AI e protezione dei dati - dal rischio alla difesa intelligente

L'IA si è evoluta passando da semplici algoritmi di machine learning a sistemi di IA generativa sofisticati, fino ad arrivare oggi all'emergente paradigma dell'IA agentica. Una trasformazione tecnologica che, se da un lato apre scenari di innovazione senza precedenti, dall’altro, genera nuove sfide in termini di sicurezza dei dati e di privacy, richiedendo un ripensamento radicale delle strategie di cybersecurity.

L'evoluzione dell'IA: dal generativo all'agentico

L'IA generativa ha ridefinito il modo in cui le persone interagiscono con la tecnologia, rendendo possibile la creazione di testi, immagini e codice attraverso interfacce naturali e intuitive. Di fatto, modelli come GPT, Claude e Gemini hanno messo a disposizione capacità cognitive avanzate, accelerando la trasformazione di numerosi settori. È doveroso evidenziare che tale evoluzione ha rappresentato solo l'inizio, dato che la nuova frontiera è, ora, l'IA agentica. Ovvero, sistemi autonomi in grado di: pianificare, coordinare ed eseguire azioni complesse, interagendo in modo dinamico con ambienti digitali e fisici; gestire processi end-to-end; assumere decisioni contestuali; operare con un livello minimo di supervisione umana.

Le vulnerabilità dell'IA cloud: i rischi della dipendenza esterna

L'adozione massiva di soluzioni IA basate su cloud ha creato una dipendenza sistemica da provider esterni che gestiscono infrastrutture critiche contenenti dati aziendali sensibili. Tale esternalizzazione comporta, da un lato, una perdita di controllo sui processi di elaborazione, sullo storage e sulla sicurezza dei dati, esponendo le organizzazioni a rischi di natura geopolitica, geoeconomica, commerciale e tecnica oltre che all’affidamento di asset informativi critici a terze parti, spesso senza piena visibilità sui processi interni, sulle policy di sicurezza effettivamente implementate o sulla localizzazione fisica dei data center.
Inoltre, negli ultimi anni, numerose sono state le violazioni che dimostrano la vulnerabilità causata da un'eccessiva dipendenza dal cloud. Di seguito le principali cause di violazioni secondo quanto si evince dal report "Top Threats to Cloud Computing 2024" di Cloud Security Alliance (CSA):

• Configurazione errata e controllo inadeguato delle modifiche
• Gestione dell'identità e degli accessi (IAM)
• Interfacce e API non sicure
• Selezione/implementazione inadeguata della strategia di sicurezza cloud
• Risorse di terze parti non sicure
• Sviluppo software non sicuro
• Divulgazione accidentale di dati cloud dovuti ad errore umano
• Vulnerabilità del sistema
• Visibilità/osservabilità limitata del cloud
• Condivisione di risorse non autenticate
• Minacce persistenti avanzate

Il report di CSA rivela, altresì, diverse tendenze chiave in termini di minacce al cloud da monitorare, tra cui:
Attacchi sempre più sofisticati – I cyber criminali continuano a sviluppare tecniche più sofisticate, avvalendosi dell'intelligenza artificiale, per sfruttare le vulnerabilità negli ambienti cloud. Tali nuove tecniche richiedono un approccio di sicurezza proattivo con capacità di monitoraggio continuo e di individuazione delle minacce.
Attacchi alla supply chain - La crescente complessità degli ecosistemi cloud aumenta, inevitabilmente, la superficie di attacco per le vulnerabilità della supply chain. Pertanto, le aziende dovranno estendere le misure di sicurezza ai propri fornitori e partner, dimostrando di essere compliant alle normative vigenti che pongono particolare focus sulla sicurezza della supply chain.
Panorama normativo in evoluzione: è probabile che gli enti normativi implementino normative più severe in materia di privacy e sicurezza dei dati, obbligando le organizzazioni a adattare le proprie pratiche di sicurezza cloud.
Ransomware-as-a-Service (RaaS) - L’aumento di RaaS per lanciare sofisticati attacchi ransomware contro gli ambienti cloud, comporterà, da parte delle aziende, l’implementazione di solide soluzioni di backup e ripristino dei dati, oltre a controlli di accesso rigorosi.
Di fatto, il cloud non è in grado di garantire ciò che molte aziende ora richiedono: zero trust, zero esposizione. Di conseguenza, molte organizzazioni stanno ripensando le loro strategie cloud e rimpatriando il loro stack di IA in ambienti on-premise.

