Perché la FCA regola l'IA senza un regolamento specifico sull'IA

TL;DR. La FCA si descrive come un'autorità di regolamentazione tecnologicamente neutrale, basata sui principi e orientata ai risultati, e applica tale impostazione all'IA. Le sue norme di solito non...

Punti chiave

Due anni dal documento di discussione alla cima dell'agenda. La FCA apre la propria disamina sull'IA con un'osservazione sul ritmo del cambiamento.
Le ragioni per regolare i risultati anziché gli strumenti. La FCA si descrive come un regolatore tecnologicamente neutrale, basato sui principi e orientato ai risultati.
La proporzionalità come freno all'eccesso di regolamentazione. Gli obiettivi della FCA inquadrano tutto ciò che essa afferma sull'IA, per cui vale la pena richiamarli.
La maggior parte dei rischi dell'IA non è nuova, ed è proprio questo il punto. Una delle affermazioni più rilevanti della FCA è anche una delle più brevi.

La posizione della FCA è che non serve un nuovo codice normativo per regolare una nuova tecnologia quando le regole esistenti chiedono già quali effetti quella tecnologia produca sulle persone e sui mercati, e sta applicando tale posizione all'IA nei servizi finanziari del Regno Unito.

Sintesi esecutiva

La FCA afferma che l'IA è balzata in cima alle agende di tutta l'economia a una velocità straordinaria nei due anni trascorsi dal suo Discussion Paper sull'IA.

Il suo approccio poggia sull'essere tecnologicamente neutrale, basato sui principi e orientato ai risultati, oltre che sulla proporzionalità.

Afferma che molti rischi legati all'IA possono essere mitigati all'interno dei quadri legislativi e regolamentari esistenti.

La complessità dei modelli di IA potrebbe richiedere una maggiore attenzione ai test, alla convalida e alla spiegabilità, e la FCA sta valutando come affrontare al meglio tali questioni.

Sostiene l'innovazione attraverso il Regulatory Sandbox, il Digital Sandbox e i TechSprints, e ha investito in competenze sui dati e sul digitale.

I cinque principi del Governo britannico per la regolamentazione dell'IA si affiancano all'approccio orientato ai risultati proprio della FCA.

Due anni dal documento di discussione alla cima dell'agenda #

La FCA apre la propria disamina sull'IA con un'osservazione sul ritmo del cambiamento. Nei due anni trascorsi dalla pubblicazione del suo Discussion Paper sull'IA, osserva l'autorità, l'IA è stata spinta in primo piano nelle agende di tutta l'economia a una velocità straordinaria. È un'autorità di regolamentazione che descrive quanto rapidamente si sia mosso il terreno sotto un documento che essa stessa aveva scritto.

Il Discussion Paper era stato pubblicato congiuntamente con la Banca d'Inghilterra. La FCA lo elenca, l'AI Discussion Paper (2022), tra i documenti diffusi dai due organismi. Gli altri sono il Feedback Statement (2023), il rapporto finale dell'AI Public-Private Forum (2022) e le indagini sul machine learning del 2019 e del 2022. Nel Discussion Paper, la FCA aveva esplorato i potenziali benefici e rischi dell'uso dell'IA nei servizi finanziari nel contesto dei propri obiettivi statutari. Ha pubblicato diversi documenti sul proprio approccio all'IA, e quel corpus di lavori costituisce il fondamento della posizione che oggi enuncia.

La FCA afferma inoltre che i servizi finanziari sono già in prima linea nella digitalizzazione, e che l'IA potrebbe trasformare in modo significativo il modo in cui le imprese servono i propri consumatori e clienti sia nei mercati al dettaglio sia in quelli all'ingrosso. Il verbo conta. La FCA dice "potrebbe", non "trasformerà". La trasformazione è una possibilità che prende sul serio, piuttosto che un risultato che afferma di aver già osservato trasversalmente nel settore.

