AI Act, la cybersecurity diventa centrale: «La gestione del rischio dovrà essere continua»

L’entrata in vigore dell’AI Act segna un cambio di paradigma per le aziende che sviluppano o utilizzano sistemi di intelligenza artificiale. Il regolamento europeo punta infatti a garantire che standard tecnici e linee guida operative siano pienamente definiti prima dell’avvio degli obblighi di conformità, riducendo l’impatto economico e organizzativo sulle imprese.

Tra gli aspetti centrali della normativa c’è la cybersecurity, considerata un elemento essenziale per assicurare affidabilità, trasparenza e sicurezza dei sistemi di AI. Ne abbiamo parlato con Paolo Ballanti, Head of Sales di Cyberating.

“Un sistema AI è affidabile solo se è sicuro”

Secondo Ballanti, l’AI Act lega strettamente intelligenza artificiale e sicurezza informatica.

«L’articolo 15 del regolamento richiede che i sistemi di AI ad alto rischio garantiscano accuratezza, robustezza e cybersecurity durante tutto il loro ciclo di vita. La sicurezza non rappresenta quindi un requisito aggiuntivo, ma una condizione indispensabile per poter considerare affidabile un sistema di intelligenza artificiale».

Le organizzazioni dovranno identificare, gestire e monitorare in modo continuo i rischi informatici che riguardano sia il sistema AI sia l’infrastruttura tecnologica e i fornitori coinvolti.

Dal controllo periodico al monitoraggio continuo

Uno dei principali cambiamenti introdotti dall’AI Act riguarda il superamento della logica delle verifiche occasionali.

La normativa impone infatti un processo permanente di gestione del rischio, basato su identificazione, valutazione, mitigazione, monitoraggio e aggiornamento costante delle misure di sicurezza.

«Non sarà più sufficiente una fotografia della situazione in un determinato momento – spiega Ballanti – ma servirà un monitoraggio continuo della postura di sicurezza per individuare tempestivamente eventuali variazioni del livello di rischio».

Cambia anche la gestione della supply chain

L’attenzione del regolamento si estende anche ai fornitori.

Oggi un sistema di intelligenza artificiale è spesso composto da numerosi soggetti: provider dei modelli, servizi cloud, API, componenti software, dataset, integratori e librerie open source.

Per questo motivo, secondo Ballanti, la due diligence non potrà limitarsi alla verifica di certificazioni o clausole contrattuali, ma dovrà includere una valutazione continua della sicurezza dell’intera filiera.

Il ruolo del Cyber Risk Rating

Per affrontare queste nuove responsabilità, il Cyber Risk Rating rappresenta uno strumento utile alla governance aziendale.

Attraverso un indicatore sintetico, il sistema consente di trasformare migliaia di evidenze tecniche in un dato facilmente interpretabile dal management, dai consigli di amministrazione e dalle funzioni di audit e compliance.

«Il valore – sottolinea Ballanti – non risiede soltanto nel punteggio, ma nella possibilità di misurare nel tempo l’efficacia delle azioni intraprese e documentare decisioni basate su elementi oggettivi».

AI Act, NIS2 e DORA: un approccio comune

Pur disciplinando ambiti differenti, AI Act, NIS2 e DORA condividono una stessa impostazione metodologica.

Le tre normative europee si fondano infatti su alcuni principi comuni: approccio basato sul rischio, governance documentata, monitoraggio continuo, responsabilità del management, controllo della supply chain ed evidenze misurabili.

Per le aziende questo significa che investire oggi in strumenti di Cyber Risk Management non rappresenta soltanto un percorso verso la conformità normativa, ma costituisce anche un investimento strategico per rafforzare la resilienza e la governance dell’intelligenza artificiale.

---

About The Author