AI Act e processi aziendali di banche e assicurazioni: cosa si applica

Cosa è ad alto rischio in banca e in assicurazione

L'allegato III dell'AI Act elenca come ad alto rischio, tra l'altro, i sistemi che valutano il merito di credito delle persone fisiche o ne stabiliscono il punteggio di credito, quelli per la valutazione del rischio e la determinazione dei prezzi nelle assicurazioni vita e malattia e quelli usati per selezionare il personale o per decidere su promozioni, compiti e cessazione del rapporto di lavoro. Leggere una richiesta, instradare una pratica o controllare un dato non rientra, di per sé, in questo elenco.

Processo per processo

Questa tabella è un primo orientamento: la classificazione dipende dall'uso concreto del sistema e va fatta caso per caso.

Processi aziendali e punti di attenzione per l'AI Act e le norme collegate
Processo	Inquadramento di massima	Punto di attenzione
Back office e gestione delle pratiche	Di norma non in allegato III	Se l'esito decide da solo su una persona entra in gioco l'art. 22 del GDPR
Onboarding dei clienti	Di norma non in allegato III	Regole antiriciclaggio; i dati biometrici sono dati particolari anche quando servono solo a confermare l'identità
Controlli interni e compliance	Di norma non in allegato III	Responsabilità dell'esito alla funzione di controllo
Customer service	Obbligo di trasparenza (art. 50)	Il cliente deve sapere che parla con un'AI; divieto di dedurre le emozioni degli operatori sul lavoro (art. 5)
Merito di credito delle persone	Alto rischio (allegato III)	Anche un dato estratto dai documenti va valutato, se alimenta direttamente lo scoring
Polizze vita e malattia: rischio e prezzo	Alto rischio (allegato III)	Valutazione d'impatto sui diritti fondamentali (art. 27)
Selezione e gestione del personale	Alto rischio (allegato III)	Informazione ai lavoratori e tutele sul controllo a distanza

Cosa vale comunque

Alfabetizzazione sull'AI (art. 4). Dal 2 febbraio 2025 chi usa sistemi di AI deve garantire che il personale coinvolto abbia competenze adeguate.
Pratiche vietate (art. 5). In vigore dal 2 febbraio 2025.
Trasparenza (art. 50). Per esempio, le persone devono sapere quando interagiscono con un sistema di AI, come un assistente virtuale.

Il legame con DORA

Se il servizio di AI o di automazione è fornito da terzi, per DORA è di norma un servizio ICT: va inserito nel registro delle informazioni e il contratto deve contenere le clausole dell'art. 30, comprese sede dei dati e sub-fornitori, cioè anche il fornitore del modello. Se il processo automatizzato supporta una funzione critica o importante servono anche una strategia di uscita e una procedura di riserva.

Come lavora Dataexpert

Per ogni passaggio in cui proponiamo automazione o AI indichiamo al cliente la classificazione AI Act proposta, il modello usato e dove gira, la persona responsabile del controllo e le informazioni per il registro DORA. La classificazione finale resta del cliente.

Cosa fare in pratica

Censire. Elenco dei sistemi di AI in uso nei processi aziendali, compresi quelli dentro prodotti di terzi.
Classificare. Per ogni sistema, finalità, ruolo dell'azienda e livello di rischio.
Formare. Competenze adeguate per chi usa i sistemi.
Controllare. Persona responsabile, controlli a campione e registro delle decisioni.
Contrattualizzare. Clausole sui dati, sui sub-fornitori e sull'uso per l'addestramento.

La norma italiana

La Legge 23 settembre 2025, n. 132 affianca l'AI Act con disposizioni italiane sull'intelligenza artificiale, anche sull'uso in ambito lavorativo. La valutazione complessiva va fatta con i propri consulenti, anche alla luce delle linee guida europee e degli eventuali aggiornamenti delle date di applicazione.

Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.

Domande frequenti

Automatizzare il back office con l'AI è ad alto rischio?

Di norma no: l'allegato III dell'AI Act non elenca attività come classificare richieste, estrarre dati o instradare pratiche. Diventa rilevante se quei dati alimentano direttamente una valutazione del merito di credito di persone fisiche.

L'onboarding dei clienti con l'AI è ad alto rischio?

Di norma no, per controlli di completezza e verifica dell'identità. L'allegato III esclude la verifica biometrica che serve solo a confermare chi è una persona, ma restano il GDPR e le regole antiriciclaggio. La valutazione del merito di credito fatta nello stesso percorso è invece ad alto rischio.

Si può usare l'AI per valutare gli operatori del customer service?

Con molta cautela. Dedurre le emozioni delle persone sul luogo di lavoro è vietato, salvo motivi medici o di sicurezza, e i sistemi che valutano le prestazioni dei lavoratori sono ad alto rischio.

Un fornitore di AI deve essere nel registro DORA della banca?

Sì, se fornisce un servizio ICT alla banca. Il registro deve indicare anche i sub-fornitori, come il fornitore del modello di AI usato.

Chi è responsabile di un sistema di AI in banca?

Dipende dal ruolo: fornitore o deployer. La banca che usa il sistema ha comunque obblighi propri, come l'alfabetizzazione del personale e il controllo sui fornitori ICT.

Fonti

A cura di Dataexpert. Aggiornato il 5 novembre 2026.

L'AI Act nei processi aziendali di banche e assicurazioni