Laddove rivendica un risultato effettivamente osservato, riguarda il proprio stesso lavoro. La FCA dichiara che l'IA ha già trasformato la rapidità con cui è in grado di monitorare e contrastare siti web truffaldini, riciclaggio di denaro e violazioni delle sanzioni. Un regolatore che afferma questo è anche un utilizzatore della tecnologia, il che incide su quanto credibile apparirà la sua posizione sull'uso dell'IA da parte delle imprese vigilate.

Le ragioni per regolare i risultati anziché gli strumenti #

La FCA si descrive come un regolatore tecnologicamente neutrale, basato sui principi e orientato ai risultati. Ciascuna di queste tre espressioni svolge una funzione precisa nel modo in cui tratta l'IA.

Tecnologicamente neutrale è la più immediata. Le norme, i regolamenti e i principi fondamentali della FCA di solito non impongono né vietano tecnologie specifiche. Non esiste un elenco di modelli approvati o di tecniche bandite. Il suo approccio regolamentare consiste, nelle sue stesse parole, nell'identificare e mitigare i rischi per i propri obiettivi, inclusi quelli derivanti dall'affidamento delle imprese vigilate su diverse tecnologie. La tecnologia è una fonte di rischio da valutare, non una categoria da autorizzare su licenza.

Quando la FCA prende in esame l'uso di una determinata tecnologia da parte di un'impresa, valuta oggettivamente i rischi e le eventuali implicazioni negative per i propri obiettivi e per i risultati regolamentari che persegue. La valutazione parte dagli obiettivi e procede verso l'esterno fino alla tecnologia. Non parte dalla tecnologia chiedendosi se esista una regola specifica per essa.

La FCA spiega esplicitamente perché preferisce questa impostazione. La regolamentazione basata sui risultati, afferma, può essere applicata più facilmente al cambiamento tecnologico e agli sviluppi del mercato rispetto a regole dettagliate e prescrittive. Aggiunge che, di conseguenza, i consumatori sono meglio protetti da danni nuovi ed emergenti. L'argomento è pratico. Una regola dettagliata scritta per una generazione tecnologica deve essere riscritta quando arriva la successiva, mentre un risultato come un'adeguata tutela dei consumatori non cambia al mutare degli strumenti.

È una posizione difendibile, ed è quella giusta per una tecnologia in rapida evoluzione. Non rende però facile il compito del regolatore. Un'autorità orientata ai risultati non può dire in anticipo a un'impresa quale architettura di modello supererà il vaglio. Può solo indicare all'impresa i risultati di cui sarà chiamata a rispondere, per poi esaminare l'esito. La FCA afferma esattamente questo riguardo alla propria postura di vigilanza: il suo scrutinio include i sistemi e i processi che le imprese hanno posto in essere per garantire che le sue aspettative regolamentari siano soddisfatte. Per un'impresa che implementa l'IA, la domanda posta dalla FCA è se l'azienda sia in grado di dimostrare che i propri sistemi e processi producono i risultati attesi.

L'approccio gode anche del sostegno del settore. I partecipanti alla consultazione sull'AI Discussion Paper sono generalmente favorevoli a un approccio tecnologicamente neutrale, basato sui principi e orientato ai risultati per regolamentare l'uso dell'IA nei servizi finanziari del Regno Unito. La FCA riferisce tale sostegno con chiarezza. Un regolatore che scegliesse questa via trovando poi il mercato ostile si troverebbe in una posizione più difficile. Qui, secondo il suo stesso resoconto, la consultazione ha indicato la stessa direzione dei suoi orientamenti consolidati.

La proporzionalità come freno all'eccesso di regolamentazione #

Gli obiettivi della FCA inquadrano tutto ciò che essa afferma sull'IA, per cui vale la pena richiamarli. La FCA regola le imprese di servizi finanziari e i mercati finanziari nel Regno Unito. Il suo obiettivo strategico è assicurare che i mercati rilevanti funzionino bene. Ha tre obiettivi operativi: garantire un grado adeguato di protezione per i consumatori, proteggere e rafforzare l'integrità del sistema finanziario britannico e promuovere una concorrenza effettiva nell'interesse dei consumatori.

