le pratiche si fermano tra un ufficio e l'altro e nessuno ne vede lo stato;
• nei picchi di lavoro si formano arretrati, risolti con straordinari o personale aggiuntivo;
• i controlli si fanno a fine processo, quando correggere costa di più;
• per un'ispezione servono giorni per ricostruire chi ha fatto cosa;
• strumenti di AI acquistati o provati da singoli uffici restano inutilizzati, o sono usati senza regole comuni;
• le informazioni per decidere arrivano tardi, da estrazioni e fogli di calcolo.

Il servizio: dal processo com'è al processo in esercizio

Process AI Innovation unisce consulenza sull'intelligenza artificiale, consulenza sui processi e realizzazione tecnica, in sei attività:

• Assessment di partenza. Valutazione del livello di maturità dell'organizzazione e delle aree in cui l'AI può dare valore, con una roadmap di priorità.
• Analisi dei processi. Mappatura del processo reale, con passaggi, sistemi, responsabili, volumi, tempi ed errori.
• Ridisegno. Eliminazione dei passaggi inutili, riduzione dei trasferimenti tra uffici, definizione del processo futuro e dei suoi controlli.
• Automazione intelligente. Flussi di lavoro, regole, integrazioni tra sistemi e, dove serve, modelli di AI per leggere, classificare, instradare e riassumere.
• Governo dell'AI. Regole sui dati, tracciabilità, supervisione umana e informazioni per le valutazioni AI Act, DORA e GDPR.
• Esercizio e miglioramento. Monitoraggio degli indicatori, gestione delle eccezioni e aggiornamento del processo nel tempo.

Su quali processi interveniamo

Interveniamo su attività ad alto volume, dove il risultato si può controllare. Questi sono gli ambiti tipici di una banca o di un'assicurazione:

Assessment: quanto è pronta l'organizzazione

Prima di scegliere una tecnologia valutiamo sei dimensioni, con interviste e analisi dei dati disponibili. L'assessment porta a una mappa delle priorità e a una roadmap, e si può fermare lì: non obbliga a proseguire.

Prima il processo, poi la tecnologia

Non tutto richiede l'AI. Per ogni attività scegliamo la soluzione più semplice che regge il volume e il rischio, sui sistemi che il cliente ha già:

Regole che seguiamo

Ogni progetto parte da regole scritte, valide prima della scelta del modello:

• Dati. Dati del cliente trattati in UE, con il minimo necessario.
• Addestramento. Nessun addestramento di modelli sui dati del cliente senza accordo scritto.
• Tracciabilità. Registro di ogni passaggio automatizzato, con versione del modello, dato di partenza ed esito.
• Responsabilità. Una persona responsabile per ogni passaggio automatizzato, con il potere di correggerlo o fermarlo.
• Decisioni sulle persone. Nessuna decisione interamente automatizzata con effetti rilevanti su clienti o dipendenti, salvo basi giuridiche e tutele verificate dal cliente.
• Continuità. Una procedura manuale di riserva, provata, se il modello o il servizio non sono disponibili.
• Fornitori. Fornitori e sub-fornitori del modello dichiarati, per il registro DORA della banca.

Infrastruttura e sicurezza delle automazioni

Un'automazione aggiunge al processo account tecnici, integrazioni e flussi di dati che prima non c'erano, e ognuno è un punto da proteggere. Dopo oltre vent'anni nei sistemi di banche e assicurazioni, partiamo da qui prima ancora che dal modello. Lo stesso vale per qualunque settore:

• Dove gira. Si sceglie con il cliente: cloud, data center in Italia per chi vuole i dati su infrastruttura nazionale, ambiente del cliente o soluzione ibrida.
• Accessi. Account tecnici con i soli permessi necessari, accessi autorizzati e tracciati, controllo della configurazione degli ambienti cloud.
• Monitoraggio. Disponibilità e sicurezza sorvegliate H24 da un Security Operations Center: un robot che si comporta in modo anomalo è un evento da analizzare come ogni altro.
• Ripristino. Flussi, regole e configurazioni entrano nei backup, con replica geografica e tempi di ripartenza concordati, oltre alla procedura manuale di riserva.
• Prove prima dell'avvio. Vulnerability assessment e penetration test sulle integrazioni esposte, ed emulazione avversaria per i processi più delicati.
• Registri protetti. I log dei passaggi automatizzati possono stare su archivi immutabili con tempi di conservazione configurati, così restano una prova affidabile.
• Persone. Formazione e simulazioni di phishing: chi controlla un'automazione è anche un possibile bersaglio.

