Principi per un uso responsabile

Leggi l’edizione PDF (5 pagine)

I FEAT Principles del 2018

Singapore è stata tra le prime giurisdizioni a emanare principi specificamente dedicati all’uso dell’intelligenza artificiale nella finanza. Il 12 novembre 2018 la MAS ha pubblicato i Principles to Promote Fairness, Ethics, Accountability and Transparency in the Use of Artificial Intelligence and Data Analytics in Singapore’s Financial Sector, noti con l’acronimo FEAT. Un comitato co-presieduto da David Hardoon, allora Chief Data Officer della MAS, e da Hsieh Fu Hua di PrimePartners li ha redatti insieme a istituti finanziari, associazioni di categoria, imprese fintech, fornitori di tecnologia e accademici.¹

I quattordici principi sono concisi. In materia di equità, persone o gruppi non devono essere sistematicamente svantaggiati da decisioni basate sull’IA, a meno che tali decisioni non possano essere giustificate, mentre l’uso di attributi personali come fattori di input deve essere esso stesso giustificato. Dati e modelli vanno riesaminati regolarmente sotto il profilo dell’accuratezza, della pertinenza e delle distorsioni involontarie. In materia di etica, le decisioni basate sull’IA sono soggette ad almeno gli stessi standard etici delle decisioni prese da esseri umani. In materia di responsabilità, l’uso dell’intelligenza artificiale deve essere approvato dall’organo interno competente. Le imprese rispondono sia dei modelli sviluppati internamente sia di quelli acquisiti dall’esterno e sono tenute a sensibilizzare la direzione e il consiglio di amministrazione. Gli interessati dovrebbero disporre di canali per chiedere informazioni, presentare ricorso e chiedere il riesame delle decisioni che li riguardano. In materia di trasparenza, l’uso di tali sistemi va comunicato in modo proattivo, e su richiesta devono essere fornite agli interessati spiegazioni chiare sui dati utilizzati e sulle conseguenze della decisione.²

I principi erano volutamente di alto livello e non vincolanti. Il loro rilievo risiedeva nel metodo: la MAS ha scelto di costruire un vocabolario condiviso con il settore prima di fissare aspettative di vigilanza, in modo che le linee guida successive potessero fondarsi su concetti che gli istituti avevano contribuito a definire.

Veritas: dai principi ai metodi

I principi da soli non dicono a una banca come misurare se un modello di credito sia equo. Il 13 novembre 2019 la MAS ha annunciato Veritas, un’iniziativa con un primo consorzio di diciassette membri volta a sviluppare strumenti open source che consentissero agli istituti finanziari di valutare i propri sistemi alla luce dei FEAT Principles, a cominciare dal marketing verso la clientela, dal risk scoring e dal rilevamento delle frodi.³

Il lavoro si è svolto in tre fasi. La prima, conclusasi il 6 gennaio 2021, ha prodotto metriche di equità per il credit risk scoring e il marketing verso la clientela e ne ha pubblicato il codice. La seconda, conclusasi il 4 febbraio 2022 con ventisette membri, ha sviluppato una metodologia di valutazione completa per equità, etica, responsabilità e trasparenza, insieme alla versione 1 del Veritas Toolkit. La terza fase è cresciuta fino a trentadue membri, con nuovi ingressi tra cui il riassicuratore Munich Re, Visa e il Singapore Exchange. Sette istituti finanziari hanno sperimentato l’integrazione della metodologia nei propri sistemi di governance prima che la fase si concludesse, il 26 giugno 2023, con la versione 2.0 del Toolkit.⁴

Veritas ha reso operativi i FEAT Principles per il machine learning convenzionale. Non ha invece previsto l’IA generativa, i cui output sono testi aperti, il che rende difficile applicare le metriche di equità sviluppate per i punteggi di credito.

Il quadro nazionale e la protezione dei dati

Le regole del settore finanziario si inseriscono in un quadro nazionale. L’Infocomm Media Development Authority e la Personal Data Protection Commission (PDPC) hanno pubblicato un Model AI Governance Framework nel gennaio 2019 e una seconda edizione nel gennaio 2020, seguiti nel 2024 da un quadro per l’IA generativa.⁵ L’IMDA ha poi aggiunto un Model AI Governance Framework for Agentic AI, la cui versione rivista 1.5 è uscita il 20 maggio 2026.⁶ La MAS rinvia gli istituti finanziari al quadro sugli agenti come riferimento pratico per la gestione dei sistemi agentici e multi-agente e intende consultare il settore nel 2027 su ulteriori orientamenti propri.⁷

