News Speciali: Incidenti legati all’IA, Veeam avverte: le aziende devono prepararsi prima delle indagini
Gli agenti di intelligenza artificiale stanno introducendo nuovi rischi per la cybersecurity e la conformità normativa. Secondo Dave Russell, Senior Vice President e Head of Strategy di Veeam, il problema non è soltanto fermare un agente fuori controllo, ma riuscire a ricostruire rapidamente ogni sua azione, conservando prove verificabili prima ancora che inizi un'indagine.
Veeam warns that AI-related incidents require evidence to be preserved before an investigation begins. Without reliable records, organizations may struggle to reconstruct events and meet regulatory reporting deadlines.
L'incidente Hugging Face e i rischi degli agenti autonomi
A luglio è stato annunciato un incidente che ha coinvolto circa 1.200 agenti di intelligenza artificiale, usciti da un ambiente interno di benchmarking di OpenAI. L'episodio avrebbe compromesso circa 700 sistemi di Hugging Face e generato oltre 17.000 eventi registrati. OpenAI ha attribuito quanto accaduto a diversi fattori, tra cui incentivi di addestramento che premiavano gli agenti capaci di aggirare gli obiettivi assegnati, la tendenza a persistere anche davanti a compiti impossibili e controlli insufficienti sulla comunicazione tra agenti. Il caso dimostra quanto possa diventare complesso ricostruire le attività di sistemi autonomi che interagiscono tra loro e operano su infrastrutture differenti.
Le normative impongono tempi molto stretti
La gestione degli incidenti legati all'intelligenza artificiale deve fare i conti anche con scadenze normative particolarmente ravvicinate. La direttiva NIS2 richiede una prima notifica entro 24 ore dalla conoscenza di un incidente significativo e una comunicazione completa entro 72 ore. Per il regolamento DORA, la prima segnalazione deve essere effettuata entro quattro ore dalla classificazione dell'incidente come grave e, in ogni caso, non oltre 24 ore dalla sua conoscenza. Negli Stati Uniti, le società quotate devono comunicare gli incidenti ritenuti rilevanti entro quattro giorni lavorativi dalla valutazione della loro materialità. A Hong Kong e in Australia, invece, gli operatori di infrastrutture critiche devono segnalare gli incidenti gravi entro 12 ore. Gli obblighi di segnalazione previsti dall'AI Act europeo per gli incidenti gravi che coinvolgono sistemi ad alto rischio sono stati rinviati a dicembre 2027. Le aziende devono quindi prepararsi a raccogliere e verificare le informazioni necessarie molto prima che scadano i termini per le comunicazioni obbligatorie.
I dati mostrano una preparazione insufficiente
La ricerca Veeam Data & AI Trust Gap, condotta su 600 dirigenti senior, evidenzia una distanza significativa tra l'adozione dell'intelligenza artificiale e la capacità di controllarne le attività. Tra le organizzazioni che utilizzano l'IA, soltanto il 25% è in grado di identificare in pochi minuti le azioni compiute dagli agenti, mentre appena il 22% riesce a individuare i dati utilizzati. Per il 47% degli intervistati, la principale preoccupazione in materia di conformità riguarda l'assenza di registrazioni verificabili delle decisioni prese dall'intelligenza artificiale. Emergono inoltre differenze tra le figure aziendali: il 65% degli amministratori delegati ritiene che la propria organizzazione disponga di un inventario completo delle soluzioni IA, contro appena il 48% dei responsabili tecnici. Anche uno studio condotto nell'area Asia-Pacifico da Sumsub e Singapore Fintech Association mostra un quadro contraddittorio: il 95% delle organizzazioni dichiara di poter spiegare le decisioni dell'IA, ma soltanto il 50% è in grado di ricostruire il percorso decisionale e appena il 38% dispone di registri delle attività a prova di manomissione.
I quattro ostacoli alla ricostruzione degli incidenti
Veeam individua quattro problemi principali: controlli di sicurezza considerati affidabili senza verificarne l'efficacia, log privi del contesto necessario a interpretare le attività, informazioni frammentate tra sistemi differenti e prove raccolte soltanto dopo l'incidente. Un dato significativo riguarda il monitoraggio: appena il 28% delle aziende si dichiara sicuro di poter rilevare un sistema IA che opera al di fuori dei parametri autorizzati. Inoltre, il 95% delle organizzazioni segnala l'utilizzo di strumenti di intelligenza artificiale non autorizzati. I semplici registri delle attività non bastano sempre a distinguere un'operazione legittima da una potenzialmente dannosa. Per comprendere cosa sia realmente accaduto servono anche informazioni sul contesto, sui dati coinvolti e sulle autorizzazioni utilizzate.
Le cinque misure consigliate da Veeam
Per affrontare questi rischi, Veeam suggerisce cinque interventi. Il primo consiste nel raccogliere in anticipo prove immutabili e corredate da indicazioni temporali, evitando di dover ricostruire tutto soltanto dopo un incidente. Il secondo è stabilire prima dell'emergenza quali informazioni possano essere fornite entro le prime scadenze normative. Il terzo prevede di estendere la raccolta delle prove oltre l'infrastruttura IA, includendo tutte le fonti di dati accessibili agli agenti. Il quarto riguarda l'arricchimento dei registri con informazioni contestuali, indispensabili per comprendere il significato delle singole attività. Infine, è necessario individuare una persona chiaramente responsabile della supervisione e della gestione dei rischi legati agli agenti autonomi. Secondo i dati citati da Veeam, le organizzazioni in cui il CISO è responsabile dei rischi degli agenti IA hanno il 24% di probabilità in più di rilevare comportamenti anomali o non autorizzati. Al contrario, i modelli basati su responsabilità condivise risultano il 47% meno propensi a individuare queste attività.
Entro il 2030 arriverà il ruolo di Evidence Custodian
La gestione delle prove relative alle attività dell'intelligenza artificiale potrebbe diventare una responsabilità aziendale sempre più definita. Gartner prevede che entro il 2030 l'80% delle aziende Global 500 assegnerà al CIO o al Chief AI Officer un ruolo contrattuale di Evidence Custodian, ovvero responsabile della conservazione e della disponibilità delle prove. Una figura destinata a garantire che le organizzazioni possano documentare le decisioni degli agenti IA, ricostruire le operazioni effettuate e fornire informazioni verificabili in caso di controlli o incidenti. Per Veeam, la capacità di dimostrare cosa ha fatto un sistema autonomo non può essere considerata un'attività da avviare soltanto dopo un problema: deve diventare parte integrante della gestione dell'intelligenza artificiale.
Il punto
L'intelligenza artificiale autonoma apre nuove possibilità per le aziende, ma introduce anche responsabilità che non possono essere sottovalutate. Il problema non riguarda soltanto la sicurezza dei sistemi: senza registrazioni complete, dati verificabili e responsabilità precise, ricostruire un incidente e rispettare le scadenze normative può diventare estremamente difficile. Le aziende stanno davvero preparando strumenti e procedure adeguati per affrontare un incidente causato da un agente IA autonomo, oppure stanno correndo più velocemente della propria capacità di controllarlo?
Se ti piacciono tecnologia, gaming, unboxing e recensioni, segui ZazoomTek.
Subscribe 🌐 zazoomtek.it ▶️ YouTube: @ZazoomTek ❤️ Patreon: ZazoomTek 🎵 TikTok: @zazoomtek 💬 WhatsApp: ZazoomTek