L’obiettivo principale è garantire che gli standard tecnici e le linee guida operative siano completamente definiti e pronti prima che scattino gli obblighi di conformità, riducendo l’impatto economico e burocratico stimato per le aziende. Il motivo è che il cuore dell’AI Act è un modello di gestione che ricalca concetti già ben noti a chi si occupa di cyber security: identificazione dei rischi, valutazione continua, monitoraggio, governance, accountability e gestione della supply chain.
Ne parliamo con Paolo Ballanti, Head of Sales di Cyberating.
Perché un regolamento sull’intelligenza artificiale parla anche di cybersecurity?
Perché un sistema di AI è affidabile solo se è anche sicuro. L’articolo 15 dell’AI Act richiede che i sistemi ad alto rischio garantiscano adeguati livelli di accuratezza, robustezza e cyber security lungo tutto il loro ciclo di vita. La sicurezza informatica, quindi, non è un requisito accessorio: è una condizione essenziale perché un sistema AI possa essere considerato affidabile. Per i sistemi AI ad alto rischio, l’organizzazione deve assicurarsi che i rischi di cybersecurity rilevanti per il sistema siano identificati, gestiti e monitorati durante il ciclo di vita, considerando anche l’infrastruttura tecnologica e i soggetti esterni da cui il sistema dipende.
Come si traduce questo sul piano operativo?
Sul piano operativo significa integrare la valutazione del sistema AI con la conoscenza dell’ambiente digitale in cui esso opera: infrastrutture, servizi cloud, API, componenti software e fornitori. Un Cyber Risk Rating può contribuire a questa valutazione, offrendo una lettura indipendente della postura di sicurezza dell’organizzazione e dei soggetti terzi coinvolti.
Perché l’AI Act richiede un processo continuo di gestione del rischio, e non una valutazione una tantum?
Perché il principio di fondo del regolamento è che la gestione del rischio non può essere un’attività occasionale. Per i sistemi AI ad alto rischio è richiesto un sistema strutturato di Risk Management che accompagni l’intero ciclo di vita del sistema: identificazione, valutazione, mitigazione, monitoraggio e aggiornamento continuo. È lo stesso paradigma già adottato da anni nella gestione del cyber risk.
Cosa cambia rispetto a una compliance “fotografia”?
Si passa da valutazioni statiche — utili solo al momento in cui vengono fatte — a un monitoraggio continuo della postura di sicurezza, capace di evidenziare le variazioni del livello di rischio nel tempo e di supportare decisioni tempestive basate su evidenze oggettive, non su percezioni.
In pratica, come cambia la supply chain quando ci sono di mezzo sistemi di AI?
Cambia perché oggi un servizio di AI raramente dipende da un solo fornitore: nella maggior parte dei casi è il risultato di una catena composta da più soggetti — il provider del modello, il cloud provider, componenti software e API, dataset e servizi esterni, integratori, componenti open source. Ma il punto non è solo che l’AI Act, come NIS2 e DORA, chiede di mappare e valutare questa catena. Il punto è che cambia la natura stessa del rapporto con questi fornitori: un provider di AI che ieri sarebbe stato considerato un normale fornitore software, oggi può diventare un fornitore rilevante per i processi decisionali, operativi o produttivi dell’organizzazione — non più uno strumento accessorio, ma un componente che partecipa attivamente ad attività core. I criteri di due diligence e monitoraggio non possono più fermarsi alla sicurezza “di base” — certificazioni, SLA, clausole contrattuali — ma devono includere una valutazione continua della postura di rischio di questi fornitori.
Il Cyber Risk Rating può aiutare concretamente la governance dell’AI? E in che modo?
Sì, e in modo piuttosto diretto. L’AI Act introduce una forte responsabilizzazione del management: le aziende devono poter dimostrare di aver preso decisioni consapevoli e basate sul rischio. Per farlo, servono indicatori sintetici, oggettivi e facilmente interpretabili — non report tecnici di decine di pagine.
Che cosa offre in concreto un rating di questo tipo?
Un Cyber Risk Rating trasforma migliaia di evidenze tecniche in un indicatore unico, confrontabile nel tempo e facilmente comunicabile a CDA, funzioni di Audit, Compliance e altri stakeholder. Il valore non sta solo nel punteggio in sé, ma nella possibilità di misurare l’efficacia delle azioni di miglioramento intraprese e di supportare decisioni documentabili — coerenti con i principi di governance richiesti dalle nuove normative europee.
AI Act, NIS2 e DORA sono normative separate: si può dire che condividano comunque la stessa filosofia?
Sì, anche se hanno ambiti di applicazione diversi, le tre normative convergono su alcuni principi comuni: approccio basato sul rischio; governance documentata; monitoraggio continuo; responsabilità del management; gestione della supply chain; evidenze misurabili.
Cosa significa questo per chi deve pianificare gli investimenti in sicurezza?
Che investire oggi in una piattaforma di Cyber Risk Management non serve solo alla compliance NIS2 o DORA, ma contribuisce a costruire le fondamenta organizzative necessarie anche per affrontare l’AI Act. AI Act, NIS2 e DORA parlano lingue diverse ma raccontano la stessa storia: il rischio va misurato, governato e comunicato in modo continuo — non gestito a compartimenti stagni o “a normativa”.