Il KYC, Know Your Customer, è uno dei processi più regolamentati e più costosi che le aziende del settore finanziario, assicurativo e dei servizi digitali devono gestire. Raccogliere i documenti di identità, verificarli, abbinarli a un volto reale, incrociare i dati con le liste di controllo antiriciclaggio: fino a pochi anni fa tutto questo richiedeva ore di lavoro manuale per ogni nuovo cliente. L'AI ha cambiato l'equazione, riducendo drasticamente i tempi e i costi. Ma ha anche creato un problema nuovo: le stesse tecnologie che accelerano la verifica vengono usate per falsificarla.
Il trente percento che cambia tutto
Nel febbraio 2024, Gartner ha pubblicato una previsione che ha ridefinito il perimetro del problema: entro il 2026, gli attacchi che usano deepfake generati da AI contro i sistemi di riconoscimento facciale porteranno il 30% delle aziende a considerare inaffidabili, se usati in isolamento, i propri sistemi di verifica dell'identità e autenticazione basati sulla biometria.
La dichiarazione di Akif Khan, VP Analyst di Gartner, chiarisce la natura del rischio: le organizzazioni non riusciranno più a distinguere se il volto presentato durante la verifica appartiene a una persona reale o a un deepfake. I sistemi di presentation attack detection, progettati per verificare la presenza fisica di una persona, non coprono gli attacchi di injection, in cui un'immagine sintetica viene inserita direttamente nel flusso dati prima che raggiunga il sistema di analisi. Gli standard e i processi di test attuali, secondo Gartner, non sono stati progettati per questo tipo di attacco.
Gli attacchi di injection sono cresciuti del 200% in un anno
Il dato che accompagna questa previsione è altrettanto significativo: Gartner ha rilevato che gli attacchi di injection sono cresciuti del 200% nel corso del 2023. Non si tratta di un fenomeno emergente in fase sperimentale: è già una minaccia operativa per qualsiasi organizzazione che utilizzi la biometria facciale come componente del proprio processo di onboarding o autenticazione.
La risposta tecnica richiede una combinazione di tre livelli di difesa: presentation attack detection per gli attacchi fisici tradizionali, injection attack detection per gli attacchi digitali, e image inspection per identificare le anomalie nei contenuti sintetici. Nessuno dei tre è sufficiente da solo. Gartner raccomanda esplicitamente di selezionare fornitori che dimostrino di avere capacità su tutti e tre i fronti, con un piano di aggiornamento continuo man mano che le tecniche di attacco evolvono.
I deepfake sono già dentro le aziende
Il problema non riguarda solo i processi di onboarding clienti. In una survey condotta tra marzo e maggio 2025 su 302 responsabili della cybersecurity, Gartner ha rilevato che il 62% delle organizzazioni ha subito un attacco deepfake che coinvolgeva social engineering o lo sfruttamento di processi automatizzati negli ultimi dodici mesi. Il 43% ha segnalato almeno un incidente in una chiamata audio, il 37% in una videochiamata.
Una survey separata condotta nel 2024 su 456 CEO e altri dirigenti senior ha rilevato che il 62% ritiene che i deepfake creeranno almeno alcuni costi operativi e complicazioni per le proprie organizzazioni nei prossimi tre anni. La percezione del rischio a livello di vertice aziendale è quindi già presente. La capacità di risposta, in molti casi, è ancora in costruzione.
Gartner descrive i deepfake come una minaccia che ha raggiunto la fase mainstream per quanto riguarda phishing, social engineering e impersonificazione. Gli attacchi sull'infrastruttura delle applicazioni GenAI e le manipolazioni basate su prompt sono invece ancora nella fase emergente, ma in crescita: il 29% dei responsabili cybersecurity ha dichiarato che la propria organizzazione ha subito un attacco sull'infrastruttura di applicazioni GenAI enterprise negli ultimi dodici mesi.
Cinque aree dove il KYC crea valore oltre la compliance
Il Magic Quadrant per l'Identity Verification, pubblicato da Gartner ad agosto 2025, identifica cinque aree in cui la verifica dell'identità produce valore concreto per le organizzazioni. La prima è la compliance normativa, con gli obblighi KYC e AML che richiedono la verifica dell'identità prima di stabilire qualsiasi relazione commerciale, in particolare nel settore finanziario. La seconda è l'onboarding, sia di clienti che di dipendenti e lavoratori da remoto. La terza è la sicurezza degli account, con la verifica usata per il recupero delle credenziali e la gestione degli accessi. La quarta è la prevenzione delle frodi, con la rilevazione di identità rubate o sintetiche e la protezione delle transazioni ad alto rischio. La quinta è la fiducia e la sicurezza nei marketplace digitali, nelle reti di identità portabile e nell'economia dei lavoratori autonomi.
Questa classificazione è rilevante perché sposta la conversazione sul KYC dalla pura compliance verso il valore di business. Un processo di verifica dell'identità ben progettato non è solo un adempimento normativo: è un fattore che influenza direttamente la qualità dell'onboarding, il tasso di abbandono nella fase di registrazione e la capacità di rilevare le frodi prima che producano danni.
La corsa agli armamenti tra AI offensiva e difensiva
Il Gartner Hype Cycle for Fraud and Financial Crime Prevention del 2025 descrive la situazione in atto come una corsa agli armamenti: i truffatori usano la GenAI per creare identità false e automatizzare gli attacchi, mentre le banche e le organizzazioni di difesa usano modelli di machine learning avanzati per rilevare anomalie, riaddestrare i sistemi e sviluppare dati sintetici per l'addestramento sicuro dei modelli di rilevamento.
I controlli statici sull'identità sono diventati insufficienti. Le organizzazioni si stanno spostando verso la biometria comportamentale, che analizza gesti, sequenze di tasti e pattern di utilizzo dei dispositivi per identificare le frodi e supportare l'autenticazione continua durante tutta la sessione, non solo al momento dell'accesso iniziale. Anche l'intelligenza sul dispositivo, che rileva anomalie come l'uso di emulatori, dispositivi compromessi o discrepanze geografiche, sta diventando un componente standard dei flussi KYC e AML.
Il risultato è che il KYC moderno non è più un singolo controllo puntuale, ma un processo continuo che accompagna l'intera relazione con il cliente. Ogni transazione, ogni accesso, ogni cambio di comportamento diventa un segnale che il sistema può valutare per aggiornare il profilo di rischio in tempo reale.
Cosa devono fare le organizzazioni oggi
Gartner indica tre direzioni operative per i responsabili della sicurezza e della gestione del rischio. La prima è combinare presentation attack detection, injection attack detection e image inspection: nessuna delle tre tecnologie è sufficiente da sola contro le minacce attuali. La seconda è aggiungere segnali di rischio aggiuntivi come l'identificazione del dispositivo e l'analisi comportamentale, per aumentare la capacità di rilevamento degli attacchi sui processi di verifica. La terza è selezionare fornitori che dimostrino di monitorare, classificare e quantificare i nuovi tipi di attacco, con un piano esplicito per evolvere le proprie capacità oltre gli standard correnti, che Gartner considera già inadeguati rispetto alle minacce disponibili oggi.
L'automazione del KYC con l'AI rimane un obiettivo valido: riduce i tempi di onboarding, abbassa i costi operativi e migliora la coerenza del processo. Ma richiede un livello di sofisticazione nella difesa che molte implementazioni attuali non hanno ancora raggiunto.
