Articolo 17: gestione della qualità per l'IA fintech

Come la gestione della qualità dell'articolo 17 del Regolamento UE sull'IA si applica all'IA fintech — mappatura del rischio di modello SR 11-7 sul SGQ e orientamenti ABE.

Pubblicato 2 aprile 2026

L'articolo 17 del Regolamento UE sull'IA impone ai fornitori di sistemi di IA ad alto rischio di istituire e mantenere un sistema di gestione della qualità (SGQ). Per il fintech e il settore bancario, la maggior parte delle organizzazioni gestisce già quadri di gestione del rischio di modello (MRM) nell'ambito di aspettative di vigilanza come SR 11-7: la sfida consiste nel mappare la governance MRM esistente sui requisiti dell'articolo 17 senza creare controlli duplicati. Ai sensi dell'Allegato III, sezione 5, lettera b), i sistemi di IA utilizzati per la valutazione del merito creditizio e il credit scoring sono classificati come ad alto rischio.

Gli orientamenti dell'ABE sul Regolamento sull'IA mappano esplicitamente i requisiti di SGQ del Regolamento sull'IA sugli obblighi bancari esistenti dell'UE. Questa pagina spiega come l'articolo 17 si allinea ai quadri esistenti di gestione del rischio di modello, quali ulteriori processi di SGQ specifici per l'IA le istituzioni finanziarie devono attuare e quali lacune nei processi di SGQ a livello di codice Scanara rileva nei sistemi di IA del fintech.

Componenti del SGQ richiesti per l'IA del fintech

Quadro di governance dei modelli di IA

Un quadro di governance documentato che specifichi chi può approvare nuovi modelli di IA per la produzione, quale convalida è richiesta prima dell'approvazione, come sono governate le modifiche ai modelli e quali percorsi di escalation esistono per i problemi di prestazione dei modelli. Ciò mappa ed estende i processi esistenti di approvazione dei modelli MRM con requisiti di convalida specifici per l'IA.

Mappatura tra SR 11-7 e l'articolo 17

SR 11-7 (gestione del rischio di modello) e l'articolo 17 si sovrappongono sostanzialmente nelle aree della convalida dei modelli, del monitoraggio continuo e della documentazione. Documentare la mappatura esplicita tra i requisiti di SR 11-7 e gli obblighi dell'articolo 17 per individuare le lacune ed evitare duplicazioni: questo stesso documento di mappatura diventa parte del SGQ.

Governance delle modifiche ai modelli

Procedure per valutare, approvare e distribuire le modifiche ai modelli di IA in produzione. Ogni modifica deve essere classificata per rilevanza (ricalibrazione minore vs. riaddestramento fondamentale), con requisiti proporzionati di convalida e approvazione. Le modifiche rilevanti ai modelli richiedono una riconvalida completa che includa test di equità e accuratezza.

Convalida indipendente dei modelli

L'articolo 17 richiede procedure di test e convalida. Nei servizi finanziari, ciò si allinea al principio della seconda linea di difesa: la convalida dei modelli deve essere eseguita da un team indipendente dallo sviluppo dei modelli. Documentare la separazione organizzativa, la metodologia di convalida e le procedure di escalation quando la convalida individua carenze.

Monitoraggio & reporting post-distribuzione

Monitoraggio continuo dei modelli di credit scoring e di valutazione del rischio distribuiti rispetto a soglie di prestazione, inclusi il degrado dell'accuratezza, la stabilità della popolazione e le metriche di equità. I risultati del monitoraggio devono confluire nel reporting periodico della direzione e attivare azioni correttive quando le soglie vengono superate.

Obblighi chiave del SGQ per il fintech

Le istituzioni finanziarie beneficiano di strutture di governance esistenti che si sovrappongono in modo significativo all'articolo 17. La sfida principale è estendere i quadri MRM per coprire gli elementi del ciclo di vita specifici per l'IA, garantendo al contempo che il SGQ soddisfi sia le aspettative di vigilanza bancaria sia i requisiti del Regolamento sull'IA.

Integrazione delle tre linee di difesa

Mappare i ruoli del SGQ dell'articolo 17 sul modello delle tre linee di difesa: la prima linea (sviluppatori dei modelli) è responsabile del controllo della progettazione e dei test, la seconda linea (gestione del rischio/conformità) è responsabile della convalida indipendente e del monitoraggio continuo, la terza linea (audit interno) è responsabile dell'audit del SGQ. Documentare questa mappatura nell'ambito delle procedure di gestione delle risorse del SGQ.

Inventario dei modelli & documentazione

Mantenere un inventario completo di tutti i modelli di IA in produzione, con documentazione che copra lo scopo del modello, i dati di addestramento, il feature engineering, i risultati di convalida, i limiti noti e la cronologia di distribuzione. L'articolo 17 richiede di conservare questa documentazione per 10 anni: allinearsi ai requisiti esistenti dell'inventario dei modelli.

Azione correttiva & rimedio dei modelli

Quando i modelli hanno prestazioni insufficienti o producono esiti iniqui, il SGQ deve attivare azioni correttive formali: analisi della causa radice, rimedio del modello (riaddestramento, ricalibrazione, dismissione) e verifica dell'efficacia. Ciò estende i processi esistenti di rimedio MRM con tipi di azioni correttive specifici per l'IA.

Riesame della direzione & reporting

L'articolo 17 richiede registrazioni dei riesami della direzione e delle risultanze. Per le istituzioni finanziarie, ciò corrisponde ai comitati per il rischio di modello esistenti e al reporting al consiglio sul rischio di modello. Estendere questi riesami per coprire lo stato di conformità al Regolamento sull'IA, l'efficacia del SGQ e le risultanze di audit specifiche per i sistemi di IA.

