La Governance dell’Intelligenza Artificiale: Rischi e Soluzioni per la Sicurezza

Negli ultimi anni, le organizzazioni hanno iniziato a fare affidamento su agenti di intelligenza artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance di questi sistemi non è riuscita a tenere il passo con l’adozione crescente, creando un divario preoccupante tra l’apparenza di controllo e la reale efficacia delle misure di sicurezza.

Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI si evolvano più rapidamente di quanto i team possano rispondere. Inoltre, l’80% degli intervistati ha dichiarato di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza.

Nonostante l’adozione elevata, il lavoro di compliance rimane prevalentemente manuale. Le organizzazioni britanniche segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Questo approccio manuale non solo è inefficiente, ma aumenta anche il rischio di trascurare minacce concrete che possono cambiare rapidamente.

Per ridurre il divario esistente, è fondamentale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il controllo del cosiddetto “shadow AI”. Ogni agente deve essere trattato come un nuovo attore con un’identità propria, accessi limitati e senza account di servizio condivisi con privilegi estesi.

Prima di implementare un agente AI, è cruciale definire chiaramente quali dati può accedere, quali informazioni può visualizzare e dove è necessaria l’approvazione umana. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono essere soggette a supervisione umana significativa per garantire la sicurezza.

I controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico. Questi strumenti possono ridurre il raggio d’azione in caso di errore, minimizzando i rischi associati all’uso dell’AI.

Con l’aumento della pressione normativa, come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, cresce il rischio che la compliance si trasformi in una mera facciata, nota come “security theatre”. L’automazione, se non gestita correttamente, potrebbe accelerare questo fenomeno, specialmente se rimane ancorata a checklist statiche.

Per affrontare queste sfide, è necessario spostare l’obiettivo della compliance, rendendola una conseguenza di pratiche di sicurezza efficaci e dinamiche. È fondamentale armonizzare segnali di rischio, controlli e evidenze in tempo reale per garantire un approccio proattivo alla sicurezza.

In conclusione, l’AI rappresenta sia un nuovo fattore di rischio sia uno strumento per gestire altri rischi. I programmi di governance efficaci possono semplificare il percorso di approvazione, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni, garantendo così un livello di trasparenza e responsabilità necessario in un contesto di crescente complessità.