AI Act e sicurezza aziendale: quando l'intelligenza artificiale diventa un nuovo rischio da gestire
Un recente caso di cyberattacco condotto sfruttando un assistente di intelligenza artificiale mostra come l'AI stia diventando uno strumento sempre più potente anche nelle mani dei criminali informatici. Nel frattempo, con l'applicazione delle nuove disposizioni dell'AI Act, le aziende sono chiamate a rafforzare governance, trasparenza e consapevolezza nell'utilizzo dell'intelligenza artificiale.
L'intelligenza artificiale entra anche nella criminalità informatica
L'intelligenza artificiale sta cambiando rapidamente il modo in cui le aziende lavorano, comunicano e gestiscono i propri processi. Ma la stessa tecnologia che permette di automatizzare attività e aumentare la produttività può essere utilizzata anche per finalità molto diverse.
Un caso emerso nelle ultime settimane lo dimostra con particolare evidenza.
Secondo quanto riportato da Reuters, all'inizio del 2026 un gruppo di cybercriminali di area russofona avrebbe utilizzato Cursor, un assistente AI dedicato alla programmazione, per condurre attacchi contro almeno sette aziende, tra cui una società chimica belga, un produttore tedesco di porte da garage e una società statunitense del settore immobiliare.
Gli aggressori avrebbero sfruttato l'assistente AI per velocizzare diverse attività legate agli attacchi informatici, presentandole in alcuni casi come simulazioni o test di sicurezza. Le protezioni del sistema sarebbero state aggirate attraverso la modifica del contesto delle sessioni e il riavvio delle attività.
Il caso evidenzia un'evoluzione importante: l'intelligenza artificiale può amplificare non soltanto le capacità di chi la utilizza per finalità legittime, ma anche quelle di chi intende sfruttarla per compromettere sistemi e informazioni.
Per le imprese questo significa considerare l'AI anche all'interno delle proprie strategie di gestione del rischio.
L'AI non è soltanto una questione tecnologica
L'introduzione di strumenti di intelligenza artificiale all'interno di un'organizzazione viene spesso associata soprattutto a innovazione, produttività e riduzione dei tempi di lavoro.
Sono aspetti importanti, ma non esauriscono la complessità del fenomeno.
L'utilizzo dell'AI può infatti coinvolgere dati aziendali, informazioni riservate, proprietà intellettuale, processi decisionali e rapporti con clienti e fornitori.
L'adozione di uno strumento di intelligenza artificiale senza una corretta valutazione dei rischi può quindi creare nuove vulnerabilità, soprattutto quando non sono definite regole chiare sul suo utilizzo.
La tecnologia deve essere accompagnata da governance, formazione, controllo e responsabilità.
È proprio questo il passaggio che sta progressivamente trasformando l'intelligenza artificiale da semplice strumento informatico a elemento da integrare nei sistemi di gestione aziendale.
AI Act: il quadro europeo entra nella fase operativa
In questo scenario si inserisce l'AI Act, il regolamento europeo che introduce un quadro normativo basato sul livello di rischio associato ai sistemi di intelligenza artificiale.
Il regolamento è entrato in vigore il 1° agosto 2024 e la sua applicazione procede per fasi.
Dal 2 agosto 2026 sono diventate applicabili nuove disposizioni e sono entrati in funzione i poteri di controllo e di applicazione previsti dalla normativa. Nello stesso momento hanno iniziato ad applicarsi anche gli obblighi di trasparenza previsti dall'articolo 50 per determinati sistemi di AI.
La Commissione europea ha inoltre pubblicato nel luglio 2026 specifiche linee guida per aiutare fornitori e utilizzatori a comprendere e applicare gli obblighi di trasparenza.
Tra le misure previste rientrano, per determinati sistemi, l'obbligo di informare le persone quando interagiscono direttamente con un sistema di AI e specifici requisiti per rendere riconoscibili i contenuti generati o manipolati artificialmente. Particolare attenzione viene dedicata anche ai deepfake e ad alcuni contenuti generati dall'AI.
Il quadro normativo non entra però in vigore in un'unica soluzione. Alcuni obblighi relativi ai sistemi ad alto rischio sono soggetti a periodi transitori più lunghi, con scadenze che arrivano al 2027 e, per determinate categorie di prodotti regolamentati, al 2028.
