KYC e onboarding digitale: guida e tendenze per il settore bancario

Nel settore fintech e bancario, il KYC (Know Your Customer) — o onboarding dei clienti — è la procedura di analisi che un istituto finanziario svolge di fronte alla richiesta di un potenziale cliente di avviare un rapporto commerciale. Il suo scopo è opporre una solida governance del rischio alla possibilità che il nuovo cliente compia reati finanziari: dal furto d'identità al finanziamento del terrorismo, passando per il riciclaggio di denaro.

Il ruolo di questo insieme di misure è dunque molteplice:

• Verificare l'identità del cliente attraverso documenti e strumenti di identificazione riconosciuti
• Valutare il rischio di reati finanziari associato al profilo del cliente
• Mettere la banca al riparo dalle conseguenze legali di tali reati
• Garantire la conformità alle normative vigenti, nazionali ed europee

Naturalmente, tali misure devono essere tanto più solide quanto più è delicato il rapporto commerciale che il cliente vuole instaurare. Un conto corrente di base richiede una verifica standard, mentre prodotti ad alto rischio richiedono una due diligence rafforzata.

Le procedure di onboarding digitale sono oggi normate da diverse leggi e linee guida nazionali ed europee. Ecco le principali.

La normativa nazionale antiriciclaggio ha il suo fulcro nel Decreto Antiriciclaggio (D.Lgs 231/2007). Essa obbliga i clienti a fornire "per iscritto, sotto la propria responsabilità, tutte le informazioni necessarie e aggiornate per consentire ai soggetti obbligati di adempiere agli obblighi di adeguata verifica" (art. 22). La legge impone inoltre l'astensione dalla creazione del rapporto commerciale qualora la banca non sia in grado di portare a termine tale verifica della clientela (customer due diligence o CDD).

Il Codice dell'Amministrazione Digitale (CAD) stabilisce che il documento informatico ha valore legale equiparabile alla forma scritta quando vi è apposta una firma digitale, una firma elettronica qualificata o avanzata, oppure quando è formato tramite un processo che garantisce sicurezza, integrità e immodificabilità, previa identificazione informatica dell'autore (art. 20).

Il GDPR (Reg. UE 2016/679) stabilisce invece le modalità con le quali devono essere trattati i dati personali dei clienti in qualunque fase del processo, incluse quelle di verifica e analisi dell'identità.

In un panorama tecnologico, normativo e commerciale in continua evoluzione, le banche e le imprese fintech si trovano di fronte a sfide sempre più pressanti. Le tre più rilevanti sono le seguenti.

• Garantire un'esperienza soddisfacente per il cliente. Oggi i clienti si aspettano esperienze fluide, semplici e senza intoppi. Una procedura KYC troppo complessa, o una tecnologia lenta e farraginosa, possono rappresentare un importante svantaggio competitivo. Il rischio di abbandono durante il processo di onboarding è reale e direttamente misurabile.
• Prevenire efficacemente le frodi. Le tecnologie al servizio delle frodi evolvono rapidamente: dall'intelligenza artificiale generativa alle tecniche di hacking sempre più sofisticate, i tentativi di furto d'identità e le frodi creditizie sono in costante aumento. Il riconoscimento facciale e la verifica biometrica dei documenti stanno diventando strumenti imprescindibili per rispondere a questa minaccia.
• Mantenere la conformità normativa. Il panorama normativo non è affatto statico: riflette il dinamismo del mondo digitale. Le leggi nazionali e sovranazionali evolvono rapidamente per rimanere al passo con le nuove esigenze in termini di sicurezza e privacy, e gli istituti finanziari devono garantire la propria conformità in modo continuativo.

Nonostante le sfide, l'adozione di un processo di onboarding digitale strutturato e conforme porta benefici concreti agli istituti finanziari e ai loro clienti:

• Riduzione dei tempi di contrattualizzazione: i processi automatizzati — dalla verifica documentale alla firma elettronica — accelerano sensibilmente l'ingresso del cliente, riducendo i tempi di attesa da giorni a minuti.
• Ottimizzazione del lavoro dei team interni: l'automazione di attività ripetitive (estrazione dati, verifica OCR, controllo documenti) libera i team da compiti a basso valore aggiunto, permettendo loro di concentrarsi sui casi ad alto rischio.
• Miglioramento della conversione: un'esperienza di onboarding fluida riduce il tasso di abbandono e migliora la soddisfazione del cliente sin dal primo contatto con la banca.
• Gestione dinamica del ciclo di vita del cliente: i sistemi digitali consentono di aggiornare continuamente il profilo di rischio del cliente nel tempo, non solo al momento dell'apertura del conto, in linea con i requisiti della due diligence dinamica previsti dall'AMLR (art. 26).
• Riduzione delle frodi: l'integrazione di tecnologie avanzate di verifica dell'identità — come il riconoscimento facciale e l'analisi documentale con IA — riduce significativamente il rischio di frodi creditizie e furto d'identità.

