La Banca centrale europea ha dato alle maggiori banche della zona euro tempo fino alla fine di ottobre per spiegare come rafforzeranno le difese informatiche contro sistemi di intelligenza artificiale sempre più sofisticati.
La principale autorità di vigilanza bancaria dell'eurozona, la BCE, ha chiesto martedì alle grandi banche europee di elaborare piani d'azione per affrontare i rischi di sicurezza informatica legati a sistemi di intelligenza artificiale sempre più potenti.
PUBBLICITÀ
PUBBLICITÀ
La comparsa di modelli di IA come Mythos di Anthropic, particolarmente efficace nell'individuare le vulnerabilità nei sistemi informatici, ha suscitato preoccupazioni tra i governi e i responsabili politici europei.
Il Consiglio di vigilanza della BCE ha inviato una lettera alle 110 banche che supervisiona direttamente, sostenendo che gli ultimi modelli di IA rappresentano 'un cambiamento strutturale del panorama delle minacce, e non un fenomeno temporaneo'.
'Sebbene questi sviluppi non introducano rischi del tutto nuovi, amplificano in modo significativo la velocità e la portata con cui tali rischi si concretizzano', ha scritto Claudia Buch, presidente del Consiglio di vigilanza della BCE.
La BCE chiede ai principali istituti di credito, tra cui Deutsche Bank, BNP Paribas e Santander, di presentare entro il 31 ottobre un piano che descriva nel dettaglio le misure immediate e di più lungo periodo che intendono adottare per rafforzare la loro resilienza contro i cyberattacchi.
Secondo l'istituto, i piani dovranno dare priorità a una gestione più rapida delle vulnerabilità e degli aggiornamenti software, a sistemi di monitoraggio e rilevamento potenziati dall'IA e a un controllo più rigoroso dei fornitori tecnologici esterni e dei rischi legati alla catena di approvvigionamento.
Questi interventi devono essere guidati dai vertici delle istituzioni, ha sottolineato la BCE.
Per dare alle banche più tempo per concentrarsi sulla nuova minaccia, la BCE ha annunciato che rinvierà il suo questionario annuale sui rischi IT da settembre 2026 a febbraio 2027 e che valuterà l'eventuale adeguamento di altre attività di vigilanza caso per caso.
Dopo la scadenza, la BCE analizzerà il piano di ciascuna banca, ne discuterà con ogni istituzione e svolgerà un'analisi orizzontale per individuare le vulnerabilità ricorrenti e le migliori pratiche nel settore bancario.
La lettera cita anche altre tecnologie emergenti, tra cui il calcolo quantistico, che 'avrà un impatto significativo sul panorama della sicurezza informatica'. La BCE ha precisato che affronterà i rischi legati al calcolo quantistico in una comunicazione separata 'a tempo debito'.
Il rischio informatico sistemico diventa «grave»
La mossa del Consiglio di vigilanza arriva insieme a un avvertimento del Comitato europeo per il rischio sistemico (ESRB), l'organismo dell'UE incaricato di monitorare i rischi finanziari sistemici.
L'ESRB ha messo in guardia martedì contro 'i rischi informatici sistemici derivanti dai modelli di intelligenza artificiale di frontiera'.
L'avvertimento fa seguito alla decisione del Consiglio generale dell'ESRB, presa a giugno, di alzare la valutazione del rischio informatico sistemico da 'elevato' a 'grave', rispetto a marzo.
L'autorità di vigilanza ha affermato che i modelli di IA di frontiera rappresentano un 'cambio di paradigma' nella sicurezza informatica e sono diventati una fonte di rischio sistemico per il sistema finanziario dell'UE. Secondo l'organismo, 'l'IA è già utilizzata da attori malevoli per potenziare gli attacchi informatici'.
L'ESRB ha avvertito che l'IA potrebbe ridurre drasticamente il tempo a disposizione delle banche per individuare e correggere le vulnerabilità dei software prima che vengano sfruttate, aumentando il rischio di incidenti informatici simultanei in tutto il settore finanziario.
L'ESRB ha inoltre avvertito che la concentrazione dei principali sviluppatori di IA di frontiera al di fuori dell'Unione europea espone il blocco a una dipendenza strategica e a rischi geopolitici.
Anthropic, fra i principali sviluppatori di IA al mondo, sta creando modelli di frontiera sempre più capaci. L'azienda ha inizialmente trattenuto la versione completa di Mythos per il timore che potesse essere utilizzata per individuare vulnerabilità nei software e aiutare gli hacker, prima di pubblicare il mese scorso una versione aperta al pubblico con meccanismi di sicurezza integrati.