Il contributo analizza l’impiego dell’intelligenza artificiale nella gestione dei sinistri, distinguendo tra l’automazione spinta nei casi RCA di routine e la necessità di un presidio umano rafforzato nei rami complessi. Si sofferma inoltre sulle sfide di conformità rispetto al quadro normativo dell’AI Act, del GDPR e della disciplina IVASS, evidenziando come una governance aziendale inadeguata esponga le compagnie assicurative a gravi sanzioni e rischi di mala gestio.
1. Executive Summary
L’intelligenza artificiale è già impiegata lungo l’intera catena del sinistro assicurativo nelle sue due componenti principali: l’IA predittiva e analitica, già diffusa prima del 2020, e l’IA generativa, la cui adozione è successiva al 2022. Le applicazioni si estendono dall’apertura e dal triage alla stima del danno, all’antifrode, all’analisi e sintesi documentale, alla predisposizione di testi. Nel mercato italiano, la sua adozione rappresenta una scelta organizzativa attuale; la questione non è più se avvalersene, ma con quali modalità e a quali condizioni.
Il grado di automazione deve essere calibrato sulla tipologia di sinistro. Nei sinistri RCA di routine l’automazione può avere una portata ampia; nei rami property e infortuni il sistema svolge soprattutto una funzione di supporto; nei rami vita e salute, nelle linee specialty e nei sinistri con elementi di internazionalità, la complessità dei dati e delle valutazioni richiede un presidio umano rafforzato. Restano in ogni caso riservate all’operatore umano la valutazione critica dell’output dell’IA, la conoscenza del contesto giudiziario, la relazione con l’assicurato e il danneggiato, la qualificazione giuridica della fattispecie, la strategia di gestione e le negoziazioni complesse. Nel contesto italiano, la disponibilità non uniforme dei dati giudiziari, la complessità del ragionamento giuridico e la non standardizzazione delle motivazioni limitano strutturalmente l’affidabilità della funzione predittiva e impediscono di sostituire il giudizio professionale.
L’impiego dell’IA deve essere coordinato con il Regolamento (UE) 2024/1689 («AI Act»), il Regolamento (UE) 2016/679 («GDPR»), il Codice delle assicurazioni private e la disciplina IVASS. I sistemi impiegati nella gestione dei sinistri non sono automaticamente ad alto rischio, ma la classificazione dipende dalla finalità e dalle modalità d’uso; rilevano, in particolare, i sistemi per la valutazione dei rischi e la determinazione dei prezzi nei rami vita e salute rispetto a persone fisiche. Le decisioni automatizzate con effetti significativi devono inoltre rispettare le garanzie del GDPR.
Sul piano organizzativo, è richiesto un modello operativo fondato sulla mappatura dei sistemi, sul controllo umano effettivo, sulla tracciabilità, sulla gestione del rischio dei dati e del modello, sulla privacy by design e sul rispetto dei termini liquidativi.
L’assenza di presidi adeguati all’uso dell’IA può tradursi in mala gestio, violazioni della disciplina IVASS, del GDPR e dell’AI Act.
2. Le applicazioni già operative nella catena del sinistro
Nel settore assicurativo l’intelligenza artificiale è già impiegata lungo l’intera catena del sinistro, dalla notifica iniziale alla chiusura della pratica. Non si tratta di sperimentazioni isolate: l’adozione di strumenti di machine learning e big data analytics è ampia e documentata e ha conosciuto un’ulteriore accelerazione con la diffusione dell’IA generativa. In Italia, IVASS e Banca d’Italia hanno avviato iniziative di mappatura dell’uso dell’IA nei servizi finanziari; IVASS ha inoltre ammesso pubblicamente l’impiego di tecniche di IA sulle banche dati dei sinistri a fini di prevenzione delle frodi. I casi d’uso che saranno passati in rassegna sono tecnicamente possibili, sebbene la loro diffusione effettiva e il livello di integrazione nei processi liquidativi siano ricavabili principalmente dalla comunicazione aziendale dei principali operatori.
Come è noto, l’espressione «intelligenza artificiale» comprende due famiglie di tecnologie distinte per funzionamento, maturità e implicazioni regolatorie. La prima è l’IA predittiva e analitica (modelli di machine learning, scoring, anomaly detection, computer vision, elaborazione del linguaggio naturale a fini classificativi) impiegata nel settore assicurativo già prima del 2020: la thematic review dell’EIOPA del 2019 rilevava che il 31% delle imprese europee utilizzava attivamente tali strumenti. La seconda è l’IA generativa: modelli linguistici di grandi dimensioni (large language model) in grado di produrre testi, sintesi e contenuti originali, la cui diffusione è successiva al 2022.