Ha inoltre un obiettivo secondario: facilitare la competitività internazionale dell'economia del Regno Unito e la sua crescita nel medio-lungo termine, subordinatamente all'allineamento con gli standard internazionali. E afferma che, in qualità di autorità di regolamentazione dei servizi finanziari, svolge un ruolo importante nel continuo successo e nella competitività dei mercati britannici dei servizi finanziari.

Questo elenco conta perché mostra che la FCA non è soltanto un organismo volto a minimizzare il rischio. Due dei suoi scopi dichiarati, la concorrenza effettiva e la competitività dell'economia britannica, spingono verso l'abilitazione delle imprese anziché verso la loro limitazione. La FCA considera l'innovazione vantaggiosa come una componente vitale di una concorrenza effettiva. Qualsiasi politica sull'IA essa elabori deve rispondere contemporaneamente a entrambi gli ordini di obiettivi.

La proporzionalità è il modo in cui li concilia. Il principio di proporzionalità informa il pensiero e l'approccio della FCA verso l'IA, inclusi eventuali futuri interventi regolamentari. L'espressione "eventuali futuri interventi regolamentari" merita di essere notata. La FCA non esclude ulteriori interventi e si impegna fin d'ora rispetto al criterio che qualsiasi intervento dovrebbe superare. Ai sensi del FSMA, la FCA deve tenere conto del principio secondo cui un onere o una restrizione imposti a una persona o a un'attività devono essere proporzionati ai benefici attesi.

La risposta della FCA descrive anche il tipo di prove su cui intende fare affidamento. Essa stabilisce che una visione basata sulle evidenze, capace di bilanciare i benefici e i rischi dell'IA, garantirà un approccio proporzionato ed efficace all'uso dell'IA nei servizi finanziari. L'affermazione è formulata con cautela, come è giusto che sia: ci si aspetta che tale visione produca quel risultato, ma ciò non è ancora stato dimostrato nei fatti. La FCA sta descrivendo un metodo, non riferendo un esito acquisito.

Per costruire tale base di evidenze, la FCA afferma che darà priorità alla comprensione delle attuali strategie di implementazione all'interno delle imprese che vigila. Ciò includerà una terza edizione della sua indagine sul machine learning, pubblicata congiuntamente con la Banca d'Inghilterra. Quell'indagine è un impegno per il futuro, non un lavoro concluso. Indica alle imprese da dove proverrà verosimilmente la prossima tornata di dati empirici.

La maggior parte dei rischi dell'IA non è nuova, ed è proprio questo il punto #

Una delle affermazioni più rilevanti della FCA è anche una delle più brevi. Molti rischi legati all'IA non sono necessariamente esclusivi dell'IA stessa e possono pertanto essere mitigati all'interno dei quadri legislativi e regolamentari esistenti.

Questo è ciò che rende l'assenza di un codice normativo specifico sull'IA coerente anziché negligente. Se i rischi di un processo guidato dall'IA somigliano ai rischi di qualsiasi altro processo che incida sui consumatori o sui mercati, il quadro normativo esistente dispone già degli agganci necessari. La FCA non pretende che ogni singolo rischio sia coperto. La formulazione usa le espressioni "molti" e "non necessariamente esclusivi", lasciando spazio a rischi specifici dell'IA. Ma la scelta predefinita è partire da ciò che già esiste.

Per i fondatori, questo approccio è al tempo stesso rassicurante ed esigente. È rassicurante perché non c'è un regime di conformità separato per l'IA da imparare accanto a quello già in vigore. È esigente perché gli obblighi esistenti si applicano integralmente, e l'attenzione della FCA si concentra sui sistemi e sui processi che dimostrano il loro rispetto. Un prodotto costruito sull'IA non riceve uno standard diverso. Si confronta con gli stessi risultati attesi, messi alla prova su una tecnologia che può risultare più difficile da spiegare.

Proprio questa difficoltà è ciò che la FCA segnala subito dopo, ed è qui che il suo tono diventa più cauto.

