Governance e Adozione degli Agenti AI: Un Equilibrio da Trovare
In Breve
- Qual è il rischio principale associato all'uso degli agenti AI?
- Il rischio principale è che le attestazioni di sicurezza possano riflettere solo l'apparenza di controllo, senza garantire la reale efficacia.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni segnalano circa 12 settimane all'anno dedicate a compiti di compliance e 9 settimane a revisioni dei fornitori.
- Quali misure possono ridurre il divario tra adozione e governance?
- È essenziale implementare visibilità continua, inventario dei sistemi AI e controlli rigorosi sui dati accessibili.
Negli ultimi anni, le organizzazioni hanno iniziato a fare sempre più affidamento su agenti AI per attestare i controlli di sicurezza. Tuttavia, la governance non ha tenuto il passo con questa rapida adozione, creando un divario preoccupante che potrebbe compromettere l’efficacia delle misure di sicurezza. In questo contesto, è fondamentale comprendere i rischi associati e le misure necessarie per garantire una corretta integrazione degli agenti AI nei processi di sicurezza.
Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce alimentate dall’AI stiano evolvendo più rapidamente di quanto i team di sicurezza possano rispondere. Inoltre, l’80% di questi professionisti sta già utilizzando o pianificando l’uso di agenti AI come parte della loro strategia di sicurezza. Questo aumento nell’adozione degli agenti AI è accompagnato da un lavoro di compliance che rimane prevalentemente manuale, con organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e ulteriori 9 settimane a revisioni dei fornitori.
Per ridurre il divario tra adozione e governance, è essenziale implementare una visibilità e un governo continui. Ciò include la creazione di un inventario completo dei sistemi AI e delle API in uso, nonché l’identificazione dell’AI integrata nei servizi SaaS. È fondamentale anche monitorare il cosiddetto “shadow AI”, trattando ogni agente come un nuovo attore con una propria identità e accessi limitati al minimo necessario.
Prima di implementare un agente AI, le organizzazioni devono definire chiaramente quali dati possono essere accessibili, dove è necessaria l’approvazione umana e come annullare eventuali azioni. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono essere sottoposte a supervisione umana significativa per prevenire errori potenzialmente disastrosi.
Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Questi strumenti possono aiutare a ridurre il raggio d’azione in caso di errore, garantendo che le misure di sicurezza siano sempre attive e reattive.
L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, evidenzia ulteriormente il rischio che la compliance si trasformi in una mera facciata di sicurezza, o “security theatre”. L’automazione, se non gestita correttamente, potrebbe accelerare questo fenomeno, specialmente se rimane orientata a checklist statiche.
La chiave per affrontare queste sfide è spostare l’obiettivo della compliance, rendendola una conseguenza di pratiche di sicurezza efficaci e dinamiche. È necessario armonizzare segnali di rischio, controlli e evidenze in tempo reale, per garantire che la governance degli agenti AI non solo soddisfi i requisiti normativi, ma contribuisca anche a una sicurezza reale e sostenibile.
In conclusione, mentre l’AI rappresenta un nuovo fattore di rischio, può anche essere uno strumento prezioso per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato, mantenendo al contempo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare ciò a cui hanno accesso, il motivo di tale accesso e chi ha autorizzato le loro azioni, per garantire trasparenza e responsabilità nel loro utilizzo.