Nella fase di apertura del sinistro, i sistemi di triage automatico classificano le pratiche in base alla severità e al profilo di rischio, estraggono i dati dai documenti mediante tecnologie di riconoscimento ottico dei caratteri e di elaborazione del linguaggio naturale, instradano la pratica verso il liquidatore più idoneo e gestiscono, attraverso assistenti conversazionali, le prime interazioni con l’assicurato. Si tratta della fase della catena nella quale l’automazione ha raggiunto il più elevato grado di maturità, poiché comprende in larga misura attività ripetitive, ad alto volume e a limitato valore aggiunto individuale. Nel complesso, si tratta di applicazioni riconducibili all’IA predittiva e analitica.
Nella fase di stima e liquidazione, i modelli di scoring della severità suggeriscono gli importi da accantonare a riserva, scelgono eventuali consulenti esterni e producono un punteggio di litigiosità potenziale, volto a individuare le pratiche maggiormente esposte al contenzioso. Nel ramo auto, la computer vision consente di stimare il costo della riparazione a partire da fotografie del veicolo danneggiato, accelerando sensibilmente un’attività che, in precedenza, richiedeva ordinariamente l’intervento di un perito. Tali risultati mantengono, tuttavia, natura meramente orientativa: incidono direttamente sulla decisione liquidativa e sulla strategia negoziale e devono, pertanto, essere sottoposti a verifica nel singolo caso. Anche in questo caso si tratta principalmente di IA predittiva e analitica.
Nell’attività antifrode, modelli di network analysis e anomaly detection operano sulle banche dati dei sinistri e combinano analisi comportamentali e raffronti transazionali al fine di individuare schemi sospetti. Tali strumenti risultano particolarmente efficaci nel rilevare configurazioni statisticamente anomale su volumi elevati di dati, attività che l’analisi manuale non potrebbe svolgere con analoga ampiezza e tempestività. Anche tali strumenti appartengono alla categoria dell’IA predittiva e analitica.
Diversa per natura e più recente per diffusione, l’intelligenza artificiale generativa è attualmente impiegata per pianificare attività, predisporre sintesi di perizie, collazionare elementi probatori, redigere bozze di corrispondenza e fornire supporto operativo ai liquidatori. A maggior ragione, in tali ipotesi la supervisione umana costituisce un requisito imprescindibile: l’output generativo deve essere verificato prima di essere trasmesso all’assicurato o utilizzato ai fini dell’assunzione di una decisione.
Il contesto nel quale tali strumenti possono essere teoricamente impiegati presenta dimensioni rilevanti. La Relazione IVASS sull’attività 2025, pubblicata il 18 giugno 2026, indica per il comparto danni una raccolta premi pari a 43,6 miliardi di euro, di cui il 42,2% riferibile al comparto auto, con 33,9 milioni di veicoli assicurati e un costo medio per sinistro di 5.160 euro. In tale contesto, alcune compagnie italiane sostengono di aver conseguito riduzioni dei tempi di analisi documentale e livelli di accuratezza superiori al 90%.
Secondo stime di settore, le tecnologie di automazione possono già gestire una quota significativa delle attività nella fase di FNOL, nelle indagini di base e nell’inserimento dei dati, con riduzioni dei costi e dei tempi di definizione fortemente indicative di una tendenza irreversibile.
3. Dall’automazione tradizionale all’Agentic AI: differenziazione del grado di automatizzabilità dei sinistri
L’automazione tradizionale dei sinistri si fonda su sistemi basati su regole, quali la RPA (Robotic Process Automation), che eseguono script rigidi e flussi di lavoro lineari. Tali sistemi sono efficaci nello svolgimento di attività ripetitive (inserimento dei dati, smistamento delle pratiche e verifica documentale), ma incontrano difficoltà non appena devono elaborare dati non strutturati o scenari imprevisti, rendendo necessario l’intervento umano anche in presenza di eccezioni di modesta complessità.
Le architetture definite «Agentic AI» mirano a superare tale limite: non si limitano all’analisi o all’assistenza, ma operano in modo autonomo, scomponendo un obiettivo in sotto-attività, coordinando dati e decisioni tra più sistemi e individuando autonomamente le modalità di esecuzione. Tali architetture integrano tipicamente componenti di IA predittiva (scoring, classificazione, anomaly detection) e di IA generativa (sintesi documentale, corrispondenza), orchestrandole in un flusso coordinato.
