L’Unione europea sta passando dalla discussione sull’AI alla verifica pratica dei modelli più avanzati. Il 10 settembre 2026 la Commissione europea ha confermato che l’agenzia europea per la cybersicurezza ENISA ha ottenuto accesso a due modelli di frontiera, Anthropic Mythos 5 e OpenAI GPT-6 Astra, per valutarne capacità e potenziali impatti sulla sicurezza informatica.
Perché l’UE sta testando questi modelli
Il punto non è semplicemente capire quale modello risponde meglio a una domanda. I sistemi generativi più avanzati possono essere utilizzati per analizzare codice, automatizzare attività, individuare vulnerabilità, sintetizzare grandi quantità di informazioni e supportare operatori umani. Proprio per questo, la cybersicurezza deve essere valutata insieme alle prestazioni.
Il test di ENISA è interessante per le aziende perché indica una direzione precisa: l’adozione dell’AI non riguarda più soltanto produttività e marketing, ma anche gestione del rischio. Un modello molto potente può creare valore, ma deve essere inserito in processi con autorizzazioni, controllo degli accessi, tracciamento delle attività e supervisione umana.
Cosa cambia per una PMI italiana
Per una piccola o media impresa non significa dover acquistare immediatamente un sistema enterprise. Significa invece iniziare a trattare gli strumenti AI come componenti dell’infrastruttura digitale aziendale.
- Accessi: definire chi può utilizzare quali strumenti e con quali account.
- Dati: stabilire quali informazioni aziendali possono essere inserite nei servizi AI.
- Controllo: verificare gli output prima che producano conseguenze operative o comunicazioni verso clienti.
- Tracciabilità: mantenere una documentazione minima degli strumenti utilizzati e dei processi automatizzati.
AI e cybersicurezza: il nuovo equilibrio
Il tema è particolarmente rilevante perché gli agenti AI possono passare dalla semplice generazione di testo all’esecuzione di compiti. Quando un sistema può accedere a posta elettronica, CRM, documenti, browser o strumenti di sviluppo, un errore non rimane confinato nella chat: può trasformarsi in un’azione.
Per questo la progettazione dei workflow dovrebbe seguire un principio semplice: più autonomia significa più controlli. Le attività a basso rischio possono essere automatizzate quasi completamente; quelle che coinvolgono denaro, dati personali, credenziali, contratti o comunicazioni esterne dovrebbero prevedere approvazioni e limiti chiari.
Il ruolo dell’AI Act
Nel contesto europeo, la governance dei sistemi AI si sta evolvendo anche attraverso l’AI Act e gli interventi di semplificazione introdotti dall’AI Omnibus. Per le imprese questo rende utile costruire una mappa interna degli utilizzi dell’AI, distinguendo strumenti sperimentali, applicazioni operative e casi ad alto impatto.
Azione Immediata
- Fai un inventario degli strumenti AI usati in azienda.
- Classifica i dati che possono essere trattati con questi strumenti.
- Individua le attività che richiedono approvazione umana.
- Documenta almeno modello, fornitore, finalità e responsabile di ogni workflow AI.
Conclusione: il test di ENISA mostra che la valutazione dell’AI sta diventando una questione di sicurezza e governance, non solo di innovazione. Per le PMI italiane il vantaggio competitivo sarà adottare l’AI rapidamente, ma con processi sufficientemente controllati da poter essere scalati senza aumentare il rischio.
Fonte: Commissione europea / Reuters, 10 settembre 2026.
