Nel credito l'intelligenza artificiale non è una novità: i modelli statistici per la valutazione del rischio esistono da decenni. La novità è che i modelli sono diventati più opachi e che adesso c'è una normativa che chiede di poterli spiegare.
La valutazione dell'affidabilità creditizia delle persone fisiche è espressamente nell'Allegato III dell'AI Act: alto rischio, con obblighi applicabili dal 2 dicembre 2027 dopo il rinvio del Digital Omnibus.
Chi vigila, in Italia
Qui il quadro è più affollato che altrove, e conviene averlo chiaro. Con la legge 132/2025 e i decreti attuativi approvati il 4 agosto 2026, la vigilanza di mercato sull'AI Act spetta ad ACN, ma per i sistemi ad alto rischio impiegati nei servizi bancari, finanziari e assicurativi restano competenti Banca d'Italia, CONSOB e IVASS.
A cui si aggiunge, per il trattamento dei dati, il Garante privacy. Sullo stesso modello di scoring, quindi, possono guardare soggetti diversi da angolazioni diverse.
Cosa chiede l'AI Act, in sostanza
Le stesse cose che chiede per ogni sistema ad alto rischio, applicate a un ambito dove pesano parecchio.
Governance dei dati: i dataset devono essere pertinenti, rappresentativi ed esaminati per i possibili bias. In un modello creditizio è il punto critico: variabili apparentemente neutre — il CAP di residenza, la tipologia di contratto, la storia dei pagamenti di utenze — possono funzionare da proxy di caratteristiche protette.
Documentazione tecnica e log: deve essere possibile ricostruire come si è arrivati a un esito.
Sorveglianza umana: una persona competente deve poter comprendere e, dove serve, ribaltare l'output.
Accuratezza e robustezza: prestazioni dichiarate e monitorate nel tempo, con attenzione alla deriva del modello quando cambiano le condizioni economiche.
Quello che si applica già oggi
Non serve aspettare il 2027 per avere problemi. L'articolo 22 del GDPR disciplina le decisioni interamente automatizzate con effetti giuridici o significativi, e il rifiuto di un finanziamento lo è senza discussione.
Serve base giuridica adeguata, informazione sulla logica del trattamento, e il diritto dell'interessato di ottenere intervento umano, esprimere la propria opinione e contestare la decisione.
Non è un adempimento formale: è la ragione per cui l'istruttoria deve prevedere un punto in cui una persona guarda il caso e può decidere diversamente.
Il nodo della spiegabilità
Il cliente a cui neghi il credito ha diritto di ricevere informazioni comprensibili. "L'algoritmo ha dato punteggio 412" non è una spiegazione: è un numero.
Le banche che si sono attrezzate hanno costruito, accanto al modello, un livello di spiegazione degli esiti: quali fattori hanno pesato di più su quel singolo caso, in linguaggio comprensibile. È lavoro tecnico serio, e non lo si improvvisa nel 2027.
C'è anche un effetto collaterale positivo: un modello di cui sai spiegare gli esiti è un modello che controlli. E quando cambia il ciclo economico, sapere perché il tasso di rifiuto è salito vale più di qualsiasi dashboard.
Il pezzo penale, dal 2026
Va aggiunto un elemento nuovo: il decreto attuativo approvato il 4 agosto 2026 ha introdotto l'articolo 437-bis del codice penale, che punisce l'omessa adozione di misure di sicurezza relative ai sistemi di IA ad alto rischio e la loro alterazione illecita.
Per una struttura che tratta scoring, significa che le misure di sicurezza sul modello e sui dati non sono più solo una voce di compliance, ma un obbligo la cui omissione ha rilievo penale in capo a persone individuate.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Un modello che decide sul credito delle persone deve poter essere spiegato a quelle persone. Tutto il resto della conformità discende da lì.
Domande frequenti
Lo scoring creditizio è vietato?
No. È classificato ad alto rischio, con obblighi applicabili dal 2 dicembre 2027. Vietato è invece il punteggio sociale generalizzato dell'articolo 5, che è cosa diversa.
Serve sempre l'intervento umano?
Per le decisioni interamente automatizzate con effetti significativi, il GDPR riconosce all'interessato il diritto di ottenere l'intervento umano, esprimere la propria opinione e contestare la decisione.
Chi vigila sulle banche per l'AI Act?
La vigilanza di mercato generale è di ACN, ma per i sistemi ad alto rischio nei servizi bancari, finanziari e assicurativi restano competenti Banca d'Italia, CONSOB e IVASS secondo le rispettive attribuzioni.