Il Framework cinese per la governance della sicurezza dell'IA 3.0 si concentra su agenti e controllo
La Cina ha pubblicato il China AI Safety Governance Framework 3.0 il 14 settembre, segnando la terza revisione in tre anni. Il documento mantiene il modello cinese basato sul rischio, ma sposta l'attenzione sugli agenti IA, sui sistemi operanti nel mondo fisico e sul pericolo di perdere il controllo umano. Il cambiamento è rilevante perché l'IA sta passando dalla generazione di risposte all'esecuzione di azioni.
Il National Technical Committee 260 on Cybersecurity, noto come TC260, ha pubblicato il framework durante l'apertura della Settimana nazionale della cybersecurity cinese 2026 a Jinan. La Cyberspace Administration of China, o CAC, ne ha guidato lo sviluppo.
La pubblicazione non è una nuova legge e non impone automaticamente nuove sanzioni alle aziende di IA. La sua importanza deriva da altro. I framework del TC260 possono influenzare standard tecnici, pratiche di test, linee guida settoriali e le aspettative che le autorità di regolamentazione applicano a sviluppatori e fornitori di servizi.
La versione 3.0 arriva inoltre un anno dopo che il framework aveva aggiunto rischi sociali ed etici più ampi. La Cina sta ora estendendo lo stesso modello di governance ai sistemi in grado di usare strumenti, accedere a file, comunicare con altri servizi e agire con una supervisione diretta minore.
Questo crea la tensione centrale. La Cina vuole espandere l'adozione dell'IA nelle imprese e nei servizi pubblici, insistendo però affinché sistemi sempre più autonomi rimangano prevedibili, tracciabili e soggetti all'intervento umano.
Cosa cambia con il China AI Safety Governance Framework 3.0
Il framework considera l'azione autonoma, non una conversazione migliore, il problema di sicurezza che definirà il prossimo ciclo di diffusione dell'IA.
Secondo la pubblicazione ufficiale del framework, il TC260 ha mantenuto tre elementi delle edizioni precedenti: classificazione dei rischi, contromisure tecniche e governance complessiva. Ha aggiornato i rischi all'interno di tale struttura e adeguato le risposte raccomandate.
Questa continuità è importante. La versione 3.0 non rappresenta un rifiuto del precedente approccio cinese. È un tentativo di applicare lo stesso approccio a sistemi con accessi più ampi, periodi operativi più lunghi e una maggiore influenza al di fuori di una finestra di chat.
Il documento descrive la diffusione delle applicazioni IA da contesti specializzati all'uso generalizzato. Cita come esempi assistenti per il lavoro, assistenti personali e telefoni abilitati agli agenti. Distingue inoltre i sistemi che rispondono alle domande da quelli che eseguono compiti.
Un agente IA è un sistema in grado di percepire informazioni, mantenere il contesto, prendere decisioni, richiamare strumenti ed eseguire passaggi verso un obiettivo. Queste capacità possono ridurre il lavoro routinario, ma creano anche catene più lunghe di possibili fallimenti.
Un chatbot può produrre una risposta errata. Un agente può accettare quella risposta, aprire un servizio, modificare un record, inviare informazioni o attivare un altro processo prima che una persona si accorga dell'errore.
La versione 3.0 riserva quindi un trattamento più esplicito ai rischi degli agenti. Il suo allegato sulla gestione dei rischi degli agenti IA copre l'intero ciclo di vita del sistema, dallo sviluppo e dalla distribuzione fino al funzionamento e al ritiro.
Il framework chiede alle organizzazioni di esaminare cosa legge un agente, di quali istruzioni si fida, quali strumenti può richiamare e se le sue azioni restano entro i limiti della richiesta dell'utente. Queste domande riguardano il processo alla base di un output, non soltanto l'output stesso.
