Il conto delle patch Mythos di Bank of America è una nuova voce di costo

Un modello di IA che trova i tuoi bug è uno strumento di produttività o un conto da pagare? Per Bank of America, in questo trimestre la risposta è stata: entrambe le cose, e il conto è arrivato per primo.

Ecco cosa sappiamo. L'amministratore delegato Brian Moynihan ha detto alla CNBC che nel secondo trimestre la banca ha inserito 1.000 collaboratori esterni per correggere falle software portate alla luce da modelli avanzati, tra cui Mythos di Anthropic. Anche The Register ha riferito delle assunzioni aggiuntive. I collaboratori sono ancora al lavoro, oltre alle circa 3.000 persone che già operavano in quell'area. Nel terzo trimestre la banca ha speso "un paio di centinaia di milioni e più" tra correzione del software e questioni di conformità antiriciclaggio, considerate insieme. Quel giorno le azioni sono arrivate a perdere l'8%.

Il messaggio di Moynihan agli investitori è che si tratta di una situazione temporanea: "Una volta che hai applicato le patch, non devi applicarne altrettante. (…) La pipeline va avanti". La banca prevede che i costi di correzione calino nel tempo.

La tesi del costo una tantum merita scetticismo

Speriamo che Moynihan abbia ragione, ma per ora non ci metteremmo la firma. Un arretrato di vecchie falle prima o poi si esaurisce. Ciò che le ha trovate non scompare. La CNBC osserva che Mythos è stato rilasciato in aprile a un piccolo gruppo di banche, aziende tecnologiche e agenzie governative, e che modelli come questo possono scoprire e sfruttare falle software vecchie di decenni. Se gli strumenti continuano a migliorare e altri ne ottengono di analoghi, il ritmo delle scoperte diventa una caratteristica permanente dell'avere grandi quantità di codice.

È una nostra lettura, non qualcosa detto da Moynihan o dalla CNBC. Ma nota la logica delle sue stesse parole: "Dobbiamo restare un passo avanti a loro". Restare avanti non è un progetto con una data di fine. Suona come una funzione stabile, più vicina a un affitto che a una ristrutturazione.

Nota anche che i 1.000 collaboratori sono ancora lì a distanza di mesi. Personale temporaneo che sopravvive a un trimestre è il modo in cui di solito iniziano i costi ricorrenti.

Il confine è sfumato, ed è questo il vero problema per gli investitori

La cifra comunicata mette insieme la correzione e il lavoro di conformità antiriciclaggio. Non possiamo dire quanta parte del "paio di centinaia di milioni e più" sia legata a Mythos. Conta, perché un costo che non puoi isolare è un costo che non puoi prevedere, e a un dirigente a cui non si può chiedere "quanto sarà l'anno prossimo?" è facile dire che scenderà.

La CNBC descrive questi commenti come tra i primi di una grande società statunitense a indicare personale e dollari per questo tipo di lavoro. Questo rende Bank of America un utile dato iniziale, e anche un promemoria del fatto che i concorrenti hanno detto poco. Silenzio non significa assenza di spesa. Ci sorprenderebbe se altre grandi banche, con un codice legacy sterminato e molti fornitori, affrontassero un problema radicalmente diverso.

La domanda da fare è chi lo mette a budget

Moynihan ha anche segnalato una dipendenza scomoda: chi sviluppa il software è anche chi cerca di vendere i servizi alle banche. La banca sta correggendo il proprio codice e quello dei fornitori, il che significa che parte del conto potrebbe finire per essere negoziata con fornitori che vogliono vendere anche la soluzione.

Nel frattempo, la storia dei risparmi è reale ma distinta. La banca ha circa 130 progetti interni di IA, con risparmi attesi in crescita da 300 milioni di dollari quest'anno a 700 milioni nel 2027, e l'organico è calato di circa 3.400 unità nell'ultimo anno. La CNBC dice che non è chiaro quanto dipenda dall'IA. La versione ordinata del racconto è che i risparmi dell'IA paghino la difesa dall'IA. Noi la tratteremmo come un'ipotesi. Una banca potrebbe benissimo registrare guadagni di produttività in un reparto mentre i costi di difesa stanno in tecnologia, rischio o conformità, senza che nessuno sia responsabile del dato netto.

Quindi cosa dovrebbe fare un azionista? Non farsi prendere dal panico, e non accettare sulla fiducia l'etichetta "temporaneo". Nelle conference call sui risultati, farei tre domande semplici: quanta parte della spesa di correzione è legata a falle scoperte dall'IA, quale organico è previsto tra un anno e quale dirigente è responsabile della cifra combinata di risparmi e difesa legati all'IA. Questa è analisi, non consulenza d'investimento, e un trimestre non risolve nulla.

Il nostro verdetto: i 1.000 collaboratori contano meno come numero che come segnale. La sicurezza legata all'IA è passata da tema del comitato rischi a voce di bilancio, e le banche che sapranno mostrare chi ne risponde meriteranno più fiducia di quelle che la definiscono una tantum.