La SEC accusa di “AI washing” ai sensi della Section 206.
Non esiste un'eccezione per la “tecnologia avanzata”.

Antifrode SEC (Section 206 dell'Advisers Act)

“I consulenti finanziari non possono travisare le capacità dell'IA nei confronti di clienti o potenziali clienti. Questo è frode, non esagerazione di marketing.”

Registro delle dichiarazioni del Vault

Ogni comunicazione con il cliente mediata dall'IA viene registrata con modello, prompt, output, dichiarazione resa, informativa mostrata e un indicatore di conformità alla Marketing Rule (206(4)-1). Leggibile dal revisore come un'unica catena.

Prova di audit: Registro di provenienza per comunicazione che il revisore può riconciliare con l'ADV e i materiali di marketing della società. Riproduci lo scambio IA reale, non un riepilogo.

NYDFS Part 500 §500.3 — Valutazione del rischio IA

“I rischi informatici specifici dell'IA (MFA vulnerabile ai deepfake, avvelenamento dei dati di addestramento, catena di fornitura del modello) devono essere valutati nell'ambito del framework Part 500 esistente. Priorità di applicazione dichiarata dal 16 ottobre 2024.”

Scansioni Guard + prove di valutazione del rischio del Vault

Lo scanner MCP rileva tool poisoning, typosquatting, manipolazione degli schemi, pattern di rug-pull, prompt injection e permessi eccessivi. I risultati vengono scritti nel Vault come registro contestuale della valutazione del rischio.

Prova di audit: Risultati di scansione con marca temporale sull'intera catena di fornitura, tracciamento della remediation per ogni riscontro, pacchetto di prove mappato sui controlli Part 500 §500.3.

CFPB ECOA / Reg B — Specificità dell'azione avversa

“I finanziatori devono fornire motivazioni specifiche e accurate quando negano il credito. “Non esiste alcuna eccezione di ‘tecnologia avanzata’ alle leggi federali sul credito al consumo.””

Codici motivo delle policy Cedar + prove di decisione del Vault

Ogni decisione creditizia restituisce la o le caratteristiche specifiche che hanno determinato l'azione — non “il modello ha detto no”, ma un'attribuzione verificabile a livello di caratteristica, adatta a una comunicazione di rifiuto.

Prova di audit: Codice motivo per richiesta con la versione della policy sottostante e gli input che l'hanno alimentata. La comunicazione si scrive da sola a partire dalla catena del Vault.

Normative statali sui prestiti equi (MA, CA, NY, IL)

“Le teorie di impatto sproporzionato restano perseguibili a livello statale dopo la modifica della regola federale ECOA, efficace dal 21 luglio 2026. La procura generale del Massachusetts ha risolto un caso di sottoscrizione creditizia con IA il 10 luglio 2025.”

Verifica cross-modello + test dry-run delle policy

Test delle policy pre-implementazione su dati sintetici di classi protette; la verifica cross-modello instrada le decisioni critiche attraverso più LLM con consenso di maggioranza sull'esito.

Prova di audit: Risultati dei test sui bias pre-implementazione per data e versione della policy; avvisi di drift quando gli esiti in corso divergono dalla baseline.

Gestione del rischio di modello (OCC SR 11-7 esteso all'IA)

“Le banche devono inventariare i modelli, validarli prima dell'implementazione, monitorarne le prestazioni e governarne il ciclo di vita. L'IA rientra nell'ambito.”

Inventario degli agenti + controlli del ciclo di vita Fleet

Metadati per agente: versione del modello, fornitore, uso previsto, data dell'ultima validazione, livello di rischio. I controlli del ciclo di vita (pausa / ripresa / arresto) vengono registrati come eventi del Vault. Interruttore di emergenza con codici motivo per singolo agente.

Prova di audit: Tracciabilità per modello, dall'implementazione alla dismissione. Il revisore percorre la catena per verificare che ogni modello in produzione disponga di validazione documentata e monitoraggio continuo.