Questa distinzione cambia il modo in cui deve essere valutata la sicurezza. Un rapporto finale può sembrare accurato anche se l'agente ha esposto dati riservati durante la sua produzione. Una transazione completata può apparire valida anche se istruzioni malevole hanno reindirizzato una fase del flusso di lavoro.
La prompt injection illustra il problema. Un attacco di prompt injection inserisce istruzioni nascoste o ingannevoli nei contenuti elaborati da un sistema IA. Un agente che naviga una pagina web potrebbe interpretare tali istruzioni come comandi, anche quando l'utente non le ha mai approvate.
Il framework discute inoltre i rischi derivanti da plug-in compromessi, risposte degli strumenti manipolate, autorizzazioni eccessive e memoria inaffidabile. Ogni debolezza diventa più grave quando il sistema può agire senza conferma.
Anche l'intelligenza incorporata riceve maggiore attenzione. Il termine comprende l'IA connessa a macchine che rilevano o influenzano il mondo fisico, inclusi robot, veicoli e apparecchiature industriali.
Quando il software può controllare un dispositivo fisico, un fallimento della cybersecurity può trasformarsi in un incidente di sicurezza. Un'istruzione manipolata potrebbe influire sul movimento, sulla produzione, sul controllo degli accessi o sul funzionamento delle apparecchiature.
Il documento identifica inoltre il miglioramento ricorsivo e lo sviluppo autoaccelerante come questioni che richiedono vigilanza. Non afferma che i sistemi attuali siano sfuggiti al controllo umano. Sostiene invece che un'ottimizzazione autonoma più rapida meriti test e supervisione continuativi.
Il risultato è un framework di sicurezza dell'IA spiegato attraverso una nuova realtà operativa. Il comportamento del modello continua a contare, ma autorizzazioni, strumenti, connessioni, memoria e accesso fisico rientrano ora nel perimetro della sicurezza.
Perché la Cina sta aggiornando di nuovo il suo playbook di governance dell'IA
Tre pubblicazioni annuali mostrano che la Cina considera la governance dell'IA un processo tecnico in movimento, non un documento politico che può restare immutato per anni.
Il TC260 ha pubblicato la prima edizione nel settembre 2024. Quella versione organizzava i rischi relativi a modelli, algoritmi, dati, sistemi, cybersecurity, sicurezza fisica, cognizione ed etica.
Il primo framework ha stabilito principi che continuano a orientare la serie. Ha dato priorità all'innovazione, chiedendo al tempo stesso una governance inclusiva, prudente, orientata al rischio e cooperativa.
La versione 2.0 è seguita il 15 settembre 2025. Ha preservato la struttura originaria, ma ha aggiunto una categoria per i rischi derivati, ossia conseguenze più ampie che emergono dall'uso diffuso dell'IA.
Tali rischi comprendevano effetti su occupazione, strutture sociali, domanda di risorse, istruzione, relazioni umane e ambiente. La seconda edizione ha inoltre aggiunto un principio più chiaro di uso affidabile e prevenzione della perdita di controllo.
Il commento ufficiale sul secondo framework ha affermato che esso conteneva 14 misure di governance complessiva e quattro linee guida sulla sicurezza. Ha inoltre collocato più saldamente l'etica scientifica e tecnologica all'interno del ciclo di vita dell'IA.
La versione 3.0 si basa su queste fondamenta anziché creare un altro sistema di classificazione. La sua tempistica riflette quanto sia cambiato l'obiettivo della diffusione.
Molti prodotti di IA generativa operavano un tempo come interfacce isolate. Gli utenti inserivano prompt, i modelli restituivano testo e le persone decidevano cosa fare dopo. Questa separazione sta scomparendo.
Gli agenti possono ora cercare documenti interni, richiamare interfacce software, scrivere codice, operare nei browser, preparare messaggi e coordinare attività in più fasi. Anche un'autonomia modesta amplia il numero di decisioni che un sistema prende tra un controllo umano e l'altro.
