La Commissione Europea presenta il piano d'azione dell'UE sulla cybersicurezza e l'intelligenza artificiale

La Commissione europea ha presentato un piano d'azione volto ad affrontare in modo strutturato i rischi dei modelli avanzati di intelligenza artificiale (IA) per la cybersicurezza, ma anche a valorizzare le opportunità da essi offerte.

La cybersicurezza è costantemente ridefinita da nuovi modelli avanzati di IA che possono essere utilizzati in modo improprio per identificare le vulnerabilità, automatizzare gli attacchi e aumentare la portata e la velocità degli incidenti informatici con una rapidità senza precedenti.

Sulla base del quadro giuridico senza eguali dell'UE in materia di IA e cibersicurezza, il piano d'azione riunirà gli Stati membri, l'industria e le organizzazioni a livello dell'UE per rafforzare la cibersicurezza del nostro panorama digitale contro le vulnerabilità generate dall'IA avanzata.  

Valutazione dei modelli di IA

È indispensabile comprendere in maniera approfondita in che modo sono utilizzate, lecitamente e impropriamente, e sfruttate le nuove tecnologie. A norma del regolamento sull'IA, tanto i modelli di IA avanzati quanto le misure di attenuazione devono essere oggetto di un'attenta valutazione prima che i modelli siano immessi sul mercato dell'UE.

Al fine di promuovere le competenze europee, la Commissione pubblicherà un invito specifico per istituire una struttura di valutazione dell'UE, dedicata anche alla cibersicurezza, che dovrebbe essere operativa nel 2027 e che contribuirà alla funzione normativa dell'ufficio per l'IA rafforzando la valutazione da parte di terzi delle capacità di IA e dei rischi a essa connessi a livello mondiale.

Accesso a modelli di IA avanzati

L'Europa ha inoltre bisogno di condizioni chiare e trasparenti per quanto concerne l'accesso ai sistemi di IA più avanzati.

La Commissione collaborerà con l'Agenzia dell'UE per la cybersicurezza (ENISA) per definire un modello europeo per l'accesso strutturato alle capacità avanzate di IA per la cybersicurezza, che sosterrà le organizzazioni pubbliche e private europee interessate ai fini dell'accesso a modelli di IA avanzati.

Testare l'IA a fini di cybersicurezza

L'ENISA e il Joint Research Centre della Commissione creeranno una piattaforma sicura sulla quale testare l'IA a fini di cybersicurezza, anche utilizzando ambienti simulati, per dotare gli operatori di settori critici quali la finanza, l'energia, la sanità, i trasporti e la pubblica amministrazione di competenze in materia di uso sicuro dell'IA.

Rafforzare la cybersicurezza dell'UE e correggere le vulnerabilità

L'UE deve proteggere le sue infrastrutture critiche dalle vulnerabilità derivanti dal potenziale uso improprio delle tecnologie in questione.

Come previsto dalle norme dell'UE in materia di cybersicurezza, le organizzazioni dovrebbero potenziare le pratiche di igiene informatica, le misure di gestione dei rischi e i principi della sicurezza fin dalla progettazione.  

Le organizzazioni dovrebbero iniziare a utilizzare le capacità di IA già disponibili, anche attraverso modelli open source, sia per individuare e correggere più rapidamente le vulnerabilità, sia per prevenire gli attacchi informatici e rispondervi.

Per assistere le organizzazioni in questa transizione, l'ENISA sosterrà e agevolerà i partenariati tra autorità pubbliche, imprese e comunità open source nell'ecosistema informatico, fornendo orientamenti, raccomandazioni e migliori pratiche e realizzando una campagna volta a rendere sicuri i software open source critici.  

Potenziare le capacità europee di IA per la cybersicurezza

Per stimolare l'espansione del mercato europeo, la Commissione lancerà la grande sfida dell'UE sull'IA per la cybersicurezza, un concorso che riunirà imprese, ricercatori e organizzazioni per sviluppare soluzioni di IA per la cibersicurezza.

L'UE deve continuare a investire nello sviluppo delle proprie capacità avanzate di IA sovrane, facendo leva sull'infrastruttura fornita dalle fabbriche di IA e dalle future gigafabbriche. In tale contesto lo strumento europeo di capitale per le tecnologie, annunciato nel pacchetto sulla sovranità tecnologica e di prossima approvazione, potrebbe attirare investimenti privati per potenziare le capacità interne di IA.

Contesto

L'UE dispone di un quadro giuridico idoneo ad affrontare la cybersicurezza nell'era delle tecnologie emergenti, quali l'IA. Il regolamento sull'IA impone di valutare e attenuare i rischi derivanti dai modelli di IA, mentre il codice di buone pratiche dell'IA per finalità generali specifica ulteriormente tali requisiti e facilita il conseguimento della conformità da parte dei fornitori di modelli avanzati. Tali disposizioni saranno applicate a decorrere dal 2 agosto 2026.

La Cyber Resilience Act, che sarà applicabile entro la fine del 2027, impone la sicurezza fin dalla progettazione per i prodotti hardware e software. Vi sono inoltre la direttiva sulle reti e i sistemi informativi, o direttiva NIS 2, il cui obiettivo è rafforzare la sicurezza di settori critici quali i trasporti e l'energia, e il regolamento sulla resilienza operativa digitale (DORA), che si concentra sul settore finanziario. La EU Cyber Solidarity Act rafforza le capacità dell'UE di rilevamento delle minacce e degli attacchi di cybersicurezza significativi e su vasta scala, e di preparazione e risposta agli stessi.