Non esiste un framework NIST di sicurezza dell’IA

Praticanti, vendor e policy maker trattano sempre più spesso «il framework NIST di sicurezza dell’IA» come se indicasse un’unica baseline di controlli. Non è così.

NIST ha pubblicato una famiglia di documenti volontari sull’IA dal 2023. L’espressione indica almeno tre cose diverse: l’Artificial Intelligence Risk Management Framework (AI RMF) stesso; il successivo Cybersecurity Framework Profile for Artificial Intelligence (NIST IR 8596); e, più genericamente, l’unione di quei documenti con linee guida sull’adversarial machine learning e controlli di cybersecurity ordinari. Confonderli produce due modelli di fallimento. Team che volevano un programma di sicurezza implementano solo workshop di governance. Team che volevano IA affidabile implementano solo checklist di hardening del modello.

Questo saggio introduce un documento di mappatura. Leggiamo il corpus NIST pubblico aggiornato ad agosto 2026. Non valutiamo modelli e non affermiamo che alcun prodotto implementi l’AI RMF.

Tre osservazioni

La suite è il framework. AI RMF 1.0 (NIST AI 100-1) è uscito a gennaio 2023 con Playbook, Roadmap, un resoconto dettagliato delle caratteristiche di IA affidabile e un catalogo comunitario tramite il Trustworthy and Responsible AI Resource Center. Trattare AI 100-1 come l’intero programma sottostima ciò che NIST ha pubblicato nel primo trimestre del 2023.

La sicurezza è una caratteristica, non la cornice. NIST elenca sette caratteristiche di IA affidabile. Secure and resilient è una riga in quell’elenco. Le quattro funzioni — Govern, Map, Measure, Manage — sono il modo in cui un’organizzazione persegue tutte e sette, incluse le tensioni tra loro.

Gli strumenti di cybersecurity si collegano; non sostituiscono. CSF 2.0, la bozza del Cyber AI Profile, AI 100-2, AI 600-1 e SP 800-53 approfondiscono cybersecurity e pratica dell’IA generativa. Il commento di NIST è che CSF 2.0, l’AI RMF e il Cyber AI Profile vanno usati insieme.

La suite originale

Il lancio di NIST di gennaio 2023 era un pacchetto, non un singolo file:

Govern è trasversale. Map, Measure e Manage formano un ciclo su un dato sistema di IA. Il Core descrive esiti, non strumenti. «MEASURE 2: AI systems are evaluated for trustworthy characteristics» non nomina un vendor di red team né una metrica di adversarial robustness. Quelle scelte appartengono al Playbook, a un profilo organizzativo o a un complemento come AI 100-2.

La sicurezza è una delle sette

I sistemi di IA affidabili sono, in combinazione: valid and reliable; safe; secure and resilient; accountable and transparent; explainable and interpretable; privacy-enhanced; e fair, with harmful bias managed.

Secure and resilient si sovrappone alla triade CIA classica e agli esiti CSF. Da sola non include se l’obiettivo dichiarato del modello corrisponde ai valori del deployer, se i rifiuti sono adeguati, se le spiegazioni sono fedeli o se le valutazioni sono statisticamente valide. L’adversarial machine learning sta al confine — per questo NIST ha scritto una tassonomia dedicata invece di incorporare del tutto l’AML in CSF.

Una lettura solo sicurezza delle quattro funzioni ha comunque contenuto: chi possiede il rischio del modello rispetto alla sicurezza applicativa; cos’è realmente il sistema di IA (modello, prompt, tool, retrieval, persone); quali test esistono per jailbreak, injection, exfiltration e poisoning; e quale rischio residuo resta dopo le mitigazioni — inclusi danni che non compariranno mai in un SIEM.

Quale documento risponde a quale domanda

La domanda pratica non è quale documento sia «il» framework. È quale documento risponde a quale domanda:

1. Quali esiti dobbiamo garantire? → AI RMF 1.0 + profilo (AI 600-1 o settore)
2. Come potremmo perseguirli? → Playbook + esempi AIRC
3. Quali sono gli esiti cyber? → CSF 2.0 + Cyber AI Profile (IR 8596)
4. Cosa può succedere al modello? → AI 100-2 (+ ATLAS)
5. Quali controlli lo concretizzano? → SP 800-53 / overlay / ISO 27001

Saltare una riga è comune. Affermare che la riga saltata fosse coperta è l’errore usuale.

Esempio applicato: un sistema di chat agentico

Considerate un assistente ospitato che recupera documenti privati, invoca tool e agisce su più turni.

Map. Il sistema non è «il modello». È modello, system prompt, corpora recuperati, API dei tool, memoria di sessione, evaluator e operatori umani. L’elenco rischi GenAI di AI 600-1 è in scope.

Govern. Responsabili separati per sicurezza applicativa, change control di modello e prompt, policy di safety e modelli di vendor. Third-party Govern si applica alle API di foundation model come al SaaS.

Measure. Le classi misuse e privacy di AI 100-2 coprono jailbreak, prompt injection via documenti recuperati ed exfiltration dati tramite tool. Non coprono confabulazione che danneggia un utente senza un attaccante. Un report red team che conta solo il tasso di successo degli attacchi è Measure incompleto rispetto ad AI 600-1.

Manage. I tipi di incidente includono breach classici e azioni tool completate dannose. Il recovery può significare rollback di prompt o modello, non solo rotazione delle credenziali.

Quattro modelli di fallimento

Osserviamo quattro errori di categoria ricorrenti nelle affermazioni pubbliche:

• Compliance da PDF. Trattare un foglio Playbook compilato come implementazione di MEASURE 2.
• Sinécdoche sicurezza. Equiparare l’implementazione dell’AI RMF a una valutazione di adversarial robustness.
• Sinécdoche etica. Equiparare l’implementazione dell’AI RMF a una dashboard di fairness senza percorso di incidente.
• Teatro della certificazione. Pubblicizzare «NIST AI RMF certified» nonostante NIST non offra tale certificazione per la 1.0.

L’ultimo è il più fuorviante. ISO/IEC 42001 è il sistema di gestione dell’IA certificabile. L’AI RMF è un framework volontario basato sugli esiti che può essere allineato a quel sistema — mai certificato rispetto ad esso.

Perché questa mappa

Usati insieme, questi documenti sono coerenti. Usati come sinonimi, producono programmi che sono o sicurezza con vocabolario etico, o etica senza percorso di incidente. La correzione più economica è linguistica: dire quale documento risponde a quale domanda e smettere di rivendicare il resto.

L’AI RMF 1.0 è in revisione nell’ambito del White House AI Action Plan; il Playbook seguirà quella revisione. I lettori dovrebbero leggere questo come mappa della suite era 1.0 più i complementi pubblicati entro metà 2026 — non come congelamento del testo 2.0.

Per dettagli, tabelle e la procedura d’uso completa, leggete il documento completo.

@online{violet2026nistairmf,
  author = {Haigh, John},
  title = {The NIST AI Risk Management Framework: Mapping the Core Suite to Security Practice},
  date = {2026-09-12},
  year = {2026},
  url = {https://www.violetai.ca/it/research/nist-ai-rmf/paper},
}