Il lavoro politico della Cina nel 2026 aveva già segnalato questo cambiamento. A maggio, la CAC, la National Development and Reform Commission e il Ministry of Industry and Information Technology hanno emanato linee guida di attuazione per gli agenti IA.
Le linee guida sugli agenti definiscono gli agenti come sistemi capaci di percezione autonoma, memoria, processo decisionale, interazione ed esecuzione. Individuano inoltre 19 scenari applicativi nella ricerca, nell'industria, nei servizi al consumatore, nel welfare pubblico e nella governance sociale.
Quel documento promuove l'adozione, sottolineando al contempo sicurezza, controllabilità e sviluppo standardizzato. Il Framework 3.0 fornisce un livello più ampio di gestione dei rischi attorno alla stessa direzione.
Ecco perché l'aggiornamento va oltre la manutenzione annuale delle politiche. La Cina cerca di stabilire aspettative di sicurezza prima che gli agenti diventino infrastrutture ordinarie in tutti i settori sensibili.
Il framework identifica governo, finanza, istruzione, radiodiffusione, sanità e gestione delle emergenze come ambiti che richiedono linee guida specifiche per settore. Una sola regola orizzontale non può cogliere le diverse conseguenze di un fallimento in questi contesti.
Un assistente allo shopping inaffidabile potrebbe far perdere tempo a un cliente. Un sistema medico o di gestione delle emergenze inaffidabile può influenzare decisioni che riguardano salute, risorse pubbliche o sicurezza immediata.
La governance cinese dell'IA combina quindi principi generali con piani per standard più circoscritti. Il framework descrive i rischi, mentre standard successivi possono tradurre parti selezionate in requisiti che revisori e organizzazioni di test possono valutare.
Questa struttura a livelli consente inoltre alla politica di evolvere senza riscrivere ogni norma vincolante. Le autorità possono aggiornare le linee guida tecniche man mano che cambia il comportamento dei sistemi, quindi incorporare controlli selezionati negli standard o nelle normative settoriali.
Per le aziende, questo ritmo crea un onere pratico. Una revisione della sicurezza progettata per un modello testuale potrebbe non coprire un agente che usa strumenti esterni. Una revisione progettata per una singola distribuzione può diventare incompleta dopo cambiamenti nelle autorizzazioni, nelle integrazioni o nella scala operativa.
La versione 3.0 affronta questo problema attraverso una governance agile. Le valutazioni dei rischi dovrebbero considerare il contesto applicativo, l'intelligenza del sistema e la scala di distribuzione, quindi evolvere al cambiare di tali condizioni.
La sequenza annuale rende difficile ignorare il messaggio politico. Distribuire un sistema più capace significa riaprire il caso di sicurezza, anche quando il nome del modello sottostante resta invariato.
Il compromesso centrale è tra innovazione e controllo verificabile
La Cina vuole che le organizzazioni distribuiscano agenti utili, ma si aspetta che dimostrino come l'autonomia resti limitata durante l'intero compito.
Il framework descrive l'innovazione come una priorità e sostiene la sperimentazione controllata, incluse le sandbox regolatorie. Una sandbox regolatoria consente a prodotti selezionati di operare in condizioni limitate mentre autorità e sviluppatori osservano i rischi.
Al tempo stesso, il documento richiede sistemi che restino sotto controllo umano. Questi due obiettivi non si allineano naturalmente quando un agente può scegliere strumenti e azioni intermedie.
Un agente con vincoli rigorosi è più facile da monitorare, ma meno flessibile. Un agente con autorizzazioni estese può completare più attività, ma crea una superficie d'attacco più ampia e più percorsi verso comportamenti indesiderati.
Si consideri un assistente alla ricerca sul posto di lavoro. Potrebbe cercare nelle note interne, navigare siti web pubblici, confrontare record e preparare una raccomandazione. Ogni capacità appare ragionevole se valutata separatamente.
