Comisia Europeană vrea să testeze modelele AI înainte să fie folosite în infrastructuri critice

Comisia Europeană vrea ca Uniunea Europeană să poată evalua, testa și folosi în siguranță modelele avansate de inteligență artificială în securitatea cibernetică, înainte ca acestea să fie aplicate în sectoare critice precum energie, finanțe, sănătate, transport și administrație publică. Planul de acțiune prezentat la Strasbourg pornește de la riscul ca AI-ul să reducă drastic timpul, costul și nivelul de expertiză necesar pentru atacuri informatice sofisticate.

Pe scurt

1. Comisia vrea o capacitate europeană de evaluare a modelelor AI, operațională în 2027.

2. ENISA și Centrul Comun de Cercetare vor crea o platformă securizată de testare pentru folosirea AI în securitate cibernetică până la finalul lui 2026.

3. Bruxellesul pregătește un „blueprint” european pentru acces controlat la modele AI avansate în scopuri de securitate cibernetică.

4. ENISA va lansa ghiduri și bune practici pentru protecția împotriva amenințărilor cibernetice amplificate de AI.

5. Comisia vrea o campanie pentru repararea vulnerabilităților critice din software open source folosit în infrastructuri esențiale.

Henna Virkkunen, vicepreședinta executivă pentru suveranitate tehnologică, securitate și democrație, a spus în conferința de presă că modelele AI avansate pot crea exploatări cibernetice „în minute sau ore”, cu o fracțiune din costul experților umani. Ea a arătat că o vulnerabilitate majoră poate costa peste 1 milion de euro pe piața gri, în timp ce AI-ul are nevoie în principal de putere de calcul din centre de date.

Planul nu propune o nouă legislație, ci aplicarea și conectarea instrumentelor existente: AI Act, Cyber Resilience Act, Directiva NIS2, DORA pentru sectorul financiar și Cyber Solidarity Act. Comisia spune că aceste reguli oferă deja un cadru solid, dar cere statelor membre să accelereze transpunerea și aplicarea, mai ales în cazul Directivei NIS2.

Prima linie de acțiune este evaluarea modelelor AI înainte de intrarea pe piața europeană. Din 2 august 2026, Comisia va avea competențe de supraveghere și aplicare a AI Act pentru modelele de uz general, inclusiv cele cu riscuri sistemice în domeniul securității cibernetice. AI Office va putea cere informații despre modele, acces pentru evaluări, măsuri de reducere a riscurilor și, în ultimă instanță, amenzi de până la 3% din cifra de afaceri globală anuală sau restricții de punere pe piață.

Comisia va lansa o cerere dedicată pentru crearea unei capacități europene de evaluare a modelelor AI, care trebuie să includă securitatea cibernetică. Aceasta ar urma să fie operațională în 2027 și să sprijine evaluări independente ale capabilităților modelelor și ale măsurilor de reducere a riscurilor. În conferința de presă, Virkkunen a spus că apelul va fi lansat în toamnă și că institute de cercetare și agenții naționale de securitate cibernetică ar putea fi interesate să participe.

A doua direcție privește accesul la modelele AI avansate. Comisia spune că accesul la capabilități AI de vârf este decis tot mai des prin procese netransparente ale unor furnizori, mulți din afara UE. Pentru autorități, operatori de infrastructură critică, companii de securitate cibernetică și cercetători europeni, accesul întârziat sau retras poate deveni o vulnerabilitate de securitate și suveranitate tehnologică.

Comisia și ENISA vor elabora până în ultimul trimestru din 2026 un European Blueprint pentru acces structurat la capabilități AI avansate în scopuri de securitate cibernetică. Documentul va stabili criterii pentru organizațiile care pot primi acces, criterii de securitate pentru reducerea riscurilor și mecanisme pentru schimb de informații între organizațiile europene care primesc acces la aceleași modele.

Blueprint-ul nu va crea obligații juridice noi pentru furnizori, dar va putea servi drept reper european pentru programele de acces controlat. Virkkunen a spus că Europa vrea să conducă acest proces deoarece nu există încă un cadru clar privind cine ar trebui să aibă acces la modele AI cu capabilități cibernetice avansate și în ce condiții.

A treia direcție este testarea practică. ENISA și Centrul Comun de Cercetare al Comisiei vor crea o platformă securizată pentru testarea AI în scenarii de securitate cibernetică, inclusiv prin medii simulate. Platforma va permite testarea folosirii AI în operațiuni precum scanarea vulnerabilităților, remediere, informații despre amenințări, triere și răspuns la incidente, fără expunerea infrastructurilor reale la risc.

