AI Risk Meets Cyber Governance: NIST’s Draft Cyber AI Profile
Il 16 dicembre 2025, il National Institute of Standards and Technology ha rilasciato una bozza preliminare del suo prossimo Cyber AI Profile. Questo profilo mira ad aiutare le organizzazioni a rafforzare la governance dell’intelligenza artificiale (AI) utilizzando il Cybersecurity Framework 2.0 come guida per la sicurezza informatica dei sistemi AI e per l’uso dell’AI a supporto della cybersecurity.
Il Cyber AI Profile identifica tre aree tematiche principali relative alla governance dell’AI nelle organizzazioni:
1. Sicurezza dei Componenti del Sistema AI
Le aziende sono incoraggiate a integrare approcci di gestione del rischio esistenti per affrontare le nuove sfide poste dall’integrazione dei sistemi AI, comprese le catene di approvvigionamento dell’AI e altre dipendenze.
2. Difesa Abilitata dall’AI
Le aziende dovrebbero sfruttare l’AI per rafforzare le difese informatiche, gestendo un volume crescente di intelligence sulle minacce e automatizzando compiti di risposta agli incidenti.
3. Contrasto agli Attacchi Abilitati dall’AI
Le aziende devono prepararsi all’uso avverso dell’AI, che aumenta la sofisticatezza degli attaccanti e introduce nuovi rischi come gli attacchi deepfake e le frodi abilitate dall’AI.
Il profilo non prescrive requisiti specifici, ma offre considerazioni raccomandate per implementare la governance dell’AI all’interno del CSF. Ogni area tematica dell’AI è mappata sulle sei funzioni principali del CSF: Governare, Identificare, Proteggere, Rilevare, Rispondere e Recuperare.
Implicazioni e Rischi
Il Cyber AI Profile è particolarmente utile per le organizzazioni che cercano di dimostrare la maturità della cybersecurity, come richiesto da clienti e investitori. È applicabile a enti coperti dalla regolamentazione della cybersecurity, che evidenziano la relazione interconnessa tra cybersecurity e AI.
Le aziende pubbliche beneficeranno anche della revisione del Cyber AI Profile, utilizzandolo per contestualizzare i rischi legati all’AI all’interno dei programmi di gestione della cybersecurity.
Conclusione
Il periodo di commento per la bozza del Cyber AI Profile rimane aperto fino al 30 gennaio 2026. Le organizzazioni dovrebbero continuare a monitorare i progressi verso la pubblicazione di un profilo finale, integrando elementi del Cyber AI Profile nelle valutazioni dei rischi informatici esistenti e prioritizzando i rischi legati all’AI.