Dove il quadro normativo esistente potrebbe doversi adattare #

La FCA ammette francamente che applicare le regole esistenti all'IA non è privo di attriti. La sua attività di vigilanza e le ricerche del Digital Regulation Cooperation Forum (DRCF) sottolineano che la velocità, la scala e la complessità dell'IA potrebbero richiedere approcci modificati alla gestione del rischio e alla governance aziendale. La cautela è voluta: "potrebbero richiedere". La FCA sta segnalando una pressione sul quadro normativo, non annunciando una sua modifica.

Prosegue poi indicando dove potrebbe concentrarsi tale pressione. La complessità dei modelli di IA potrebbe richiedere una maggiore attenzione ai test, alla convalida e alla spiegabilità dei modelli stessi. Tale attenzione si accompagna a solidi principi di responsabilizzazione (accountability), rafforzati da culture aziendali improntate all'apertura e alla trasparenza. Test, convalida e spiegabilità sono discipline tecniche, mentre responsabilizzazione e apertura sono discipline organizzative. La FCA le affianca, il che suggerisce che essa consideri la qualità dei modelli e la governance societaria come due metà di uno stesso problema. Questa lettura è mia, e la FCA non la enuncia esplicitamente.

La FCA non sostiene di aver risolto la questione. Afferma: "Stiamo valutando come affrontare al meglio questi aspetti". Questa frase rappresenta una presa di posizione tanto quanto il resto della sua risposta. La regolamentazione basata sui risultati può accogliere nuove tecnologie, ma laddove la complessità di un modello renda il suo comportamento difficile da convalidare o spiegare, la FCA riconosce che lo standard potrebbe aver bisogno di essere affinato. Quale forma ciò assumerà non è ancora stato precisato.

La FCA mette inoltre in guardia dal trattare l'IA come una questione isolata. L'IA non dovrebbe essere considerata isolatamente, afferma, e un approccio sicuro all'adozione richiede di tenere conto delle tendenze tecnologiche più ampie. Il suo lavoro con le imprese suggerisce una crescente urgenza di adottare un approccio più proattivo verso i rischi di esternalizzazione (outsourcing), la cybersicurezza e la resilienza. L'affermazione è cauta, e come tale va letta. Ma la direzione è chiara: il rischio legato all'IA di un'impresa è strettamente intrecciato a chi fornisce la sua infrastruttura, a quanto bene è difesa e a quanto efficacemente riesce a riprendersi.

Nel complesso, questa parte del pensiero della FCA è la più utile dal punto di vista pratico. Un'impresa che adotta l'IA non può trattare il modello come l'unico rischio. La catena di fornitura che lo circonda, la sicurezza dei dati e la resilienza del servizio rientrano tutte nella medesima questione di un'adozione sicura.

Sostenere l'innovazione tenendo d'occhio il quadro macroeconomico #

Nulla di tutto ciò appare come il tentativo di un regolatore di rallentare l'adozione. La FCA dichiara di voler promuovere l'uso sicuro e responsabile dell'IA nei mercati finanziari del Regno Unito. Gli aggettivi "sicuro" e "responsabile" svolgono un lavoro fondamentale, ma il verbo resta "promuovere".

Sostiene questo intento con canali concreti. La FCA supporta attivamente l'innovazione vantaggiosa attraverso il Regulatory Sandbox, il Digital Sandbox, i TechSprints e altri servizi di consulenza sull'innovazione. Appoggia l'impegno del Governo a finanziare un progetto pilota per un AI & Digital Hub realizzato dalle autorità di regolamentazione aderenti al DRCF. E sta investendo nelle proprie capacità interne: i suoi investimenti nei dati e nel digitale includono un nuovo polo digitale a Leeds e l'assunzione di oltre 75 data scientist.

Questi dettagli sono verificabili, e ciò è importante. Un regolatore che parla di neutralità tecnologica ma non dispone di competenze interne sui dati farebbe fatica a valutare ciò che le imprese gli riferiscono. Assumere oltre 75 data scientist è il segnale che la FCA intende valutare l'IA direttamente, senza basarsi soltanto sui resoconti forniti dalle aziende.