Comisia spune că aceste teste vor fi importante pentru sectoare critice precum finanțe, energie, sănătate, transport și administrație publică. Platforma nu va fi folosită pentru evaluarea conformității modelelor cu AI Act, ci pentru a înțelege cum pot fi folosite modelele AI în operațiuni reale de apărare cibernetică.

Planul insistă pe vulnerabilități și patching. Comisia avertizează că AI poate accelera descoperirea vulnerabilităților, iar organizațiile trebuie să reducă timpul necesar pentru analiză, prioritizare și aplicarea corecțiilor. Operatorii din sectoare critice și entitățile financiare sunt îndemnați să își revizuiască gestionarea riscurilor pentru atacuri alimentate de AI, mai frecvente și la scară mai mare.

Software-ul open source este prima zonă vizată. Planul menționează că 98% din totalul bazelor de cod conțin open source, iar industriile de infrastructură critică au în medie aproximativ 80% din bazele de cod cu vulnerabilități de risc ridicat sau critic. ENISA, Comisia, statele membre și comunitățile open source vor lansa în 2026 o campanie-pilot de reziliență pentru componente open source relevante pentru infrastructura critică.

Campania va funcționa printr-un mecanism voluntar de sponsorizare, în care state membre, entități UE, operatori de infrastructură critică, producători sau alte organizații pot ajuta dezvoltatorii open source cu experți, instrumente AI sau alte resurse. ENISA va crea și un catalog de servicii AI pentru sprijinirea reparării vulnerabilităților open source.

Comisia vrea și dezvoltarea unei piețe europene pentru soluții de securitate cibernetică bazate pe AI. Până la finalul actualului cadru financiar multianual, UE are investiții de 200 de milioane de euro prin Horizon Europe și Digital Europe pentru tehnologii europene de securitate cibernetică activate de AI și pentru securitatea AI. La finalul lui 2026 vor fi lansate trei proiecte Horizon Europe pentru monitorizare, detectare, răspuns și capabilități de auto-vindecare împotriva atacurilor cibernetice.

Un element central este EU Grand Challenge on AI-assisted vulnerability remediation, care va reuni companii europene de securitate cibernetică și AI, organizații de cercetare, operatori de infrastructură critică și comunități open source. Scopul este dezvoltarea unui sistem AI care să ajute echipele de securitate cibernetică pe tot parcursul remedierii vulnerabilităților, de la identificare la aplicarea soluțiilor.

Planul include și dimensiunea de suveranitate tehnologică. Comisia spune că Europa nu poate depinde doar de soluții non-europene pentru capabilități critice de securitate. Bruxellesul vrea folosirea AI Factories și viitoarelor AI Gigafactories pentru testarea, antrenarea și implementarea modelelor AI avansate pe infrastructură europeană de calcul.

Virkkunen a spus că dezvoltarea propriilor modele AI de frontieră este costisitoare, dar costul de a nu le construi ar putea fi și mai mare. Ea a indicat noua capacitate europeană de investiții în equity, anunțată în pachetul de suveranitate tehnologică, ca instrument care poate mobiliza capital privat pentru companii europene strategice.

Comisia spune că dezvoltarea capabilităților europene de AI de frontieră va cere investiții de ordinul sutelor de miliarde de euro, care nu pot fi acoperite doar din bani publici. Fără infrastructură de calcul, modele și date proprii, Europa riscă să rămână utilizator vulnerabil al unor sisteme de frontieră create în alte jurisdicții, care pot fi restricționate sau întrerupte de alții.

Planul prevede și pregătirea specialiștilor. Comisia și statele membre vor dezvolta, prin Cybersecurity Skills Academy, module de formare pentru profesioniștii din securitate cibernetică privind folosirea AI. ENISA va actualiza European Cybersecurity Skills Framework pentru a introduce competențe legate de AI și roluri noi acolo unde este necesar.

Dimensiunea internațională rămâne importantă. Comisia vrea cooperare cu parteneri apropiați prin G7, ONU, dialoguri digitale și cibernetice, dar și schimburi cu NATO privind oportunitățile și riscurile modelelor AI de frontieră în domeniul cibernetic. Bruxellesul vrea o abordare globală pentru evaluarea modelelor, protecția infrastructurii critice, reducerea vulnerabilităților și securitatea open source.

Planul arată că UE tratează AI-ul în securitatea cibernetică ca dublă realitate: instrument pentru apărare și acceleratoare de risc pentru atacatori. Răspunsul propus combină evaluare înainte de lansare, acces controlat, testare securizată, patching mai rapid, sprijin pentru open source, investiții europene și formare profesională.