Il 14 ottobre 2026, ISO e IEC hanno pubblicato la norma internazionale ISO/IEC 27090:2026, che fornisce linee guida per affrontare le minacce alla sicurezza dei sistemi di intelligenza artificiale (IA).
L’intelligenza artificiale introduce rischi specifici, che non riguardano soltanto gli attacchi informatici tradizionali, ma coinvolgono anche i dati impiegati per l’addestramento, il comportamento dei modelli e le vulnerabilità che possono emergere nel corso del tempo.
La norma propone un approccio alla sicurezza che copre l’intero ciclo di vita dei sistemi di IA, dallo sviluppo all’utilizzo, fino agli aggiornamenti. In particolare, affronta quattro ambiti fondamentali:
- Gestione e analisi dei rischi, per individuare le vulnerabilità e comprendere le possibili modalità di attacco.
- Protezione di dati, modelli e software, con particolare attenzione alla catena di fornitura e agli ambienti di sviluppo.
- Monitoraggio continuo, per rilevare comportamenti anomali e verificare nel tempo l’efficacia delle misure di sicurezza adottate.
- Controllo del ciclo di vita, includendo il riaddestramento dei modelli e l’aggiornamento delle misure di protezione.
Dal punto di vista operativo, è fondamentale che le organizzazioni conoscano i sistemi di IA utilizzati, compresi quelli forniti da terze parti, ne traccino la provenienza e le modifiche e promuovano la collaborazione tra le funzioni aziendali coinvolte. È inoltre importante definire responsabilità e procedure chiare per individuare e gestire eventuali eventi sospetti.
La ISO/IEC 27090 si integra con gli standard dedicati alla sicurezza delle informazioni, come ISO/IEC 27001 e ISO/IEC 27002, e con la ISO/IEC 42001, relativa ai sistemi di gestione dell’intelligenza artificiale.
La norma rappresenta quindi un riferimento per le organizzazioni che intendono rafforzare la sicurezza dei sistemi di IA attraverso un approccio strutturato, basato sulla gestione dei rischi e coerente con i processi di sicurezza delle informazioni e di governance dell’intelligenza artificiale.
