Bruxelles vuole creare una capacità europea di valutazione cyber dei modelli AI, una piattaforma sicura di test con ENISA e JRC e un piano per l’accesso strutturato alle capacità più avanzate. “L’AI sta trasformando il significato della cybersecurity“, ha detto Henna Virkkunen, Vicepresidente esecutiva per la Sovranità tecnologica, la sicurezza e la democrazia.

I nuovi modelli AI stanno ridefinendo la cybersecurity. Le stesse capacità che permettono di analizzare codice, rilevare anomalie, simulare scenari di attacco o correggere vulnerabilità possono essere sfruttate anche da attori ostili. Per questo l’Unione europea vuole costruire un quadro operativo comune, mettendo insieme Stati membri, industria, Agenzia europea per la cybersicurezza, Ufficio AI e organizzazioni europee.

Bruxelles ha presentato oggi un piano d’azione per affrontare una trasformazione che riguarda ormai il cuore della sicurezza digitale: l’AI può rafforzare la difesa informatica, ma può anche essere usata per individuare vulnerabilità, automatizzare attacchi e aumentare scala e velocità degli incidenti.

Il piano si inserisce nel doppio perimetro normativo dell’UE: da una parte l’AI Act, dall’altra le regole europee sulla cybersicurezza. L’obiettivo è evitare che la diffusione dei modelli avanzati avvenga senza strumenti adeguati di valutazione, test, accesso controllato e protezione delle infrastrutture critiche.

“L’AI sta trasformando il significato della cybersecurity. E dobbiamo tenere il passo. L’UE dispone di solide basi per adattare la sua risposta di fronte alle vulnerabilità che la tecnologia emergente comporta. Dobbiamo sfruttare e concentrare le capacità, le reti e il quadro giuridico esistenti per rafforzare la cibersicurezza proteggendo il nostro panorama digitale”. Henna Virkkunen, Vicepresidente esecutiva per la Sovranità tecnologica, la sicurezza e la democrazia

Valutare i modelli AI prima del mercato

Una delle prime misure riguarda la valutazione dei modelli avanzati. Secondo la Commissione, una sicurezza efficace richiede una conoscenza approfondita di come queste tecnologie possano essere usate, abusate o sfruttate.

Ai sensi dell’AI Act, i modelli avanzati dovranno essere valutati e accompagnati da misure di mitigazione prima dell’immissione sul mercato europeo. Per rafforzare questa funzione, Bruxelles lancerà un invito specifico per istituire una capacità europea di valutazione in materia di cybersecurity.

La nuova struttura dovrebbe essere operativa nel 2027 e servirà a sostenere il lavoro regolatorio dell’Ufficio AI. Il suo compito sarà rafforzare la valutazione indipendente delle capacità e dei rischi dei modelli AI, anche attraverso verifiche di terze parti.

Il tema è particolarmente sensibile per i modelli più potenti, che possono generare codice, supportare attività di analisi offensiva, individuare falle o automatizzare parti di una catena di attacco. La Commissione vuole quindi disporre di competenze europee proprie per capire fino a che punto questi sistemi siano sicuri e quali rischi possano introdurre nel mercato.

Accesso europeo ai modelli più avanzati

Un secondo punto riguarda l’accesso. L’Europa ha bisogno di condizioni chiare e trasparenti per utilizzare le capacità AI più avanzate in ambito cybersecurity.

La Commissione lavorerà con ENISA per definire un piano europeo di accesso strutturato ai modelli avanzati. L’obiettivo è aiutare organizzazioni pubbliche e private europee a usare questi strumenti per la difesa informatica, evitando però un accesso disordinato o privo di garanzie.

Il tema è strategico. Se le capacità AI più avanzate restano concentrate fuori dall’Europa, la sicurezza cyber europea rischia di dipendere da strumenti, regole di accesso e decisioni industriali definite da altri. Il piano punta quindi a costruire un percorso europeo, almeno per le organizzazioni più rilevanti dal punto di vista della sicurezza.

Una piattaforma sicura per testare l’AI

La Commissione prevede anche la creazione di una piattaforma sicura per testare l’AI applicata alla cybersecurity. Il progetto sarà sviluppato da ENISA e dal Centro comune di ricerca della Commissione europea.

La piattaforma permetterà di sperimentare l’uso dei modelli AI in ambienti controllati e simulati. L’obiettivo è produrre competenze pratiche sull’utilizzo sicuro dell’AI per la difesa informatica, soprattutto nei settori critici: finanza, energia, sanità, trasporti e pubblica amministrazione.

Il ricorso ad ambienti simulati è centrale. Prima di usare modelli avanzati su reti reali o infrastrutture sensibili, le organizzazioni dovranno capire come si comportano, quali limiti hanno, quali errori possono commettere e quali rischi possono introdurre.

Proteggere le infrastrutture critiche

Il piano richiama anche gli obblighi già previsti dalle norme europee sulla cybersecurity. Le organizzazioni dovranno rafforzare l’igiene informatica, la gestione del rischio e i principi di sicurezza fin dalla progettazione.

La Commissione invita inoltre a usare le capacità AI già disponibili, compresi i modelli open source, per individuare e correggere più rapidamente le vulnerabilità e migliorare la prevenzione e la risposta agli attacchi.

ENISA avrà il compito di facilitare partenariati tra autorità pubbliche, imprese e comunità open source. Sono previsti orientamenti, raccomandazioni, buone pratiche e una campagna dedicata alla protezione del software open source critico.

Il riferimento all’open source è rilevante. Molte infrastrutture digitali europee dipendono da componenti open source, spesso mantenute da comunità distribuite e non sempre dotate di risorse adeguate. Proteggere questi software significa ridurre vulnerabilità sistemiche lungo tutta la filiera digitale.

Una sfida europea sull’AI per la cybersecurity

Per stimolare il mercato, la Commissione lancerà anche una grande sfida europea sull’AI per la cybersecurity. Il concorso coinvolgerà aziende, ricercatori e organizzazioni con l’obiettivo di sviluppare soluzioni AI applicate alla difesa informatica.

L’iniziativa punta a far crescere capacità industriali europee in un settore destinato a diventare sempre più competitivo. La cybersecurity AI non sarà soltanto un tema di sicurezza pubblica, ma anche un mercato strategico per imprese, startup, centri di ricerca e fornitori tecnologici.

La Commissione collega questa iniziativa alle fabbriche di AI e alle future Gigafactory europee, cioè alle infrastrutture computazionali pensate per sostenere lo sviluppo di modelli e applicazioni avanzate.

Vai al sito di Cybersecurity Italia.

L'articolo Test, valutazioni e accesso controllato ai modelli di frontiera: il piano d’azione di Bruxelles sull’AI cyber sembra essere il primo su CyberSecurity Italia.