IVASS ed EIOPA sull'intelligenza artificiale: cosa chiedono e cosa usano già gli intermediari

In breve

• Il 17 luglio 2026 IVASS ha chiesto alle imprese di assicurazione una relazione del consiglio di amministrazione sui rischi cyber legati ai modelli di IA avanzati, entro il 31 dicembre 2026. Gli intermediari non sono destinatari.
• Il 31 luglio EBA, EIOPA ed ESMA hanno chiesto governance e controlli sui rischi ICT dei modelli di IA di frontiera.
• Il 16 settembre il direttore esecutivo di EIOPA, in un contributo alla rivista Eurofi, ha distinto due tipi di chatbot: quello che spiega in generale può restare fuori dalla IDD, quello che aiuta il cliente a scegliere un prodotto può rientrarvi, con registrazione, informativa e regole di comportamento.
• Nei test pubblicati l'IA generalista sbaglia dove serve la consulenza: Franke und Bornberg ha visto ChatGPT consigliare la polizza più debole sulle clausole che contano.

IVASS: relazione sui rischi cyber dell'IA entro il 31 dicembre

Il 17 luglio 2026 IVASS ha pubblicato una comunicazione al mercato su resilienza operativa digitale e modelli avanzati di IA. Il punto di partenza è tecnico. I modelli più recenti abbassano la soglia per trovare vulnerabilità nel software e, nello stesso momento, generano il modo di sfruttarle: il tempo fra scoperta e attacco si accorcia e non servono più competenze specialistiche.

Le richieste sono per le imprese. Il consiglio di amministrazione esamina la comunicazione con il collegio sindacale e manda a IVASS, entro il 31 dicembre 2026, una relazione sull'esposizione al rischio e sull'adeguatezza dei controlli, con un piano di lavoro su azioni, tempi e investimenti. Ogni compagnia indica un punto di responsabilità aziendale, per esempio la funzione di controllo del rischio ICT. Il quadro di riferimento è il regolamento DORA, e una parte del testo è sui fornitori informatici esterni: catene di fornitura su più livelli e concentrate in pochi operatori possono trasformare un problema limitato in uno diffuso.

Per agenzie e broker la comunicazione non crea obblighi diretti.

Le autorità europee sui modelli di frontiera

Il 31 luglio EBA, EIOPA ed ESMA hanno pubblicato una dichiarazione congiunta sui rischi ICT dei modelli di IA di frontiera. Alle entità finanziarie chiedono quadri di governance e gestione del rischio solidi; alle autorità nazionali, una vigilanza coerente fra settori, collegata alla sorveglianza DORA sui fornitori ICT critici. Il 7 luglio le stesse autorità avevano sostenuto l'allarme dell'ESRB sui rischi cyber sistemici legati a questi modelli.

Il direttore esecutivo di EIOPA: quando un chatbot fa distribuzione assicurativa

Questo è il passaggio che riguarda da vicino gli intermediari. In un contributo alla rivista Eurofi, ripubblicato sul sito EIOPA il 16 settembre 2026, il direttore esecutivo dell’autorità Damian Jaworski racconta che all'autorità è stato chiesto se i chatbot che raccolgono dati personali, filtrano prodotti o danno raccomandazioni svolgano attività di distribuzione assicurativa. Se la risposta è sì, chi li usa o li fornisce potrebbe dover rispettare le regole della IDD: registrazione, obblighi informativi, norme di comportamento.

Il contributo parla anche dei dark pattern, le scelte di design che spingono il cliente verso prodotti che pagano di più chi vende, e propone di vigilare sull'intero percorso digitale del cliente oltre che sul prodotto. È un intervento firmato, non una posizione ufficiale di EIOPA né una linea guida. Le regole di riferimento restano la IDD e il parere EIOPA del 6 agosto 2025 su governance e gestione del rischio dell'IA, indirizzato alle autorità di vigilanza nazionali, che chiarisce come IDD e Solvency II si applicano ai sistemi di IA non vietati né ad alto rischio.

Cosa usano davvero broker e agenzie

Gli usi più diffusi sono lavoro d'ufficio: leggere un libretto o una visura e riempire i campi del preventivo, riassumere le condizioni di una polizza, scrivere la prima bozza di un'email. Il quadro europeo va nella stessa direzione. Nel sondaggio EIOPA di febbraio 2026 su 347 imprese di 25 Paesi, quasi due terzi usavano già l'IA generativa, per lo più su strumenti interni, e il rischio più citato erano le allucinazioni, cioè risposte plausibili ma sbagliate.

Verso il cliente il movimento è appena cominciato. Negli Stati Uniti Insurify ha lanciato a febbraio un'app dentro ChatGPT che confronta le tariffe auto, mentre l'acquisto si chiude sul suo sito. È lo scenario che il contributo del direttore esecutivo di EIOPA descrive quando parla di IA come interfaccia fra il cliente e la compagnia.

E quanto vale il consiglio di un'IA generalista? L'agenzia di rating tedesca Franke und Bornberg l'ha misurato su una polizza contenuto dell'abitazione (Hausrat), con un test del 19 marzo 2026 raccontato da Insurzine ad agosto. Il profilo di rischio costruito da ChatGPT era abbastanza plausibile. Il prodotto indicato come migliore, però, era il più debole su due clausole decisive, la colpa grave e la rinuncia alla sottoassicurazione. Il chatbot non considerava nemmeno l'effetto dei sinistri precedenti sul premio.

Per chi fa questo mestiere la conclusione è pratica. L'IA serve a raccogliere i dati e a preparare il confronto; la raccomandazione resta all'intermediario, che ne risponde verso il cliente.

Uso per uso: quali regole guardare

L'articolo spiega fonti pubbliche e non è una consulenza legale. Prima di decidere, leggete i testi originali linkati sotto.