La FINMA, l'Autorità federale di vigilanza sui mercati finanziari, ha dedicato all'intelligenza artificiale (IA) la comunicazione sulla vigilanza 08/2024, datata 18 dicembre 2024. Il titolo: «Governance e gestione dei rischi nell'impiego dell'intelligenza artificiale». Come ogni comunicazione di questo tipo, si rivolge a un gruppo definito di istituti autorizzati. Non è una nuova norma: secondo la FINMA, le sue comunicazioni sulla vigilanza «non mirano ad alcun effetto giuridico». Nelle fonti consultate, a questi istituti non si applica alcuna legge speciale sull'IA.
Questa pagina tratta una sola domanda: che cosa cambia l'uso dell'IA per un istituto sottoposto alla vigilanza della FINMA. Il quadro generale, valido per tutte le imprese, figura nella nostra pagina sulla regolamentazione dell'IA in Svizzera. Vi si ricorda in particolare che il diritto della protezione dei dati si applica già direttamente all'IA.
La FINMA è un'autorità indipendente con sede a Berna. Secondo la sua presentazione, ripresa da 2clics.com il 22 ottobre 2026, protegge i creditori, gli investitori e gli assicurati. Dispone di tre strumenti: l'autorizzazione, la vigilanza e l'applicazione del diritto.
Cifre chiave
- 18 dicembre 2024: data della comunicazione FINMA sulla vigilanza 08/2024, dedicata all'IA.
- 59 comunicazioni sulla vigilanza elencate dalla FINMA sulla pagina dedicata nell'ottobre 2026.
- 5 settembre 2024: apertura alla firma della Convenzione quadro del Consiglio d'Europa sull'IA, firmata dalla Svizzera.
- Inizio 2027: scadenza di un avamprogetto di regolamentazione dell'IA, secondo il portale PMI della Segreteria di Stato dell'economia (SECO).
- 15 ottobre 2026: pubblicazione da parte del Consiglio per la stabilità finanziaria (FSB) delle sue buone pratiche definitive per l'adozione dell'IA nella finanza.
- Oltre 300 casi d'uso dell'IA avviati da UBS nel 2025, secondo la banca.
- Meno di un'impresa su cinque fa convalidare da una persona tutti i suoi contenuti di IA generativa, secondo lo swissVR Monitor.
Che cosa ha pubblicato la FINMA sull'intelligenza artificiale?
Il testo di riferimento è la comunicazione sulla vigilanza 08/2024. La sua pagina delle comunicazioni sulla vigilanza la data al 18 dicembre 2024, come ultima modifica, e la propone in tedesco, francese, italiano e inglese. Il titolo annuncia due temi: la governance e la gestione dei rischi legate all'uso dell'IA. Questo articolo non ne dettaglia il contenuto, che si legge nel documento stesso.
La comunicazione si inserisce in una serie di testi affini, pubblicati nella stessa forma:
- 03/2024, sugli insegnamenti della vigilanza sui ciber-rischi, datata 7 giugno 2024;
- 05/2025, sulla resilienza operativa delle banche, delle società di intermediazione mobiliare e delle infrastrutture del mercato finanziario, datata 10 novembre 2025;
- 02/2026, sui rischi di frode digitale per le banche, datata 9 aprile 2026;
- 05/2026, sull'informatica quantistica, datata 9 luglio 2026.
Anche il metodo generale dell'autorità è documentato. Per le criptovalute, la FINMA ha riassunto il suo approccio in due formule in un comunicato dell'11 settembre 2019. «Substance over form»: conta solo la funzione economica. «Same risks, same rules»: un rischio comparabile richiede gli stessi requisiti.
Nella prassi descritta per le criptovalute, la tecnologia non cambia quindi la regola. La nostra analisi: nulla nelle fonti consultate indica che la FINMA applicherebbe all'IA un metodo diverso. Uno strumento di IA che consiglia un cliente, valuta un credito o sorveglia transazioni sarebbe allora giudicato in base all'attività che svolge, non alla sua tecnologia.
Aspettativa di vigilanza o norma: quale differenza?
