DORA e AI: i fornitori di tecnologia sotto controllo

Una banca regionale con 180 filiali. Roberta, responsabile della funzione rischi, ha passato il 2025 a compilare il registro dei contratti con i fornitori di tecnologia, come chiede DORA, il regolamento europeo sulla resilienza digitale del settore finanziario.

Ora arrivano i servizi di intelligenza artificiale. Il servizio clienti vuole un assistente in chat. L'ufficio crediti vuole un sistema che legga i fascicoli dei mutui. Il marketing ha già un abbonamento a uno strumento che scrive testi.

Roberta si chiede: questi fornitori vanno nel registro? I contratti hanno le clausole giuste? Se il fornitore del modello si ferma, la banca che cosa fa? E se l'assistente dà informazioni sbagliate a mille clienti, è un incidente da segnalare?

Trattiamo ogni servizio di AI come un servizio di tecnologia a tutti gli effetti, e lo facciamo entrare negli stessi controlli degli altri.

1. Registro: ogni servizio entra nel registro dei contratti, con la catena dei subfornitori. Un assistente spesso dipende da un motore di un altro fornitore, ospitato da un terzo: la catena va scritta tutta.
2. Funzioni importanti: valutiamo se il servizio sostiene una funzione essenziale o importante. Se sì, le regole diventano più severe.
3. Clausole minime: il contratto deve dire dove sono trattati i dati, i livelli di servizio, l'obbligo di avvisare in caso di incidenti, i diritti di accesso e di verifica, la collaborazione con le autorità, le condizioni di uscita.
4. Strategia di uscita: per ogni servizio importante, un piano scritto per cambiare fornitore o riportare il lavoro in casa senza interrompere il servizio ai clienti.
5. Incidenti: un errore diffuso dell'assistente, un blocco del fornitore, una fuga di dati entrano nella procedura di gestione degli incidenti informatici, con i criteri per decidere se sono gravi e vanno segnalati.
6. Prove: il servizio entra nel piano delle prove di resilienza della banca.

• Controlliamo ogni contratto contro l'elenco delle clausole minime e segnaliamo quelle mancanti.
• Controlliamo la catena dei subfornitori e i paesi in cui i dati vengono trattati.
• Controlliamo che il piano di uscita sia realistico: tempi, costi, dati da restituire, formato.
• Controlliamo che il sistema possa essere spento per canale senza fermare il resto.
• Decide Roberta, con la direzione, se un servizio sostiene una funzione importante.
• Decide l'organo di amministrazione, che per DORA ha la responsabilità finale del rischio informatico, quali fornitori approvare.

• DORA (Regolamento UE 2022/2554), applicabile dal 17 gennaio 2025: gestione del rischio informatico, registro delle informazioni sui contratti con i fornitori di tecnologia, clausole contrattuali minime, strategia di uscita, segnalazione degli incidenti gravi, prove di resilienza.
• AI Act, la legge europea sull'intelligenza artificiale: la valutazione del merito di credito delle persone è ad alto rischio, con obblighi dal 2 dicembre 2027; l'assistente in chat deve dire di essere un'AI dal 2 agosto 2026.
• GDPR, la legge europea sulla privacy: nomina del fornitore a responsabile del trattamento e controllo dei trasferimenti fuori dall'Unione.
• Il nostro lavoro prepara i documenti; le decisioni e le comunicazioni all'autorità di vigilanza restano vostre.

Registro, clausole e piani di uscita si applicano a ogni fornitore che sostiene un processo ripetitivo della banca, non solo a quelli di AI. Esempi di processi rifatti per intero in cosa possiamo fare.

La guida DORA in pratica spiega il regolamento passo per passo. Per le altre regole di settore leggete la pagina sulle banche e quella sulle assicurazioni.