L'SR 11-7 non c'è più: cosa significa il nuovo framework 2026 sul rischio modello per l'IA in finanza

Il 17 aprile 2026, la Federal Reserve, l’OCC e la FDIC hanno ritirato congiuntamente le linee guida che hanno governato il rischio modello nel settore bancario statunitense per quindici anni. L’SR 11-7, emanato nel 2011, viene sostituito dall’SR 26-2. Se utilizzi qualsiasi forma di IA sui dati finanziari, questo è il documento che ora detta il tono di ciò che i tuoi supervisori si aspettano.

Il cambiamento principale non è un elenco più lungo di controlli. È l’opposto. L’SR 26-2 è deliberatamente basato su principi. Le agenzie hanno voluto precisare che non stabilisce standard vincolanti e che la non conformità, di per sé, non innescherà critiche in sede di ispezione. Dopo un decennio in cui i team hanno trattato l’SR 11-7 come una checklist di conformità da spuntare una volta l’anno, i regolatori chiedono qualcosa di più difficile: giudizio, applicato con continuità, proporzionale al danno che un modello può causare.

Sembra più morbido. Non lo è.

Dalla checklist al giudizio

Il vecchio framework premiava la burocrazia. Si inventariavano i modelli, si scrivevano report di validazione, si aveva una policy del consiglio, e si poteva mostrare tutto questo durante un’ispezione. Gli artefatti esistevano indipendentemente dal fatto che il modello fosse effettivamente sotto controllo giorno per giorno.

L’SR 26-2 si àncora invece alla materialità. L’intensità attesa della supervisione scala in base all’esposizione finanziaria di un modello e al peso delle decisioni che guida. Un semplice calcolo su foglio elettronico e un modello di accantonamento CECL non sono più trattati come la stessa categoria di cosa, con lo stesso onere documentale. Ci si aspetta che il budget di governance venga speso dove risiedono le conseguenze.

È qui che l’espressione “shift-left” trova il suo posto. Nel software, spostare a sinistra significa individuare i difetti presto, nel punto in cui dati e logica vengono creati, anziché alla fine in una revisione finale. La riscrittura del 2026 spinge il rischio modello nella stessa direzione. I controlli integrati nel flusso dei dati battono un report di validazione scritto mesi dopo che il modello è entrato in produzione. Se gli input sono sbagliati, la validazione era teatro.

Per chiunque colleghi un LLM al reporting finanziario, questo cambio di inquadratura è tutta la partita.

Perché questo colpisce duramente l’IA

C’è un’esenzione che vale la pena leggere con attenzione. L’IA generativa e agentica è posta fuori dall’ambito diretto dell’SR 26-2. Le agenzie affermano che le istituzioni dovrebbero, per ora, governare questi sistemi con le pratiche di gestione del rischio già esistenti, e hanno segnalato una futura richiesta di informazioni specificamente sull’IA, inclusa quella generativa e agentica.

Non leggere questa esenzione come una vacanza. Leggila come un avvertimento: le regole stanno arrivando, e i principi già presenti nell’SR 26-2 sono il modello. Due di essi si applicano direttamente all’IA sui dati finanziari.

Primo, il rischio resta tuo anche quando il modello è di qualcun altro. L’SR 26-2 ribadisce che affidarsi a un fornitore non trasferisce la responsabilità. Non puoi indicare OpenAI o Anthropic e dire che il tuo rischio modello è gestito. Il modello è loro; il rischio è tuo.

Secondo, la supervisione deve essere proporzionale alle conseguenze. Un’IA che redige il riassunto di una riunione è a basso rischio. Un’IA che dice al tuo CFO che il margine lordo dell’azienda si è mosso di 180 punti base, e quella cifra finisce in una presentazione al consiglio o nel calcolo di un covenant, è un modello ad alta materialità, che qualcuno l’abbia definito così o no. Il numero porta peso. Il peso è ciò che il framework ora misura.