L’impiego dell’Agentic AI non rappresenta più soltanto uno strumento di supporto, ma un fattore abilitante e, al contempo, un mutamento di paradigma. Si tratta, nondimeno, di un’evoluzione non omogenea: le prestazioni osservate non risultano validate dalla letteratura sottoposta a revisione tra pari e i dati quantitativi disponibili provengono, in larga parte, da casi aziendali. La traiettoria evolutiva appare tuttavia consolidata.
Nella pratica, un flusso di Agentic AI orchestrato per un sinistro domestico si articola in una sequenza che prende l’avvio dal primo avviso di sinistro, prosegue con la classificazione e l’estrazione dei dati, individua eventuali anomalie, richiede la documentazione integrativa mancante e instrada la pratica, generando contestualmente un punteggio di rischio, l’indicazione di riserve e un eventuale avviso antifrode. In presenza di elementi internazionali (ad esempio, un evento verificatosi all’estero, ma coperto da una polizza italiana), il sistema deve inoltre individuare la giurisdizione competente, tradurre la documentazione e segnalare l’eventuale conflitto tra la legge del luogo del danno e quella applicabile al contratto. L’esempio mostra come la complessità giuridica, oltre a quella documentale, condizioni il grado di automazione concretamente raggiungibile.
Non tutti i sinistri sono suscettibili del medesimo grado di automazione; la differenziazione costituisce, a sua volta, una condizione del corretto impiego dello strumento. I sinistri RCA di routine, caratterizzati da volumi elevati, importi contenuti, documentazione standardizzata e giurisprudenza consolidata, sono quelli nei quali un livello elevato di automazione appare più giustificato e sicuro: classificazione, estrazione documentale, sintesi, scoring di base e antifrode di primo livello possono essere ampiamente automatizzati.
I sinistri property e infortuni, caratterizzati da volumi medi, documentazione tecnica e perizie, si collocano su un livello intermedio, nel quale il sistema assiste, ma non sostituisce, la valutazione del perito o del liquidatore. Nei rami vita e salute, la gestione dei sinistri resta caratterizzata da un’esigenza di presidio rafforzato per la particolare sensibilità dei dati; inoltre, qualora il sistema sia destinato alla valutazione dei rischi o alla determinazione dei prezzi in relazione a persone fisiche, rientra tra i casi d’uso ad alto rischio di cui all’Allegato III, punto 5, lettera c), del Regolamento (UE) 2024/1689.
I sinistri di responsabilità civile professionale, e in generale quelli delle linee specialty, caratterizzati da fattispecie non ricorrenti e complesse e da intervalli di confidenza troppo ampi, nonché i sinistri con elementi di internazionalità, restano invece ambiti a bassa automazione. In tali ipotesi il presidio umano sulle eccezioni, sulla qualità dei dati, sulla revisione dell’output e sulla decisione finale è non soltanto opportuno, ma necessario.
Un limite ulteriore riguarda l’impiego di modelli di IA predittiva che prevedano l’esito dei contenziosi nella trattazione dei sinistri. Nel contesto italiano, la disponibilità non uniforme delle decisioni giudiziarie, la complessità del ragionamento dogmatico, la discrezionalità nella personalizzazione del quantum e la struttura non standardizzata delle motivazioni riducono l’utilizzo dei modelli elaborati in sistemi con dati giudiziari più completi e strutturati, come quello statunitense. Gli output possono quindi orientare le riserve e le strategie contenziose, ma devono essere trattati come scenari probabilistici e non come previsioni sostitutive di un giudizio professionale.
4. Il perimetro di attività riservato al responsabile del sinistro
Anche quando i sistemi di nuova generazione ampliano progressivamente la capacità di gestire in autonomia attività a basso valore aggiunto, permangono funzioni che nessuna architettura, per quanto sofisticata, è in grado di replicare integralmente. Individuarle con precisione costituisce la seconda condizione essenziale per un impiego corretto dell’IA: non è sufficiente conoscere ciò che lo strumento è in grado di fare; occorre altresì delimitare ciò che non può essere rimesso alla sua autonomia, sia che si tratti di un modello predittivo, sia che si tratti di un sistema generativo.
