L’Intelligenza Artificiale nella Sicurezza: Opportunità e Rischi di Governance

Negli ultimi anni, le organizzazioni stanno sempre più integrando agenti di Intelligenza Artificiale (AI) nei loro sistemi di sicurezza. Tuttavia, questo rapido progresso tecnologico ha messo in evidenza un divario preoccupante tra l’adozione di queste tecnologie e la governance necessaria per garantire la loro efficacia.

Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI stiano evolvendo più rapidamente di quanto i team di sicurezza possano rispondere. Inoltre, l’80% di questi professionisti dichiara di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza. Nonostante ciò, il lavoro di compliance continua a essere altamente manuale, con le organizzazioni britanniche che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.

Questo scenario crea il rischio che le attestazioni di controllo fornite dagli agenti AI possano riflettere solo un’apparenza di sicurezza, piuttosto che una reale efficacia. I team di sicurezza si trovano spesso a perdere tempo in attività di prova episodiche e manuali, mentre i piani di risposta agli incidenti rimangono frequentemente non testati.

La Necessità di una Governance Efficace

Per colmare questo divario, è fondamentale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, nonché l’identificazione dell’AI integrata nei servizi SaaS. È essenziale anche monitorare il cosiddetto “shadow AI”, trattando ogni agente come un attore autonomo con identità propria e accessi limitati al minimo necessario.

Prima di implementare un agente AI, le organizzazioni devono definire chiaramente quali dati possono essere accessibili, dove è necessaria l’approvazione umana e come annullare eventuali azioni. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono sempre essere soggette a supervisione umana significativa.

Controlli Continuativi e Pressione Regolatoria

È cruciale applicare controlli in modo continuo attraverso meccanismi runtime, come least-privilege, permessi just-in-time e segmentazione. L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill, accentua il rischio che la compliance si trasformi in una mera “security theatre”. L’automazione, se non gestita correttamente, rischia di accelerare questo fenomeno, rendendo le pratiche di sicurezza statiche e inefficaci.

La soluzione proposta è quella di spostare l’obiettivo della compliance, facendola diventare una conseguenza di pratiche di sicurezza dinamiche ed efficaci. È fondamentale armonizzare segnali di rischio, controlli e evidenze in tempo reale per garantire una gestione efficace dei rischi.

Conclusione: L’AI come Fattore di Rischio e Strumento di Governance

In definitiva, l’Intelligenza Artificiale rappresenta sia un nuovo fattore di rischio che uno strumento potente per gestire altri rischi. I programmi di governance efficaci possono semplificare il percorso di approvazione e mantenere la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare quali dati hanno accesso, perché e chi ha autorizzato le loro azioni, garantendo così una maggiore trasparenza e responsabilità nel loro utilizzo.