La parte scomoda: la cosa che la maggior parte dei team sta implementando, un chatbot che “risponde a domande sui dati finanziari”, è esattamente il quadrante ad alta materialità e basso controllo che la nuova guida è costruita per esporre.

Cosa richiedono davvero i nuovi principi

Riducendo l’SR 26-2 a ciò che chiede a uno stack IA-su-finanza, emergono tre richieste.

Le cifre devono quadrare. La governance basata su principi presuppone comunque che gli input del modello siano solidi. Se la tua IA legge da un cumulo di esportazioni non riconciliate, un foglio di calcolo qui, un CSV là, non esiste un “modello unico” da governare. Ci sono decine di risposte in conflitto, e la validazione non ha nulla di stabile con cui confrontarsi. Il primo controllo è un modello finanziario riconciliato che quadra con il libro mastro.

La matematica non può essere una supposizione. Gli LLM sono probabilistici. Sono bravi con il linguaggio e scarsi con l’aritmetica, e falliscono in silenzio, la combinazione peggiore per la finanza. L’enfasi del 2026 sulla materialità significa che il calcolo dietro una cifra ad alto impatto deve essere affidabile e riproducibile. Questo depone a favore di tenere l’LLM completamente fuori dalla matematica e far girare i numeri attraverso un motore deterministico, così che la stessa domanda restituisca sempre la stessa risposta e la risposta possa essere verificata.

Ogni output deve essere tracciabile alla fonte. I controlli shift-left funzionano solo se puoi vedere da dove viene un numero. Un’IA che produce una cifra senza un percorso di ritorno alle transazioni sottostanti è, in termini di materialità, un modello non validato che produce output rilevante. La tracciabilità non è una funzionalità accessoria. Nella nuova impostazione è la traccia di audit che il tuo supervisore chiederà.

Dove si inserisce Rexfin

Questa è l’architettura attorno a cui abbiamo costruito Rexfin, e la riscrittura del 2026 lo argomenta meglio di quanto potremmo fare noi.

Rexfin si collega alle tue piattaforme di contabilità e dati finanziari, QuickBooks, Xero, NetSuite, Sage, SAP, Oracle, o un data warehouse, oppure lavora da estratti conto caricati, e costruisce un unico modello finanziario riconciliato che quadra con il libro mastro. Questa è l’unica fonte di verità a cui un framework di governance può effettivamente puntare. Quando l’IA recupera una cifra, la recupera da quel modello, non da un’esportazione ormai superata.

I calcoli girano attraverso un motore deterministico, non attraverso il modello linguistico. L’LLM gestisce la domanda e la spiegazione; la matematica è calcolata e riproducibile. Gli scenari what-if girano sulla stessa base riconciliata. E ogni insight è tracciabile fino alle transazioni sorgente, così che la risposta alla domanda “da dove viene questo numero” è un clic, non un’indagine.

Niente di tutto questo rende l’SR 26-2 un problema risolto. La governance è un programma, non un prodotto, e resti tu il responsabile delle policy, delle decisioni di inventario e dei giudizi sulla materialità. Ciò che fa l’architettura è rendere quelle decisioni difendibili. Non puoi governare cifre che non quadrano o matematica che non puoi riprodurre. Sistema prima il substrato, e il regime basato su principi diventa qualcosa che puoi effettivamente soddisfare.

Per i meccanismi più approfonditi, vedi come gestiamo la validazione basata sull’output per gli LLM di terze parti, dato che non puoi validare i pesi, e l’architettura di riferimento per uno stack di controllo IA che lega insieme questi controlli. Il pillar completo sulla governance copre i rischi che l’SR 11-7 non aveva mai anticipato.

Il framework 2026 pone una domanda a ogni IA che punti sui tuoi dati finanziari: puoi provare il numero? Se la risposta onesta è no, quello è il divario da colmare prima che la richiesta di informazioni diventi regola. Prenota una demo e ti mostreremo com’è quando la risposta è sì.