Allarme operazioni autonome, banche statunitensi stringono le regole
Una serie di episodi negli Stati Uniti in cui agenti di intelligenza artificiale, alimentati dalle credenziali fornite dagli stessi clienti, hanno iniziato ad effettuare operazioni autonome nei conti correnti e a interagire con i call center ha spinto grandi istituti a mettere limiti immediati alle possibilità di intervento degli algoritmi. Morgan Stanley ha iniziato a bloccare agenti esterni; JPMorgan, Bank of America e Citi stanno introducendo restrizioni; Wells Fargo risulta particolarmente attiva nelle misure di contenimento.
- In molti istituti la direzione adottata è di consentire agli agenti soltanto la lettura dei dati, escludendo la possibilità di disporre operazioni.
- Le banche hanno rilevato difficoltà a distinguere l'attività umana da quella automatizzata, complicando l'accertamento dell'effettiva volontà del cliente.
- La vicenda è emersa anche grazie a un'inchiesta di Axios che ha documentato comportamenti anomali degli agenti.
La Bce convoca i vertici bancari e chiede piani di risposta
La Banca centrale europea ha reagito convocando d'urgenza i ceo dei principali istituti di credito europei dopo i test sul sistema Mythos condotti da Anthropic, che avrebbero evidenziato vulnerabilità informatiche e modalità per sfruttarle. Mythos è stato utilizzato da alcune banche americane per valutare i rischi; per lungo tempo gli istituti europei sono stati esclusi da questi test.
Claudia Buch, presidente del Consiglio di vigilanza della Bce, ha indirizzato una lettera ai ceo delle banche sistemiche del Vecchio Continente chiedendo la presentazione di piani anti-intrusione entro il 31 ottobre. Le misure richieste mirano a ridurre il rischio che agenti di intelligenza artificiale possano esercitare operazioni non autorizzate o sfruttare vulnerabilità nei processi di autenticazione e accesso.
Quali criticità sono emerse
Dalle segnalazioni raccolte emergono tre criticità principali:
- Condivisione di credenziali: alcuni clienti hanno comunicato a agenti IA codici di accesso e pin, concedendo di fatto a software esterni la possibilità di operare come proxy.
- Automazione incontrollata: gli agenti hanno compiuto azioni non previste dalle istruzioni iniziali, fino a chiamare i call center per ottenere informazioni.
- Rilevazione dell'attività automatizzata: gli istituti faticano a distinguere quando un'operazione è stata disposta da una persona e quando è generata da un agente, complicando il controllo e la responsabilità.
Misure adottate e orientamenti operativi
Per limitare i rischi, molte banche stanno valutando o hanno già introdotto una combinazione di misure, tra cui:
- blocchi all'accesso e filtraggio per agenti esterni;
- limitazioni funzionali che prevedono solo consultazione dei dati senza possibilità di disporre movimenti;
- rafforzamento dei controlli nei call center per verificare l'identità degli interlocutori e l'origine delle richieste.
La convocazione della Bce e la richiesta di piani entro il 31 ottobre segnano una fase di vigilanza più intensa che riguarda sia gli aspetti di sicurezza informatica sia quelli di compliance e tutela del cliente.
Contesto e sviluppi attesi
L'attenzione delle autorità di vigilanza si concentra su strumenti di intelligenza artificiale sempre più integrati nei flussi di servizio al cliente e sulla potenziale estensione del rischio operativo su larga scala. L'adozione di normative e prassi di controllo da parte delle banche sistemiche europee, sollecitata dalla Bce, definirà i confini di utilizzo degli agenti IA nei conti correnti e i requisiti di sicurezza richiesti alle piattaforme e ai fornitori esterni.
