AITSC, nasce il consorzio che vuole definire gli standard di sicurezza dell’AI aziendale

Le grandi organizzazioni hanno smesso di chiedersi se adottare l’intelligenza artificiale e hanno iniziato a chiedersi come farlo senza farsi male. È un cambio di prospettiva che sposta il baricentro dal marketing dei modelli alla parte meno appariscente ma più decisiva, cioè la sicurezza, la governance e la fiducia. Proprio su questo terreno, a metà agosto 2026, è nato l’AI Trust and Security Consortium (AITSC), un consorzio indipendente che vuole scrivere gli standard di sicurezza dell’AI aziendale partendo da chi quella sicurezza la gestisce ogni giorno.

La promessa è tanto semplice quanto ambiziosa. Mettere nella stessa stanza i responsabili della sicurezza delle più grandi aziende e farli lavorare insieme su regole pratiche, invece di aspettare che siano i regolatori o i fornitori di tecnologia a dettarle dall’alto.

Vale la pena capire cosa è davvero questo consorzio, chi lo guida e perché la sua nascita racconta molto dello stato attuale dell’AI in azienda.

Che cos’è l’AI Trust and Security Consortium

AITSC si presenta come un’iniziativa di standard indipendente e guidata dai professionisti, non dai vendor. La differenza non è cosmetica. La maggior parte dei framework di sicurezza in circolazione nasce dentro i laboratori che vendono i modelli o dentro le grandi società di consulenza, con l’inevitabile conflitto di interessi che ne deriva. Il consorzio ribalta lo schema e mette al centro chi la responsabilità del rischio se la prende in prima persona, cioè i responsabili della sicurezza informatica e i dirigenti tecnologici che devono rispondere al consiglio di amministrazione quando qualcosa va storto.

Il gruppo fondatore è volutamente ristretto. I posti disponibili sono cinquanta, riservati a leader della sicurezza e della tecnologia che si impegnano a costruire insieme architetture di riferimento, framework di controllo e modelli di governance già pronti per essere presentati a un board.

C’è anche un elemento che rende il progetto interessante: la condivisione riservata degli incidenti reali. I membri si scambiano, sotto stretta confidenzialità, cosa è andato storto nelle loro organizzazioni, cosa ha intercettato il problema e quanto è costato rimediare. È un tipo di franchezza che raramente esce dalle mura di un’azienda, e che nessun white paper commerciale può offrire.

Chi c’è dietro e chi sono i membri fondatori

Il consorzio è promosso nell’orbita di Trust3 AI, la cui guida sottolinea il senso dell’operazione. Ai responsabili della sicurezza, spiega l’azienda, viene chiesto di garantire la più grande scommessa tecnologica della loro carriera con strumenti e schemi concettuali nati prima di questa tecnologia. Da qui l’idea che, come sintetizza il fondatore, «nessuno lo risolve da solo».

Tra i membri fondatori compaiono figure con un curriculum robusto nel mondo della sicurezza dei dati e della privacy. Ci sono Ulf Mattsson, fondatore di Protegrity, Lori Higham, presidente di Secure Cloud Provider Inc, e Maggie Amato, una leader con ruoli da CISO e BISO che ha lavorato in aziende come Salesforce e Dell.

Proprio Amato racconta bene lo stato d’animo di chi lavora sul campo. Ha aderito quasi di getto perché, dice, tutti stanno improvvisando e ciò che le serve non è un altro documento con delle linee guida, ma sapere cosa si è rotto davvero in un’azienda della sua dimensione, cosa lo ha fermato e quanto è costato. Una candidezza che, ammette, può nascere solo in una stanza piccola fatta di persone che si fidano tra loro.

Le candidature sono aperte e vengono valutate in modo continuo. Il profilo cercato è chiaro: CISO, CIO, CTO, responsabili della privacy e capi della governance, del rischio e della conformità che rispondono in prima persona della gestione dell’AI su larga scala.

Perché serve un playbook condiviso sulla sicurezza dell’AI

La nascita di AITSC non è un vezzo da addetti ai lavori, ma la risposta a un problema molto concreto. L’adozione dell’intelligenza artificiale in azienda corre veloce, mentre le regole per gestirla in sicurezza arrancano parecchio indietro.

I numeri aiutano a inquadrare la distanza. Secondo l’indagine McKinsey del 2026 sulla maturità della fiducia nell’AI, solo circa un’organizzazione su tre dichiara di avere una governance dell’AI matura. E secondo dati citati dalla Linux Foundation, il 48% delle organizzazioni indica oggi le preoccupazioni per la sicurezza come principale ostacolo all’adozione dell’AI, un dato in netta crescita rispetto al 17% del 2024.

In altre parole, la sicurezza è passata da fastidio marginale a freno numero uno.

Il motivo di questa impennata ha un nome preciso, ed è l’arrivo degli agenti autonomi. Finché l’AI si limitava a suggerire testi o riassumere documenti, il perimetro del rischio restava gestibile. Ora che i modelli agiscono, cioè eseguono azioni, accedono a sistemi e prendono decisioni al posto nostro, ogni permesso concesso diventa una potenziale porta d’ingresso. Se vuoi capire meglio la posta in gioco, abbiamo spiegato in dettaglio cosa sono e come funzionano gli agenti AI autonomi e perché stanno cambiando il modo di lavorare.