Il rischio emerge dalla loro combinazione. Una pagina pubblica potrebbe contenere un'istruzione nascosta che ordina all'agente di recuperare materiale riservato. Un ampio accesso ai file potrebbe consentirgli di eseguire l'ordine, mentre una connessione in uscita potrebbe esporre il risultato.
Prevenire questa sequenza richiede più del filtraggio del testo finale dell'agente. Gli sviluppatori devono separare le istruzioni affidabili dai contenuti non affidabili, ridurre al minimo le autorizzazioni, convalidare le chiamate agli strumenti e registrare le azioni per successive revisioni.
Il framework richiede monitoraggio rafforzato, allerta precoce, risposta alle emergenze e test. Sostiene inoltre database delle vulnerabilità e meccanismi di condivisione delle informazioni che coinvolgano sviluppatori, fornitori di servizi e istituzioni tecniche.
Queste misure indicano un modello di controllo basato sulle evidenze. Un'azienda dovrebbe poter mostrare a cosa ha avuto accesso il sistema, quale decisione ha attivato un'azione e quando un essere umano avrebbe potuto fermarlo.
Questa aspettativa crea pressione per sviluppatori, acquirenti aziendali e operatori. Gli sviluppatori devono integrare salvaguardie nelle architetture degli agenti. Gli acquirenti devono valutare l'intera implementazione anziché affidarsi alle dichiarazioni sulla sicurezza di un fornitore di modelli.
Anche gli operatori necessitano di confini chiari delle responsabilità. Quando un fornitore di modelli, uno sviluppatore di applicazioni, un fornitore di plug-in, un servizio cloud e un cliente influenzano tutti lo stesso flusso di lavoro, la responsabilità può frammentarsi.
Framework 3.0 attribuisce responsabilità a sviluppatori di modelli e algoritmi, fornitori di servizi e utenti. Tuttavia, un'ampia dichiarazione di responsabilità non risolve automaticamente le controversie dopo un guasto complesso.
Le catene di fornitura rendono il problema più difficile. Un agente può dipendere da un modello open source, software di retrieval di terze parti, API esterne e sistemi di dati aziendali. Una vulnerabilità in qualsiasi componente può influenzare il comportamento finale.
Il framework riconosce rischi diversi nei modelli aperti e chiusi. I sistemi chiusi possono limitare l'audit esterno e la personalizzazione perché un unico fornitore controlla i loro meccanismi di sicurezza.
I modelli aperti consentono un'ispezione e un adattamento più ampi, ma le salvaguardie possono essere rimosse o aggirate. Gli aggiornamenti potrebbero inoltre non raggiungere ogni copia modificata o distribuita privatamente.
Nessuno dei due approcci elimina il lavoro di governance. I fornitori chiusi devono offrire prove significative dei controlli, mentre le implementazioni aperte necessitano di test locali, gestione della configurazione e un piano per gli aggiornamenti di sicurezza.
Lo stesso compromesso emerge nell'accuratezza dei modelli. L'allucinazione, ovvero un output plausibile non supportato da prove affidabili, diventa più pericolosa quando un agente la considera una base per agire.
I team non possono risolvere questo problema aggiungendo un avviso sotto l'output. Hanno bisogno di meccanismi che richiedano prove autorevoli, blocchino azioni prive di supporto o indirizzino decisioni ad alto impatto alle persone.
Questi controlli riducono la velocità e aggiungono costi operativi. Possono anche limitare l'autonomia che rende gli agenti attraenti. Questo è il compromesso centrale alla base del China AI Safety Governance Framework 3.0.
Il documento non richiede che ogni sistema riceva un trattamento identico. Il suo approccio di classificazione del rischio considera l'importanza dello scenario, l'intelligenza del sistema e la scala di utilizzo.
Questo approccio è più pratico dell'applicazione di controlli massimi ovunque. Solleva però anche domande difficili sulle soglie.