La formazione diventa parte della governance dell'AI
Uno degli aspetti più interessanti per le aziende riguarda la AI literacy, ovvero l'alfabetizzazione in materia di intelligenza artificiale.
L'articolo 4 dell'AI Act è applicabile dal 2 febbraio 2025 e richiede a fornitori e utilizzatori di sistemi di AI di adottare misure per favorire un adeguato livello di conoscenza e consapevolezza sull'intelligenza artificiale tra il personale e le persone che utilizzano tali sistemi per loro conto.
Non si tratta semplicemente di insegnare ai dipendenti come utilizzare un chatbot.
La formazione deve essere collegata al contesto nel quale l'intelligenza artificiale viene utilizzata, alle competenze delle persone coinvolte e ai rischi associati alle specifiche applicazioni.
Per un'azienda questo può tradursi nella definizione di procedure interne, criteri di utilizzo degli strumenti AI, indicazioni sulla gestione dei dati, formazione del personale e controlli periodici.
La consapevolezza diventa così una componente concreta della sicurezza aziendale.
Dalla cybersecurity alla gestione del rischio AI
Il caso dei cybercriminali che hanno sfruttato un assistente AI evidenzia anche un'altra trasformazione.
La cybersecurity non può più essere considerata separatamente dalla gestione dell'intelligenza artificiale.
Gli strumenti AI possono infatti diventare parte dei processi aziendali e, allo stesso tempo, rappresentare una nuova superficie di rischio.
Diventa quindi importante conoscere quali strumenti vengono utilizzati all'interno dell'organizzazione, quali dati possono essere elaborati, quali autorizzazioni vengono concesse e quali controlli sono necessari.
Un approccio strutturato permette di evitare che l'introduzione dell'AI avvenga in modo frammentario, lasciando che siano le singole persone a decidere autonomamente modalità e limiti di utilizzo.
Sistemi di gestione per affrontare la nuova complessità
La crescente diffusione dell'intelligenza artificiale rende sempre più importante integrare innovazione e gestione del rischio.
L'obiettivo non consiste nel rallentare l'innovazione, ma nel creare le condizioni perché l'AI possa essere utilizzata in modo responsabile, sicuro, trasparente e coerente con gli obiettivi dell'organizzazione.
Un sistema di gestione consente infatti di passare da un approccio occasionale a un processo strutturato, nel quale rischi, responsabilità, controlli, formazione e miglioramento continuo vengono considerati all'interno di un unico quadro organizzativo.
L'intelligenza artificiale richiede nuove regole interne
L'adozione dell'AI porta quindi con sé una nuova esigenza: definire regole aziendali chiare.
Una policy interna sull'utilizzo dell'intelligenza artificiale può stabilire quali strumenti sono autorizzati, quali informazioni possono essere inserite nei sistemi, quali dati devono essere esclusi, quali attività richiedono una verifica umana e quali comportamenti devono essere evitati.
A questo si aggiungono la formazione del personale, la valutazione periodica dei rischi e il monitoraggio degli strumenti utilizzati.
L'obiettivo non è creare un sistema burocratico intorno all'innovazione, ma rendere l'innovazione sostenibile e controllabile.
Governare l'AI significa prepararsi al futuro
Il caso dei cyberattacchi condotti attraverso l'intelligenza artificiale rappresenta un esempio concreto di come la tecnologia stia modificando anche il panorama delle minacce informatiche.
Allo stesso tempo, l'entrata nella fase operativa dell'AI Act porta le imprese europee verso una maggiore attenzione alla trasparenza, alla responsabilità e alla gestione consapevole dell'intelligenza artificiale.
Per le organizzazioni non si tratta quindi soltanto di adeguarsi a una nuova normativa.
Si tratta di integrare l'AI all'interno di una strategia più ampia di gestione del rischio, nella quale tecnologia, persone e processi procedano nella stessa direzione.
L'intelligenza artificiale può rappresentare un'importante opportunità di crescita e innovazione. Per sfruttarne pienamente il potenziale, però, deve essere accompagnata da competenze adeguate, regole chiare e sistemi di controllo efficaci.
In questo scenario, governance, cybersecurity, formazione e sistemi di gestione diventano strumenti essenziali per trasformare l'AI da semplice tecnologia emergente in una risorsa realmente sostenibile per l'impresa.