Come lavoriamo: fasi e deliverable

1. Assessment e analisi

   Valutiamo il livello di partenza, scegliamo il processo prioritario, lo mappiamo con chi lo svolge e misuriamo tempi, volumi, errori e costi attuali.

   Deliverable: esito dell'assessment, roadmap, mappa del processo, valori di partenza.

2. Ridisegno

   Definiamo il processo futuro: cosa eliminare, cosa automatizzare con regole, dove usare l'AI e dove resta la persona.

   Deliverable: processo futuro, matrice delle responsabilità, priorità e stima dei benefici da verificare.

3. Pilota

   Applichiamo la soluzione a un solo passaggio, su dati reali, per un periodo limitato.

   Deliverable: perimetro del pilota, regole sui dati, esiti.

4. Valutazione

   Confrontiamo i risultati con la misura iniziale e valutiamo i rischi (AI Act, DORA, privacy).

   Deliverable: confronto dei risultati, classificazione AI Act proposta, informazioni per il registro DORA, decisione se proseguire.

5. Esercizio

   Se i numeri reggono, portiamo il passaggio in produzione con monitoraggio continuo ed estendiamo il metodo ai passaggi successivi.

   Deliverable: procedure operative, responsabili, procedura di riserva, report periodico.

Come scegliere il primo processo

Il primo progetto deve dare una risposta chiara in tempi brevi. Conviene partire da un processo con queste caratteristiche:

• volumi alti e lavoro ripetitivo;
• un responsabile del processo che segua il progetto;
• dati disponibili e un campione utilizzabile per le prove;
• errori che costano, ma che si possono intercettare prima che arrivino al cliente;
• nessuna decisione diretta su credito, prezzi di polizze vita e malattia o personale, almeno nella prima fase.

Persone e competenze

Un processo automatizzato funziona se chi lo usa sa come controllarlo. L'obiettivo non è sostituire le persone, ma spostare il loro tempo dalle attività ripetitive ai casi che richiedono giudizio. Per questo ogni progetto comprende:

• formazione sull'uso dell'AI e sui suoi limiti, utile anche per l'obbligo di alfabetizzazione dell'art. 4 dell'AI Act;
• ruoli definiti: responsabile del processo, chi controlla, chi gestisce le eccezioni;
• coinvolgimento di chi svolge il lavoro già nell'analisi e nelle prove;
• regole comuni sull'uso degli strumenti di AI, per evitare iniziative isolate senza controllo.

Volete capire da dove partire? Parlate con un nostro specialista di un processo su cui valutare un assessment.

Vantaggi misurabili

Un progetto di automazione vale quanto la differenza tra il prima e il dopo. Non promettiamo percentuali a priori: gli indicatori si fissano nella prima fase, sullo stesso processo:

Riferimenti normativi

Automatizzare un processo non è di per sé un'attività ad alto rischio, ma il quadro dipende dal processo e dall'effetto sulle persone. I riferimenti principali sono:

• AI Act: alfabetizzazione del personale, pratiche vietate, trasparenza e, per merito di credito, polizze vita e malattia e gestione del personale, obblighi da sistema ad alto rischio.
• Legge 23 settembre 2025, n. 132: disposizioni italiane in materia di intelligenza artificiale.
• DORA: un servizio di AI o di automazione fornito da terzi è di norma un servizio ICT, con contratto e registro. La valutazione spetta alla banca.
• GDPR: base giuridica, minimizzazione, valutazione d'impatto quando necessaria e limiti alle decisioni interamente automatizzate (art. 22).
• Esternalizzazione: disposizioni di vigilanza applicabili, come la Circolare Banca d'Italia 285/2013 e il Regolamento IVASS 38/2018.
• Antiriciclaggio: il D.Lgs. 231/2007 per l'adeguata verifica nell'onboarding dei clienti.

Approfondimenti

Domande frequenti

Fonti

• Regolamento (UE) 2024/1689 (AI Act) (si apre in una nuova scheda)
• Legge 23 settembre 2025, n. 132
• Regolamento (UE) 2022/2554 (DORA) (si apre in una nuova scheda)
• Regolamento (UE) 2016/679 (GDPR) (si apre in una nuova scheda)
• Circolare Banca d'Italia n. 285 del 17 dicembre 2013
• Regolamento IVASS n. 38 del 3 luglio 2018
• Decreto legislativo 21 novembre 2007, n. 231

A cura di Dataexpert. Aggiornato il 5 novembre 2026.