Il diritto della protezione dei dati si applica a ogni modello addestrato o gestito su dati personali. Il 1º marzo 2024 la PDPC ha emanato le Advisory Guidelines on the Use of Personal Data in AI Recommendation and Decision Systems. Esse chiariscono che un’organizzazione può utilizzare dati personali senza consenso per sviluppare o migliorare un prodotto, o per migliorare l’efficienza operativa, in base all’eccezione per il miglioramento dell’attività (business improvement exception) del Personal Data Protection Act 2012. Un’eccezione distinta per la ricerca copre la ricerca commerciale priva di un piano di sviluppo del prodotto. Per le banche l’effetto pratico è che i dati storici della clientela possono in linea di principio essere utilizzati per addestrare modelli interni, fermo restando il rispetto degli obblighi di consenso e di informativa al momento dell’impiego del sistema e dell’obbligo di accountability in ogni fase.⁸ Restano inoltre applicabili le norme sul segreto bancario del Banking Act, esaminate nella parte E.

Project MindForge

L’arrivo dell’IA generativa ha dato impulso a un secondo progetto di settore. Nella sua prima fase il Project MindForge ha riunito sei banche, l’Association of Banks in Singapore e tre partner tecnologici e di consulenza. Tale fase ha prodotto un quadro di gestione dei rischi per l’IA generativa, un’architettura di riferimento indipendente dalle piattaforme e un white paper sui rischi e le opportunità emergenti per le banche, la cui sintesi è stata pubblicata il 15 novembre 2023.⁹

La seconda fase ha esteso il progetto alle assicurazioni e alla gestione del risparmio e dall’IA generativa all’IA convenzionale e agentica. Vi hanno preso parte trentaquattro partecipanti, tra cui dodici banche, otto compagnie di assicurazione, quattro operatori dei mercati dei capitali, cinque associazioni di categoria e cinque partner tecnologici e di consulenza. Essi hanno prodotto un AI Risk Management Toolkit composto da un manuale per i dirigenti, un manuale operativo e una raccolta di esempi applicativi, concepiti come complemento alle linee guida della MAS.¹⁰ Lo schema è lo stesso di Veritas: settore e autorità elaborano insieme la prassi prima che seguano le aspettative di vigilanza.

Le Guidelines on Artificial Intelligence Risk Management

Il passaggio dalla buona prassi all’aspettativa di vigilanza è avvenuto in due tappe. La MAS ha dapprima esaminato, a metà del 2024, la gestione del rischio dei modelli di intelligenza artificiale di alcune banche selezionate e nel dicembre 2024 ha pubblicato le proprie osservazioni, annunciando di valutare orientamenti di vigilanza per tutti gli istituti finanziari nell’anno successivo.¹¹ Il 13 novembre 2025 ha pubblicato un documento di consultazione sulle Guidelines on Artificial Intelligence Risk Management, con osservazioni da presentare entro il 31 gennaio 2026. Ho Hern Shin, Deputy Managing Director, le ha descritte come «linee guida proporzionate e basate sul rischio» volte a consentire un’innovazione responsabile.¹²

La MAS ha pubblicato la propria risposta il 7 ottobre 2026 insieme alle Guidelines definitive, che entrano in vigore il 7 ottobre 2027.¹³ L’elenco dei partecipanti alla consultazione comprende novantacinque voci nominative o identificate, cui si aggiungono quaranta partecipanti che hanno chiesto la riservatezza della propria identità; tra essi figurano associazioni di categoria, banche, compagnie di assicurazione, imprese tecnologiche e privati.¹⁴ Il testo definitivo conserva l’architettura della consultazione e apporta diversi adeguamenti a favore della proporzionalità.

L’ambito di applicazione è ampio. Le Guidelines si applicano a tutti gli istituti finanziari, ovunque costituiti, e su base di gruppo agli istituti soggetti a vigilanza consolidata o titolari di infrastrutture informatiche critiche. L’intelligenza artificiale è definita come l’insieme dei sistemi o modelli basati su macchine che ricavano output quali stime, previsioni, contenuti, sintesi, raccomandazioni o decisioni attraverso premesse apprese. Sono esclusi gli strumenti i cui output si basano esclusivamente su regole predefinite. Rientrano nella definizione la regressione logistica e il gradient boosting, il deep learning, l’elaborazione del linguaggio naturale, la visione artificiale, l’IA generativa e gli agenti di IA; ne restano fuori le formule d’investimento basate su regole, i sistemi esperti costruiti su regole «se-allora», la tradizionale automazione robotica dei processi e le simulazioni Monte Carlo non derivate da dati di addestramento. È compresa l’IA di terzi, anche quando è incorporata in un servizio non commercializzato come intelligenza artificiale.¹⁵