IA generativa & IA agentica: rischi emergenti e sfide

Anche l’IA generativa e l’IA agentica non sono immuni da minacce e rischi. Di seguito si forniscono i principali rischi legati all'IA generativa che le aziende devono essere in grado di gestire.

Minacce di prompt injection
L'IA generativa ha introdotto nuove superfici di attacco attraverso tecniche di prompt injection, dove input apparentemente innocui possono manipolare il comportamento dei modelli per: estrarre informazioni sensibili, bypassare controlli di sicurezza o indurre azioni non autorizzate. È doveroso evidenziare che tali attacchi possono essere particolarmente insidiosi in contesti aziendali dove i sistemi di IA hanno accesso a database interni e sistemi critici.

Minacce dello scraping su piattaforme pubbliche
L'utilizzo di piattaforme AI pubbliche espone le organizzazioni al rischio di scraping sistematico delle interazioni, dove gli input utente possono essere analizzati per estrarre informazioni sensibili e proprietarie o pattern comportamentali sensibili, trasformando ogni query in un potenziale vettore di fuga informazioni.

IA agentica - Sfide di sicurezza e privacy nella gestione dei dati
È doveroso evidenziare che l'IA agentica, se da un lato rappresenta un salto qualitativo nelle capacità di automazione, dall'altro lato introduce ulteriori sfide in termini di accountability, di controllo e di prevedibilità. Di fatto, gli agenti autonomi, con capacità di apprendimento e adattamento, possono sviluppare comportamenti emergenti difficili da anticipare, rendendo complessa la definizione di perimetri di sicurezza statici.
Inoltre, è quanto mai importante per le aziende essere in grado di garantire la privacy dei dati, quando i sistemi IA autonomi producono, memorizzano e collegano enormi volumi di informazioni personali senza una supervisione umana costante, in modo da evitare inferenze sensibili o la non conformità al principio di minimizzazione dei dati.
 
Organizzazione e classificazione dei dati: la sfida della governance

La gestione efficace dei dati in ambienti di IA richiede sistemi di classificazione che tengano conto de: la sensibilità e della confidenzialità delle informazioni; le policy interne; i requisiti normativi. È doveroso evidenziare che, al contempo, l'IA può convertirsi in una leva preziosa in questo processo, utilizzando tecniche di natural language processing e pattern recognition per identificare automaticamente contenuti sensibili, informazioni personali e dati soggetti a specifici vincoli normativi.
Di seguito i principali aspetti da considerare per una gestione efficace dei dati in ambienti di IA.

Rischi sistemici derivanti da incoerenze sistemiche
L'assenza di regole precise e strumenti di protezione adeguati può generare incoerenze sistemiche nella classificazione dei dati, creando gap di sicurezza difficili da identificare e correggere. Tali inconsistenze possono manifestarsi sotto forma di: dati critici erroneamente classificati come pubblici, violazioni involontarie di policy di retention o esposizione accidentale di informazioni privilegiate. Pertanto, le aziende devono ovviare a tali problematiche attraverso soluzioni di AI agentica in grado di garantire una corretta gestione dei dati.

Implicazioni normative vs. il quadro regolatorio europeo
L'UE ha pubblicato normative e direttive che mirano a garantire la cyber resilience e la protezione dei dati a livello europeo, quali:

• GDPR - Il Regolamento Generale sulla Protezione dei Dati mantiene la sua rilevanza centrale, richiedendo controllo granulare sui flussi di dati personali e meccanismi di accountability che risultano complessi da implementare in ambienti cloud multi-tenant.
• NIS2 - La nuova Direttiva Network and Information Security espande significativamente l'ambito di applicazione, includendo specificamente i servizi di AI e richiedendo misure di cybersecurity proporzionate ai rischi, con particolare attenzione alla resilienza operativa.
• DORA - Il Digital Operational Resilience Act introduce requisiti stringenti per il settore finanziario riguardo la gestione del rischio ICT, con implicazioni dirette sull'utilizzo di servizi IA cloud e la necessità di alternative resilienti.

Ne consegue che le aziende devono essere in grado di dimostrare la propria compliance a tali normative in termini di sicurezza dei dati e cyber resilience.
 

