Consentire l’hackeraggio etico: garantire la certezza del diritto e abbattere le barriere per accedervi

I procedimenti basati sull’IA consentono di individuare costantemente le lacune di sicurezza. Definire regole chiare potrebbe consentire di sfruttare questo potenziale e rendere più semplice per ricercatori indipendenti e nuovi fornitori accedervi. Nel suo rapporto in adempimento del postulato 20.4594 del 29 novembre 2023 il Consiglio federale non ha ritenuto necessario adeguare il diritto penale, facendo riferimento al consenso dei titolari di autorizzazioni di sistema. L’UFCS riceve segnalazioni relative a lacune di sicurezza, ma avverte che esse possono avere conseguenze penali e di responsabilità civile. Rimane da chiarire la portata della sua garanzia di non adottare misure legali in caso di ricerche svolte su sistemi della Confederazione secondo modalità conformi alle normative.

• Quali sono i rischi di responsabilità penale e civile che comporta lo svolgimento di ricerche responsabili su sistemi pubblicamente raggiungibili senza un previo consenso individuale, se ci si limita a dimostrare solo il necessario e se si segnalano tempestivamente le lacune individuate? A questo proposito occorre distinguere tra le analisi di codici sorgente senza accesso a un sistema esterno dai test sui sistemi in uso e i consensi pubblici da quelli individuali.

• A quali organi e azioni si applica la garanzia dell’UFCS di non adottare misure legali se le segnalazioni relative ai sistemi della Confederazione vengono effettuate in conformità con le normative? Questa garanzia comprende anche altre unità amministrative, autorità di perseguimento penale e ulteriori terzi interessati? Quali lacune permangono in materia di sicurezza e come si potrebbero colmare?

• In che modo la Confederazione garantisce un accesso alla ricerca trasparente, non discriminatorio e indipendente dalle piattaforme? Nel caso di programmi chiusi, chi decide e in base a quali criteri decide in merito all’ammissione?

• Come possono ottenere mandati di verifica e di ricerca i laboratori indipendenti, in particolare nel caso in cui il progetto pilota dell’UFCS sulla sicurezza open source dovesse proseguire? Quali procedure di selezione sono previste?

• Sono state analizzate le barriere all’ingresso nel mercato dovute all’incertezza giuridica e alla dipendenza da piattaforme private? Quali progetti pilota consentono ai team indipendenti di valutare le procedure di verifica basate sull’IA in ambienti di test? In alternativa, il Consiglio federale è disposto a verificare la questione e a eliminare gli ostacoli alla concorrenza?

• In che modo le procedure basate sull’IA modificano la valutazione espressa nel 2023? Alla luce delle esperienze maturate dal Belgio, il Consiglio federale è disposto a verificare nuovamente il quadro legale, per esempio per quanto concerne la legge sulla cibersicurezza prevista?

• È disposto a valutare l’introduzione di un «porto sicuro» legale senza un previo consenso individuale, a condizione che non vi sia l’intenzione di arrecare danni, che gli interventi siano proporzionati, che i dati esterni siano protetti, che le lacune vengano segnalate tempestivamente e che le pubblicazioni vengano coordinate? In caso di risposta negativa, perché?