La proporzionalità opera su due livelli. Un istituto il cui uso è limitato a strumenti di assistenza, per i quali prestazioni insufficienti o l’indisponibilità difficilmente avrebbero un impatto negativo rilevante, può limitarsi ad applicare politiche di governance di base; ne sono esempi la redazione di e-mail, la sintesi di documenti e verbali di riunione e la generazione di grafici a uso interno. Tutti gli altri istituti devono attuare l’intero insieme di aspettative in modo proporzionato al rischio. A livello del singolo caso d’uso, ciascuna applicazione deve essere individuata, registrata in un inventario e valutata quanto alla rilevanza del rischio secondo almeno tre dimensioni: impatto, complessità e grado di affidamento. La MAS ha mantenuto la complessità nonostante le obiezioni e ha ricondotto alle definizioni gli aspetti della spiegabilità e del ricorso a terzi. Il grado di affidamento si concentra ora sull’autonomia concessa al sistema, sul livello di supervisione umana e sulla dipendenza da terzi.¹⁶

I controlli lungo il ciclo di vita riguardano la gestione dei dati, l’equità, la trasparenza e la spiegabilità, la supervisione umana, la scelta dei modelli, la valutazione e il collaudo, la tecnologia e la sicurezza informatica, la riproducibilità e la verificabilità, i riesami prima dell’impiego, il monitoraggio successivo all’impiego e la gestione delle modifiche. Il consiglio di amministrazione approva i quadri fondamentali e la propensione al rischio, mentre l’alta direzione li attua. La MAS ha precisato che il consiglio non deve possedere competenze tecniche operative, ma deve essere in grado di mettere efficacemente in discussione l’operato della direzione. Il calendario è stato esteso dopo che molti partecipanti avevano chiesto da diciotto a ventiquattro mesi: gli istituti devono istituire i propri quadri di supervisione, gli inventari e le valutazioni della rilevanza del rischio entro dodici mesi e completare i controlli sul ciclo di vita e i requisiti di capacità entro ventiquattro mesi. I casi d’uso ad alto rischio dovrebbero ricevere controlli adeguati il prima possibile.¹⁷