IA on-premise, come soluzione ai rischi di IA

La IA on-premise, nota altresì come IA privata, è un approccio architettonico che ottimizza un ambiente di IA per le esigenze specifiche di un'azienda. Rispetto all’IA basata su cloud, l’IA on-premise offre vantaggi significativi in termini di: privacy dei dati, bassa latenza e ridotta dipendenza da Internet. Ciò la rende adatta a garantire:

Controllo totale sui dati
L'implementazione di soluzioni IA on-premise restituisce alle organizzazioni la sovranità completa sui propri dati, eliminando i rischi associati alla dipendenza da provider esterni, oltre a garantire il controllo diretto su tutti gli aspetti della gestione informazioni per mitigare i rischi di violazione dei dati sensibili, inclusi segreti commerciali e proprietà intellettuale, grazie all'implementazione di policy di sicurezza personalizzate, audit granulari e meccanismi di compliance nativo.
Inoltre, la protezione dei dati sensibili viene rafforzata attraverso il controllo fisico dell'infrastruttura, l'implementazione di crittografia end-to-end e la possibilità di mantenere air-gap quando necessario per dati estremamente critici.

Prevenzione dell'errore umano
L'automazione intelligente dei processi critici attraverso IA on-premise riduce significativamente l'esposizione all'errore umano, implementando controlli di accesso intelligenti basati su principi zero-trust e Identity and Access Management (IAM) avanzati. Inoltre, il monitoraggio continuo delle anomalie permette l'identificazione proattiva di comportamenti sospetti o violazioni involontarie delle policy di sicurezza e privacy.

AI sicura e conforme "by design"
L'integrazione nativa di capabilities di cybersecurity nell'IA on-premise trasforma l'intelligenza artificiale in un alleato attivo di cybersecurity in termini di prevenzione, rilevazione e risposta alle minacce, applicando intelligentemente regolamenti internazionali e policy aziendali, attraverso funzioni di automation context-aware, con piena conformità al GDPR, NIS2 e DORA.


AI on-premise: come implementarla

L'implementazione di soluzioni IA on-premise richiede un approccio architetturale strategico, considerando aspetti tecnici fondamentali, quali:

• Infrastruttura GPU condivisa
• Capacità di storage ottimizzate
• Potenza di calcolo scalabile attraverso il Distributed Resource Scheduling (DRS) per massimizzare l'utilizzo delle risorse.

Inoltre, l'integrazione con sistemi di sicurezza esistenti risulta facilitata dal mantenimento dei dati nella loro ubicazione originale, consentendo alle organizzazioni di operare dove i dati sono già conformi e sicuri, evitando i rischi associati al trasferimento di informazioni sensibili verso piattaforme esterne.
Ancora, il ROI dell'IA on-premise si manifesta attraverso una riduzione dei costi operativi che può variare da un terzo a un quinto rispetto alle soluzioni cloud - secondo quanto riportato da diverse riviste del settore - grazie alla prevedibilità della struttura dei costi e all'eliminazione del modello pay-per-token.
Di fatto, casi d'uso pratici riportati da diversi report del settore, dimostrano un valore immediato misurabile, ad esempio, nei servizi clienti si registrano miglioramenti di efficienza superiori al 10% per agente, mentre nel settore dell’intelligence l'IA può condensare settimane di lavoro investigativo in poche ore attraverso chatbot IA che organizzano e forniscono accesso rapido a informazioni complesse. Ovvero, un approccio che permette la gestione documentale sicura, la prevenzione efficace delle fughe di dati e la protezione robusta della proprietà intellettuale, mantenendo il controllo completo sullo stack tecnologico e garantendo conformità normativa senza compromessi.

Conclusione

L'evoluzione dell’IA generativa e agentica, se da un lato presenta numerose opportunità, dall’altro, richiede un approccio di security strutturato. Inoltre, l’IA on-premise si concentra su ciò che conta di più per le aziende: controllo totale, sicurezza nativa, compliance integrata, resilienza operativa e sicurezza dei dati, convertendosi in una leva strategica di business per garantire sostenibilità, sicurezza e conformità normativa in uno scenario digitale in continua evoluzione.
Ovvero, si tratta di adottare un approccio proattivo per sfruttare appieno le potenzialità trasformative dell’IA, partendo ovviamente dalla conoscenza del proprio contesto aziendale e dagli obiettivi da perseguire.