Per una banca, riconoscere in anticipo un deterioramento del debitore o un’anomalia operativa può cambiare il costo di una perdita. L’intelligenza artificiale promette di farlo analizzando più segnali e aggiornandoli più spesso: il passaggio decisivo, però, è trasformare strumenti isolati in una funzione rischio capace di intervenire prima e di spiegare le proprie decisioni.
Nell’analisi The AI-enabled risk function of the future, pubblicata il 4 novembre 2026, McKinsey descrive un modello in cui l’AI prepara analisi e verifiche per gli specialisti, che possono così seguire le esposizioni con maggiore frequenza. Gli autori prospettano efficienze del 30-60% in alcuni flussi selezionati, al netto di validazione e supervisione umana: sono stime basate su analisi McKinsey e progetti con clienti, non una media osservata sull’intero settore.
Distribuzione tipica degli FTE della seconda linea di difesa (rischio e compliance) per servizio nelle grandi banche internazionali o globali. Percentuali come pubblicate, arrotondate; il totale può differire da 100%. Fonte: McKinsey, The AI-enabled risk function of the future, 4 novembre 2026.
La distribuzione delle risorse aiuta a leggere la posta in gioco: il credito assorbe la quota più ampia, seguito da compliance antiriciclaggio e rischio operativo. Sono anche ambiti in cui si accumulano dossier, controlli documentali e segnali da collegare. La priorità è spostare tempo dalle verifiche ripetitive all’analisi delle esposizioni e delle eccezioni, senza confondere una stima di produttività con un taglio automatico degli organici.
Indice degli argomenti:
Dal controllo periodico ai segnali continui
Oggi molti controlli si basano su revisioni periodiche e su informazioni distribuite tra sistemi, documenti e unità aziendali. Un flusso supportato dall’AI può confrontare dati finanziari, covenant, notizie settoriali, politiche interne e incidenti operativi, segnalando variazioni che meritano un esame. Il vantaggio nasce dalla tempestività: la banca può rivalutare un’esposizione prima che una violazione contrattuale o una perdita renda evidente il deterioramento.
McKinsey individua cinque cambiamenti: gestione più predittiva, monitoraggio dinamico, processi più rapidi, controlli incorporati nei flussi operativi e piattaforme analitiche riutilizzabili. In pratica, il responsabile del credito riceve un fascicolo già organizzato; il team operativo vede controlli e incidenti collegati; il risk manager può confrontare l’impatto di uno scenario su credito, mercato e liquidità. Gli specialisti conservano il giudizio sui casi complessi, sulle deroghe alle policy e sulle decisioni con conseguenze rilevanti.
I casi d’uso: credito, modelli, compliance
Nel credito all’ingrosso, gli agenti preparano il fascicolo: recuperano dati, analizzano bilanci, verificano policy, compilano documenti e gestiscono eccezioni. McKinsey riferisce, dai primi progetti, miglioramenti di produttività del 30-50% lungo il ciclo del credito e una qualità degli output vicina al 95%. Sono risultati iniziali su implementazioni selezionate: l’articolo non presenta un campione rappresentativo di tutte le banche, e gli addetti continuano a controllare i casi complessi e ad approvare le decisioni finali.
La stessa logica si applica ai modelli quantitativi. L’AI può tradurre requisiti in test, preparare dati, generare o aggiornare codice e assemblare la documentazione di validazione. McKinsey segnala incrementi di produttività del 20-40% in attività selezionate di sviluppo dei modelli e riduzioni del 30-50% nei tempi di validazione. Il tempo liberato può ampliare i controlli: i team quantitativi possono concentrarsi su ipotesi statistiche, limiti del modello e adeguatezza al problema aziendale.
In compliance antiriciclaggio, gli agenti collegano fonti diverse — registri societari, dati dei clienti e transazioni — per preparare verifiche KYC, screening delle sanzioni e analisi degli alert. Il professionista resta responsabile di valutare relazioni complesse e di decidere se un caso richiede escalation. Nei rischi non finanziari, invece, i sistemi collegano policy, incidenti, audit e indicatori operativi per identificare controlli deboli o aggiornamenti normativi che richiedono una revisione.
Dove l’AI può intervenire nella funzione rischio
| Area | Attività supportate dall’AI | Responsabilità che resta alle persone |
|---|---|---|
| Credito | Analisi documentale, controlli di policy, monitoraggio di covenant e segnali di allerta | Deroghe, casi complessi e approvazione finale |
| Modelli | Preparazione dati, test, codice, benchmarking e documentazione | Ipotesi, solidità metodologica e validazione indipendente |
| Compliance | Screening, analisi relazionale e preparazione dei fascicoli | Valutazione dei casi dubbi e decisioni di escalation |
| Rischio operativo | Collegamento tra controlli, policy, incidenti e audit | Priorità di mitigazione e accettazione del rischio |
| Rischio aziendale | Scenari integrati su portafogli, capitale, funding e liquidità | Scelte di portafoglio e indirizzi del management |
Fonte: McKinsey, The AI-enabled risk function of the future, 4 novembre 2026. Sintesi dei casi d’uso descritti nel report.
Questi casi mostrano perché il valore dipende anche dai dati: se bilanci, posizioni di rischio e informazioni di mercato restano separati, l’automazione accelera singole attività ma non produce una vista integrata. Se dati di bilancio, posizioni di rischio e informazioni di mercato restano separati, l’automazione accelera singole attività ma non produce una vista integrata. McKinsey cita piattaforme che combinano recupero delle informazioni, analisi quantitativa, controlli di qualità e reporting; una base dati affidabile e verifiche tracciabili sono i prerequisiti per usarle nelle decisioni.
