Autorità UE: la dipendenza delle banche dal cloud extra UE la pagano i clienti

Una banca può avere capitali solidi e dipendere comunque, per l'attività principale, da infrastrutture gestite altrove. Il portale italiano CorCom descrive la revisione autunnale dei rischi del sistema finanziario dell'Unione, pubblicata il 23 settembre dal comitato congiunto delle autorità di vigilanza Eba, Eiopa ed Esma.

Il documento elenca le fragilità più gravi: le dipendenze tecnologiche da aziende con sede fuori dall'Unione, le minacce informatiche in evoluzione sostenute dall'intelligenza artificiale e i rischi del credito privato. Non conta solo quali servizi acquista la banca. Conta anche se riesce a operare quando il fornitore subisce un guasto o finisce al centro di decisioni politiche prese in un'altra giurisdizione.

Chi preoccupa di più

Nel sondaggio Eba sulla dipendenza da soggetti extra UE e fuori dallo Spazio economico europeo, gli istituti hanno indicato più spesso i fornitori di servizi informatici: circa l'80 per cento degli intervistati ha giudicato questi rapporti la principale dipendenza critica. Al secondo posto le soluzioni di pagamento, segnalate da circa il 60 per cento delle banche. Le autorità precisano che si tratta di opinioni degli istituti intervistati, non di una misura della quota di mercato dei fornitori.

La concentrazione è un problema a parte. Se molte banche usano la stessa infrastruttura, un guasto presso un fornitore le colpisce tutte nello stesso momento. Per questo la vigilanza oggi guarda oltre il rischio del singolo istituto e osserva le relazioni tecnologiche comuni dell'intero settore. Le raccomandazioni chiedono di monitorare queste dipendenze, di testare la resilienza su scenari di crisi, di effettuare controlli e di coordinarsi nell'ambito del regolamento UE Dora sulla resilienza operativa del settore finanziario.

La sovranità come prodotto

La pressione regolatoria è diventata subito un argomento commerciale. Il francese Le Monde Informatique descrive la conclusione della fusione tra la canadese Cohere e la tedesca Aleph Alpha. L'accordo definitivo è stato firmato il 16 settembre e il nuovo soggetto opererà con il nome Cohere, con sedi a Toronto e Berlino. Il valore della società combinata è stimato intorno ai 20 miliardi di dollari, e gli azionisti di Cohere dovrebbero rilevare circa il 90 per cento delle quote. L'operazione attende ancora le approvazioni dei regolatori, e la chiusura è prevista per il 2026. Ilhan Scheer, oggi co-amministratore di Aleph Alpha, diventerà direttore operativo, mentre Samuel Weinbach sarà a capo della ricerca.

La redazione rileva anche una sproporzione: i ricavi ricorrenti di Cohere sono saliti da circa 62 milioni di dollari alla fine del 2024 a 240 milioni nel 2025, mentre Aleph Alpha aveva ricavi limitati e forti perdite, e in precedenza aveva rinunciato a sviluppare modelli di fascia più alta per puntare sul software di integrazione. Una parte degli osservatori parla quindi di un'acquisizione "mascherata" da fusione.

Per il lettore le conclusioni sono due. Per un istituto finanziario la domanda "dove sta il server" ha smesso di essere una questione contabile ed è diventata un elemento della gestione del rischio. Per i fornitori, l'alternativa agli hyperscaler americani, la "sovranità", è oggi l'argomento di vendita più forte, e al tempo stesso il più difficile da mantenere, perché richiede insieme scala e profitto.