Non è teoria. Il panorama delle minacce si sta adattando in fretta all’intelligenza artificiale, con attori ostili che usano gli stessi strumenti per accelerare gli attacchi, come emerge dai report sul threat hunting che documentano gli attacchi basati sull’AI. In questo scenario chiedere ai team di sicurezza di difendersi con manuali scritti per un mondo precedente significa mandarli allo sbaraglio.

Non a caso enti e governi hanno iniziato a produrre linee guida dedicate, come la guida dell’alleanza Five Eyes per adottare gli agenti AI senza rischi. Sono passi utili, ma spesso restano ad alto livello e faticano a tradursi nelle scelte quotidiane di chi deve configurare un permesso o approvare un connettore.

Standard costruiti dal basso contro regole calate dall’alto

Qui si intravede la vera scommessa di AITSC. Da un lato c’è la spinta normativa, che in Europa ha ormai un volto ben definito. L’AI Act ha introdotto obblighi crescenti e scadenze stringenti, e proprio ad agosto 2026 sono entrati in vigore nuovi obblighi di trasparenza per chatbot e contenuti generati dall’AI. I regolatori, insomma, stanno chiedendo garanzie precise.

Dall’altro lato, però, nessun framework esistente fornisce davvero le protezioni operative che quelle stesse norme pretendono. C’è un vuoto in mezzo, tra il principio scritto nella legge e la configurazione tecnica che lo rende reale, ed è esattamente lo spazio che il consorzio punta a occupare.

La filosofia è quella dello standard costruito dal basso. Invece di attendere che un organismo di normazione o una brochure di marketing colmi il divario, i professionisti si mettono a scrivere le risposte insieme, partendo dai problemi che affrontano davvero ogni giorno. Il risultato dovrebbe essere una serie di architetture di riferimento e modelli di governance pubblicati a nome collettivo dei membri, quindi con un’autorevolezza che nasce dall’esperienza sul campo e non dalla vendita di un prodotto.

È un approccio che ricorda il modo in cui sono nati molti standard di sicurezza informatica prima dell’AI, quando furono i praticanti a codificare le buone pratiche che poi i regolatori hanno recepito. La differenza è la velocità richiesta oggi, che non concede il lusso di anni di sedimentazione.

Cosa cambia per le aziende e per chi lavora con l’AI

Se sei un imprenditore, un consulente o un professionista che integra l’AI nel proprio lavoro, un’iniziativa come questa ti riguarda più di quanto sembri. Gli standard che emergono da tavoli come AITSC tendono col tempo a diventare il riferimento con cui i clienti valutano i fornitori, il metro con cui un’azienda decide se fidarsi di uno strumento o di un partner.

In pratica, ciò che oggi è una discussione riservata tra cinquanta responsabili della sicurezza domani potrebbe trasformarsi nella checklist che ti verrà chiesto di soddisfare per lavorare con un’organizzazione strutturata.

C’è poi un beneficio più immediato, quello della condivisione della conoscenza. Il consorzio promette ai membri di risparmiare tempo prezioso: una sola conversazione con chi ha già risolto un problema può valere un trimestre di ricerche a vuoto. Per chi guida la sicurezza in un contesto dove tutto è nuovo, poter contare su un gruppo di pari fidati che hanno già affrontato lo stesso ostacolo è un vantaggio competitivo concreto.

Non mancano però le domande legittime. Un club chiuso e a numero limitato rischia di produrre standard poco trasparenti, pensati per le grandissime imprese e lontani dalla realtà delle organizzazioni più piccole. Molto dipenderà da quanto materiale il consorzio deciderà di pubblicare apertamente e da quanto le sue architetture di riferimento riusciranno a dialogare con gli schemi già esistenti, dal NIST AI Risk Management Framework fino allo standard ISO dedicato ai sistemi di gestione dell’AI.

Il rischio opposto è la frammentazione. Se ogni consorzio, ogni vendor e ogni regolatore propone la propria versione delle regole, chi adotta l’AI si ritrova a rincorrere una selva di requisiti sovrapposti. Il valore di AITSC si misurerà proprio sulla capacità di convergere verso un linguaggio comune, invece di aggiungere l’ennesimo dialetto.

Un segnale che vale più del singolo annuncio

Al di là del suo destino specifico, la nascita di AITSC è soprattutto un indicatore. Racconta che la fase dell’entusiasmo puro attorno all’intelligenza artificiale sta lasciando spazio a una fase più adulta, in cui la domanda non è più solo quanto è potente un modello, ma quanto puoi fidarti di ciò che fa quando lo lasci agire dentro i tuoi sistemi.

Per anni la conversazione pubblica si è concentrata sulle prestazioni, sui benchmark e sui prezzi. Quel dibattito resta importante, ma accanto ad esso ne sta crescendo un altro, più silenzioso e forse più decisivo per la diffusione reale della tecnologia, che riguarda la governance, la responsabilità e la sicurezza.

Il fatto che a raccogliere per primi la sfida siano i professionisti della sicurezza, e non i laboratori che costruiscono i modelli, dice qualcosa di importante su dove si sta spostando il potere di definire le regole del gioco.

Se lavori con l’intelligenza artificiale, ti conviene tenere d’occhio questi sviluppi tanto quanto segui l’uscita dell’ultimo modello. Approfondisci il quadro normativo con la nostra copertura dedicata all’AI Act e alle sue scadenze, ragiona su come integrare fin da subito criteri di sicurezza e governance nei tuoi progetti, e non aspettare che sia un obbligo esterno a costringerti. In un mercato in cui la fiducia sta diventando la vera valuta, arrivare preparati non è un vezzo, ma un vantaggio.