Un punteggio, una stima probabilistica o una proposta operativa, prodotti da un modello predittivo o generativo, non costituiscono una decisione, ma un elemento istruttorio per assumerla. Spetta al responsabile umano del sinistro valutarne la pertinenza rispetto al caso concreto. Può accadere, ad esempio, che un modello attribuisca un punteggio elevato a un sinistro RCA senza considerare un recente mutamento della giurisprudenza del foro competente, idoneo a influenzare l’esito prevedibile. Tanto la sovrastima quanto la sottostima del rischio possono condurre a decisioni non ottimali, quali transazioni premature o resistenze prive di adeguato fondamento, con conseguenze patrimoniali e regolamentari.
Il foro competente, le prassi locali e gli orientamenti dei singoli giudici costituiscono un patrimonio conoscitivo che nessun modello è in grado di riprodurre integralmente e che, proprio nell’epoca dell’IA, acquista ulteriore rilievo.
Nel sistema italiano, inoltre, la disponibilità dei dati giudiziari è come detto disomogenea e non consente di alimentare modelli predittivi con basi informative complete e uniformi. Spetta sempre all’operatore umano qualificato colmare il divario tra l’output statistico e la realtà del contenzioso concreto, avvalendosi dell’esperienza e del giudizio maturati nel territorio.
Le fattispecie di confine e i casi rari presentano intervalli di confidenza troppo ampi per poter essere gestiti autonomamente dal sistema. In tali ipotesi la variabilità degli esiti possibili è tanto elevata che l’automazione, anziché semplificare l’analisi, rischia di introdurre un’apparenza di certezza là dove è necessario un giudizio specialistico.
Inoltre, nessun sistema di IA, per quanto sofisticata sia la relativa architettura, dispone di autentiche capacità relazionali. La gestione delle reazioni del danneggiato o dell’assicurato, la conduzione di una negoziazione transattiva e la spiegazione comprensibile di una decisione sfavorevole costituiscono competenze non riducibili a procedure algoritmiche. Esse rimangono, pertanto, componenti essenziali della qualità del servizio e strumenti concreti di prevenzione del contenzioso.
L’uso di chatbot agevola le comunicazioni elementari e introduttive, ma non sostituisce il tipo di relazione appena descritto.
Ancora, i modelli di anomaly detection individuano configurazioni sospette con un’efficienza superiore a quella dell’analisi manuale. Le frodi complesse (reti organizzate, documentazione accuratamente contraffatta e ricostruzioni narrative artificiose) richiedono, tuttavia, capacità investigative che combinano intuito, esperienza e conoscenza delle dinamiche locali. L’algoritmo segnala l’anomalia statistica; spetta al professionista distinguere la frode dal caso legittimo, ancorché atipico.
La decisione relativa al momento e ai soggetti da coinvolgere come consulenti esterni (periti, legali e investigatori) richiede anch’essa una valutazione fondata sull’esperienza professionale e su una rete di relazioni basata sulla fiducia, che nessun modello è in grado di costruire o riprodurre. L’incarico esterno non trasferisce la responsabilità della decisione, ma può rafforzare la compliance con le procedure interne e l’assurance sul processo, a condizione che il mandato, i controlli e gli esiti siano documentati.
Nei casi che presentano qualificazioni giuridiche controverse, diritto incerto o in evoluzione, negoziazioni complesse, profili transfrontalieri o esigenze di tutela del segreto professionale e della riservatezza delle comunicazioni, l’avvocato è l’unico a poter operare in condizioni di totale sicurezza. Il responsabile del sinistro, per parte sua, conserva la conoscenza del fascicolo e la prerogativa della decisione finale.
5. Le condizioni legali dell’impiego dell’IA
5.1 Regolamento (UE) 2024/1689 («AI Act»): sistemi ad alto rischio e gestione dei sinistri
Nel lessico dell’AI Act, sono ad alto rischio i sistemi il cui impiego può incidere in modo significativo sulla sicurezza, sui diritti fondamentali o sull’accesso a prestazioni essenziali e che, per tale ragione, sono soggetti a requisiti rafforzati di gestione del rischio, qualità dei dati, documentazione, tracciabilità e supervisione umana. La nozione rileva perché alcuni strumenti di IA possono incidere sulla valutazione del rischio o sulla determinazione dell’indennizzo, mentre altri operano soltanto come supporto istruttorio: la semplice automazione documentale o istruttoria non determina di per sé la classificazione come sistema ad alto rischio.