Sovrapposizioni normative

I servizi finanziari dispongono del quadro normativo esistente più esteso per la governance dei modelli. I requisiti dell'articolo 17 si sovrappongono sostanzialmente alle aspettative di vigilanza bancaria, creando opportunità di integrare anziché duplicare gli sforzi di conformità.

SR 11-7 — Gestione del rischio di modello

SR 11-7 richiede convalida dei modelli, monitoraggio continuo, governance e documentazione, sovrapponendosi ai requisiti dell'articolo 17 in materia di controllo della progettazione, test, monitoraggio post-commercializzazione e documentazione. La lacuna principale è che SR 11-7 non copre esplicitamente elementi specifici per l'IA come la governance dei dati di addestramento, la documentazione del feature engineering o i test di distorsione come processo del SGQ.

Orientamenti dell'ABE sul Regolamento sull'IA

L'Autorità bancaria europea ha pubblicato orientamenti che mappano esplicitamente i requisiti del Regolamento sull'IA sugli obblighi esistenti di SGQ bancario dell'UE. Questi orientamenti confermano che i quadri MRM esistenti possono fungere da base per la conformità all'articolo 17, con estensioni mirate per i processi specifici per l'IA.

DORA — Resilienza operativa digitale

DORA richiede la gestione del rischio ICT, la segnalazione degli incidenti e la gestione del rischio di terzi. I requisiti di SGQ dell'articolo 17 in materia di procedure di cibersicurezza, segnalazione degli incidenti e gestione dei fornitori si sovrappongono agli obblighi di DORA. Integrare la resilienza operativa dei sistemi di IA nel quadro DORA anziché creare un processo parallelo.

Aspettative di vigilanza della BCE sull'MRM

Le aspettative di vigilanza della BCE richiedono una governance robusta dei modelli, convalida e monitoraggio continuo per gli enti significativi. Queste aspettative si allineano strettamente all'articolo 17 e forniscono ulteriore specificità sulle strutture dei comitati per il rischio di modello, sulla frequenza di reporting e sulle procedure di escalation che rafforzano il SGQ del Regolamento sull'IA.

Violazioni comuni rilevate da Scanara

Nessun versionamento del modello o flusso di approvazione

Pipeline di distribuzione che portano in produzione aggiornamenti dei modelli di credit scoring senza un flusso di approvazione documentato. Scanara segnala le configurazioni CI/CD in cui gli artefatti dei modelli aggirano i gate di governance, sono privi di etichettatura di versione o vengono distribuiti senza approvazione di convalida documentata da parte di una funzione di revisione indipendente.

Modifiche al modello senza valutazione dell'impatto della modifica

Riaddestramento o ricalibrazione del modello distribuito senza una valutazione della rilevanza documentata e una riconvalida proporzionata. Scanara rileva le pipeline di aggiornamento dei modelli in cui le modifiche vengono distribuite senza classificazione dell'impatto, senza rieseguire i test di convalida o senza registri di approvazione proporzionati alla rilevanza della modifica.

Nessuna procedura di convalida del modello documentata

Modelli di IA distribuiti senza una procedura di convalida documentata che specifichi i criteri di accettazione, i set di dati di convalida, le soglie di prestazione e i requisiti di indipendenza. Scanara identifica le configurazioni di distribuzione prive di gate di convalida o in cui la convalida è eseguita dallo stesso team che ha sviluppato il modello.

Monitoraggio post-commercializzazione non collegato alle azioni correttive

Sistemi di monitoraggio che tracciano le metriche di prestazione dei modelli ma privi di escalation automatizzata quando le soglie vengono superate. Scanara segnala le configurazioni di monitoraggio in cui il degrado delle prestazioni, i fallimenti della stabilità della popolazione o i superamenti delle metriche di equità non attivano flussi di azioni correttive documentati.

Lista di controllo di conformità all'articolo 17 per il fintech

Art. 17(1)(a)

Strategia di conformità normativa

Documentare una strategia che mappi i requisiti dell'articolo 17 sui quadri MRM esistenti. Individuare le lacune tra la conformità a SR 11-7 e gli obblighi del Regolamento sull'IA e definire piani di rimedio per ciascuna lacuna.

Art. 17(1)(b)

Controllo della progettazione & verifica

Estendere gli standard esistenti di sviluppo dei modelli per coprire gli elementi di progettazione specifici per l'IA: documentazione del feature engineering, governance dei dati di addestramento e motivazione della selezione degli iperparametri.

Art. 17(1)(c)

Procedure di test & convalida

Assicurarsi che la convalida indipendente dei modelli copra i rischi specifici per l'IA: distorsione dei dati di addestramento, stabilità delle caratteristiche, spostamento distribuzionale ed equità tra i gruppi protetti. Documentare i criteri di accettazione.

Art. 17(1)(f)

Monitoraggio post-commercializzazione & segnalazione degli incidenti

Integrare il monitoraggio delle prestazioni dell'IA con il monitoraggio continuo MRM esistente. Definire metriche di monitoraggio specifiche per l'IA (stabilità della popolazione, drift delle caratteristiche, metriche di equità) e soglie di segnalazione degli incidenti.

Art. 17(1)(i)

Programma di audit interno

Includere criteri di audit specifici per l'IA nel programma di audit della terza linea di difesa. Gli auditor devono valutare la governance dei modelli di IA, la conformità della gestione dei dati e l'efficacia del SGQ, insieme agli elementi tradizionali dell'audit del rischio di modello.

Domande frequenti

Come aiuta Scanara

Scanara automatizza la conformità al Regolamento sull'IA dal codice al dossier. Connetti i tuoi repo GitHub e ottieni report di conformità in pochi minuti.