Articolo 10: governance dei dati per l'IA fintech

Come la governance dei dati dell'articolo 10 dell'EU AI Act si applica all'IA finanziaria — rappresentatività del credit scoring, discriminazione proxy e mutuatari thin-file.

Pubblicato 2 aprile 2026

L'articolo 10 dell'EU AI Act stabilisce requisiti di governance dei dati che affrontano direttamente uno dei rischi di conformità più persistenti della fintech: dati di addestramento distorti nel credit scoring, nella sottoscrizione assicurativa e nel rilevamento delle frodi. Ai sensi dell'Annex III, sezione 5(b), i sistemi di IA che valutano il merito creditizio o stabiliscono punteggi di credito sono classificati come ad alto rischio. I loro dati di addestramento devono essere rappresentativi dei mercati del credito dell'UE, privi di discriminazione indiretta e soggetti a pratiche di governance documentate — requisiti che mettono alla prova le pratiche di dati della maggior parte dei fornitori di IA finanziaria.

Questa pagina spiega come la governance dei dati dell'articolo 10 si applichi specificamente all'IA della fintech — dal credit scoring all'antiriciclaggio — comprese le insidie del deployment di modelli addestrati su dati extra-UE, la discriminazione indiretta tramite caratteristiche geografiche e comportamentali e quali violazioni a livello di codice Scanara rileva nelle pipeline di dati finanziari.

A quali sistemi di IA della fintech si applica l'articolo 10?

IA per il credit scoring e il merito creditizio

Sistemi di IA che valutano il merito creditizio o generano punteggi di credito per persone fisiche. I dati di addestramento devono riflettere i comportamenti dei mercati del credito dell'UE — i modelli addestrati sui dati delle agenzie di credito statunitensi incorporano comportamenti finanziari fondamentalmente diversi (ad es. norme di utilizzo del credito, aspettative sulla durata della storia creditizia) che non si trasferiscono ai contesti dell'UE.

IA per la valutazione dei rischi assicurativi

IA che determina il prezzo delle polizze assicurative o valuta i sinistri. I dati di addestramento non devono incorporare discriminazioni tariffarie storiche. I set di dati che riflettono decenni di valutazione del rischio possono codificare pratiche tariffarie distorte che erano legali al momento della raccolta dei dati ma che violano gli attuali standard antidiscriminazione.

Sistemi di rilevamento delle frodi e AML

IA che rileva transazioni fraudolente o attività sospette. La governance dei dati di addestramento deve affrontare la distorsione delle etichette: le etichette di frode storiche possono sovrarappresentare determinati schemi di transazione associati a gruppi demografici specifici, con conseguenti tassi di falsi positivi sproporzionati.

Decisioni di prestito automatizzate

Sistemi di IA che adottano o raccomandano decisioni di approvazione dei prestiti. Devono affrontare il problema del “fascicolo creditizio scarno”: gli immigrati recenti, i giovani mutuatari e i lavoratori dell'economia informale con una storia creditizia limitata devono essere rappresentati nei dati di addestramento, oppure il modello deve segnalare dati insufficienti anziché generare un punteggio basso.

Principali obblighi di governance dei dati per la fintech

L'articolo 10 richiede che i dati di addestramento siano pertinenti, rappresentativi e completi rispetto alla finalità prevista. Per la fintech, ciò significa che i set di dati di addestramento devono riflettere i comportamenti finanziari e le condizioni del mercato del credito delle popolazioni dell'UE in cui il sistema sarà impiegato — e non essere importati in blocco da altri sistemi finanziari.

Rappresentatività del mercato dell'UE

L'articolo 10(4) richiede che i dati tengano conto del contesto geografico, contestuale e comportamentale specifico del deployment. Un'IA di credit scoring addestrata su dati statunitensi e impiegata nell'UE deve affrontare problemi fondamentali di rappresentatività: sistemi di informazione creditizia diversi (nessun equivalente del FICO nella maggior parte degli Stati dell'UE), prodotti finanziari diversi e contesti normativi diversi che disciplinano il comportamento finanziario.

Discriminazione indiretta tramite dati geografici

L'articolo 10(2)(f) richiede di esaminare i dati alla ricerca di distorsioni che incidono sui diritti fondamentali. Nella fintech, i codici postali e i dati di quartiere fungono spesso da indicatori indiretti dell'origine etnica o dello status socioeconomico. Un punteggio di rischio basato sul codice postale che è correlato alla composizione demografica dei quartieri costituisce discriminazione indiretta sia ai sensi dell'AI Act sia del diritto antidiscriminazione dell'UE.

Copertura delle popolazioni con fascicolo creditizio scarno

I dati di addestramento devono rappresentare adeguatamente i mutuatari con fascicolo creditizio scarno: immigrati recenti senza storia creditizia nell'UE, giovani che entrano nel mercato del credito e lavoratori dell'economia informale senza rapporti bancari tradizionali. L'articolo 10(3) richiede che i dati siano completi rispetto alla finalità prevista — l'esclusione di queste popolazioni crea lacune sistematiche di copertura.

Governance delle fonti di dati alternative

L'IA della fintech utilizza sempre più dati alternativi (attività sui social media, pagamenti di utenze, uso del telefono cellulare). L'articolo 10(2) richiede una governance documentata per tutte le fonti di dati, compresa la loro pertinenza per il merito creditizio, il loro potenziale di distorsione e la loro base di consenso. I dati alternativi possono introdurre nuovi vettori di discriminazione non presenti nei dati creditizi tradizionali.