Note

1. MAS, “MAS introduces new FEAT Principles to promote responsible use of AI and data analytics”, comunicato stampa, 12 novembre 2018: FEAT Committee co-presieduto dal Dr David Hardoon, MAS Chief Data Officer, e da Mr Hsieh Fu Hua, Co-Founder and Advisor, PrimePartners; contributi di istituti finanziari, associazioni di categoria, imprese FinTech, fornitori di tecnologia e mondo accademico. ↩
2. MAS, Principles to Promote Fairness, Ethics, Accountability and Transparency (FEAT) in the Use of Artificial Intelligence and Data Analytics in Singapore’s Financial Sector (versione aggiornata al 7 febbraio 2019, mas.gov.sg), principi 1–14: approvazione “by the appropriate internal authority”; imprese “accountable for both internally developed and externally sourced AIDA models”; canali per “enquire about, submit appeals for and request reviews of AIDA-driven decisions”; comunicazione proattiva e spiegazioni su richiesta. ↩
3. MAS, “MAS partners financial industry to create framework for responsible use of AI”, comunicato stampa, 13 novembre 2019: consorzio Veritas composto da MAS, SGInnovate, EY e 14 istituti finanziari; casi d’uso iniziali nel marketing verso la clientela, nel risk scoring e nel rilevamento delle frodi. ↩
4. MAS, “Veritas Initiative” (mas.gov.sg, consultato a novembre 2026): fase 1 con 25 membri conclusa il 6 gennaio 2021; fase 2 con 27 membri conclusa il 4 febbraio 2022 con cinque white paper e la versione 1 del Toolkit; fase 3 con 32 membri conclusa il 26 giugno 2023 con la versione 2.0 del Toolkit; sette istituti finanziari (BNY Mellon, DBS, HSBC, OCBC, Singlife, Standard Chartered e UOB) hanno sperimentato l’integrazione nei propri sistemi di governance; tra i nuovi membri della fase 3 figuravano Munich Re, SGX, Singlife, la Singapore FinTech Association e Visa; il Toolkit è open source su GitHub. ↩
5. IMDA e PDPC, Model Artificial Intelligence Governance Framework, prima edizione gennaio 2019, seconda edizione gennaio 2020; Model AI Governance Framework for Generative AI, maggio 2024. ↩
6. IMDA, Model AI Governance Framework for Agentic AI, Version 1.5, pubblicata il 20 maggio 2026, aggiornata il 5 giugno 2026 (imda.gov.sg, consultato a novembre 2026), “What’s new in this version”: recepisce i contributi “from 60+ companies since v1.0”. ↩
7. MAS, “MAS sets out supervisory expectations on responsible AI adoption by financial institutions”, comunicato stampa, 7 ottobre 2026 (mas.gov.sg): consultazione su ulteriori orientamenti in materia di IA agentica prevista per il 2027 – MAS, Response to Feedback, 7 ottobre 2026, par. 12.9: la MAS ha incluso “the national-level Agentic AI Model Governance Framework published by the Infocomm Media Development Authority as a practical reference”; la MAS intende consultare separatamente il settore su ulteriori orientamenti specifici per l’IA agentica. ↩
8. PDPC, Advisory Guidelines on Use of Personal Data in AI Recommendation and Decision Systems, emanate il 1º marzo 2024, parr. 4.2 e 5.1, con rinvii alla Part 5 of the First Schedule e alle Divisions 2 and 3 of Part 2 of the Second Schedule del PDPA – PDPC, Advisory Guidelines, 1º marzo 2024, Part IV, sezioni 9 (“Consent and Notification Obligations”) e 10 (“The Accountability Obligation”). ↩
9. MAS, “Project MindForge” (mas.gov.sg, pagina datata 13 novembre 2025, consultata a novembre 2026): partecipanti alla fase 1 DBS, OCBC, UOB, Standard Chartered, Citi Singapore, HSBC, ABS, Accenture, Google Cloud e Microsoft; risultati: quadro dei rischi dell’IA generativa, architettura di riferimento e il white paper Emerging Risks and Opportunities of Generative AI for Banks; sintesi pubblicata il 15 novembre 2023. ↩
10. MAS, “Project MindForge” (sopra): fase 2 con 34 partecipanti (12 banche, 8 compagnie di assicurazione, 4 operatori dei mercati dei capitali, 5 associazioni di categoria, 5 partner tecnologici e di consulenza); AI Risk Management Toolkit composto da un Executive Handbook, un Operationalisation Handbook e Implementation Examples, da aggiornare in linea con le pertinenti linee guida della MAS. ↩
11. MAS, “Artificial Intelligence Model Risk Management” (mas.gov.sg, pubblicato il 5 dicembre 2024): “MAS conducted a thematic review of banks’ AI (including Generative AI) model risk management practices in mid-2024”; Information Paper, dicembre 2024, par. 8.2: “MAS is also considering supervisory guidance for all FIs next year”. ↩
12. MAS, comunicato stampa sulla consultazione relativa alle Guidelines for Artificial Intelligence Risk Management, 13 novembre 2025 (mas.gov.sg): consultazione fino al 31 gennaio 2026; applicazione a tutti gli istituti finanziari; copertura dell’IA generativa e degli agenti di IA; citazione di Ms Ho Hern Shin, Deputy Managing Director. ↩
13. MAS, Guidelines on Artificial Intelligence Risk Management, 7 ottobre 2026, par. 1.8: le Guidelines “take effect on 7 October 2027”; sezioni 3 e 4 dal 7 ottobre 2027, sezioni 5 e 6 entro il 7 ottobre 2028. ↩
14. MAS, Response to Feedback, 7 ottobre 2026, par. 1.3 (Guidelines definitive accessibili tramite la risposta) e Annex A (95 partecipanti numerati, più 11 e 29 partecipanti che hanno chiesto la riservatezza, rispettivamente, dell’identità e dell’identità e del contributo). ↩
15. MAS, Response to Feedback, 7 ottobre 2026, parr. 2.3 e 2.7 – MAS, Response to Feedback, 7 ottobre 2026, parr. 2.8–2.11, compresa la tabella di esempi illustrativi rientranti ed esclusi dalla definizione di IA. ↩
16. MAS, Response to Feedback, 7 ottobre 2026, parr. 3.6–3.9: criterio rivisto basato sul fatto che prestazioni insufficienti o l’indisponibilità “is unlikely to have a material adverse impact on the FI, its customers or other stakeholders”; esempi di uso assistivo al par. 2.4 delle Guidelines – MAS, Response to Feedback, 7 ottobre 2026, parr. 7.2, 7.5–7.9 e 7.13. ↩
17. MAS, Response to Feedback, 7 ottobre 2026, parr. 4.7, 4.8, 4.10(a) e 10.1 – MAS, Response to Feedback, 7 ottobre 2026, parr. 13.1–13.6: 12 mesi per le sezioni 3 e 4 delle Guidelines e per la governance di base dell’IA; 24 mesi per la piena attuazione, comprese le sezioni 5 e 6; i casi d’uso ad alto rischio non devono attendere la fine del periodo transitorio. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.