Le organizzazioni devono decidere quando un assistente ordinario diventa un agente ad alto impatto. Devono determinare quali autorizzazioni creano un rischio materiale e quali azioni richiedono conferma.
Il framework offre indicazioni, ma molte risposte operative dipenderanno da standard successivi, regole settoriali e metodi di valutazione. Fino al loro arrivo, le aziende devono interpretare principi ampi nei propri ambienti tecnici.
Un Framework Non È Uguale a un Regolamento Esecutivo
La pubblicazione segnala priorità normative, ma non stabilisce di per sé un test di conformità completo per ogni agente AI.
TC260 è l'ente nazionale cinese per gli standard di cybersicurezza. I suoi documenti tecnici possono influenzare regolamentazione, appalti, valutazioni e standard formali, ma il loro effetto legale dipende dal documento e dalle norme ad esso collegate.
Framework 3.0 va inteso soprattutto come una mappa di governance. Identifica categorie di rischio e raccomanda risposte tecniche e istituzionali. Non sostituisce le leggi applicabili o gli standard obbligatori.
La Cina dispone già di norme vincolanti per alcuni servizi di AI generativa. Le Misure provvisorie per i servizi di AI generativa si applicano principalmente ai servizi offerti al pubblico nella Cina continentale.
Altri requisiti possono riguardare depositi di algoritmi, valutazioni di sicurezza, informazioni personali, sicurezza dei dati, governance dei contenuti e vigilanza settoriale. Gli obblighi rilevanti dipendono dal fornitore, dal servizio, dagli utenti e dal contesto di implementazione.
Uno standard nazionale finalizzato offre un utile confronto. Il cinese GB/T 45654-2025 copre i requisiti di sicurezza di base per i servizi di AI generativa, inclusi sicurezza dei dati di addestramento, sicurezza del modello e misure protettive.
Una traduzione dello standard in inglese rileva che esso supporta deposito, registrazione, test e valutazione. Si applica ai fornitori e può guidare regolatori e valutatori terzi.
Questo standard è più specifico del framework generale. Discute procedure per dati di addestramento, contenuti generati, sicurezza dei modelli e valutazione della sicurezza.
Anche in questo caso, analisti esterni hanno messo in dubbio quanto coerentemente misure rigorose saranno applicate durante la rapida competizione tra modelli. La stessa incertezza è maggiore per le raccomandazioni che restano al livello di framework.
La versione 3.0 richiede test regolari della potenziale perdita di controllo tecnologico. Tuttavia, la pubblicazione non stabilisce una suite di test universale, un punteggio pubblico o un'unica soglia che determini se un agente è sicuro.
Termini come controllabilità, utilizzo affidabile e rischio catastrofico richiedono anch'essi definizioni misurabili. Senza di esse, due organizzazioni possono dichiarare conformità applicando al contempo salvaguardie molto diverse.
L'accesso indipendente rappresenta un'altra questione irrisolta. I modelli chiusi possono impedire ai ricercatori esterni di esaminare i controlli interni. Le implementazioni aperte possono essere difficili da inventariare dopo modifiche e ridistribuzione.
La trasparenza sugli incidenti sarà importante quanto i test pre-implementazione. Un'azienda può superare una valutazione programmata e sperimentare comunque guasti dopo l'integrazione di nuovi strumenti o la modifica delle istruzioni di sistema.
La rendicontazione pubblica rimane disomogenea nel settore dell'AI. Senza dati comparabili sugli incidenti, regolatori e acquirenti non possono valutare facilmente quali controlli funzionino al di fuori delle condizioni di laboratorio.
Il framework raccomanda la condivisione di informazioni su vulnerabilità, difetti, rischi e incidenti. Costruire un meccanismo di segnalazione utile richiederà regole chiare per l'invio e protezioni contro divulgazioni incomplete.
Il coordinamento transfrontaliero è un'altra parte ambiziosa del documento. La versione 3.0 sostiene le Nazioni Unite come canale centrale per la governance globale dell'AI e invoca meccanismi di gestione delle crisi.
