L’art. 5, par. 1, lett. d, dell’AI Act vieta i sistemi di IA che prevedono il rischio che una persona fisica commetta un reato basandosi unicamente sulla profilazione della persona o sulla valutazione dei suoi tratti e delle sue caratteristiche di personalità. Il testo non individua alcuna autorità come destinataria. Nelle sue linee guida sulle pratiche vietate del 29 luglio 2025 la Commissione ne trae una conclusione che nella prassi consulenziale passa spesso inosservata: una banca soggetta agli obblighi antiriciclaggio rientra nell’ambito di applicazione del divieto (punto 209). Il suo scoring AML ne esce solo grazie all’eccezione contenuta nell’ultimo inciso, e questa eccezione va sostenuta dalla documentazione del modello, non dal modello in sé.

Non è un tema rinviabile al 2027. Il divieto è in vigore dal 2 febbraio 2025 (art. 113, lett. a) ed è sanzionabile dal 2 agosto 2025, con multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo (art. 99, par. 3). Il Digital Omnibus non ha toccato la lettera d, come abbiamo rilevato il 26 luglio. Nemmeno il rinvio degli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 offre una via d’uscita: l’allegato III punto 5, lett. b, comprende la valutazione del merito creditizio ma esclude espressamente i sistemi di rilevamento delle frodi finanziarie, mentre il punto 6, lett. d, si applica solo alle autorità di contrasto. Un modello di puro monitoraggio non compare quindi nell’elenco ad alto rischio e va valutato unicamente alla luce dell’art. 5.

Le linee guida tracciano il confine due volte, e non passa per la tecnologia impiegata. I punti 210 e 211 escludono la profilazione privata svolta nell’ordinaria attività d’impresa, quando essa tutela interessi finanziari propri e il collegamento con un reato emerge solo in modo occasionale e successivo. È il caso del modello antifrode: uso fraudolento della carta, appropriazione del conto, storni. Nel punto 209 la situazione è diversa, perché lì è la legge stessa a obbligare la banca a prevedere la commissione di un reato. Due modelli che leggono gli stessi dati di transazione, e che spesso condividono la stessa libreria di variabili, finiscono così su lati opposti di un divieto — quale dei due sia da un lato o dall’altro lo decide la finalità documentata.

La rassicurazione diffusa nella prassi si fonda sul considerando 42. Questo esclude le analisi del rischio che non si basano sulla profilazione di persone e cita come esempio la valutazione, condotta da un’impresa, della probabilità di frode finanziaria sulla base di transazioni sospette. La parola chiave è «impresa». Il punto 215 conferma l’eccezione per le persone giuridiche, mentre il punto 216 vi fa rientrare nuovamente i titolari di ditte individuali e i liberi professionisti. Uno score calcolato su una controparte retail è la previsione riferita a una persona fisica, e il considerando non la copre.

Ciò che l’eccezione richiede è indicato ai punti 202 e 206. Il sistema di IA deve supportare la valutazione umana, non sostituirla, e questa valutazione deve già fondarsi su fatti oggettivi, verificabili e direttamente collegati a un’attività criminale. Le linee guida richiedono fatti preesistenti — «pre-established» nel testo inglese: devono sussistere prima dello score. Un modello il cui alert costituisce esso stesso l’unico fatto non riesce a tirarsi fuori dal divieto da solo. Nell’esempio fiscale contenuto nello stesso punto, la Commissione scarta «opaque variables, especially inferred information that is predictive and therefore non-objective and hard to verify».

Il Future of Privacy Forum legge nella parola «esclusivamente» una scappatoia. Il punto 202 la richiude a metà, perché gli ulteriori elementi devono comunque essere «real, substantial and meaningful». La disposizione colpisce così proprio le variabili da cui i modelli di monitoraggio traggono il loro potere discriminante: lo scostamento dal gruppo di riferimento, il segmento comportamentale, il valore di rete derivato dai rapporti con le controparti. Sono oggettivi e verificabili l’esito positivo su una lista sanzionatoria, la qualifica di persona politicamente esposta risultante da un registro, il paese di sede della controparte, l’importo, una precedente segnalazione di operazione sospetta. Può invocare l’eccezione solo chi dimostra che è il secondo gruppo a sostenere l’alert, mentre il primo si limita ad affinarlo.

Il punto 209 pone due condizioni: unicamente i dati indicati dal diritto antiriciclaggio dell’Unione, e una verifica umana della previsione. Per questo le linee guida rinviano all’art. 20 del regolamento (UE) 2024/1624, applicabile solo dal 10 luglio 2027. Fino ad allora questi dati sono designati dal diritto nazionale di recepimento della direttiva antiriciclaggio; la vostra controllata UE è oggi valutata secondo questo parametro, non secondo quello unificato futuro. L’art. 20, par. 4, del regolamento richiederà comunque, in seguito, di dimostrare all’autorità di vigilanza l’adeguatezza delle misure adottate. È la stessa documentazione a sostenere entrambi gli obblighi.

Chi è colpito da questa regola risulta dall’art. 2, par. 1. Una banca svizzera priva di una sede nell’UE, i cui output non vengono utilizzati nell’Unione, ne resta fuori. Vi rientra invece il modello di gruppo sviluppato a Zurigo e messo a disposizione della controllata di Francoforte o del Lussemburgo: la controllata è deployer nell’Unione, la capogruppo è fornitore. La relativa documentazione del modello è di regola redatta con riferimento all’art. 6 GwG e agli art. 13, 14 e 20 della GwV-FINMA. La normativa svizzera non costituisce diritto antiriciclaggio dell’Unione ai sensi del punto 209, e manca quindi il collegamento delle variabili con lo strumento UE rilevante.

La seconda condizione è la più delicata. Il punto 205 richiama a tale proposito la sentenza Ligue des droits humains (C-817/19): la verifica umana di un riscontro deve fondarsi su criteri oggettivi e garantire la non discriminazione del raffronto automatizzato. Un doppio clic di conferma su duemila alert al giorno non basta. L’art. 20 cpv. 3 GwV-FINMA impone già oggi di valutare entro un termine ragionevole le transazioni individuate dal sistema di monitoraggio. Chi documenta questa valutazione produce esattamente la prova richiesta dall’eccezione dell’AI Act.

Il passo da compiere lunedì è costruire una tabella a tre colonne, una riga per ciascun modello. Prima colonna: la finalità dichiarata, nella formulazione con cui compare nell’approvazione del modello. Seconda colonna: le variabili, distinte tra fatti preesistenti verificabili e grandezze derivate. Terza colonna: la prova che un essere umano ha valutato l’alert, e in cosa consiste. Le righe la cui prima colonna rimanda a un reato e la cui seconda colonna resta esile vanno inserite all’ordine del giorno del prossimo comitato rischi.

Resta aperto quanto restrittivamente sarà interpretato il termine «esclusivamente»; a deciderlo in modo vincolante sarà la Corte di giustizia dell’UE, non la Commissione. La scadenza più ravvicinata è un’altra. Il 9 febbraio 2026 l’AMLA ha posto in consultazione la bozza di norme tecniche di regolamentazione ai sensi dell’art. 28, par. 1, dell’AMLR, con termine all’8 maggio 2026, per poi sottoporla all’adozione della Commissione. Queste norme individuano le informazioni da raccogliere ai fini degli obblighi di adeguata verifica. Con la loro adozione sarà fissato l’elenco dei dati richiamato dal punto 209, e con esso il limite delle variabili che un modello AML può utilizzare senza perdere il beneficio dell’eccezione.