La Politica sull’IA come Questione di Sicurezza Nazionale: Il Caso Mythos e le Reazioni USA

Contesto

Il fattore principale che plasma la politica sull'intelligenza artificiale (IA) sono i rischi reali e previsti per la sicurezza nazionale. Questo ha creato uno "stato di eccezione" nell'IA, con misure politiche aggressive e imprevedibili.
Il cambiamento è iniziato con il lancio di Mythos, un nuovo modello di IA di Anthropic, particolarmente capace in compiti di sicurezza informatica. Durante i test, Mythos Preview ha identificato e sfruttato vulnerabilità in ogni sistema operativo e browser web, inclusa una vulnerabilità vecchia di 27 anni in un sistema noto per la sua sicurezza. Anthropic ha deciso di non rilasciare Mythos al pubblico, rendendolo disponibile solo a partner selezionati in Project Glasswing (oltre 150 organizzazioni in 15 paesi). Il 23 giugno, un funzionario statunitense ha confermato che Mythos aveva identificato vulnerabilità in sistemi informatici governativi statunitensi altamente sensibili.
A seguito di ciò, il 2 giugno il Presidente Trump ha firmato un Ordine Esecutivo sull'IA per promuovere un quadro volontario per gli sviluppatori di IA avanzata, incoraggiandoli a interagire con il governo prima di rilasciare "modelli frontier coperti" per proteggere le infrastrutture critiche, le capacità di cyber difesa e la sicurezza nazionale degli Stati Uniti. Il 5 giugno, la Casa Bianca ha rilasciato un memorandum per accelerare l'uso dell'IA da parte dell'esercito statunitense, stabilendo che nessuna azienda dovrebbe interferire con l'uso militare dell'IA senza approvazione federale.
Successivamente, il 9 giugno, Anthropic ha rilasciato Claude Fable 5, un modello di classe Mythos "reso sicuro per l'uso generale". Tre giorni dopo, il governo degli Stati Uniti ha emesso una direttiva di controllo delle esportazioni, sospendendo l'accesso a Fable 5 e Mythos 5 a qualsiasi cittadino straniero, inclusi quelli che lavorano in Anthropic, citando preoccupazioni di sicurezza nazionale. Anthropic ha quindi disabilitato i modelli per tutti i clienti. Attualmente, è in corso una causa legale contro l'amministrazione Trump per questa azione. Il 25 giugno, l'amministrazione Trump ha chiesto a OpenAI di ritardare il rilascio di GPT-5.6 per motivi di sicurezza, proponendo un'approvazione dell'accesso cliente per cliente.

Perché conta

Questo scenario è di fondamentale importanza per i DPO e i responsabili IT per diverse ragioni legate alla protezione dei dati e alla compliance. Modelli IA come Mythos dimostrano una capacità senza precedenti di individuare e sfruttare vulnerabilità in sistemi critici, aumentando drasticamente il rischio di data breach e di compromissione delle infrastrutture.
Per le organizzazioni, ciò significa che le attuali strategie di cybersecurity e i requisiti di compliance come il GDPR, la Direttiva NIS2 e la certificazione ISO 27001 devono essere urgentemente rivalutati alla luce delle nuove minacce IA. La capacità di prevenire, rilevare e rispondere a incidenti di sicurezza diventa più complessa, richiedendo investimenti in nuove difese e un monitoraggio costante delle evoluzioni tecnologiche e normative. Le organizzazioni che operano in settori critici o gestiscono grandi quantità di dati personali sono particolarmente esposte e devono considerare l'IA sia come potenziale strumento di attacco che come componente essenziale per rafforzare le proprie difese.

Cosa fare

• Condurre regolarmente valutazioni di impatto sulla protezione dei dati (DPIA) e analisi dei rischi di cybersecurity, includendo scenari di attacco basati su IA.
• Aggiornare le politiche e le procedure di sicurezza informatica per considerare le minacce emergenti derivanti dall'IA, in particolare per la protezione di sistemi operativi e browser web.
• Monitorare attentamente lo sviluppo delle politiche governative sull'IA e le potenziali restrizioni sull'uso o l'accesso a specifici modelli IA, soprattutto se si utilizzano o si sviluppano modelli "frontier".
• Rafforzare le capacità di rilevamento delle vulnerabilità e di risposta agli incidenti, preparandosi a gestire attacchi sofisticati che potrebbero sfruttare capacità IA.

Cosa evitare

• Sottovalutare il potenziale offensivo dei modelli IA e la loro capacità di creare nuove vulnerabilità o sfruttare quelle esistenti.
• Adottare o sviluppare modelli IA avanzati senza un'approfondita valutazione dei rischi per la sicurezza e la privacy.
• Ignorare le direttive e le restrizioni governative emergenti sull'IA, che potrebbero influenzare l'accesso e l'uso di specifici modelli.

Implicazioni pratiche

Le organizzazioni devono riconoscere che l'IA non è più solo un'innovazione tecnologica, ma una questione di sicurezza nazionale con implicazioni dirette sulla gestione dei dati e sulla continuità operativa. Questo porterà a politiche imprevedibili, potenzialmente restrittive o "draconiane", che influenzeranno lo sviluppo, l'accesso e l'uso dell'IA a livello globale. Le aziende che utilizzano o sviluppano IA devono prepararsi a un panorama normativo in rapida evoluzione, dove i governi eserciteranno un controllo diretto sui modelli IA a causa del loro potenziale uso improprio nella cyber warfare e nello spionaggio.

Errori da evitare

• Sottovalutare il potenziale offensivo dei modelli IA nel contesto della sicurezza informatica.
• Non considerare le restrizioni governative sull'esportazione o l'accesso a modelli IA.
• Ignorare la necessità di un'approfondita valutazione della sicurezza prima del rilascio o dell'adozione di modelli IA.

Domande di self-assessment

• La nostra organizzazione ha valutato i rischi di sicurezza che i modelli IA potrebbero introdurre o aggravare?
• Siamo preparati a gestire attacchi informatici sofisticati che potrebbero sfruttare capacità IA?
• I nostri modelli IA o quelli che utilizziamo rientrano nelle categorie "frontier" o "covered" che potrebbero essere soggette a controllo governativo?
• Come possiamo garantire che la nostra infrastruttura critica sia protetta da minacce IA offensive?

Riferimenti

Normativa nazionale: GDPR · Direttiva NIS2 · ISO/IEC 27001 · Ordine Esecutivo sull'IA degli Stati Uniti