I sistemi di IA impiegati nella gestione dei sinistri non sono automaticamente qualificabili come sistemi ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’Allegato III del Regolamento (UE) 2024/1689. La classificazione deve essere verificata caso per caso in base alla finalità concreta e alle modalità d’impiego. Rilevano, in particolare, i sistemi destinati alla valutazione dei rischi e alla determinazione dei prezzi nell’ambito delle assicurazioni sulla vita e sulla salute in relazione a persone fisiche, previsti al punto 5, lettera c), dell’Allegato III. Per tali sistemi trovano applicazione requisiti stringenti, relativi alla gestione del rischio, alla governance dei dati, alla predisposizione della documentazione tecnica, alla registrazione degli eventi (logging), alla robustezza, alla qualità e alla rappresentatività dei dati, alla supervisione umana e alla registrazione del sistema; nel settore finanziario, le competenze di vigilanza coinvolgono anche IVASS. I sistemi ad alto rischio rilevanti ai fini assicurativi, tra quelli elencati nell’Allegato III, sono tipicamente riconducibili all’IA predittiva e analitica. L’IA generativa rileva sotto il diverso profilo degli obblighi di trasparenza: l’articolo 50 dell’AI Act impone ai fornitori e agli utilizzatori di sistemi di IA generativa obblighi specifici di informazione, applicabili dal 2 agosto 2026.
In relazione alla gestione dei sinistri, l’aggiornamento più rilevante è il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell’8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. L’intervento di semplificazione ha differito al 2 dicembre 2027 l’applicazione delle disposizioni relative ai sistemi di IA ad alto rischio di cui all’articolo 6, paragrafo 2, e all’Allegato III, e al 2 agosto 2028 quella relativa ai sistemi ad alto rischio incorporati in prodotti disciplinati dalla normativa di armonizzazione dell’Unione. Il differimento amplia dunque il periodo di adeguamento, ma non autorizza le compagnie a sospendere le attività di mappatura, classificazione, documentazione e controllo: i sistemi impiegati nella gestione dei sinistri restano soggetti agli obblighi già applicabili, inclusi quelli di trasparenza e di protezione dei dati, secondo la loro concreta configurazione.
Per completezza, va ricordato che la bozza di linee guida della Commissione europea sull’articolo 6 dell’AI Act — la cui consultazione mirata si è conclusa il 23 luglio 2026 — estende la classificazione di alto rischio ai sistemi impiegati nella giustizia e nell’arbitrato quando il sistema assista l’organismo decidente nella ricostruzione dei fatti o nell’applicazione del diritto e il procedimento produca un esito vincolante. Il tema assumerà col tempo importanza crescente per le parti dei contenziosi assicurativi.
5.2 Decisioni automatizzate: il limite dell’articolo 22 del GDPR
Ai sensi dell’articolo 22 del Regolamento (UE) 2016/679, l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogo significativamente sulla sua persona. Nel contesto dei sinistri, possono assumere tale rilievo, ad esempio, l’accoglimento o il rigetto della richiesta di indennizzo e la sua quantificazione. Il divieto opera indipendentemente dalla tipologia di IA impiegata, predittiva o generativa: ciò che rileva è l’effetto della decisione sull’interessato, non la tecnologia sottostante. Il divieto conosce le eccezioni tassativamente previste dal medesimo articolo e, nei casi in cui trovi applicazione, richiede che siano garantiti l’intervento umano, la possibilità di esprimere la propria opinione e di contestare la decisione, nonché un’informazione significativa sulla logica utilizzata. L’eventuale valutazione d’impatto sulla protezione dei dati deve essere svolta nei casi previsti dall’articolo 35 del GDPR, quando il trattamento è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Di nuovo: l’IA può fornire elementi di supporto, ma la decisione deve rimanere umana e adeguatamente tracciata.
5.3 Codice delle assicurazioni private e disciplina IVASS
La disciplina assicurativa italiana — segnatamente il Codice delle assicurazioni private, di cui al decreto legislativo 7 settembre 2005, n. 209, e i regolamenti adottati dall’IVASS — resta integralmente applicabile, indipendentemente dall’impiego dell’IA. Nei sinistri RCA operano termini puntuali per la formulazione dell’offerta e per il pagamento, in particolare ai sensi dell’articolo 148 del medesimo Codice, la cui inosservanza può comportare conseguenze sanzionatorie. In materia di reclami, il Regolamento ISVAP n. 24 del 19 maggio 2008, come successivamente modificato e integrato, costituisce un ulteriore presidio di attenzione. Un incremento di reclami riferiti a motivazioni stereotipate o prive di adeguata esplicazione può segnalare criticità nel processo decisionale automatizzato e rendere necessaria una revisione delle motivazioni codificate («reason codes») e dell’informativa resa agli interessati.