Sovrapposizioni normative

La governance dei dati dell'IA della fintech si colloca all'intersezione tra la regolamentazione dell'IA, la regolamentazione dei servizi finanziari e il diritto della tutela dei consumatori. La conformità all'articolo 10 deve essere coordinata con le aspettative di vigilanza esistenti delle autorità di regolamentazione finanziaria.

Orientamenti dell'EBA sull'IA nei servizi finanziari (Nov 2025)

L'Autorità bancaria europea ha emanato orientamenti che affrontano specificamente la governance dei dati dell'IA nelle decisioni di credito. Tali orientamenti richiedono agli enti di valutare la rappresentatività dei dati di addestramento, documentare la tracciabilità dei dati e convalidare le prestazioni del modello tra i segmenti di clientela. Le aspettative dell'EBA si allineano all'articolo 10 ma aggiungono dettagli settoriali sulla governance dei modelli e sulla rendicontazione di vigilanza.

CRR/CRD — Standard di dati sui requisiti patrimoniali

Il Regolamento sui requisiti patrimoniali (CRR) e la Direttiva sui requisiti patrimoniali (CRD) impongono requisiti di qualità dei dati ai modelli interni utilizzati per il calcolo del rischio di credito. I modelli di IA utilizzati negli approcci IRB devono soddisfare i requisiti di dati dell'articolo 174 del CRR oltre agli obblighi di governance dell'articolo 10 — creando requisiti di conformità che si sovrappongono senza essere identici.

PSD2/PSD3 — Governance dei dati di pagamento

La Direttiva sui servizi di pagamento disciplina l'accesso ai dati dei conti di pagamento e il loro utilizzo. I sistemi di IA che utilizzano dati di open banking per le decisioni di credito devono rispettare i requisiti di consenso e di limitazione della finalità della PSD2 oltre alla governance dei dati dell'articolo 10. La PSD3 (proposta) rafforza i controlli di accesso ai dati e potrebbe introdurre ulteriori disposizioni specifiche per l'IA.

Direttiva sul credito ai consumatori 2023/2225

La Direttiva rivista sul credito ai consumatori (in vigore Nov 2026) affronta esplicitamente l'IA nelle valutazioni del merito creditizio. L'articolo 18 richiede che i sistemi automatizzati non discriminino sulla base di caratteristiche protette e che i consumatori ricevano spiegazioni significative. Ciò crea un collegamento diretto tra i requisiti dell'articolo 10 sulla distorsione dei dati di addestramento e gli obblighi di tutela dei consumatori.

Violazioni comuni rilevate da Scanara

Caratteristiche geografiche indirette nei modelli di credito

Codice di feature engineering che include codici postali, identificatori di quartiere o dati sull'ubicazione degli immobili nelle caratteristiche di credit scoring senza valutare la correlazione con caratteristiche protette. Scanara rileva le caratteristiche geografiche utilizzate nel processo decisionale creditizio prive di una corrispondente analisi di equità, segnalando una possibile discriminazione indiretta ai sensi dell'articolo 10(2)(f).

Dati di addestramento extra-UE senza adattamento

Pipeline di dati che acquisiscono dati di agenzie di credito da giurisdizioni extra-UE senza una valutazione documentata della trasferibilità geografica. I modelli addestrati su dati di tipo FICO statunitensi e impiegati per decisioni di credito nell'UE violano i requisiti dell'articolo 10(4) di tenere conto del contesto geografico e comportamentale specifico del deployment.

Mancata gestione delle popolazioni con fascicolo creditizio scarno

Pipeline di scoring che generano punteggi di credito per tutti i richiedenti senza verificare la sufficienza dei dati. Quando i dati di addestramento non rappresentano i mutuatari con fascicolo creditizio scarno, il modello dovrebbe segnalare dati insufficienti anziché estrapolare da popolazioni dissimili. Scanara rileva le funzioni di scoring prive di controlli sulla completezza dei dati.

Lista di controllo di conformità all'articolo 10 per la fintech

Art. 10(2)

Documentare le pratiche di governance dei dati

Registrare tutte le fonti di dati (agenzie di credito, dati alternativi, storici delle transazioni), le metodologie di raccolta, le procedure di pulizia dei dati e le decisioni di feature engineering. Includere una valutazione della pertinenza dei dati rispetto alle condizioni del mercato del credito dell'UE.

Art. 10(3)

Convalidare la rappresentatività del mercato dell'UE

Verificare che i dati di addestramento riflettano il profilo demografico e finanziario dei mutuatari dell'UE nei mercati target. Documentare la copertura delle popolazioni con fascicolo creditizio scarno, la diversità geografica tra gli Stati membri e la rappresentazione delle diverse fasce di reddito e tipologie di occupazione.

Art. 10(2)(f)

Valutare il rischio di discriminazione indiretta

Condurre un'analisi di correlazione tra le caratteristiche e gli attributi protetti. Valutare in particolare le caratteristiche geografiche, la tipologia di occupazione e gli indicatori di comportamento digitale alla ricerca di effetti indiretti. Documentare le risultanze e le misure di mitigazione.

Art. 10(4)

Tenere conto del contesto di deployment

Documentare come i dati di addestramento tengano conto dello specifico contesto normativo finanziario, dell'infrastruttura di informazione creditizia e dei comportamenti finanziari dei consumatori di ciascuno Stato membro dell'UE in cui il sistema è impiegato. Il deployment transfrontaliero richiede una governance dei dati multi-mercato.

Art. 10(6)

Utilizzare dati di test indipendenti

Convalidare l'equità del modello su dati di test indipendenti dai dati di addestramento. Utilizzare periodi temporali diversi, mercati geografici diversi o segmenti di clientela diversi. Includere nei risultati dei test metriche di equità disaggregate per attributi protetti.

Domande frequenti

Come aiuta Scanara

Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.