L’Intelligenza Artificiale sta entrando nei processi aziendali con una velocità che non ha precedenti. Applicazioni basate su LLM, agenti autonomi, modelli generativi integrati nelle applicazioni core: l’AI non è più un laboratorio di sperimentazione, ma un’infrastruttura operativa.
Eppure, ogni board si trova davanti alla stessa domanda: possiamo pensare di applicare l’utilizzo dell’AI all’interno del nostro ecosistema se non siamo certi di poterla governare?
La risposta di NTT DATA è la Security for AI, un framework che garantisce la sostenibilità dell’innovazione all’interno dei sistemi tradizionali.
L’AI moltiplica il valore. Ma moltiplica anche il rischio.
L’adozione accelerata dell’AI espone le organizzazioni a rischi nuovi e amplificati (con possibili impatti finanziari, legali e reputazionali significativi), come ad esempio: data poisoning, model inversion, adversarial attack e l’utilizzo non governato di strumenti basati su GenAI (shadow AI).
A differenza dei sistemi tradizionali, l’AI:
- è non deterministica;
- apprende e si evolve;
- interagisce in linguaggio naturale;
- può prendere decisioni semi-autonome.
Questo significa che i modelli, i dati, le API, le pipeline e gli agenti diventano parte di una nuova superficie di attacco.
E mentre l’AI cresce, cresce anche la pressione normativa. Framework come ISO/IEC 42001, NIST AI RMF ed EU AI Act stanno definendo obblighi comuni in termini di governance, trasparenza, sicurezza e monitoraggio continuo.
Pertanto, ogni azienda ha oggi la responsabilità di garantire la sicurezza legata all’introduzione di queste tecnologie emergenti, caratterizzate da un’incontrollabile diffusione nei processi aziendali, nell’utilizzo quotidiano da parte del personale e nell’esposizione dei servizi ad essa legati verso terzi.
Perché la cybersecurity tradizionale non basta
Molte organizzazioni stanno cercando di improntare la sicurezza dell’AI con strumenti progettati per ambienti IT tradizionali.
Tuttavia, l’AI introduce vettori di attacco specifici, non adeguatamente coperti dai sistemi di sicurezza tradizionali, e che variano in funzione delle tecnologie adottate, come agenti, LLM e altre soluzioni basate su modelli generativi.
Ad esempio, un penetration test classico non simula il comportamento di un attaccante che tenta di corrompere un LLM, oppure, un DLP tradizionale non comprende il contesto semantico di una richiesta generativa.
L’OWASP ha stilato una Top 10 specifica per l’AI contenente le principali categorie di attacco che possono colpire un’organizzazione, tra cui: prompt injection, data poisoning, manipolazione degli output, abuso di agenti autonomi.
La presenza dell’AI ad ogni livello dell’organizzazione richiede, pertanto, un approccio full-stack e full-lifecycle, capace di coprire i rischi legati:
- All’utilizzo della GenAI da parte dei dipendenti;
- Ai modelli e dataset impiegati;
- Alle applicazioni e alle API con cui comunicano;
- All’infrastruttura implementata;
- Alle attività di runtime e interazione con le applicazioni.
La visione di NTT DATA: Security for AI end-to-end
NTT DATA ha strutturato un approccio completo alla Security for AI, con lo scopo di accompagnare le organizzazioni lungo l’intero ciclo di vita dell’AI, a partire dalle valutazioni iniziali fino al monitoraggio continuo.
Questo approccio si articola nei seguenti tre pillar fondamentali, che definiscono una roadmap per l’adozione dell’AI in modo sicuro e responsabile:
1. AI Risk & Compliance
Nella fase iniziale di adozione dell’AI è necessario comprendere tutti i rischi ad essa associati, in modo da essere consapevoli dei suoi possibili impatti sull’infrastruttura aziendale.
L’attività di AI Risk Assessment supporta il management nel:
- valutare la maturità del programma AI;
- mappare gli asset e identificare la shadow AI;
- allinearsi agli standard internazionali;
- definire una roadmap di compliance;
- definire priorità e livelli di esposizione al rischio.
2. AI Protection
La protezione dei sistemi basati su AI necessita di azioni preventive e correttive che vengano applicate ad ogni suo layer, tra cui:
- discovery degli asset AI;
- protezione dei modelli e delle API;
- AI Guardrails;
- controlli specifici contro prompt injection;
- gestione della shadow AI;
- AI Firewall e sicurezza runtime.
NTT DATA, fornendo metodologie e controlli basati sulla Security for AI, supporta le organizzazioni nell’individuazione e applicazione delle azioni volte alla protezione dei sistemi dai possibili rischi legati all’utilizzo dell’AI da parte dei dipendenti e risultanti dalle interazioni e integrazioni con altri sistemi aziendali, prevenendo la fuoriuscita di dati sensibili.
3. AI Assurance
I servizi di AI Red Teaming si basano sulla simulazione di attacchi realistici verso i sistemi basati su AI, al fine di:
- individuare vulnerabilità nascoste;
- validare l’efficacia dei controlli implementati;
- rafforzare la resilienza dei sistemi prima che avvenga un incidente reale.
NTT DATA, grazie a metodologie e controlli ispirati ai principi di Security Assurance e alle pratiche di Red Teaming, supporta le organizzazioni nell’individuare e attuare le misure necessarie per proteggere i sistemi dai rischi derivanti dall’utilizzo dell’AI nell’infrastruttura aziendale. Questo approccio consente di identificare preventivamente le possibili vulnerabilità, di valutare il comportamento dei modelli in scenari avversi e di prevenire la fuoriuscita di dati sensibili, garantendo un utilizzo dell’AI affidabile e conforme.
Parallelamente, ambienti dedicati come il Secure AI Lab offerto da NTT DATA, consentono di sperimentare casi d’uso in un contesto protetto, validando controlli e architetture prima della messa in produzione.
Innovare con fiducia
Stiamo entrando in una fase in cui la differenza competitiva non sarà data solo da chi adotta l’AI più velocemente, ma da chi riesce a farlo in modo governato, sicuro e conforme.
La Security for AI è una scelta profondamente strategica che supera la semplice adozione tecnologica: protegge nel tempo il valore generato dall’AI, tutela la fiducia di clienti e stakeholder, garantisce continuità operativa in contesti complessi e dimostra responsabilità normativa trasformando conformità e governance in vere leve abilitanti.
In NTT DATA crediamo che l’AI possa essere un potente acceleratore di business, ma solo se sostenuta da un framework di sicurezza end-to-end, integrato e continuo.
Non si tratta più di decidere se adottare l’AI, ma di stabilire il livello di affidabilità che siamo disposti a garantire.
Perché l’innovazione crea valore solo quando crea fiducia.