Questo obiettivo affronta ostacoli politici e tecnici. I governi differiscono su sicurezza nazionale, regole sui contenuti, privacy, proprietà intellettuale, modelli aperti e accesso statale accettabile ai dati.
Persino una preoccupazione condivisa per capacità pericolose non garantisce accordo sulle prove. I Paesi possono adottare valutazioni, modelli di minaccia e requisiti di divulgazione diversi.
Il linguaggio internazionale del framework va quindi letto come una posizione politica, non come prova di allineamento globale. La sua influenza dipenderà dal fatto che la Cina pubblichi metodi di test utilizzabili e sostenga una cooperazione tecnica reciproca.
Esiste inoltre il rischio che un linguaggio ampio sulla sicurezza diventi una barriera per gli sviluppatori più piccoli. Le grandi aziende possono finanziare team legali, audit, red teaming, monitoraggio e risposta agli incidenti.
I laboratori più piccoli potrebbero avere difficoltà a soddisfare le stesse aspettative, in particolare quando gli standard cambiano rapidamente. Sandbox e risorse di test condivise potrebbero ridurre questo onere, ma la loro accessibilità sarà determinante.
La lettura scettica è semplice. Framework 3.0 identifica accuratamente diversi rischi emergenti, ma identificarli è più facile che implementarli.
Il suo valore reale sarà misurato dagli standard, dalle valutazioni, dai sistemi di segnalazione e dalle pratiche di applicazione che seguiranno. Senza questi meccanismi, la controllabilità rimane un obiettivo anziché una proprietà verificata.
La Governance dell'AI in Cina Ora Si Estende Oltre il Modello
Il perimetro politico copre sempre più l'intero ambiente operativo, inclusi dati, memoria, strumenti, infrastruttura, utenti e dispositivi fisici.
I precedenti dibattiti sulla governance dell'AI si concentravano spesso sui dataset di addestramento e sugli output dei modelli. Questi temi restano importanti, ma gli agenti rendono il sistema circostante altrettanto significativo.
Il comportamento di un modello può cambiare quando gli sviluppatori modificano istruzioni di sistema, fonti di retrieval, memoria, plug-in o strumenti disponibili. Il modello di base può restare identico mentre l'implementazione acquisisce nuovi rischi.
Ciò significa che la sola valutazione del modello non può certificare un prodotto agentico. I test devono includere il sistema assemblato e le condizioni in cui le persone lo utilizzano.
Il framework raccomanda requisiti di sicurezza lungo ricerca, sviluppo, implementazione, operatività e dismissione. La dismissione conta perché vecchie credenziali, memoria archiviata e servizi connessi possono restare esposti dopo la chiusura di un prodotto.
La governance dei dati rimane una preoccupazione centrale. Il documento richiede la protezione delle informazioni personali durante addestramento, annotazione, utilizzo e output, inclusa la deidentificazione ove appropriato.
Evidenzia inoltre dati importanti e fondamentali in ambiti quali governo e finanza. Gli agenti che operano in questi settori possono attraversare confini informativi più rapidamente degli utenti umani, soprattutto quando le autorizzazioni sono ereditate da account connessi.
La memoria introduce un ulteriore livello. La memoria persistente dell'agente può migliorare la continuità, ma può anche conservare informazioni errate, sensibili o inserite in modo malevolo.
Un'implementazione sicura necessita di regole su ciò che l'agente archivia, per quanto tempo conserva le informazioni e chi può ispezionarle o eliminarle. La memoria non dovrebbe trasformarsi in un archivio invisibile che plasma azioni successive senza che l'utente ne sia consapevole.
La governance degli strumenti è altrettanto importante. Gli sviluppatori necessitano di allowlist, limiti di autorizzazione, anteprime delle azioni, confini transazionali e autenticazione forte per operazioni ad alto impatto.