5.4 Centralità dell’intervento umano: giurisprudenza amministrativa e legge n. 132 del 2025
Secondo i principi elaborati dal Consiglio di Stato, Sezione VI in materia di impiego di algoritmi nelle procedure amministrative — in particolare nelle sentenze 8 aprile 2019, n. 2270, e 4 febbraio 2020, n. 881 — occorre distinguere tra il «provvedimento per algoritmi», nel quale l’algoritmo determina autonomamente l’esito, e l’«algoritmo di mero supporto», che fornisce elementi informativi utilizzati dal decisore umano nell’ambito della propria valutazione. Nel secondo caso, l’algoritmo conserva una funzione strumentale e la decisione resta imputabile al soggetto competente, il quale deve poter comprendere e controllare le logiche rilevanti.
Tale impostazione si estende anche per le decisioni relative ai sinistri.
La legge 23 settembre 2025, n. 132, recante «Disposizioni e deleghe al Governo in materia di intelligenza artificiale», conferma, sul piano nazionale, la centralità dell’intervento umano, della conoscibilità e della trasparenza. Si tratta di una legge-delega: la sua attuazione concreta dipende dai decreti legislativi delegati, che precisano obblighi, competenze e strumenti di tutela applicabili agli operatori. Tra gli schemi esaminati rientra quello di adeguamento di cui all’Atto del Governo n. 418, trasmesso al Senato il 24 giugno 2026 e sottoposto all’esame parlamentare nel luglio 2026, anche alla luce dei pareri del Garante per la protezione dei dati personali del 14 luglio 2026. Nella medesima prospettiva si colloca lo schema di cui all’Atto del Governo n. 421, relativo a governance e formazione, anch’esso esaminato nel luglio 2026. Gli schemi prospettano, tra l’altro, ulteriori strumenti processuali di tutela del danneggiato da sistemi di IA e disposizioni in materia di responsabilità penale per l’omessa adozione delle misure di sicurezza nei sistemi ad alto rischio. Poiché si tratta di schemi non definitivi, tali previsioni non costituiscono diritto vigente; la loro rilevanza per il settore assicurativo nasce dal fatto che indicano la direzione dell’adeguamento nazionale e gli standard organizzativi verso i quali dovranno orientarsi le compagnie.
5.5 Equità e non discriminazione algoritmica
A livello internazionale, i regolatori assicurativi convergono sui principi di equità (fairness), responsabilizzazione (accountability) e trasparenza (transparency): nell’Unione europea attraverso gli orientamenti dell’EIOPA, negli Stati Uniti mediante il Model Bulletin della NAIC e nel Regno Unito attraverso l’approccio della FCA e dell’ICO alla correttezza nei confronti dei consumatori.
Il rischio di discriminazione algoritmica è particolarmente insidioso, poiché può manifestarsi attraverso variabili apparentemente neutre (quali il codice di avviamento postale, la professione dichiarata o il canale di acquisizione) correlate, tuttavia, a fattori protetti quali l’etnia, il reddito o lo stato di salute. Esso è particolarmente rilevante per i modelli predittivi impiegati nella tariffazione e nella valutazione dei sinistri, ma può emergere anche nell’IA generativa, ad esempio quando il sistema produce motivazioni di rigetto che riflettono distorsioni presenti nei dati di addestramento. Ne consegue che un impiego responsabile dell’IA richiede lo svolgimento periodico di test di distorsione per gruppi omogenei, distinti almeno per età e area geografica, con riguardo all’accettazione, alla quantificazione e ai tempi di gestione dei sinistri.
A integrazione di tale quadro, l’EIOPA ha pubblicato il 6 agosto 2025 l’Opinion on AI Governance and Risk Management, rivolta alle autorità nazionali di vigilanza, nella quale richiama i principi e i requisiti della disciplina assicurativa settoriale applicabili ai sistemi di IA che non siano qualificati né come sistemi ad alto rischio né come pratiche vietate ai sensi del Regolamento (UE) 2024/1689. L’Opinion considera, in particolare, la governance dei dati, la registrazione, l’equità, la cibersicurezza, la spiegabilità e la supervisione umana, secondo un approccio fondato sul rischio e proporzionato. Il 10 luglio 2026 l’EIOPA ha inoltre trasmesso alla Commissione europea una lettera corredata da un annesso tecnico sull’esclusione dei modelli lineari generalizzati (GLM) e dei modelli additivi generalizzati (GAM) dalla classificazione di alto rischio prevista dal Regolamento (UE) 2024/1689.
