L’intelligenza artificiale (IA) sta cambiando rapidamente il modo in cui vengono individuate e affrontate le minacce informatiche. Se utilizzata correttamente, può rappresentare uno strumento prezioso per migliorare la protezione dei sistemi digitali, individuare più rapidamente eventuali vulnerabilità e prevenire gli attacchi. Allo stesso tempo, però, può essere sfruttata anche dai criminali informatici per creare minacce più sofisticate, automatizzare gli attacchi e renderli più mirati.
Per rispondere a queste nuove esigenze, il 7 luglio la Commissione europea ha presentato un piano d’azione sulla cibersicurezza e intelligenza artificiale (Action Plan on Cybersecurity and Artificial Intelligence), con l’obiettivo di promuovere un uso sicuro e responsabile dei modelli avanzati di IA e rafforzare la protezione dello spazio digitale europeo. Il Piano coinvolge Stati membri, imprese e organizzazioni dell’UE puntando a creare un approccio comune in grado di conciliare innovazione tecnologica e sicurezza digitale.
ll nuovo Piano d’azione si inserisce in un sistema di regole europee già articolato, che mira a garantire maggiore sicurezza nell’utilizzo delle tecnologie emergenti. Tra gli strumenti principali figura il Regolamento sull’intelligenza artificiale (AI Act), che introduce obblighi specifici per i fornitori di modelli di IA avanzati, chiamati a valutare e ridurre i rischi connessi al loro utilizzo. A supporto del regolamento, il Codice di buone pratiche per l’IA per finalità generali fornisce indicazioni operative per aiutare gli sviluppatori a rispettare i requisiti previsti dalla normativa. Le disposizioni relative ai modelli di IA per finalità generali entreranno in applicazione dal 2 agosto 2026.
A questo quadro si aggiungono altri strumenti fondamentali per la sicurezza digitale europea. Il Regolamento sulla ciberresilienza (Cyber Resilience Act), applicabile entro la fine del 2027, introduce il principio della “security by design”, prevedendo che prodotti hardware e software siano progettati fin dall’origine con adeguati requisiti di sicurezza. La direttiva NIS 2 rafforza invece la protezione delle reti e dei sistemi informativi nei settori essenziali, come energia, trasporti, sanità e infrastrutture digitali, mentre il Regolamento DORA punta ad accrescere la resilienza operativa digitale del settore finanziario, affinché banche, assicurazioni e altri operatori siano in grado di prevenire, gestire e superare gli attacchi informatici.
Completa questo quadro, il Regolamento sulla cibersolidarietà che potenzia la capacità dell’UE di individuare tempestivamente le minacce informatiche, prepararsi agli incidenti su larga scala e coordinare una risposta efficace tra gli Stati membri.
Gli obiettivi e le azioni del Piano UE
Il Piano d’azione si basa su tre obiettivi principali: garantire un uso sicuro e responsabile dei modelli avanzati di IA, rafforzare la sicurezza e la resilienza informatica dell’UE e sviluppare capacità europee di intelligenza artificiale applicate alla cibersicurezza.
Valutare e rendere più sicuri i modelli di IA
Un primo obiettivo riguarda la necessità di comprendere meglio il funzionamento dei modelli avanzati di IA e i possibili rischi derivanti dal loro utilizzo, sia legittimo sia improprio. In linea con quanto previsto dall’AI Act, i modelli di IA avanzati e le misure adottate per ridurne i rischi dovranno essere sottoposti a valutazioni approfondite prima della loro immissione sul mercato europeo. Per rafforzare le competenze in questo settore, la Commissione istituirà una struttura europea di valutazione dedicata anche alla cibersicurezza, operativa dal 2027, che supporterà l’Ufficio per l’IA nella valutazione indipendente delle capacità e dei rischi dei sistemi di intelligenza artificiale.
Utilizzare l’IA per migliorare la cibersicurezza
L’Europa ha inoltre bisogno di condizioni sicure e trasparenti per accedere ai sistemi di IA più avanzati e utilizzarli nel campo della sicurezza informatica. A questo scopo, la Commissione collaborerà con l’Agenzia dell’Unione europea per la cibersicurezza (ENISA) per definire un modello europeo di accesso strutturato ai sistemi di IA avanzati destinati alla cibersicurezza, favorendone l’utilizzo da parte di organizzazioni pubbliche e private. ENISA e il Centro comune di ricerca della Commissione svilupperanno inoltre una piattaforma sicura per testare l’impiego dell’IA nella cibersicurezza, anche attraverso ambienti simulati. L’obiettivo è fornire strumenti e competenze agli operatori di settori strategici come finanza, energia, sanità, trasporti e pubblica amministrazione.
Il Piano incoraggia inoltre le organizzazioni a utilizzare le capacità già disponibili dell’IA per individuare e correggere più rapidamente le vulnerabilità, prevenire gli attacchi e migliorare la risposta agli incidenti informatici. ENISA sosterrà questa transizione favorendo la collaborazione tra autorità pubbliche, imprese e comunità open source, attraverso orientamenti, raccomandazioni e buone pratiche, oltre a iniziative per rendere più sicuri i software open source considerati critici.
Rafforzare le capacità europee nel settore dell’IA applicata alla cibersicurezza
Un ulteriore obiettivo riguarda lo sviluppo di un settore europeo competitivo dell’IA applicata alla cibersicurezza. Per questo motivo, la Commissione lancerà la Grande sfida dell’UE sull’IA per la cibersicurezza, un’iniziativa che riunirà imprese, ricercatori e organizzazioni per favorire lo sviluppo di nuove soluzioni tecnologiche. Parallelamente, l’UE continuerà a investire nello sviluppo di capacità avanzate e autonome di IA, anche attraverso le infrastrutture delle fabbriche di IA e delle future gigafabbriche. Il futuro strumento europeo di capitale per le tecnologie potrà inoltre contribuire ad attirare investimenti privati e rafforzare le capacità europee nel settore.
L’intelligenza artificiale sta modificando profondamente il modo in cui viene affrontata la cibersicurezza. Per questo è necessario aggiornare continuamente strategie, strumenti e competenze, mantenendo un equilibrio tra innovazione e protezione. Con il nuovo Piano d’azione, l’UE punta a sfruttare le competenze, le infrastrutture e il quadro normativo già disponibili per affrontare le vulnerabilità legate alle tecnologie emergenti e costruire un ambiente digitale più sicuro e affidabile per cittadini, imprese e istituzioni.