Il raggio d'azione della FCA si estende anche oltre i confini britannici. Sta assumendo un ruolo di primo piano presso l'International Organization of Securities Commissions (IOSCO) e presiede il Global Financial Innovation Network (GFIN). Dato che il suo obiettivo secondario è subordinato all'allineamento con gli standard internazionali, tale attività internazionale è coerente con le sue finalità dichiarate.

All'orizzonte, la FCA si impegna su due fronti di osservazione. Continuerà a monitorare da vicino l'adozione dell'IA nei mercati finanziari britannici e continuerà a monitorare i potenziali effetti macroeconomici che l'IA può avere sui mercati finanziari. Entrambi i punti sono inquadrati come impegni continuativi, non come risultati già acquisiti. Il secondo è il più interessante: sposta lo sguardo dalle singole imprese e dai loro clienti ai mercati stessi. La FCA non specifica quali effetti macroeconomici si aspetti, e sarebbe sbagliato dedurne alcuno.

Come si inseriscono i principi del Governo #

L'aggiornamento della FCA fa seguito alla pubblicazione, nel febbraio di quest'anno, della strategia pro-innovazione del Governo, e si colloca accanto a un messaggio politico più ampio: il Primo Ministro ha affermato che il futuro dell'IA è un'IA sicura.

Il Governo ha individuato cinque principi chiave per la regolamentazione dell'IA nel Regno Unito: sicurezza, protezione e il requisito più ampio del primo principio; trasparenza e spiegabilità adeguate; equità; responsabilizzazione e governance; contestabilità e ricorso. Essi sono definiti e spiegati nel Libro Bianco del Governo, AI Regulation: A Pro-innovation Approach. Il primo principio stabilisce che i sistemi di IA dovrebbero funzionare in modo sicuro e protetto lungo l'intero ciclo di vita dell'IA.

Letti accanto alle dichiarazioni della stessa FCA, la sovrapposizione è facile da cogliere. L'osservazione della FCA su test, convalida e spiegabilità trova corrispondenza nel principio di trasparenza e spiegabilità. La sua enfasi sui principi di responsabilizzazione e sulle culture aziendali aperte si riflette nella responsabilizzazione e governance. La sua attenzione verso i consumatori esposti a danni nuovi ed emergenti è vicina al terreno dell'equità e della contestabilità. Sto tracciando io stesso questi parallelismi. La risposta della FCA non definisce una mappatura formale tra i due elenchi, e un'impresa non dovrebbe considerare la mia lettura come una linea guida ufficiale.

Ciò che la FCA afferma è che il suo approccio orientato ai risultati è esattamente ciò che le consente di applicare questi temi senza prescrivere specifiche tecnologie. Il Governo fornisce principi trasversali per l'intera economia; la FCA applica i propri obiettivi esistenti all'interno dei servizi finanziari. Per un'impresa, ciò significa che le questioni di conformità derivano dagli obiettivi e dalle norme della FCA, con i principi governativi a fare da cornice più ampia.

Cosa significano le questioni aperte per le imprese #

L'insegnamento più netto che emerge dalla risposta della FCA è lo scarto tra la sua fiducia e la sua cautela. È fiduciosa sul fatto che i quadri esistenti coprano molti rischi dell'IA, che la proporzionalità debba guidare qualsiasi intervento e che la regolamentazione basata sui risultati protegga i consumatori da nuovi danni. È cauta, e lo esprime con un linguaggio misurato, riguardo al fatto che la velocità, la scala e la complessità dell'IA possano richiedere approcci modificati alla gestione del rischio e alla governance. Dichiara inoltre di stare ancora valutando come affrontare al meglio tali questioni.

Un'impresa può utilizzare questa struttura. Tutto ciò che la FCA afferma senza riserve è qualcosa su cui agire subito: soddisfare i risultati attualmente richiesti ed essere pronti a mostrare i sistemi e i processi che li garantiscono. Tutto ciò che la FCA formula in modo cauto rappresenta un tema da tenere d'occhio. È ragionevole prepararsi a una maggiore attenzione verso test, convalida e spiegabilità, poiché la FCA li ha nominati espressamente, ma non sarebbe ragionevole dare per scontato che ne seguirà una regola specifica. La FCA non ha detto che accadrà.