I modelli lineari generalizzati (GLM) e i modelli additivi generalizzati (GAM) sono modelli statistici tradizionali, utilizzati nel settore assicurativo per la determinazione dei prezzi e la valutazione dei rischi, la cui struttura è in genere più interpretabile e controllabile rispetto a quella dei sistemi opachi e autoapprendenti. La prospettata esclusione dalla classificazione di alto rischio rileva in quanto può evitare di assoggettare automaticamente tali strumenti al regime più oneroso dell’AI Act; non elimina, tuttavia, gli obblighi derivanti dal GDPR, dalla disciplina IVASS e dai principi di correttezza, trasparenza e non discriminazione, né esclude una valutazione caso per caso quando il modello sia integrato in sistemi più complessi o impiegato con finalità diverse.
6. Governance dell’IA: quadro operativo
6.1 Quadro operativo
Senza la pretesa di fornire indicazioni vincolanti, è tuttavia possibile svolgere una ricognizione delle indicazioni operative minime ricavabili dall’AI Act, dal GDPR e dalla normativa IVASS per chi impiega sistemi di IA nella gestione dei sinistri in base a sei pilastri.
La portata e il livello di dettaglio dei presidi dipendono ovviamente dal tipo di impiego: un sistema confinato all’analisi documentale o al triage richiede accorgimenti diversi e più contenuti rispetto a un sistema che concorra alla liquidazione della prestazione o alla profilazione dell’assicurato. Analogamente, i presidi variano tra sistemi di IA predittiva (per i quali assumono rilievo preminente la qualità dei dati, il monitoraggio del drift e i test di bias) e sistemi di IA generativa, per i quali il controllo dell’output, la riservatezza delle informazioni, la trasformazione del processo e la verifica delle allucinazioni costituiscono le criticità principali.
Il primo pilastro è la mappatura e l’inventario dei sistemi che incidono sulle decisioni di sinistro, anche in funzione assistiva, con indicazione del responsabile, del fornitore, della versione e delle linee di responsabilità sino al consiglio di amministrazione.
Il secondo è un controllo umano effettivo: per le decisioni che incidono significativamente sull’interessato, una persona competente deve poter esaminare l’output, eventualmente discostarsene e comunque ricostruire e motivare la decisione finale.
Il terzo è la tracciabilità: versione del modello, dati e fattori rilevanti, output e controlli devono essere registrati in modo da consentire audit e verifiche.
Il quarto riguarda il rischio relativo a dati e modello: qualità e rappresentatività dei dati, monitoraggio del drift e test periodici di bias per i modelli predittivi, nonché verifiche di accuratezza e rilevamento delle allucinazioni per i sistemi generativi.
Il quinto consiste nella privacy by design e nelle valutazioni d’impatto per i flussi con profilazione o decisioni automatizzate, in conformità al GDPR.
Il sesto assicura il rispetto dei termini liquidativi e l’introduzione di alert sui ritardi riconducibili alla pipeline di IA, soprattutto nei sinistri RCA.
6.2 Il decision record
Lo strumento operativo attraverso il quale la governance diviene verificabile è il decision record. Esso deve documentare il contesto della decisione e il collegamento con il caso concreto; lo scopo e i limiti dell’impiego dell’IA, con l’attestazione che la decisione non è stata assunta dal sistema; l’identità dello strumento e la versione; i dati e le fonti consultate; l’output e la valutazione critica umana; le verifiche di bias, la classificazione del rischio, la conformità, i ruoli, le autorizzazioni, la motivazione autonoma e la tracciabilità tecnica.
Quanto alla comunicazione all’assicurato, non è richiesta, di regola, la divulgazione integrale della logica interna, del codice o dei parametri del modello. La compagnia deve tuttavia rispettare gli obblighi di trasparenza dell’AI Act: l’articolo 50 per i sistemi a rischio limitato e gli articoli 13 e 26 per i sistemi ad alto rischio. Deve inoltre adempiere agli obblighi informativi degli articoli 13 e 14 del GDPR e, quando ricorra una decisione automatizzata ai sensi dell’articolo 22, fornire informazioni significative e comprensibili sulla logica rilevante, sull’importanza e sulle conseguenze previste del trattamento, nonché sulle garanzie di intervento umano e contestazione. Se l’uso dell’IA è confinato all’analisi documentale o all’istruttoria e non determina la decisione finale, l’informativa deve descriverne la funzione di supporto; il decision record deve comunque documentare tale uso e la valutazione umana. L’output deve essere presentato come uno scenario, con le relative incertezze, e non come una garanzia di esito.
