Un promemoria sulla Comunicazione di luglio: ecco da dove dobbiamo partire
Il 17 luglio 2026 l’Istituto per la Vigilanza sulle Assicurazioni ha pubblicato una Comunicazione al mercato sulla resilienza operativa digitale e sui modelli avanzati di Intelligenza Artificiale, rivolgendosi direttamente agli organi di amministrazione delle compagnie assicurative. Con questo messaggio, l’Ivass chiede al Consiglio di verificare che i presidi IT esistenti siano adeguati al nuovo contesto tecnologico, specialmente viste le novità introdotte con l’Intelligenza Artificiale Generativa. Le aree indicate sono, in sintesi: governance, igiene informatica, gestione delle risorse informatiche, gestione delle vulnerabilità e degli aggiornamenti, monitoraggio e difesa, attività di test.
La scadenza del 31 dicembre
La data limite per predisporre il documento e condividerlo con Ivas è sempre più vicina. Entro il 31 dicembre 2026 il Consiglio deve inviare all’Istituto una relazione che indichi il livello di esposizione, l’adeguatezza delle risorse, le carenze principali e un piano di lavoro con azioni, tempi e investimenti. Il documento, inoltre, deve essere esaminato in seduta congiunta con il Collegio Sindacale.
Mancano circa otto settimane e il calendario delle sedute è già un primo vincolo: la relazione deve arrivare in Consiglio con il tempo necessario per essere letta, discussa e, se serve, integrata.
A questo punto del percorso è ragionevole che la ricognizione sia avviata e che le carenze principali siano state almeno individuate. La parte che richiede più attenzione è quella successiva: trasformare i dati tecnici in una lettura unitaria, che permetta al Consiglio di decidere dove investire in modo consapevole. Il rischio concreto, infatti, è disporre di molte informazioni senza una vista d’insieme.
Cosa deve emergere dalla fotografia di oggi
Una relazione solida poggia su pochi elementi verificabili. Tra quelli che non possono mancare troviamo: un inventario delle risorse informatiche aggiornato e collegato al monitoraggio; la distinzione tra un’esposizione su un sistema marginale e una su un servizio critico raggiungibile da internet; il quadro dei sistemi legacy ancora in esercizio e del relativo rischio residuo; la mappa dei fornitori di cloud e software esterni, che ampliano la superficie d’attacco.
Sono temi su cui Ivass è esplicita: le tecnologie obsolete e i sistemi esposti su internet figurano tra le sue principali preoccupazioni, e la catena dei fornitori è richiamata espressamente.
Perché l’AI accorcia i tempi
L’altra grande protagonista della Comunicazione è indubbiamente l’Intelligenza Artificiale. Come racconta l’Istituto, AI generativa e agenti autonomi possono individuare una vulnerabilità e produrre il codice che la sfrutta in tempi molto ridotti, senza richiedere competenze tecniche specifiche. Cresce così il divario tra chi attacca e chi difende, e perdono efficacia gli approcci basati su verifiche periodiche e interventi manuali. Per la scadenza di fine anno significa un’indicazione pratica: tempi lunghi di rilevazione e correzione pesano sempre di più nel giudizio sull’adeguatezza dei presidi.
La stessa tecnologia può rafforzare la difesa, e Ivass ne incoraggia l’uso per la gestione delle vulnerabilità e per il monitoraggio. A una condizione: che sia governata. L’Istituto indica quattro requisiti, ovvero coerenza con la strategia aziendale sull’AI, valutazione preventiva del rischio, monitoraggio delle prestazioni e supervisione umana appropriata. Anche questi aspetti trovano posto nella relazione, con verifiche concrete: a quali dati accede il sistema, quanti falsi positivi e falsi negativi produce, chi decide quando segnala un’anomalia.
Le scelte che restano al Consiglio
Nelle prossime settimane al Consiglio spetta stabilire quali carenze affrontare per prime, con quali risorse e in quali tempi, e valutare se le competenze interne siano sufficienti. Dove non lo sono, un partner esterno può affiancare la compagnia, per esempio con servizi gestiti di rilevazione e risposta (MDR) o con un centro di controllo attivo 24 ore su 24 (SOC). Il contributo è in rapidità e in un punto di vista indipendente, e lascia le risorse interne libere per i progetti più critici.
Reti affianca le compagnie assicurative in questo percorso, dalla valutazione di maturità rispetto ai requisiti Ivass e Dora alla definizione delle priorità d’intervento in vista della scadenza di fine anno. Contattaci per un assesment gratuito!
