DORA, EU AI Act e NIS2 hanno trasformato l'elaborazione manuale dei documenti in una passività di compliance

Per vent'anni l'elaborazione manuale dei documenti nelle istituzioni finanziarie è stata un problema di costo. Dal 2024 è diventata un problema di compliance, e i problemi di compliance hanno un budget diverso. Tre testi europei ne sono responsabili: il Digital Operational Resilience Act, applicabile da gennaio 2025; la direttiva NIS2, che gli Stati membri dovevano recepire entro ottobre 2024; e l'EU AI Act, in vigore da agosto 2024 e con obblighi che entrano in applicazione progressivamente nel 2026 e nel 2027.

Cosa hanno in comune i tre testi

Regolano cose diverse, resilienza ICT, cybersicurezza e intelligenza artificiale, ma chiedono lo stesso tipo di evidenza: la prova che l'istituzione sa e controlla cosa succede ai suoi dati, ai suoi fornitori terzi e alle sue decisioni automatizzate.

• DORA richiede un registro dei fornitori terzi di servizi ICT, il controllo contrattuale su di essi e la capacità di dimostrare la resilienza operativa sotto test.
• NIS2 estende la governance della sicurezza al livello dirigenziale, con responsabilità personale e obblighi di segnalazione entro termini stringenti.
• L'AI Act richiede classificazione del rischio, documentazione, supervisione umana, logging e trasparenza per i sistemi AI usati nelle decisioni di credito, assicurative e di assunzione.

Letti insieme, significano che ogni processo che tocca dati dei clienti, decisioni creditizie o segnalazioni di vigilanza deve saper rispondere: chi ha fatto cosa, su quali dati, con quale strumento e dov'è la registrazione.

Perché l'elaborazione manuale non supera il test

Un team di analisti che ridigita valori dai PDF in un sistema core non produce alcuna evidenza. Non c'è un log di quale pagina provenga un valore, nessun punteggio di confidenza, nessun modo di provare che la stessa regola sia stata applicata a ogni fascicolo. I controlli a campione trovano gli errori a posteriori; gli audit ricostruiscono le decisioni a memoria. Era accettabile quando la questione regolatoria era il costo. Non lo è quando la questione regolatoria è il controllo.

Il paradosso è che nemmeno gli strumenti AI generici risolvono questo problema. Un copilot che produce una risposta da un prompt in chat è non tracciabile quanto l'analista, con il problema aggiuntivo che i dati potrebbero essere usciti dal perimetro dell'istituzione per arrivarci.

La risposta agentica

Gli agenti che girano su un sistema operativo governato producono evidenze di compliance come sottoprodotto del lavoro stesso.

• Ogni valore estratto porta con sé una fonte: il documento, la pagina e la regione da cui proviene.
• Ogni decisione è registrata con la regola, la versione del modello e la confidenza che l'hanno prodotta.
• Il perimetro di conoscenza è delimitato: un agente risponde solo dai documenti e dalle normative che gli sono stati dati, così la risposta è deterministica e ripetibile.
• La revisione umana è inserita dove sta il rischio, e l'azione del revisore diventa parte della registrazione.
• L'intero stack, modelli inclusi, può girare on-premise o in un cloud privato europeo, così il registro dei fornitori terzi resta corto e i dati non escono mai.

In produzione: un assistente normativo per 20.000 dipendenti

Uno dei più grandi gruppi bancari italiani usa un agente di compliance normativa utilizzato da 20.000 dipendenti. Acquisisce la normativa interna del gruppo e il corpus regolamentare esterno, li modella come ontologia e risponde alle domande in linguaggio naturale con la clausola esatta come evidenza. Produce anche analisi d'impatto delle nuove normative, traccia le modifiche e redige regole interne con una struttura coerente. I compliance officer misurano una risoluzione più rapida delle richieste; gli auditor ottengono gratis la traccia di cui hanno bisogno.

Una checklist per i prossimi dodici mesi

1. Censisci i processi in cui i documenti guidano le decisioni: onboarding, credito, sinistri, garanzie, segnalazioni di vigilanza.
2. Per ciascuno chiediti se potresti ricostruire una qualsiasi decisione dell'ultimo trimestre con fonti e regole. Se no, quel processo è una passività.
3. Preferisci strumenti i cui output sono strutturati, registrati e collegati alle fonti rispetto a strumenti che producono prosa.
4. Mantieni modelli e dati dentro il tuo perimetro dove la normativa lo richiede; fanne un criterio di procurement, non un ripensamento.
5. Metti la revisione umana dove vive il rischio, e registrala.