6.3 Un percorso in tre fasi
È dunque ipotizzabile un percorso attuativo articolato in tre fasi, da modulare in funzione della complessità e della maturità dei sistemi già in uso.
A decorrere dall’avvio del programma di governance, la priorità è mappare i sistemi di IA che incidono sulle decisioni relative ai sinistri, adottare una policy interna, introdurre un modello di decision record per responsabili del sinistro e consulenti esterni, nonché rivedere i reason codes e le informative.
Subito dopo occorre completare, per i sistemi qualificabili come ad alto rischio nei rami vita e salute, la documentazione tecnica e le valutazioni d’impatto, avviare test di bias sui modelli in produzione e assicurare la formazione mirata di tutti i professionisti coinvolti.
Da ultimo, i controlli devono diventare ricorrenti: monitoraggio del drift e test di bias almeno semestrali, alert sui termini regolamentari nella pipeline di IA, manuale operativo per le ispezioni di IVASS, del Garante per la protezione dei dati personali e delle autorità competenti ai sensi dell’AI Act, nonché standardizzazione dei decision record per tipologia di decisione.
7. Le conseguenze di un uso non governato: profili di responsabilità
Le condizioni esaminate nelle sezioni precedenti non costituiscono adempimenti meramente formali: la loro inosservanza può tradursi in responsabilità concrete, articolate, per la compagnia assicurativa, sotto cinque profili distinti, ma interconnessi.
Il primo attiene alla responsabilità contrattuale e alla mala gestio. Un rigetto o una sotto-liquidazione determinati da errori algoritmici, dati viziati o omessa sorveglianza possono integrare un inadempimento agli obblighi di corretta gestione e di buona fede. Ne possono derivare, nei confronti del danneggiato, interessi e maggior danno da ritardo ai sensi dell’articolo 1224 del codice civile e, nei confronti dell’assicurato, responsabilità contrattuale per gestione colpevole, sino alla responsabilità ultra massimale nei casi più gravi, causalmente collegati al ritardo, oltre alle spese di difesa e di soccombenza.
Il secondo profilo riguarda le violazioni della disciplina IVASS e del Codice delle assicurazioni private. L’impiego dell’IA non esonera dal rispetto dei termini procedurali né dall’obbligo di motivare le determinazioni liquidative; ritardi o flussi di lavoro privi di adeguati presidi possono sfociare in inadempimenti e sanzioni.
Il terzo profilo attiene alla protezione dei dati personali e alle decisioni automatizzate. Quando la decisione sul sinistro è interamente automatizzata e incide in modo significativo sull’interessato, trovano applicazione i divieti e le garanzie di cui all’articolo 22 del Regolamento (UE) 2016/679, con possibili interventi del Garante per la protezione dei dati personali e dell’autorità giudiziaria.
Il quarto profilo concerne la conformità al Regolamento (UE) 2024/1689: per i sistemi ad alto rischio i requisiti sono stringenti, ma anche gli impieghi non ricompresi nell’Allegato III restano soggetti agli obblighi eventualmente applicabili in materia di trasparenza e gestione dei rischi.
Il quinto profilo riguarda le pratiche sleali e la discriminazione. Differenziali sistematici nei tassi di rigetto o nei tempi di definizione a danno di determinati gruppi di clientela possono generare contenzioso e iniziative regolatorie; il rischio si accentua nei rami ad alto volume, quali la RCA, e in quelli caratterizzati dal trattamento di dati particolarmente sensibili, quali i rami vita e salute.
Un profilo decisivo concerne infine l’onere della prova. In giudizio, l’assicurazione dovrà essere in grado di produrre evidenze relative ai dati di input, ai controlli di qualità, all’effettività dell’intervento umano e al rispetto dei termini regolamentari, così da dimostrare la correttezza del proprio operato. L’assenza di un decision record idoneo a documentare un controllo umano sostanziale può costituire, in sede contenziosa, un elemento indiziario della mancanza di un controllo effettivo, con ricadute negative. Il rischio non riguarda soltanto le linee rivolte alla clientela consumer: anche nelle linee corporate la mala gestio è ipotizzabile, ad esempio quando un sistema di IA sottostima la riserva relativa a un sinistro di responsabilità civile professionale di elevato valore o ritarda ingiustificatamente la gestione, o ancora faccia dipendere in maniera non trasparente un rinnovo o un premio dall’andamento dei sinistri.
