Analisi dell'IA nell'ecosistema elettrico

Analisi dei potenziali rischi per la cibersicurezza nell'impiego dell'IA nel modello futuro dell'ecosistema elettrico

Management Summary

L'aumento previsto dell'uso dell'intelligenza artificiale (IA) nelle infrastrutture critiche pone nuove sfide alla cibersicurezza e alla sovranità digitale della Svizzera.

L'Istituto nazionale di test per la cibersicurezza NTC ha quindi condotto un'analisi dei rischi per l'espansione basata sull'IA dell'ecosistema elettrico svizzero, al fine di individuare tempestivamente potenziali minacce e formulare raccomandazioni.

Nel corso dell'analisi sono stati identificati i seguenti otto rischi per un possibile modello futuro dell'ecosistema elettrico svizzero e sono stati discussi con esperti di cyber, digitalizzazione e IA.

1. Maggiore superficie di attacco per i prodotti commerciali destinati ai consumatori finali.
2. Effetti a cascata dovuti all'elevata complessità.
3. Errori involontari dell’AI
4. Dipendenze dal produttore
5. Traffico e uso improprio di dati sensibili
6. Interferenze nella trasmissione dei dati
7. Backdoor e manipolazione mirata
8. Manipolazione intenzionale della base di dati

Nel corso delle discussioni, gli esperti hanno sottolineato con chiarezza l'importanza di un'analisi dell'ecosistema energetico in continua evoluzione, dovuta alla crescente digitalizzazione, alla connettività e all'uso dell'intelligenza artificiale. Gli esperti hanno raggiunto un consenso sulla rilevanza e l'urgenza degli otto rischi identificati. Hanno ribadito che si tratta di rischi seri che devono essere presi in considerazione con la massima urgenza. Di conseguenza, molti rischi sono stati classificati come “alti” o “molto alti”. I risultati sottolineano la necessità che il NTC affronti in modo intenso e proattivo le sfide poste dall'IA.

Gli esperti hanno valutato al massimo il rischio dei prodotti commerciali per i clienti finali che sono integrati in un numero molto elevato nella rete di comunicazione del sistema elettrico. I prodotti commerciali per i clienti finali sono prodotti destinati alla vendita diretta ai consumatori. Questi prodotti sono sviluppati e distribuiti per uso personale o domestico, a differenza dei prodotti destinati alle imprese o all'uso industriale. I prodotti commerciali per i clienti finali comprendono, per esempio, gli elettrodomestici intelligenti collegati a Internet. Questi prodotti possono includere lavatrici, asciugatrici o inverter per impianti solari. Le vulnerabilità dovute a una cibersicurezza insufficiente e alla mancanza di aggiornamenti di sicurezza potrebbero essere sfruttate per destabilizzare la rete elettrica, immettere informazioni errate o creare modelli di consumo e produzione distruttivi.

Questo rischio è aumentato dall'uso dell'IA. Da un lato, c'è una dipendenza dai pochi fornitori di modelli di IA che potrebbero, intenzionalmente o meno, generare modelli di consumo o produzione distruttivi. Dall'altro lato, la complessità aumenta, rendendo sempre più difficile per gli esseri umani comprendere appieno l'interazione di diversi componenti interconnessi e anticipare e prevenire gli incidenti.

11 esperti su 12 hanno espresso un parere a favore di una delle due probabilità più elevate («probabile» o «molto probabile») nella valutazione del rischio e hanno classificato gli effetti come «significativi» o «critici». Gli esperti hanno convenuto che, a causa della pressione dei tempi per un rapido lancio sul mercato, questi dispositivi spesso non vengono testati a sufficienza in termini di cibersicurezza.

Raccomandazioni

I rischi per la cibersicurezza causati dall'IA devono essere affrontati con la necessaria sensibilizzazione, regolamentazione e ripetizione dei controlli di cibersicurezza:

• si raccomandano controlli di cibersicurezza proattivi coordinati e ripetuti, in particolare per i prodotti commerciali destinati ai clienti finali;

• data la crescente complessità dei sistemi di IA, è indispensabile formare regolarmente gli utenti e gli operatori e adottare misure di sensibilizzazione;

• le infrastrutture digitali di grande importanza per l'economia e la società devono essere dotate dei mezzi necessari per contrastare i rischi esistenti e quelli aggiuntivi causati dall'IA in materia di cibersicurezza;

• una strategia di approvvigionamento diversificata può inoltre ridurre la dipendenza dai pochi fornitori di modelli di IA e i rischi geopolitici. Il rischio di fallimento può essere ridotto anche nell'ambito di una diversificazione pianificata. Il software open source offre possibili alternative.