La distinzione dipende dall'autore del testo e dalla sua natura. Una legge è adottata dal Parlamento. La FINMA, dal canto suo, può emanare regolamentazione «a livello inferiore», secondo la sua stessa presentazione. Il Parlamento e il governo non possono impartirle direttive sulla sua attività di vigilanza.
La sua rubrica «Documentazione» distingue diverse famiglie di testi: basi legali, circolari, comunicazioni FINMA sulla vigilanza e prese di posizione. La FINMA definisce essa stessa il ruolo delle comunicazioni. «A differenza delle ordinanze e delle circolari FINMA, le comunicazioni FINMA sulla vigilanza non sono uno strumento di regolamentazione, ma mirano a una migliore applicazione delle prescrizioni.» Esse «riguardano comportamenti e non mirano ad alcun effetto giuridico».
Secondo la stessa pagina, queste comunicazioni si rivolgono a un gruppo di titolari di autorizzazione chiaramente definito. Segnalano sviluppi in corso o rischi attuali, tratti dalle osservazioni della FINMA. L'autorità dice di utilizzarle «con moderazione».
La travel rule del 2019 mostra la portata pratica di un testo simile. La comunicazione 02/2019 applicava alla blockchain le prescrizioni vigenti sul traffico dei pagamenti, secondo il rapporto annuale 2019 della FINMA. Ha tuttavia limitato gli invii di cripto degli istituti sorvegliati ai portafogli dei loro clienti identificati.
La nostra analisi: la comunicazione 08/2024 rientra in questa categoria. Non crea obblighi nuovi, ma indica come la FINMA intende che siano applicate, per l'IA, le prescrizioni esistenti. Una norma vincolante specifica per l'IA passerebbe da una legge, un'ordinanza o una circolare.
Che cosa sorveglia la FINMA quando un istituto utilizza l'IA?
La FINMA mette in evidenza tre principi sulla sua pagina iniziale, validi qualunque sia la tecnologia:
- la protezione dei clienti: «La FINMA protegge le clienti e i clienti del mercato finanziario»;
- il rischio e la resilienza: «identifica i rischi in modo anticipato ed esercita una vigilanza preventiva»;
- la proporzionalità: una vigilanza «basata sui rischi e tecnologicamente neutrale».
I ciber-rischi sono uno dei dossier della FINMA. La nostra analisi: le sue comunicazioni 03/2024 sui ciber-rischi e 05/2025 sulla resilienza operativa possono riguardare anche gli strumenti di IA, che poggiano sui sistemi informatici dell'istituto.
Governance e gestione dei rischi figurano nel titolo della comunicazione 08/2024. La spiegabilità non compare nelle pagine della FINMA consultate per questo articolo. Altri testi forniscono punti di riferimento. La convenzione del Consiglio d'Europa esige così di fornire informazioni sufficienti per contestare una decisione presa mediante un sistema di IA. Obbliga gli Stati, non direttamente le banche.
Quali altre norme si applicano già a una banca che utilizza l'IA?
Diversi testi disciplinano l'uso dell'IA da parte di una banca, con portate molto diverse.
| Testo o attore | Che cosa prevede per l'IA | Portata |
|---|---|---|
| FINMA | Comunicazione sulla vigilanza 08/2024 sulla governance e la gestione dei rischi legate all'IA (18 dicembre 2024) | Aspettativa di vigilanza, senza effetto giuridico perseguito |
| Incaricato federale della protezione dei dati e della trasparenza (IFPDT) | Il diritto della protezione dei dati si applica direttamente all'IA (nota del 24 settembre 2025) | Norma in vigore |
| Ufficio federale della cibersicurezza (UFCS) | Inserire informazioni confidenziali in un'IA può esporle (avvertimento del 16 ottobre 2026) | Raccomandazione |
| Convenzione quadro del Consiglio d'Europa | Trasparenza, responsabilità, affidabilità, vie di ricorso | Firmata dalla Svizzera, obblighi per gli Stati |
| Ufficio federale di giustizia (UFG) | Progetto legislativo di attuazione della convenzione, iscritto nel piano d'azione Svizzera digitale | Progetto |
| Consiglio per la stabilità finanziaria (FSB) | Buone pratiche per l'adozione dell'IA nella finanza (15 ottobre 2026) | Riferimento internazionale, contenuto non consultato |
La convenzione sull'IA del Consiglio d'Europa lascia a ogni Parte la scelta tra due modalità per il settore privato. Secondo il portale PMI della SECO, la Svizzera si è impegnata ad adeguare di conseguenza il proprio diritto. Parallelamente, la Confederazione prepara il proprio uso dell'IA, descritto nella nostra pagina sull'IA nell'Amministrazione federale.