Un agente non dovrebbe ricevere accesso amministrativo permanente solo perché un flusso di lavoro richiede occasionalmente autorizzazioni elevate. Un'autorizzazione temporanea e specifica per il compito riduce i danni causati da errori o attacchi.
Anche la supervisione umana necessita di una progettazione precisa. Una casella di conferma serve a poco se gli utenti non riescono a comprendere l'azione proposta o se avvisi frequenti incoraggiano l'approvazione automatica.
Un intervento efficace richiede informazioni tempestive e pertinenti. Gli utenti devono vedere cosa l'agente intende fare, quali dati utilizzerà e quali conseguenze comporta l'azione.
La registrazione supporta sia la supervisione sia l'indagine. I registri dovrebbero acquisire chiamate agli strumenti, accessi ai dati, modifiche alle autorizzazioni, decisioni del modello e approvazioni umane senza creare un altro archivio incontrollato di informazioni sensibili.
L'attenzione del framework all'AI embodied alza ulteriormente la posta. I sistemi fisici necessitano di stati di ripiego sicuri, limiti ambientali e modalità per interrompere il funzionamento quando comunicazione o percezione falliscono.
Un robot da magazzino, un sistema di laboratorio o un veicolo connesso non possono affidarsi unicamente a un meccanismo di rifiuto basato sul testo. La sicurezza deve esistere nel software, nell'hardware, nelle procedure operative e nei controlli fisici.
I team di cybersicurezza affrontano inoltre un duplice ruolo. L'AI può automatizzare revisione del codice, individuazione delle vulnerabilità, rilevamento degli attacchi e correzione, come riconosce il framework.
Gli aggressori possono usare le stesse capacità per aumentare velocità e scala delle attività dannose. I sistemi agentici possono concatenare ricognizione, sfruttamento e gestione dei dati con un minore input diretto.
Ciò crea pressione per passare da una difesa reattiva al monitoraggio continuo. Le organizzazioni devono valutare il comportamento dei propri agenti e rilevare attacchi assistiti dall'AI provenienti dall'esterno.
L'ambito più ampio allinea la governance cinese dell'AI a una lezione generale che emerge nei diversi mercati. La sicurezza dipende da come un modello è connesso e utilizzato, non solo da ciò che il modello può fare isolatamente.
Per gli acquirenti aziendali, questo cambia le domande poste in fase di approvvigionamento. Punteggi dei benchmark e schede dei modelli sono insufficienti quando un prodotto può raggiungere registri interni o avviare transazioni.
Gli acquirenti dovrebbero chiedere a quali strumenti l'agente può accedere, come vengono concesse le autorizzazioni, se i contenuti esterni sono trattati come non affidabili e come le azioni possano essere annullate.
Dovrebbero inoltre chiedere se il fornitore divulga gli incidenti e supporta test indipendenti. Un'interfaccia curata non può sostituire prove operative.
I lavoratori della conoscenza affrontano una sfida simile, su scala minore. Un assistente che organizza ricerche o prepara un report necessita comunque di confini affidabili per le fonti e di una gestione chiara dei materiali privati.
Le buone pratiche informative diventano parte integrante della sicurezza dell'AI. I team hanno bisogno di fonti tracciabili, controlli di accesso deliberati e fasi di revisione proporzionate alle conseguenze di ciascuna attività.
Questo non richiede di rifiutare l'automazione. Richiede di trattare gli agenti come partecipanti ai flussi di lavoro, con autorità definite e comportamenti osservabili.
Tre segnali indicheranno se il Framework 3.0 ha davvero efficacia
La fase successiva dipende da standard misurabili, segnalazioni reali degli incidenti e controlli specifici per settore, non dall'ennesima dichiarazione di principi.
Il primo segnale sarà la pubblicazione di standard concreti per il testing degli agenti. Dovrebbero definire procedure di valutazione per prompt injection, uso improprio degli strumenti, escalation dei permessi, corruzione della memoria e perdita del controllo dell'attività.