La più importante novità normativa dei prossimi anni è la piena applicazione, a partire dal 10 luglio 2027, del nuovo Regolamento europeo antiriciclaggio (Anti-Money Laundering Regulation, o AMLR, Reg. UE 2024/1624) in tutti e 27 gli stati dell'UE. Il regolamento creerà un "Testo unico" europeo che andrà ad armonizzare le legislazioni nazionali, colmando le lacune normative esistenti.

Il pacchetto AML europeo ha già istituito l'Autorità europea per l'anti-riciclaggio (AMLA), creata dal Regolamento (UE) 2024/1620 e operativa dal 1° luglio 2025 a Francoforte. Con la piena applicazione dell'AMLR nel luglio 2027, AMLA assumerà progressivamente un ruolo diretto di vigilanza e sanzionamento nei confronti degli istituti finanziari non conformi alle norme anti-riciclaggio.

Gli istituti finanziari dovranno adeguarsi a due obblighi fondamentali:

• Due diligence dinamica. L'adeguata verifica della clientela (CDD) non sarà più un processo svolto una sola volta all'apertura del conto. Andrà costantemente aggiornato: ai sensi dell'art. 26(2) dell'AMLR, i clienti ad alto rischio dovranno essere soggetti a verifiche con una frequenza massima di un anno, i clienti a rischio non elevato almeno ogni cinque anni.
• Raccolta dati semplificata. In un'ottica di minimizzazione dei dati personali, misure come la raccolta della storia professionale completa o la prova dell'origine dei fondi saranno limitate ai casi che richiedono una due diligence rafforzata (EDD). I clienti standard avranno invece accesso a verifiche semplificate (SDD).

CDD standard vs. due diligence rafforzata (EDD) — Fonte: art. 26(2) AMLR (Reg. UE 2024/1624)

L'altra novità fondamentale riguarda l'EUDI Wallet, l'identità digitale europea prevista dal regolamento eIDAS 2.0 (Reg. UE 2024/1183): gli Stati membri sono tenuti a rendere il portafoglio disponibile ai propri cittadini entro il 24 dicembre 2026, mentre l'obbligo per imprese e pubbliche amministrazioni di accettarlo come mezzo di identificazione scatterà entro il 24 dicembre 2027.

Grazie all'EUDI Wallet, i cittadini potranno certificare la propria identità senza dover condividere completamente i loro documenti con enti e imprese. La verifica dell'identità non sarà quindi un obbligo interamente attribuito alla banca, ma avverrà all'interno di una catena di fiducia digitale europea che coinvolge diversi soggetti e un sistema di certificazione forte.

Ecco le principali tecnologie che rendono possibile un digital onboarding efficiente, sicuro e conforme nel settore bancario.

Il riconoscimento ottico dei caratteri consente un'analisi automatizzata dei documenti a partire da un'immagine prodotta dal cliente, ad esempio con un semplice smartphone. I dati vengono estratti, strutturati e validati in pochi secondi, eliminando l'inserimento manuale e riducendo gli errori.

I modelli linguistici di grandi dimensioni (Large Language Models o LLM) sono in grado di estrarre, strutturare e convalidare automaticamente i dati dei documenti. L'IA consente inoltre di analizzare le immagini per rilevare alterazioni, contraffazioni o segnali di potenziale frode, migliorando l'accuratezza della verifica dell'identità.

Le firme elettroniche ad alto livello di sicurezza — come la firma digitale e la firma elettronica avanzata — sono indispensabili per la sottoscrizione a norma di legge dei documenti digitali: il contratto per l'apertura di un conto corrente, l'accensione di un prestito o qualsiasi documento commerciale con pieno valore legale.

Dagli attuali SPID e CIE al futuro EUDI Wallet, i portafogli digitali consentono uno scambio protetto di informazioni che non espone direttamente i dati degli utenti. Rappresentano la risposta tecnologica più robusta alle esigenze di identificazione remota sicura, e diventeranno sempre più centrali nelle procedure di KYC nei prossimi anni.

La blockchain consente la costruzione di sistemi d'identità in cui i dati personali sono nel pieno controllo del cittadino. Grazie alla sua natura distribuita e immutabile, garantisce l'integrità dei dati e la trasparenza delle transazioni, aprendo nuove prospettive per la gestione decentralizzata dell'identità digitale.

Un processo di KYC digitale efficace non dipende solo dalla tecnologia adottata, ma anche dall'approccio metodologico. Ecco le pratiche fondamentali per garantire conformità e qualità nel tempo.

Il KYC e l'onboarding digitale sono oggi al centro della trasformazione del settore bancario: non si tratta solo di adempiere a obblighi normativi, ma di costruire una relazione di fiducia con il cliente fin dal primo contatto. Le banche che investono in tecnologie robuste, processi conformi e un'esperienza utente fluida saranno meglio posizionate per affrontare le sfide del 2027 — dalla piena applicazione dell'AMLR (10 luglio 2027) alla disponibilità dell'EUDI Wallet (dicembre 2026) e all'obbligo di accettarlo (dicembre 2027).

Integrare firma elettronica, verifica documentale automatizzata e identità digitale non è più un vantaggio competitivo: è il nuovo standard del settore.