Come utilizzano già l'IA le banche?
Nella più grande banca svizzera l'uso è già ampio. UBS dice di aver avviato oltre 300 casi d'uso dell'IA nel 2025. La banca occupa il sesto posto mondiale dell'Evident AI Index 2026, che valuta anche la trasparenza e l'uso responsabile dell'IA.
L'IA dei clienti pone un'altra questione. Secondo Axios, il 22 ottobre 2026, Morgan Stanley, JPMorgan, Bank of America e Citi bloccano o limitano gli agenti di IA che i loro clienti collegano ai propri conti. Questi agenti si connettono con la password del cliente, senza che la banca possa distinguerli da lui.
Il controllo umano resta disomogeneo. Secondo lo swissVR Monitor, citato dalla rivista PME, numerose imprese dichiarano di avere un quadro di governance per l'IA generativa. Meno di una su cinque fa però convalidare tutti i contenuti da una persona.
Che cosa cambia per un cliente in Svizzera
Per un cliente, il mandato della FINMA mette al primo posto la protezione dei creditori, degli investitori e degli assicurati. Le fonti consultate non menzionano alcuna eccezione per una decisione preparata da un'IA. La nostra analisi: la banca o l'assicurazione resta l'interlocutore del cliente, qualunque sia lo strumento impiegato.
I dati personali affidati a una banca restano protetti dalla legge sulla protezione dei dati, IA compresa. Una denuncia o un'informazione può essere trasmessa alla FINMA tramite la sua rubrica «Comunicare un'informazione o presentare una denuncia». Le questioni relative ai dati sono di competenza dell'IFPDT.
Che cosa non si sa ancora
- Il contenuto dettagliato della comunicazione 08/2024: questo articolo ne riprende solo il titolo e la natura. Il documento si consulta sulla pagina delle comunicazioni della FINMA.
- Se la FINMA prevede di completare questo testo, o di riprenderne una parte in una circolare.
- La portata del progetto legislativo dell'UFG e il suo effetto sugli istituti finanziari.
- La modalità che la Svizzera sceglierebbe per applicare la convenzione al settore privato.
- Il dettaglio delle buone pratiche dell'FSB e il loro eventuale recepimento in Svizzera.
Altri testi sul quadro legale dell'IA sono riuniti nella nostra rubrica.
Fonti
- FINMA, pagina iniziale di finma.ch, consultata nell'ottobre 2026
- FINMA, «Comunicazioni FINMA sulla vigilanza», pagina consultata il 29 ottobre 2026, tra cui la comunicazione 08/2024 del 18 dicembre 2024
- FINMA, presentazione «un'autorità di vigilanza indipendente», ripresa da 2clics.com il 22 ottobre 2026
- FINMA, comunicato dell'11 settembre 2019 sugli stablecoin e rapporto annuale 2019, ripresi da 2clics.com
- Consiglio d'Europa, Convenzione quadro sull'intelligenza artificiale, ripresa da 2clics.com
- Portale PMI della SECO e swissVR Monitor, citati da 2clics.com il 28 ottobre 2026
- Confederazione Svizzera, piano d'azione Svizzera digitale, consultato il 28 ottobre 2026
- IFPDT, nota «IA e protezione dei dati», 24 settembre 2025; UFCS, avvertimento del 16 ottobre 2026
- Fintechnews Switzerland, classifica Evident AI Index 2026, ripresa da 2clics.com
- Axios, 22 ottobre 2026, e Journal du Coin, 24 ottobre 2026, ripresi da 2clics.com
- Journal du Coin, sui lavori del G7 e dell'FSB, ripreso da 2clics.com il 18 ottobre 2026
