AI ha creato due nuovi problemi – E la governance dell’identità è l’unico luogo in cui si incontrano
AI ha silenziosamente trasformato la governance dell’identità nel luogo in cui si decidono i veri flussi di potere: chi (o cosa) può muovere denaro, cambiare codice o riscrivere registri. Questo cambiamento ha consegnato ai responsabili della sicurezza e delle informazioni due problemi che nessuno aveva realmente previsto: l’AI all’interno dello stack identitario che prende decisioni di accesso e l’AI che agisce come identità potenti all’interno dell’azienda.
Il problema dell’AI all’interno dello stack identitario
La situazione si concretizza in un semplice incidente: un “assistente” AI nell’ITSM è passato da “raccomandare” a “eseguire automaticamente”, iniziando silenziosamente ad approvare regole firewall rischiose e modifiche di configurazione, e appare all’attenzione solo quando il consiglio chiede come un account di assistenza sia finito con poteri di amministratore de facto. Non c’è stata alcuna anomalia nel modello; si trattava di un classico punto cieco travestito, un account AI non sponsorizzato con poteri a livello di produzione e senza tracciabilità su chi lo ha attivato, cosa può toccare o come spegnerlo in sicurezza.
Oggi non si tratta solo di “avere AI”. Si ha AI in due aree che contano:
- AI all’interno dello stack identitario, che plasma silenziosamente chi ottiene cosa in termini di accesso.
- AI che agisce come identità all’interno dell’azienda, svolgendo compiti che un tempo erano appannaggio degli esseri umani.
Entrambi sono già in produzione nella maggior parte delle aziende, mentre la governance è ancora in fase pilota in molte organizzazioni.
Il cambiamento nella governance dell’identità
Per anni, la governance dell’identità si è concentrata su politiche, flussi di lavoro e revisioni. Era un processo lento e spesso doloroso, ma almeno si sapeva chi prendeva le decisioni: manager, proprietari di applicazioni e team di rischio. Tuttavia, questa situazione sta cambiando.
Le moderne piattaforme di Governance dell’Identità e degli Accessi (IGA) si basano sempre più sull’AI per raggruppare richieste di accesso simili, segnalare diritti anomali e suggerire decisioni di “approvazione/rifiuto” per evitare che i revisori vengano sommersi da troppo rumore. In pratica, gli algoritmi stanno ora plasmando l’accesso tanto quanto le politiche scritte.
Le sfide per i responsabili della sicurezza e delle informazioni
Per i responsabili della sicurezza delle informazioni, questo solleva domande scomode su fiducia e spiegabilità. Se una raccomandazione assistita dall’AI porta all’assegnazione di un diritto ad alto rischio, è possibile spiegare a un revisore o a un regolatore perché quella decisione avesse senso al momento? Se il modello ha appreso da una base di riferimento errata, può normalizzare i comportamenti che si cercava di eliminare, ma a una velocità molto superiore.
Per i CIO, la situazione è diversa ma altrettanto difficile. È necessario un IGA che possa tenere il passo con SaaS, cloud e progetti AI senza trasformare ogni sprint in un collo di bottiglia per l’accesso. L’AI sembra essere l’unico modo realistico per liberare il backlog di approvazioni a basso valore e revisioni routinarie. Il rischio è che, senza chiari limiti, l”ottimizzazione” si trasformi in automazione invisibile, dove nessuno può dire dove finisce il giudizio umano e iniziano le decisioni dell’AI.
Governare le identità AI
La sfida è smettere di trattare i sistemi AI come effetti collaterali di altre piattaforme e iniziare a considerarli come identità a pieno titolo. Ciò significa che ogni agente AI deve avere un proprietario, uno scopo aziendale e un livello di rischio; i suoi diritti devono essere definiti in politiche piuttosto che sepolti in configurazioni specifiche dell’applicazione; e deve apparire in revisioni, certificazioni e cronologie degli incidenti come qualsiasi altro utente potente.
La governance dell’identità è il luogo in cui si fissa il limite di velocità per entrambe le forme di AI: l’AI che è all’interno della tua struttura decisionale e l’AI che ora agisce come personale digitale. È anche dove si genera la prova che consente a consigli, regolatori e clienti di continuare a dire “sì” mentre si scala l’AI in più parti dell’azienda.
Conclusione
Le organizzazioni che vinceranno con l’AI nei prossimi anni non saranno solo quelle che si muovono più velocemente. Saranno quelle che sanno esattamente quanto velocemente possono muoversi senza perdere il controllo su chi—o cosa—è autorizzato a toccare cosa.