Test chiari rafforzerebbero la credibilità del framework. Offrirebbero agli sviluppatori un obiettivo condiviso e consentirebbero agli acquirenti di confrontare le affermazioni sulla sicurezza sulla base di evidenze simili.
Un linguaggio di valutazione vago indebolirebbe tale risultato. Se ogni fornitore sceglie test e soglie proprie, il mercato riceverà molte dichiarazioni ma pochi elementi comparabili.
Il secondo segnale sarà un sistema funzionante di segnalazione di incidenti e vulnerabilità. Il Framework 3.0 chiede database e meccanismi di condivisione delle informazioni che coinvolgano sviluppatori, fornitori e istituzioni tecniche.
Un sistema utile pubblicherebbe categorie, tempistiche di segnalazione, aspettative per la correzione e dettagli anonimizzati sufficienti affinché altri possano migliorare le difese. Dovrebbe inoltre distinguere gli errori minori dagli eventi di sicurezza gravi.
Una segnalazione coerente sosterrebbe il modello di governance agile del framework, perché le autorità potrebbero aggiornare i controlli in base ai fallimenti osservati. Segnalazioni scarse o inaccessibili lascerebbero invece le politiche dipendenti da rischi ipotetici.
Il terzo segnale sarà l'implementazione specifica per settore. Pubblica amministrazione, finanza, istruzione, sanità, media e gestione delle emergenze richiedono soglie diverse per l'autonomia e la revisione umana.
Le linee guida settoriali dovrebbero definire quali azioni degli agenti richiedono approvazione, quali fonti di dati restano soggette a restrizioni e quali prove le organizzazioni devono conservare. I requisiti di procurement potrebbero diventare una prima via per introdurre tali controlli.
Norme settoriali dettagliate dimostrerebbero che il framework sta passando dalla strategia nazionale alla pratica operativa. Indicazioni generiche lascerebbero decisioni critiche alle singole organizzazioni, con competenze disomogenee.
Il coordinamento internazionale merita attenzione, ma rappresenta una verifica più lunga. I protocolli di crisi richiedono accordi su contatti, prove, riservatezza e procedure di risposta prima che si verifichi un incidente grave.
Le evidenze più immediate arriveranno dall'attuazione nazionale. La Cina ha ora pubblicato tre versioni del proprio framework per la sicurezza dell'AI in tre anni consecutivi.
Questo ritmo dimostra attenzione, ma la sola ripetizione non prova l'efficacia. La domanda importante è se i rischi più recenti diventeranno requisiti verificabili prima che le implementazioni degli agenti si diffondano ulteriormente.
Gli sviluppatori dovrebbero seguire i piani di lavoro TC260, le bozze degli standard e i documenti di consultazione pubblica. Gli acquirenti aziendali dovrebbero verificare se le autorità di regolamentazione iniziano a fare riferimento ai controlli sugli agenti durante le valutazioni o il procurement.
I lavoratori della conoscenza dovrebbero prestare attenzione alle modifiche dei permessi a livello di prodotto. Assistenti più capaci richiederanno sempre più spesso accesso a file, account, comunicazioni e sistemi aziendali.
Il China AI Safety Governance Framework 3.0 esprime un giudizio chiaro: la sicurezza dell'AI non può più fermarsi alla risposta del modello. Deve coprire ogni passaggio tra la richiesta di un utente e l'azione di un sistema.
I prossimi uno-tre mesi dovrebbero mostrare se questo giudizio acquisirà dettagli operativi. Occorre cercare metodi di test degli agenti, regole per la condivisione degli incidenti e controlli settoriali che trasformino principi generali in evidenze.
Prima di concedere a un assistente AI un'autorità più ampia, ponetevi tre domande: A cosa può accedere, cosa può modificare e come potete fermarlo? Le risposte mostreranno se un'AI controllabile esiste nella pratica, non soltanto sulla carta.