La prossima terza edizione dell'indagine sul machine learning, condotta congiuntamente con la Banca d'Inghilterra, rappresenta la fonte concreta più vicina di nuove evidenze. La FCA afferma che darà priorità alla comprensione delle attuali strategie di implementazione all'interno delle imprese vigilate, per cui le aziende devono aspettarsi che venga loro chiesto come utilizzano l'IA. Quelle risposte alimenteranno la visione basata sulle evidenze che, nell'impostazione della FCA, dovrà mantenere l'approccio proporzionato ed efficace.

La questione aperta è come la FCA risolverà la tensione che ha individuato. Se la complessità richiede test, convalida e spiegabilità più rigorosi, ma le norme della FCA di solito non impongono tecnologie specifiche, la risposta dovrà arrivare attraverso i risultati attesi, la vigilanza o le linee guida, piuttosto che tramite divieti tecnologici. Quale di queste strade sceglierà, e se avrà davvero bisogno di modificare qualcosa, è ciò che le sue ulteriori valutazioni e la prossima indagine probabilmente riveleranno.

Domande frequenti #

Perché la FCA non ha introdotto un codice normativo dedicato all'IA per i servizi finanziari del Regno Unito?

La FCA opera come un'autorità di regolamentazione tecnologicamente neutrale, basata sui principi e orientata ai risultati, le cui norme di solito non impongono né vietano tecnologie specifiche. Poiché molti rischi legati all'IA non sono esclusivi di questa tecnologia, possono essere mitigati all'interno dei quadri legislativi e regolamentari esistenti che chiamano le imprese a rispondere dei risultati ottenuti per i consumatori e per i mercati.

Quali aree della governance dell'IA vengono segnalate dalla FCA per un'attenzione più stretta?

Attingendo alla propria attività di vigilanza e alle ricerche svolte con il Digital Regulation Cooperation Forum (DRCF), la FCA osserva che la velocità, la scala e la complessità dell'IA potrebbero richiedere approcci modificati alla gestione del rischio e alla governance, con un'attenzione più forte su test dei modelli, convalida, spiegabilità, rischio di esternalizzazione verso terze parti, cybersicurezza e resilienza operativa.

Come sta costruendo la FCA la propria capacità tecnica interna per vigilare sull'IA?

Oltre a gestire il Regulatory Sandbox, il Digital Sandbox e i TechSprints, la FCA ha investito in competenze sui dati e sul digitale che includono un polo digitale a Leeds, l'assunzione di oltre 75 data scientist e una terza indagine congiunta sul machine learning con la Banca d'Inghilterra per valutare direttamente le strategie di implementazione delle imprese.

References #

Financial Conduct Authority, (2024). AI Update ⧉. Financial Conduct Authority.
Bank of England and Financial Conduct Authority, (2022). DP5/22 - Artificial Intelligence and Machine Learning ⧉. Bank of England.
UK Department for Science, Innovation and Technology, (2023). A pro-innovation approach to AI regulation ⧉. GOV.UK.

Ultima revisione 2026-11-01.

Ripubblica questo articolo

Perché la FCA regola l'IA senza un regolamento specifico sull'IA — Sebastien Rousseau

La FCA si descrive come un'autorità di regolamentazione tecnologicamente neutrale, basata sui principi e orientata ai risultati, e applica tale impostazione all'IA. Le sue norme di solito non...

Questo articolo è pubblicato con licenza Creative Commons Attribution 4.0 International. La ripubblicazione richiede l'attribuzione all'URL canonico.

Perché la FCA regola l'IA senza un regolamento specifico sull'IA — Sebastien Rousseau

La FCA si descrive come un'autorità di regolamentazione tecnologicamente neutrale, basata sui principi e orientata ai risultati, e applica tale impostazione all'IA. Le sue norme di solito non...

Originally published at https://sebastienrousseau.com/it/2026-10-28-perche-la-fca-regola-ia-senza/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER