AI Rating in banca: quale gate blocca la classe e perché

In sintesi. In banca l'AI Rating misura le stesse quattro dimensioni di sempre, Readiness, Delivery, Risk e Confidence, e le pesa in modo diverso. Dove altrove una carenza su Risk è un'area da migliorare, qui è un gate che blocca: un'organizzazione con sistemi in Allegato III e senza inventario non può stare sopra la classe C, per quanto sia avanzata sul resto. Il risultato utile non è il punteggio, è capire quale gate è chiuso e perché.

Le banche arrivano alla misurazione della maturità AI con un vantaggio e uno svantaggio. Il vantaggio è la familiarità con i sistemi di rating: nessuno deve spiegare cosa sia una classe o un gate non compensabile. Lo svantaggio è la tentazione di leggere il risultato come un voto, quando serve invece a decidere dove intervenire.

Le quattro dimensioni, lette in chiave bancaria

Readiness misura la preparazione: strategia, dati, competenze, infrastrutture. In banca tende a essere la dimensione più alta, perché l'impianto di data governance esiste già per ragioni prudenziali. Il punto debole ricorrente è la distanza tra la qualità dei dati nei sistemi di rischio e quella nei processi commerciali, dove nascono molti dei casi d'uso proposti.

Delivery misura la capacità di portare in produzione e mantenere: processi di rilascio, monitoraggio, integrazione. Qui le banche si dividono nettamente. Chi ha già un ciclo di vita dei modelli strutturato per il rischio di credito parte avanti, chi ha sperimentato l'AI generativa fuori da quel perimetro scopre che il pilota non ha nessuno dei presidi che servono al passaggio in produzione.

Risk misura governance, compliance ed etica. È la dimensione che in banca determina la classe più di tutte le altre, perché i sistemi in Allegato III alzano l'asticella e perché le autorità di vigilanza sono già presenti.

Confidence misura commitment del board, fiducia degli utenti e robustezza percepita. Spesso è alta nelle dichiarazioni e bassa nei comportamenti, e lo scarto si vede quando si chiede chi ha firmato l'ultima decisione di adozione e su quali elementi.

Il gate che ferma quasi tutti

Nei nostri assessment il profilo bancario tipico è uno: Readiness e Confidence buone, Delivery accettabile, Risk sotto soglia. E poiché i gate non sono compensabili, la classe finale scende al livello del vincolo, non alla media.

Il gate che si chiude più spesso è l'inventario dei sistemi. Non perché manchi la volontà, ma perché in una banca i sistemi AI sono arrivati per tre strade diverse, e nessuna delle tre passa da un punto unico: i modelli sviluppati internamente nell'area rischi, le funzionalità AI attivate dentro software già acquistati, e gli strumenti adottati dalle singole funzioni.

Il secondo gate riguarda il ruolo assunto. Quasi tutte le banche si dichiarano deployer, e alcune non lo sono più: il fine-tuning su dati proprietari o la modifica di una soglia decisionale possono far scattare l'articolo 25 dell'AI Act, con gli obblighi dell'articolo 16. Finché quel campo non è verificato sistema per sistema, la dimensione Risk resta scoperta.

Cosa significa una classe, in pratica

Classe	Situazione tipica in banca	Cosa è ragionevole fare
D	Sistemi in uso non mappati, nessun presidio formale	Fermare le nuove adozioni e costruire l'inventario
C	Inventario parziale, governance dichiarata ma non attuata	Chiudere i gate prima di scalare su processi core
B	Impianto funzionante, evidenze presenti, qualche area scoperta	Estendere ai processi ad alto rischio e preparare l'audit
A	Sistema maturo e verificato su tutte le dimensioni	Riservata alle valutazioni verificate, non alle autovalutazioni

Su quest'ultima riga vale la pena essere espliciti: un'autovalutazione non produce una classe A, perché quella classe presuppone una verifica strutturata con evidenze controllate. Uno strumento che restituisse A in autonomia svaluterebbe il risultato di chiunque.

Perché misurare prima di decidere il budget

Il collegamento tra rating e budget è diretto. Una banca in classe C che stanzia budget per scalare l'AI sul credito sta pagando due volte: la prima per il progetto che non supererà i presidi, la seconda per rifarlo quando i gate saranno chiusi.

La stessa cifra, spesa prima sulla chiusura dei gate, produce un'organizzazione che può assorbire i progetti successivi senza rifarli. È il motivo per cui il rating ha senso all'inizio del ciclo di pianificazione, non alla fine come verifica di quello che si è già deciso.

Cosa serve per farlo sul serio

Una valutazione utile richiede materiale che in banca esiste quasi sempre, sparso in funzioni diverse: l'elenco dei sistemi AI in uso o in valutazione, le procedure di validazione dei modelli già attive in area rischi, le evidenze di formazione collegate ai ruoli, i contratti con i fornitori di modelli, e i verbali delle decisioni di adozione.

Raccogliere quel materiale è già metà del lavoro, e produce da solo la fotografia che molte banche non hanno mai avuto in un unico punto.

Da dove partire

Il prerequisito è l'inventario dei sistemi AI, perché senza quello il rating misura percezioni. Da lì si passa alla verifica del ruolo per ciascun sistema e alla valutazione dei rischi.

Il modello completo, con le quattro dimensioni e la logica dei gate, è descritto nella pagina AI Rating. Il contesto normativo del settore, con le norme che si sovrappongono all'AI Act, è nella pagina AI governance per banche e servizi finanziari.

Per una valutazione della posizione della tua banca puoi fissare un incontro oppure avviare l'autovalutazione.