La Bce convoca d'urgenza le 111 grandi banche europee per blindare i sistemi informatici contro i nuovi rischi legati all'AI

Cos’è successo

La Banca centrale europea (Bce) ha convocato per martedì 26 maggio le maggiori banche dell'Eurozona per una riunione non ordinaria sui rischi cyber dei nuovi modelli AI. L'autorità, che vigila su circa 111 istituti, vuole accelerare la protezione dei sistemi IT dopo i test su Claude Mythos Preview, il modello di Anthropic con capacità avanzate nella ricerca di vulnerabilità.

Frank Elderson, vicepresidente della vigilanza bancaria della Bce, ha spiegato il problema in termini di tempo: una patch pubblicata da un grande provider può ormai permettere di ricostruire la falla che corregge in forse 30 minuti, non settimane. La Bce vuole quindi che le banche Usa con accesso a Mythos condividano informazioni con le rivali europee rimaste fuori dal programma Project Glasswing, una grande iniziativa di cybersecurity difensiva progettata per blindare le infrastrutture software più critiche del mondo prima che gli hacker possano sfruttarne le falle.

Perché conta

Nelle banche, la velocità riveste grande importanza perché molti sistemi critici dipendono da software di terzi e applicazioni legacy vicine a pagamenti e mercati. Finché la scoperta delle falle seguiva tempi umani, i cicli di patching, cioè di contenimento e riparazione della falla, potevano restare lenti. Modelli come Mythos riducono quel margine.

• Per la vigilanza europea, l'AI entra così nella fase di “resilienza operativa”, in cui gli stessi strumenti che accelerano compliance o customer service possono aiutare un attaccante a collegare debolezze rimaste separate nei processi interni. Il livello di difesa si misura sul tempo che passa tra scoperta e correzione, non sulla presenza di una policy AI in consiglio;
• Le banche europee devono prepararsi a capacità che non hanno potuto testare, mentre alcuni gruppi americani arrivano al tavolo con più esperienza diretta. Il mancato accesso, ha avvertito Elderson, non giustifica l'inerzia. Per l'Europa, però, significa dipendere anche da briefing di Anthropic e scambi informativi con soggetti Usa per misurare un rischio che la riguarda già;
• Con Dora, la cornice Ue sulla resilienza digitale, il richiamo della Bce ha già un binario regolatorio. Il supervisore può chiedere chi aggiorna i sistemi, quanto tempo serve e chi risponde quando una patch attraversa una catena di software e fornitori. Mythos diventa così un modo concreto per stressare processi che molte banche trattavano ancora come manutenzione ordinaria.

Adesso

• Il seguito pratico, per gli istituti di credito, assomiglia più a un cantiere IT che a una strategia AI. Inventari dei sistemi critici, patching più automatico e procedure capaci di saltare qualche giro di comitato diventano materiale da consiglio di amministrazione. Quando il rischio si misura in minuti, una policy generica sull'AI risk vale pochissimo;
• La Commissione sta cercando una via d'accesso indiretta a Mythos, con colloqui per far testare aziende e banche europee sulle vulnerabilità scoperte dal modello. Anche Mistral parla con istituti europei di strumenti propri. Sono mosse utili, ma dicono la stessa cosa con poca diplomazia: l'Europa vuole regolare il rischio AI e scopre di non avere sempre i mezzi per misurarlo in casa;
• Prima che capacità simili finiscano stabilmente in mano ad attori criminali o statali, la difesa deve comportarsi come se il salto fosse già vicino. La Bce sta provando ad accorciare con la vigilanza una distanza tecnologica aperta dal mercato. Difficilmente basterà, ma almeno sposta l'urgenza dove può diventare obbligo.