L’UE AI Act è entrato in vigore. Il tuo ambiente IA è pronto?

L’intelligenza artificiale è passata dalla fase di sperimentazione alla realtà operativa. L’anno scorso si è registrato un aumento del 50% nell’accesso ai sistemi IA per i dipendenti, mentre l’88% delle organizzazioni fa ricorso all’IA in almeno una funzione aziendale. La pressione concorrenziale sta accelerando l’adozione dell’IA. Sebbene ciò crei opportunità, un altro effetto risiede nell’introduzione di un nuovo livello di rischio operativo.

Per le organizzazioni che operano nell’UE, tale rapido avanzamento porta con sé diversi obblighi legislativi. Benché l’AI Act sia entrato in vigore nell’agosto 2024, permane un notevole ritardo nell’adozione dei controlli necessari da parte delle aziende interessate. Un sondaggio ha rilevato che solo il 38% delle imprese ritiene di disporre di un approccio di governance dell’IA chiaro e ben definito, mentre oltre il 50% manca di un inventario di base dei sistemi di IA. Nell’agosto 2026 entreranno in vigore le disposizioni finali, in particolare gli obblighi di governance e l’applicazione di sanzioni per i modelli di uso generale (in aggiunta alle sanzioni standard per mancata conformità fino a 35 milioni di euro o al 7% del fatturato globale).

La conformità parte dalla comprensione del proprio ambiente IA

La sfida pratica con l’UE AI Act inizia ben prima dell’entrata in vigore del regolamento, ossia con la necessità da parte dell’organizzazione di comprendere il proprio ambiente IA. Tutto questo inizia con la scoperta della Shadow AI, identificando le applicazioni autorizzate e non autorizzate. Inoltre, ciò significa identificare l’IA integrata nei processi aziendali e i casi d’uso che introducono rischi sul piano legale, operativo e della sicurezza.

Per prepararsi, i leader dovrebbero porsi cinque domande pratiche:

1. Sappiamo quali strumenti, applicazioni e agenti IA vengono impiegati in ogni singolo reparto dell’organizzazione?
2. Possiamo vedere i punti attraverso cui transitano i dati sensibili diretti verso i sistemi IA?
3. Disponiamo di controlli per l’utilizzo dell’IA autorizzato e non autorizzato?
4. Possiamo monitorare il comportamento dell’IA agentica in fase di esecuzione?
5. Possiamo produrre prove concrete in merito all’applicazione effettiva delle policy di sicurezza dell’IA?

Se la risposta a una qualsiasi di queste domande non è chiara, l’organizzazione ha ancora del lavoro da fare. L’EU AI Act è un requisito obbligatorio per molte aziende che operano all’interno dell’UE. Tuttavia, non si tratta solo dell’ennesimo obbligo di conformità da osservare. Il quadro normativo funge da approccio pratico per una migliore governance dell’IA, un’architettura di sicurezza più solida e una responsabilità operativa più chiara.

La gestione del rischio e l’alfabetizzazione in materia di IA estendono gli obblighi oltre i provvedimenti tecnici

L’EU AI Act introduce un quadro basato sul rischio, con mandati crescenti a seconda del tipo e dell’uso dei sistemi di IA. Alcuni articoli specifici mettono in evidenza gli effetti del regolamento nella pratica.

Numero articolo	Focus	Cosa significa tutto questo per i leader IT
Articolo 9	Requisiti per i sistemi di IA ad alto rischio	La gestione del rischio dell’IA non può essere statica. I sistemi, i flussi di dati e il comportamento delle applicazioni possono mutare continuamente, spesso senza una revisione umana. La governance dell’IA deve avvicinarsi al monitoraggio operativo e della sicurezza in tempo reale. Un documento di policy è un punto di partenza, ma da solo non basta.
Articolo 14	Sorveglianza umana dei sistemi di IA ad alto rischio	Le organizzazioni necessitano di una chiara mappatura delle decisioni umane e delle decisioni degli agenti di IA maturate senza sorveglianza.
Articolo 15	Collegare la conformità dell’IA direttamente alla sicurezza informatica	I sistemi di IA ad alto rischio devono soddisfare i requisiti di accuratezza, robustezza e cybersecurity. Se i prompt possono essere manipolati, i dati possono trapelare o gli agenti possono essere reindirizzati verso flussi di lavoro non sicuri, l’organizzazione è destinata ad affrontare problemi sia di sicurezza sia di conformità.
Articolo 4	Alfabetizzazione in materia di IA	Oltre ai requisiti tecnici, la legge richiede consapevolezza e conoscenza dell’IA a livello organizzativo. Dipendenti, leader aziendali, team di sicurezza, team legali e responsabili della conformità necessitano tutti di una comprensione condivisa del modo in cui viene utilizzata l’IA, dove pone rischi e quali responsabilità comporta.

Scopri di più sulla piattaforma Cato | Prenota la tua demo 1:1

Dal momento che l’uso dell’IA è mutevole, anche la governance deve adattarsi

Quasi il 90% è alle prese con l’implementazione dell’intelligenza artificiale, ma il suo impiego sembra destinato a estendersi oltre la semplice conversazione con i modelli GPT. L’IA agentica è dove il divario di governance si fa particolarmente serio, poiché è proprio in questa fase che si passa dalle risposte ai prompt all’azione vera e propria. Un agente IA può interpretare un obiettivo, selezionare strumenti, richiamare API, accedere ai dati ed eseguire un flusso di lavoro in più fasi, e ciò in totale assenza di figure umane preposte alla revisione di tali passaggi. Questi presupposti rendono l’agente un attore digitale autonomo che opera su larga scala all’interno dell’azienda, ma senza revisione o approvazione umana. È assai probabile che le organizzazioni perdano la capacità di sapere esattamente in che modo l’IA interagisce con la propria attività.

Man mano che i sistemi di IA estendono le proprie capacità, i requisiti di conformità crescono altrettanto. Un agente delle risorse umane che esamina i CV, seleziona i candidati ed elabora i colloqui richiede molteplici obblighi in materia di gestione del rischio, documentazione tecnica, registrazione, supervisione umana e sicurezza informatica. Un modulo per l’assistenza clienti di un SaaS CRM comporta obblighi di trasparenza (affinché le persone siano consapevoli che si tratta di IA), nonché controlli ad alto rischio qualora il sistema prenda delle decisioni.

Come Cato contribuisce alla creazione del livello di controllo della sicurezza dell’IA

L’EU AI Act definisce una serie chiara di requisiti per la visibilità, la governance e la sicurezza, e soddisfarli tutti significa disporre di un livello di controllo che tenga il passo con l’adozione dell’IA.

Cato protegge l’intelligenza artificiale attraverso una piattaforma SASE convergente che gestisce l’attività di rete, cloud e utente. Con Cato AI Security, le organizzazioni possono identificare l’utilizzo dell’IA, il suo comportamento, applicare controlli e colmare le lacune di visibilità tra utenti, applicazioni, dati e agenti IA.

L’IA sta diventando parte integrante delle operazioni quotidiane, pertanto non è più uno strumento isolato. La piattaforma unificata di Cato offre alle organizzazioni un contesto condiviso per comprendere i rischi, applicare policy, supportare la conformità e ridurre flussi di lavoro e strumenti frammentati. Le risposte sono autonome e la protezione viene messa in atto in tempo reale, bloccando le minacce prima che vengano eseguite e fornendo i necessari meccanismi di protezione.

Compi il prossimo passo con Cato Networks

Per saperne di più sulla piattaforma Cato, prenota la tua demo 1:1 qui