La Commissione europea ha compiuto un passo che va ben oltre la pubblicazione di un semplice documento programmatico. Con l’Action Plan on Cybersecurity and Artificial Intelligence, presentato il 7 luglio 2026, Bruxelles riconosce ufficialmente che l’intelligenza artificiale non rappresenta più soltanto uno strumento destinato ad aumentare la produttività o automatizzare processi aziendali, bensì il nuovo terreno di confronto strategico sul quale si giocheranno sicurezza nazionale, competitività industriale e autonomia geopolitica. Il messaggio è inequivocabile: la cybersecurity del prossimo decennio sarà alimentata dall’AI, ma anche minacciata dalla stessa tecnologia.
Il dibattito europeo dominato dalla regolamentazione: AI Act, NIS2, DORA e Cyber Resilience Act hanno costruito un ecosistema normativo tra i più completi al mondo. Oggi, tuttavia, la Commissione sembra aver compreso che le regole, da sole, non bastano. Se i modelli di frontiera vengono sviluppati prevalentemente negli Stati Uniti e, sempre più rapidamente, in Cina, il rischio non è soltanto tecnologico. È economico, industriale e strategico. Dipendere da modelli AI controllati da soggetti esterni significa affidare una componente critica della sicurezza europea a decisioni prese altrove, magari influenzate da interessi geopolitici che non coincidono con quelli dell’Unione.
Il documento introduce tre pilastri che delineano una strategia molto più ambiziosa di quanto possa apparire a una prima lettura. Il primo riguarda la creazione di una capacità europea per valutare i modelli AI prima della loro diffusione commerciale. Non è un dettaglio tecnico. Significa costruire competenze indipendenti capaci di analizzare vulnerabilità, capacità offensive e rischi sistemici dei modelli generativi più avanzati. In altre parole, l’Europa vuole smettere di fidarsi esclusivamente delle valutazioni effettuate dalle stesse aziende che producono tali modelli, creando un ecosistema di valutazione autonomo e scientificamente credibile.
Ancora più interessante è la proposta di definire un sistema europeo di accesso privilegiato ai modelli AI avanzati destinati alla cybersecurity. Oggi l’accesso ai modelli più potenti dipende quasi esclusivamente da programmi discrezionali decisi dai provider. La Commissione intende creare un “Blueprint” che stabilisca criteri comuni affinché istituzioni europee, infrastrutture critiche, aziende strategiche e centri di ricerca possano ottenere rapidamente accesso alle capacità AI necessarie per difendersi dagli attacchi più sofisticati. Dietro questo linguaggio burocratico si intravede una questione molto concreta: nessuna infrastruttura critica può dipendere dalla disponibilità o dal buon umore commerciale di un singolo fornitore extraeuropeo.
Il secondo pilastro affronta il tema che probabilmente preoccupa maggiormente i CISO. L’intelligenza artificiale sta abbattendo drasticamente il tempo necessario per individuare vulnerabilità software. Ciò significa che gli attaccanti possono trovare e sfruttare falle con velocità crescente. Se le organizzazioni continuano ad applicare patch con i ritmi tradizionali, il vantaggio competitivo passa inevitabilmente dalla parte degli aggressori. La Commissione propone quindi una revisione completa della gestione delle vulnerabilità, incoraggiando l’impiego dell’AI per identificare, classificare e correggere automaticamente le debolezze prima che vengano sfruttate. È una corsa contro il tempo nella quale l’automazione diventa l’unica risposta economicamente sostenibile.
Particolarmente significativa è l’attenzione riservata all’open source. Bruxelles riconosce che gran parte delle infrastrutture digitali europee poggia su componenti open source spesso mantenuti da piccoli gruppi di sviluppatori con risorse limitate. La proposta di una “Critical Open Source Resilience Campaign” punta a utilizzare strumenti AI per accelerare manutenzione, correzione delle vulnerabilità e supporto agli sviluppatori. È una scelta pragmatica: proteggere il software open source significa proteggere l’intera economia digitale europea.
Il terzo pilastro rappresenta forse il cambiamento culturale più importante. La Commissione afferma apertamente che l’Europa deve costruire proprie capacità di frontier AI, investendo in infrastrutture di calcolo, AI Factories, ricerca, capitale di rischio e startup deep tech. Non si parla più soltanto di ricerca accademica, ma di centinaia di miliardi di euro necessari per evitare che il continente diventi un semplice consumatore di tecnologie progettate altrove. È un’ammissione implicita che la sovranità digitale non può essere costruita esclusivamente attraverso regolamenti; richiede capitale, talento, potenza computazionale e una politica industriale molto più aggressiva.
La cybersecurity non appartiene più esclusivamente ai reparti IT. Diventa una leva competitiva e una componente essenziale della governance aziendale. I CEO dovranno valutare l’esposizione ai modelli AI utilizzati, comprendere le dipendenze tecnologiche, verificare la resilienza delle supply chain digitali e investire in competenze che oggi risultano ancora estremamente rare. L’AI non sostituirà gli esperti di sicurezza; cambierà radicalmente il loro modo di lavorare, aumentando la produttività dei migliori e rendendo rapidamente obsolete le organizzazioni incapaci di adattarsi.
L’Europa, spesso accusata di essere soltanto il continente delle regole, sembra aver compreso che la competizione sull’intelligenza artificiale non sarà vinta da chi scriverà la normativa migliore, bensì da chi controllerà modelli, infrastrutture, dati e capacità computazionale. È un cambiamento di paradigma che arriva forse più tardi rispetto ai concorrenti americani e cinesi, ma rappresenta comunque una svolta significativa.
Saranno sufficienti piani d’azione, gruppi di lavoro, piattaforme di test e nuovi programmi di investimento per colmare un divario accumulato in oltre un decennio? Oppure il rischio è che l’Europa continui a eccellere nella definizione delle regole mentre altri costruiscono le tecnologie che quelle stesse regole saranno chiamate a governare? La risposta non dipenderà dall’AI Act né dal prossimo regolamento europeo. Dipenderà dalla capacità dell’Unione di trasformare rapidamente questa visione strategica in imprese capaci di competere alla frontiera dell’intelligenza artificiale. Nel mercato dell’AI la sovranità non si dichiara: si calcola in GPU, talento, capitale e velocità di esecuzione.