AI literacy in banca: chi formare, su cosa e con quali evidenze

In sintesi. In una banca l'obbligo di alfabetizzazione AI dell'articolo 4 e i requisiti di competenza della clausola 7 di ISO/IEC 42001 incontrano una popolazione già formata su altri fronti, dall'antiriciclaggio alla MiFID II. La formazione AI che funziona non parte da zero, si innesta su quei percorsi. I ruoli critici sono tre, chi valuta il merito creditizio, chi esercita la sorveglianza umana sui modelli e chi approva le decisioni di adozione, e per loro l'evidenza deve essere individuale.

Nel settore finanziario la formazione obbligatoria è una routine consolidata, con calendari, piattaforme e tracciature che esistono da anni. Questo è un vantaggio e allo stesso tempo la ragione per cui la formazione AI viene spesso impostata male, aggiunta come modulo generico dentro un impianto pensato per altro.

Perché il modello dell'antiriciclaggio non funziona qui

La formazione antiriciclaggio ha una struttura che le banche conoscono bene: contenuto uguale per fasce di ruolo, erogazione periodica, test finale, tracciatura. Trasferire quello schema sull'AI produce un piano che regge la forma e manca il sostanziale.

La differenza è che le norme antiriciclaggio descrivono comportamenti da tenere, mentre i requisiti sull'AI chiedono di riconoscere quando un sistema specifico sta producendo un esito anomalo. Il primo si insegna in astratto, il secondo no. Un modulo che spiega cos'è un modello di machine learning non mette un analista in condizione di accorgersi che lo scoring sta trattando diversamente due pratiche equivalenti.

C'è poi una differenza di perimetro. L'antiriciclaggio riguarda chi opera su determinati processi, mentre l'alfabetizzazione AI riguarda chiunque usi un sistema, inclusi i consulenti della rete e il personale delle società di servizi che lavorano sui vostri processi.

I tre ruoli su cui l'evidenza deve essere individuale

Per la maggior parte del personale è sufficiente la consapevolezza, cioè sapere cosa fa lo strumento che si usa e a chi segnalare un'anomalia. Tre ruoli fanno eccezione, e su quelli la documentazione deve essere nominale e collegata al sistema specifico.

Chi valuta il merito creditizio con il supporto di un modello. Il credit scoring su persone fisiche è classificato ad alto rischio dall'Allegato III dell'AI Act, e chi lavora su quel processo deve saper leggere l'output, riconoscere i casi in cui il modello è fuori dal suo perimetro di validità e sapere come si discosta dal suggerimento.

Chi esercita la sorveglianza umana. L'obbligo di competenza per queste persone non è stato toccato dall'alleggerimento dell'articolo 4 operato dal Digital Omnibus. Restano pieni, e la loro evidenza deve mostrare che quella persona era in grado di intervenire su quel sistema, non che ha seguito un corso sull'AI in generale.

Chi approva l'adozione di un sistema. Direzione, comitato rischi, chi firma la messa in produzione. Una firma priva di comprensione mette in discussione il processo decisionale, e in audit il rilievo risale dalla clausola 7 alla clausola 5 sulla leadership.

Cosa si riusa e cosa va costruito

L'impianto formativo esistente copre già una parte del lavoro, e conviene mapparlo prima di comprare qualcosa di nuovo.

Elemento	Esiste già in banca	Cosa manca per l'AI
Piattaforma e tracciatura	Sì, consolidata	Collegamento tra evidenza e sistema specifico
Formazione su decisioni automatizzate	In parte, via GDPR	Estensione ai requisiti dell'AI Act
Cultura del model risk	Sì, in area rischi	Allargamento oltre l'area rischi
Verifica di efficacia	Test a quiz	Casi pratici sui modelli in uso
Perimetro esteso ai fornitori	Parziale	Requisiti nei contratti di outsourcing

La riga che costa di più è l'ultima. Molte banche esternalizzano il servizio clienti, il recupero crediti o parti dell'istruttoria, e quelle persone usano sistemi AI sui vostri processi senza rientrare nei vostri piani formativi. L'unico strumento è il contratto.

Il modulo che nessun fornitore può scrivere

La parte più utile della formazione AI in banca non si compra, perché richiede informazioni che avete solo voi: quali modelli sono in produzione, su quali decisioni incidono, quali casi limite sono già stati osservati, a chi si segnala un comportamento anomalo e cosa succede dopo.

Sono trenta o quaranta minuti per sistema, preparati da chi quel sistema lo conosce, e valgono più di quattro ore di corso sulla struttura del regolamento. È anche il materiale che, in un'ispezione o in un contenzioso, dimostra che la sorveglianza umana esisteva davvero.

Le domande dell'auditor a un analista

Durante una verifica il campione segue criteri precisi: si parte dalla matrice dei ruoli e si scelgono persone che lavorano sui sistemi più esposti, chi è entrato da poco e chi ha firmato approvazioni.

Le domande sono semplici e quasi sempre le stesse. Cosa fa il sistema che usi ogni giorno. Come ti accorgeresti che sta sbagliando. Cosa fai se succede. A chi lo segnali. Quando la risposta non arriva, il rilievo riguarda il sistema di gestione che ha erogato formazione senza verificarne l'efficacia, non la persona.

Da dove partire

Il punto di partenza non è il catalogo dei corsi, è l'inventario dei sistemi AI, perché senza sapere quali sistemi sono in uso e su quali processi, la formazione calibrata sul contesto resta calibrata su un'idea del contesto.

Da lì si costruisce la matrice che collega ruoli e competenze, si separa quello che serve come consapevolezza da quello che serve come competenza verificabile, e si decide per quali ruoli l'evidenza deve essere individuale. Il quadro completo dei requisiti è in la clausola 7 spiegata senza gergo, e il rapporto tra i due obblighi in AI literacy e competenze ISO 42001.

Il contesto normativo del settore, con la mappa completa delle norme che si sovrappongono, è nella pagina AI governance per banche e servizi finanziari.

L'approccio con cui costruiamo i percorsi per ruolo è descritto nella pagina AI Training. Per valutare cosa manca al piano della tua banca puoi fissare un incontro di valutazione.