Quando un agente AI esegue un pagamento in nome del cliente, il nodo giuridico è la catena mandato-autorizzazione-responsabilità: chi ha conferito il potere di agire, entro quali limiti e con quale traccia verificabile. L’avvocato che assiste banche, fintech o clienti corporate deve già oggi sapere dove si spezza quella catena e chi risponde. Il quadro normativo di riferimento incrocia la PSD2 (d.lgs. 11/2010, recepimento), il Regolamento DORA (Reg. UE 2022/2554) e le norme civilistiche sul mandato (artt. 1703-1730 c.c.).
Punti chiave
- Punto 1 — L’agente AI che dispone pagamenti deve operare entro un mandato giuridicamente definito e tracciabile.
- Punto 2 — In assenza di audit trail verificabile, la banca rischia di non poter dimostrare l’autorizzazione dell’utente.
- Punto 3 — Il Regolamento DORA impone già oggi requisiti di controllo sui sistemi AI che gestiscono operazioni finanziarie critiche.
Per uno studio legale che assiste istituti di credito, fintech o grandi aziende con tesorerie automatizzate, il salto dall’AI consultiva all’AI operativa nei pagamenti non è una questione tecnologica: è una questione di responsabilità contrattuale e regolamentare. Se l’agente sbaglia un bonifico, ritarda un pagamento o supera i limiti di spesa autorizzati, il contratto di mandato — non il codice sorgente — dice chi paga.
L’evoluzione verso l’agentic banking è descritta da Agenda Digitale, che analizza come gli agenti AI stiano passando dal ruolo di assistenti conversazionali a operatori autonomi capaci di disporre pagamenti, gestire autorizzazioni e muoversi dentro processi bancari reali, con la banca che diventa potenziale livello fiduciario di controllo.
Il contesto normativo
Il perimetro giuridico si costruisce su più livelli sovrapposti. Sul piano civilistico, gli artt. 1703-1730 c.c. disciplinano il mandato: l’agente AI agisce in nome e per conto del cliente, quindi serve un atto di conferimento del potere chiaro, scritto e con limiti definiti — altrimenti scatta la responsabilità del mandatario per eccesso di mandato (art. 1711 c.c.). Sul piano regolamentare bancario, il d.lgs. 11/2010 (recepimento PSD2) all’art. 5 impone che ogni operazione di pagamento sia autorizzata dal pagatore: se l’autorizzazione la concede un agente AI, occorre dimostrare che quell’agente aveva potere valido. Il Regolamento UE 2022/2554 (DORA), applicabile dal 17 gennaio 2025, richiede agli enti finanziari una gestione del rischio ICT con presidi specifici per i sistemi che eseguono funzioni critiche — categoria in cui rientrano ormai gli agenti di pagamento. Infine, il Regolamento UE 2024/1689 (AI Act), in vigore dal 1° agosto 2024, classifica come ad alto rischio i sistemi AI usati per l’accesso a servizi finanziari essenziali, con obblighi di trasparenza, supervisione umana e documentazione tecnica.
Cosa cambia per lo studio
- Redazione del mandato digitale. I contratti che autorizzano agenti AI a operare su conti o linee di credito devono specificare: tipologia di operazioni consentite, massimali per singola transazione, condizioni di revoca e modalità di audit. Un mandato generico espone il cliente a pagamenti non voluti e la banca a contestazioni di rimborso ex art. 11 d.lgs. 11/2010.
- Verifica dell’audit trail. In caso di controversia su un pagamento disposto da agente AI, la prova dell’autorizzazione sta nel log di sistema. L’avvocato deve saper chiedere — in sede cautelare o in discovery — la produzione degli audit trail e valutarne l’integrità come documento informatico ai sensi del d.lgs. 82/2005 (CAD), art. 20.
- Responsabilità per danni da agente AI. Se l’agente causa un danno a terzi (pagamento errato a soggetto sbagliato, doppio addebito, blocco di liquidità), la catena di responsabilità coinvolge il fornitore del sistema AI, la banca come deployer e il cliente come mandante. Mappare contrattualmente questa catena è oggi un lavoro preventivo concreto.
- Conformità DORA per i clienti fintech. Gli studi che assistono PSP o fintech devono verificare che i contratti con i fornitori di agenti AI includano le clausole di resilienza operativa e i diritti di audit imposti dal Regolamento DORA, artt. 28-30, in vigore da gennaio 2025.
- Obblighi AI Act per sistemi ad alto rischio. I clienti che sviluppano o acquistano agenti AI per pagamenti rientrano nell’Allegato III, punto 5, lettera b) dell’AI Act. Serve documentazione tecnica, registro di trasparenza e supervisione umana documentata prima della messa in produzione.
Attenzione a
Confondere il log tecnico con la prova legale. Un audit trail prodotto dalla stessa banca in causa non ha valore probatorio automatico: serve attestazione di integrità e, nei casi più rilevanti, perizia tecnica. Non accettare come sufficiente la semplice esportazione CSV dal sistema interno.
Sottovalutare il profilo penale. Se un agente AI esegue pagamenti oltre i limiti autorizzati per malfunzionamento o configurazione errata, e il cliente subisce un danno patrimoniale significativo, non escludere a priori profili di trattamento illecito di dati personali (art. 167 d.lgs. 196/2003) o di accesso abusivo a sistema informatico (art. 615-ter c.p.) quando l’agente opera su credenziali altrui senza valido titolo.
Domande frequenti
Chi risponde se un agente AI bancario esegue un pagamento non autorizzato?
La responsabilità si distribuisce tra la banca (che ha deploiato il sistema), il fornitore dell’agente AI (se il difetto è nel prodotto) e il cliente (se ha configurato limiti errati). Il punto di partenza è l’art. 11 del d.lgs. 11/2010: la banca deve rimborsare l’operazione non autorizzata salvo provi la colpa grave del pagatore. L’eventuale rivalsa sul fornitore AI dipende dal contratto di fornitura.
Come si prova in giudizio che un pagamento disposto da AI era autorizzato?
La prova sta nell’audit trail del sistema, che deve essere integro e verificabile come documento informatico ai sensi dell’art. 20 del d.lgs. 82/2005. In caso di contestazione, si può chiedere la produzione in giudizio con ordine ex art. 210 c.p.c. o in sede cautelare, e richiedere perizia tecnica sull’integrità del log per escludere alterazioni successive.
L’AI Act si applica agli agenti AI usati dalle banche per i pagamenti?
Sì. I sistemi AI usati per valutare l’accesso a servizi finanziari o per eseguire operazioni finanziarie ricadono nell’Allegato III, punto 5, lettera b) del Regolamento UE 2024/1689. Questo impone obblighi di documentazione tecnica, registro di trasparenza, supervisione umana e conformità prima della messa in produzione, con responsabilità in capo al deployer — spesso la banca o il PSP.
Fonte di riferimento: AgendaDigitale