Il 6 agosto 2025 EIOPA ha pubblicato l’Opinion su governance e gestione del rischio dell’AI nelle assicurazioni (EIOPA-BoS-25-360). Il paper ne dà una lettura operativa, con un obiettivo preciso: individuare i casi d’uso dell’AI che rendono di più con meno complessità regolamentare.
A chi si applica l’Opinion
L’Opinion non riguarda le pratiche vietate né i sistemi ad alto rischio dell’AI Act, come il pricing nelle assicurazioni vita e salute. Copre tutti gli altri usi dell’AI in compagnia. Non introduce obblighi nuovi: spiega come leggere le norme esistenti (Solvency II, IDD, DORA) quando entra in gioco l’AI. L’approccio è per principi, non prescrittivo.
Proporzionalità
Non esiste una regola unica. Controlli, policy, validazione e monitoraggio si calibrano sul rischio effettivo di ciascun caso d’uso. Per gli usi a basso impatto le aspettative di vigilanza sono limitate; per quelli critici sono stringenti. Così le risorse di governance si concentrano dove servono.
Il primo passo: l’impact assessment
Ogni caso d’uso va valutato singolarmente su:
- clienti coinvolti, anche vulnerabili;
- impatto su continuità operativa, conti e reputazione;
- tipo di dati trattati;
- grado di autonomia del sistema;
- rilevanza del processo;
- rischio di discriminazione.
Dalla valutazione dipende il livello dei requisiti nelle sei aree indicate da EIOPA: fairness ed etica, data governance, documentazione, trasparenza, supervisione umana, cybersecurity.
Requisiti graduati
- Basso impatto: una policy etica generale, documentazione essenziale, supervisione umana leggera, le policy IT già esistenti.
- Impatto medio: test periodici sui bias, versioni dei modelli documentate, spiegazioni disponibili su richiesta, ruoli di supervisione definiti.
- Impatto elevato: audit indipendenti, audit trail completo delle decisioni automatizzate, spiegazioni personalizzate, comitati di supervisione, test di sicurezza dedicati.
Da dove partire: casi d’uso a basso rischio e alto ritorno
Il paper descrive quattro casi in cui l’AI affianca l’operatore senza decidere al suo posto:
- analisi dei sinistri: lettura del fascicolo, prima valutazione della copertura, segnali di possibile frode;
- gestione dei reclami: riconoscimento e classificazione, richieste interne, bozza di risposta;
- verifica della conformità dei prodotti: analisi della documentazione rispetto a norme e policy;
- rapporti con gli intermediari: richieste standard, smistamento, scadenze, reportistica.
In tutti e quattro la decisione finale resta umana e l’impatto sul cliente è indiretto.
Cosa trovate nel paper completo
- La matrice di impact assessment dell’Annex I, commentata.
- I requisiti per livello di impatto, area per area.
- Le quattro schede dei casi d’uso, con le ragioni del basso impatto.
- I punti chiave per avviare l’esercizio in compagnia.