Le banche americane bloccano gli agenti AI quando provano a muovere denaro

La notizia è semplice, e proprio per questo merita attenzione: alcune banche americane stanno impedendo agli agenti di intelligenza artificiale di accedere ai conti dei clienti con la possibilità di effettuare operazioni. Charles Schwab, attraverso il suo amministratore delegato Rick Wurster, ha chiarito che la società non vuole consentire a Muse, l’agente di Meta, di operare direttamente sul denaro dei propri clienti. Il motivo è meno spettacolare di una demo tecnologica, ma assai più importante: se un sistema autonomo può agire sul patrimonio di una persona, chi risponde quando qualcosa va storto?

La finanza non è il posto ideale per scoprire, a posteriori, che un agente ha interpretato male un comando, seguito un’istruzione manipolata oppure eseguito correttamente un’operazione che il cliente non intendeva autorizzare. Nel mondo delle applicazioni consumer, un errore può produrre una risposta ridicola o una prenotazione sbagliata. In quello bancario, può trasformarsi in una perdita concreta, in una contestazione legale e in una crisi di fiducia. Il software può essere aggiornato; il denaro trasferito a un destinatario fraudolento, invece, non sempre torna indietro.

Il problema non è che l’intelligenza artificiale sia inutile in ambito finanziario è la confusione tra assistenza e autorità operativa a essere pericolosa. Un agente può aiutare a leggere un estratto conto, classificare le spese, confrontare prodotti finanziari o individuare movimenti insoliti senza avere alcun motivo per disporre trasferimenti. Eppure una parte dell’industria tecnologica sembra convinta che il progresso consista nel ridurre ogni passaggio umano, come se la supervisione fosse soltanto un residuo burocratico da eliminare. È una concezione ingenua dell’automazione, soprattutto quando l’errore può avere conseguenze economiche irreversibili.

Consegnare a un agente la password di un conto equivale a conferirgli, almeno potenzialmente, i privilegi del titolare. Da quel momento, la sicurezza non dipende più soltanto dalla banca, ma anche dal comportamento dell’agente, dalla protezione dei sistemi che lo ospitano e dalle modalità con cui interpreta le istruzioni ricevute. Un modello linguistico può elaborare richieste complesse e utilizzare strumenti esterni, ma non possiede una comprensione infallibile delle intenzioni umane. Può generare una decisione plausibile e tuttavia sbagliata; può inoltre essere influenzato da contenuti esterni costruiti per indurlo a compiere azioni indesiderate.

Il punto, dunque, non è vietare gli agenti, è impedire che l’accesso a un’informazione si trasformi automaticamente nel diritto di agire sul conto che la contiene. Un assistente incaricato di analizzare un portafoglio dovrebbe poter leggere le posizioni senza poter vendere titoli. Un agente che prepara un pagamento dovrebbe poter predisporre l’operazione senza eseguirla autonomamente. Per le attività più sensibili, la conferma esplicita del cliente dovrebbe restare una barriera effettiva, non un clic frettoloso inserito nell’interfaccia per soddisfare un requisito formale.

È qui che la sicurezza informatica torna a insegnare qualcosa a un settore che spesso si comporta come se avesse appena inventato l’automazione. Il principio del minimo privilegio prescrive di concedere a ogni componente soltanto i permessi necessari per svolgere il proprio compito. Applicato agli agenti, significa separare la consultazione dei dati dalla capacità di modificarli e, soprattutto, dalla possibilità di disporre trasferimenti. L’autorizzazione deve essere specifica, limitata e revocabile. La semplice presenza di un utente autenticato non dovrebbe consentire a un agente di estendere autonomamente il proprio raggio d’azione.

Anche l’apertura verso protocolli d’integrazione come MCP, il Model Context Protocol, va letta in questa prospettiva, questi strumenti possono permettere ai modelli di interagire con servizi esterni attraverso interfacce definite, ma non costituiscono, da soli, una garanzia di sicurezza. Un collegamento tecnicamente funzionante non è necessariamente un collegamento autorizzato a fare qualsiasi cosa. Sono i permessi, le verifiche indipendenti, i limiti operativi e la tracciabilità delle azioni a determinare se un’integrazione sia adatta a un ambiente finanziario.

Resta poi la domanda che Rick Wurster ha posto pubblicamente e che il marketing degli agenti preferirebbe lasciare in secondo piano: chi è responsabile quando qualcosa va storto? La banca può sostenere di aver protetto i propri sistemi; il fornitore dell’agente può attribuire l’incidente a un’istruzione ambigua; il cliente può dichiarare di non aver mai autorizzato quella specifica operazione. La responsabilità effettiva dipende dalle circostanze, dai contratti e dalle norme applicabili, ma questa complessità è già sufficiente a spiegare la prudenza degli intermediari. Nessuna banca ha interesse a introdurre un nuovo canale operativo se non riesce a controllarne i rischi e a ricostruire con precisione le decisioni che hanno prodotto una transazione.

La vicenda espone anche un limite del modello commerciale dell’IA agentica. Per convincere il mercato, le aziende tecnologiche promettono sistemi capaci di svolgere attività sempre più articolate senza intervento umano. Tuttavia, in molti settori, l’autonomia non rappresenta un vantaggio assoluto. Un agente che prepara un’operazione e attende un’autorizzazione può essere più utile di uno che agisce senza chiedere conferma, perché riduce il lavoro dell’utente senza sottrargli il controllo. L’efficienza va misurata sul risultato ottenuto, non sul numero di decisioni umane eliminate.

Le banche, del resto, hanno imparato da decenni che la fiducia si costruisce anche attraverso limiti, controlli e procedure di recupero. L’innovazione finanziaria non consiste nel concedere ogni possibile permesso, ma nel trovare il modo di rendere le operazioni più semplici senza compromettere la sicurezza del patrimonio. Gli agenti possono migliorare l’esperienza bancaria, a condizione che la loro autonomia sia progettata in funzione del rischio e non delle ambizioni promozionali dei loro sviluppatori.

Il rifiuto di Schwab, quindi, non è una dichiarazione di guerra all’intelligenza artificiale. È un promemoria rivolto a un’industria che tende a confondere ciò che una tecnologia è in grado di fare con ciò che dovrebbe essere autorizzata a fare. Prima di affidare a Muse o a qualsiasi altro agente la possibilità di movimentare denaro, occorre dimostrare che le autorizzazioni siano circoscritte, le operazioni sensibili sottoposte a verifiche e gli incidenti ricostruibili. Fino ad allora, lasciare un agente libero di operare su un conto bancario non è necessariamente innovazione. Può essere soltanto un modo sofisticato di trasferire il rischio dal produttore al cliente.