L’evoluzione dell’intelligenza artificiale ha trasformato il credit-scoring in un processo capace di elaborare ingenti volumi di hard e soft data – dalle informazioni finanziarie tradizionali alle tracce digitali dell’utente – restituendo in pochi secondi un punteggio di rischio che orienta (o sostituisce) la decisione di erogare credito. Questa svolta tecnologica, celebrata per la rapidità e per la potenziale inclusione di soggetti “senza storia creditizia”, si accompagna tuttavia a due criticità strutturali. In primo luogo, l’opacità di modelli di machine o deep learning, noti come black-box, che rendono non ispezionabile il ragionamento interno dell’algoritmo. In secondo luogo, la conseguente difficoltà di individuare – e quindi contestare – eventuali bias discriminatori insiti nei dati di addestramento o nelle correlazioni scoperte dalla macchina.
Per rispondere a queste sfide, giuristi e regolatori europei si sono mossi su un doppio binario normativo, intervenendo sia ex post che ex ante rispetto all’uso dell’algoritmo. Sul piano successivo alla decisione automatica, la protezione del consumatore è stata rafforzata grazie all’art. 22 del GDPR, interpretato dalla Corte di giustizia nella sentenza Schufa (7 dicembre 2023). La Corte ha chiarito che il punteggio di credito – proprio perché determina in modo automatico l’esito della richiesta – esaurisce la discrezionalità del finanziatore. Di conseguenza, la persona valutata ha diritto a ricevere spiegazioni comprensibili sulla decisione e a richiedere un riesame umano della propria posizione.
Sul piano preventivo, il Regolamento sull’Intelligenza Artificiale (AI Act 2024/1968) ha qualificato il credit-scoring come “sistema di IA ad alto rischio”. Ciò comporta l’obbligo, per i fornitori e gli utilizzatori di questi sistemi, di soddisfare requisiti rigorosi già prima della loro immissione sul mercato. In particolare, devono essere garantiti:
– trasparenza, cioè la possibilità di comprendere come funziona l’algoritmo e su quali basi si fondano le sue decisioni;
– tracciabilità del funzionamento (logging), attraverso la registrazione continua delle operazioni svolte, in modo da poter ricostruire l’attività dell’algoritmo anche a posteriori;
– documentazione tecnica completa, che descriva i dati utilizzati, il tipo di modello adottato e le sue logiche operative, per consentire controlli da parte di autorità, esperti e giudici.
In sostanza, un sistema di scoring potrà essere utilizzato solo se il suo funzionamento è documentato, ispezionabile e spiegabile, sia all’interno delle organizzazioni sia verso i soggetti esterni coinvolti.
Fra questi due pilastri normativi si inserisce la Direttiva 2023/2225/UE sui contratti di credito ai consumatori. L’art. 18 conferisce al cliente (i) il diritto a una spiegazione significativa del punteggio, (ii) la facoltà di esprimere la propria opinione e contestare l’esito, (iii) la possibilità di ottenere un riesame umano. Inoltre, la direttiva limita l’uso dei dati provenienti dai social network, circoscrivendo lo spazio dei soft data ammessi nella valutazione.
La trama che emerge è chiara: trasparenza ed explainability diventano condizioni di legittimità del credit-scoring. Se un modello opaco rende impossibile dimostrare la correttezza della valutazione – requisito essenziale per il controllo giurisdizionale del potere discrezionale bancario – la normativa europea impone una transizione verso una vera e propria “scatola di vetro”, in cui:
– la qualità, pertinenza e rappresentatività dei dati sono verificabili (AI Act, art. 10);
– il modello è accompagnato da model card e log conservati per almeno sei mesi, con obblighi rafforzati per gli intermediari finanziari (AI Act, art. 26);
– l’output è spiegabile al consumatore, alle autorità e ai giudici, con un canale di revisione umana rapido ed efficace (Direttiva 2023/2225/UE, art. 18).
Per banche e fintech, tutto ciò implica il rafforzamento della governance del rischio-modello: occorre definire ruoli, procedure di validazione, criteri di stress-testing dei driver del punteggio e, soprattutto, integrare tecniche di interpretabilità nativa o di tipo post-hoc (come SHAP o LIME), in grado di tradurre le logiche del modello in motivazioni comprensibili sia per lo staff interno sia per i clienti. In assenza di questi presìdi, la decisione di credito rischia di essere annullata in sede giudiziaria per difetto di motivazione, dal momento che la discrezionalità dell’intermediario deve restare “controllabile nei fini” e conforme ai principi di correttezza e proporzionalità.
Sul piano sistematico, la combinazione tra AI Act e Direttiva determina un divieto di fatto dei modelli non interpretabili: anche se non viene menzionata esplicitamente la black box, l’insieme di requisiti richiesti rende impraticabile l’uso di architetture il cui funzionamento non possa essere almeno in parte compreso e documentato. Il legislatore europeo, senza ostacolare l’innovazione, ricolloca l’algoritmo da arbitro assoluto a strumento di supporto alle decisioni, riaffermando così la centralità dell’intervento umano e il principio di responsabilizzazione (accountability) che permea tutto il diritto europeo in materia di dati e intelligenza artificiale.
Conclusione.
Il 2025 può essere letto come l’anno in cui l’Unione europea ha definitivamente imboccato la strada della glass-box governance nel merito creditizio. Non si tratta di bandire l’IA dal credito, bensì di assicurare che il suo impiego rimanga compatibile con la tutela dei diritti fondamentali, con l’integrità del mercato finanziario e con il controllo giurisdizionale delle scelte discrezionali. Il futuro del credit-scoring passa dunque per architetture explainable-by-design, audit trail completi e un human-in-the-loop effettivo: solo così la tecnologia potrà esprimere i suoi benefici senza sacrificare trasparenza, equità e fiducia.
Paolo Gaeta
Emma Maresca