Efficienza sì, ma con una trasformazione dei ruoli
Le stime più ampie del report parlano di efficienze strutturali del 30-60% in alcuni flussi di rischio e di una possibile eliminazione del 60-70% delle attività operative manuali, a seconda del processo e del livello di automazione. McKinsey propone di reinvestire parte della capacità liberata in analisi, consulenza strategica e indirizzo dei portafogli, destinandone una parte a competenze di AI, ingegneria e governance dei dati. Non è una previsione occupazionale: misura una possibilità di ridisegno del lavoro, che le banche possono tradurre in riduzioni, riallocazioni o maggiore copertura dei rischi.
Questa distinzione conta perché le funzioni rischio hanno già cambiato composizione senza ridurre necessariamente il personale complessivo. Nel benchmark biennale pubblicato a febbraio 2026, McKinsey ha raccolto dati da oltre 40 banche globali e regionali, con un attivo medio di 1.100 miliardi di dollari e 15 istituti di rilevanza sistemica globale. Tra il 2020 e il 2023, gli addetti al rischio di credito sono diminuiti in media del 7% l’anno, mentre quelli nel rischio operativo sono aumentati dell’11%. La pressione si sposta tra competenze, seguendo nuove priorità e una maggiore automazione.
Per sostenere lo spostamento, servono persone capaci di contestare gli output. McKinsey suggerisce competenze AI distribuite nei team rischio, specialisti tecnici integrati nelle funzioni e standard condivisi per accuratezza, ripetibilità e tracciabilità. McKinsey suggerisce competenze AI distribuite nei team rischio, specialisti tecnici integrati nelle funzioni e standard condivisi per accuratezza, ripetibilità e tracciabilità. Anche l’architettura pesa: soluzioni isolate possono duplicare dati e controlli, aumentare i costi e rendere più difficile ricostruire chi ha autorizzato una decisione.
Il vincolo europeo: governare anche il rischio dell’AI
L’AI può migliorare il presidio dei rischi e, nello stesso tempo, introdurre nuove dipendenze. L’Autorità bancaria europea segnala l’uso di sistemi AI per frodi, antiriciclaggio, processi interni e valutazioni del merito creditizio; richiama anche rischi di dati, bias e sicurezza, dipendenza da fornitori e incertezza normativa. Per le banche, quindi, il sistema che valuta i rischi deve essere sottoposto a controlli propri, dalla scelta dei dati alla gestione degli incidenti.
La Banca centrale europea ha incluso strategie digitali e AI, governance e gestione del rischio tra le priorità di vigilanza 2026-2028. A livello operativo, il regolamento DORA impone alle entità finanziarie di gestire il rischio ICT e i fornitori terzi; la vigilanza europea richiede inoltre attenzione alle implicazioni dell’AI Act. La supervisione non è un’aggiunta da inserire a valle: autorizzazioni, registri delle attività, test e possibilità di intervento umano devono entrare nella progettazione del flusso.
Il confine cambia quando un agente agisce, oltre a elaborare un’analisi: se può modificare limiti, inviare comunicazioni o aggiornare un sistema centrale, aumentano l’impatto di un errore e le responsabilità da chiarire. Un sistema può preparare una proposta di credito o classificare un alert; se può anche modificare limiti, inviare comunicazioni o aggiornare un sistema centrale, aumentano l’impatto di un errore e le responsabilità da chiarire. Le banche dovranno definire soglie di autonomia, controlli di qualità e procedure di escalation in base alle conseguenze di ciascun compito, mantenendo la decisione umana dove l’esposizione o la complessità lo richiedono.
Dal progetto pilota alla capacità condivisa
Un altro rischio è fermarsi a una collezione di dimostratori. Un pilota può mostrare che un modello riassume documenti, ma non dimostra che il processo completo sia più rapido, più accurato o meglio controllato. McKinsey invita i chief risk officer a fissare obiettivi misurabili sull’intero flusso: tempi, qualità delle decisioni, efficacia dei controlli e capacità effettivamente riallocata. Il risultato si misura nel processo, non nel numero di agenti o prototipi messi in produzione.
Il modello operativo proposto combina tre livelli di responsabilità: una funzione rischio trasversale, team specialistici per credito, mercato, rischio operativo e compliance, e un centro di competenza AI che gestisce componenti riutilizzabili e standard tecnici. Questa ripartizione cerca di evitare due estremi: una tecnologia centralizzata lontana dalle decisioni di rischio e team autonomi che duplicano piattaforme o regole. I domini restano responsabili delle proprie decisioni, mentre dati, strumenti e criteri di controllo possono essere condivisi.
Per i vertici bancari, la scelta è dove reinvestire il tempo recuperato e quali decisioni mantenere sotto responsabilità diretta. Le stime di produttività rendono plausibile una trasformazione profonda; il vantaggio competitivo dipenderà dalla capacità di vedere prima le esposizioni, fare verifiche migliori e intervenire con una responsabilità chiara. Riguarda quali attività liberare, dove reinvestire competenze e quali decisioni lasciare sotto responsabilità diretta. Le stime di produttività rendono plausibile una trasformazione profonda; il vantaggio competitivo dipenderà dalla capacità di usare il tempo recuperato per vedere prima le esposizioni, fare verifiche migliori e intervenire con una responsabilità chiara.
Partecipa alla community