La sicurezza invisibile: cosa vede l’esterno delle nostre infrastrutture?
Un’impresa che gestisce impianti, terminali o una flotta sa dove sono i propri mezzi; di rado sa che cosa un estraneo riesce a ricostruire su di loro con fonti accessibili.
Le navi trasmettono posizione e rotta con l’AIS, il transponder di bordo che serve alla sicurezza della navigazione.
Siti come MarineTraffic mostrano quei dati, come spiegava Middle East Eye il 5 febbraio 2024. Altri servizi permettono di risalire alla proprietà di una nave; un porto può pubblicare gli scali previsti.
Sono fari accesi perché il traffico funzioni, e chi osserva può leggere la stessa luce per altri scopi.
Il responsabile della sicurezza di un’impresa energetica o logistica conosce le informazioni custodite nei propri sistemi.
Gli serve anche una vista dall’esterno: che cosa mostrano i servizi di tracciamento, quali relazioni societarie si ricostruiscono con un abbonamento, che cosa rivelano i programmi pubblicati da altri operatori?
Questa verifica riguarda l’esposizione presente dell’impresa, anche quando nessuno ha violato un sistema.
Dalle fonti aperte al targeting: il caso del Mar Rosso e l’OSINT
La mia tesi parte dal Mar Rosso del 2024: il ciclo di selezione del bersaglio si è compresso con l’accesso e il collegamento dei dati, prima dell’impiego dell’AI in sistemi militari che elaborano più fonti.
Il caso Houthi permette di vedere la prima trasformazione. Ucraina e forze alleate mostrano architetture diverse, nelle quali il software assiste il lavoro sulle informazioni.
Le fonti disponibili documentano quelle capacità senza offrire una misura comune del tempo necessario per decidere.
La selezione del bersaglio comincia dalle fonti
Nel 2024 Middle East Eye ricostruì l’uso di banche dati a pagamento come Lloyd’s List per individuare la proprietà delle navi, con abbonamenti da migliaia di dollari l’anno.
Gli Houthi attaccarono la Strinda, petroliera chimica battente bandiera norvegese, dopo aver letto sul sito del porto che era attesa ad Ashdod.
La posizione trasmessa dal transponder, la relazione proprietaria e lo scalo previsto descrivevano aspetti diversi della stessa nave.
Nella stessa inchiesta, Dryad Global riferiva avvicinamenti sospetti di dhow, le piccole imbarcazioni tradizionali della regione. Poche ore dopo, le navi avvicinate venivano attaccate. La ricognizione visiva offriva un riscontro ulteriore alla selezione.
Sulla precisione complessiva resta una disputa: l’esperto marittimo Dirk Siebels giudicava gli attacchi generalmente accurati pur riconoscendo danni collaterali, mentre la lettura statunitense parlava di targeting indiscriminato.
Entrambe le valutazioni vanno tenute visibili.
Intelligenza artificiale e fusione dei dati: la nuova frontiera dell’analisi informativa
L’OSINT, l’intelligence costruita usando fonti accessibili al pubblico, comprende anche informazioni disponibili dietro pagamento.
Il prezzo dell’abbonamento conta meno della possibilità di collegare correttamente le informazioni: la previsione di uno scalo può cambiare, e la relazione fra una nave e la società che la controlla deve essere verificata prima di attribuirle un significato operativo.
Alla precisione marittima contribuiva un livello ulteriore.
Secondo un rapporto militare saudita citato dal Lieber Institute il 24 marzo 2025, la nave iraniana Saviz forniva comando, controllo e dati per il targeting degli attacchi Houthi.
La Behshad, subentrata alla Saviz, disponeva di 3 radar marittimi con portata di 50 miglia nautiche, riceveva immagini satellitari con risoluzione di 1 metro e comunicava con la flotta di pescherecci che raccoglieva informazioni.
Nell’aprile 2024 rientrò a Bandar Abbas dopo un attacco informatico statunitense riferito dalla fonte.
Il contributo statale impedisce di attribuire ai soli dati commerciali la precisione degli attacchi.
La nave poteva essere richiamata; i servizi commerciali restavano una possibilità di accesso alle informazioni per chi poteva consultarli.
Considero fondamentale distinguere questi livelli, perché confondere una prima selezione con la conferma precisa di un bersaglio renderebbe il caso meno utile anche per il responsabile aziendale che cerca di capire quali informazioni sulla propria impresa siano leggibili dall’esterno.
Fra ottobre 2023 e giugno 2024, ACLED, 6 agosto 2024, registrò l’intercettazione del 75% degli attacchi Houthi con droni al naviglio internazionale, contro circa il 16% degli attacchi missilistici.
Queste percentuali descrivono l’esito delle intercettazioni nel periodo considerato. L’inchiesta marittima e il rapporto sulla nave iraniana servono invece a ricostruire le fonti usate per individuare e seguire le navi.
Il software amplia il lavoro sulle informazioni
In Ucraina, DELTA è il livello software che unifica dati di ricognizione per i reparti.
Il ministero della Difesa ucraino, citato da RUSI il 4 agosto 2026, lo descrive come una fonte condivisa di scambio dati usata dai comandanti da laptop, tablet e smartphone.
Questo ci dice come le informazioni possono circolare a livello di reparto; non misura la precisione del targeting e non identifica quali fonti pubbliche vengano usate in una singola decisione.
Nelle forze alleate il Maven Smart System fonde fonti dati e sostiene il lavoro dei comandi sul targeting.
Il comunicato SHAPE del 14 aprile 2025 colloca al 25 marzo 2025 la conclusione dell’acquisizione, avvenuta 6 mesi dopo la definizione del requisito.
Il comunicato SHAPE del 30 giugno 2026 registra la piena capacità tecnica operativa raggiunta il 22 giugno, l’accreditamento per la rete classificata della Nato e il supporto a modelli di AI diversi. Il comunicato dichiara una capacità della piattaforma; non fornisce l’inventario dei modelli impiegati.
Un dato sulla produttività richiede un perimetro preciso
Secondo la ricostruzione di CSIS del 2 giugno 2026, in un’esercitazione la cella di targeting del XVIII Corpo aerotrasportato statunitense eguagliò le prestazioni attribuite alla cella di Iraqi Freedom con circa 20 persone, rispetto alle oltre 2.000 di allora.
L’analisi riferisce inoltre, sulla base di un’altra ricostruzione giornalistica, che il dispiegamento del comando centrale statunitense attingeva a 179 fonti dati nel 2024.
Entrambi i dati riguardano la versione statunitense di Maven; non misurano le prestazioni della versione Nato, né permettono un confronto cronometricamente preciso con il caso Houthi.
Le fonti mostrano un passaggio verificabile: informazioni che prima richiedevano consultazioni separate possono essere riunite in un sistema usato dai comandi.
La quantità di dati disponibili aumenta l’importanza di sapere da dove proviene un’indicazione e quale persona deve giudicarla. Il rapporto dell’Atlantic Council del 27 agosto 2026 richiama anche le condizioni di connettività negata, degradata, intermittente e limitata: la possibilità di usare e sorvegliare un sistema dipende dall’ambiente in cui opera.
Guardare la propria impresa dall’esterno
L’obiezione dell’analista militare resta decisiva: senza il contributo delle navi iraniane, la precisione degli Houthi non può essere presunta.
Il rientro della Behshad mostra quanto quel sensore dipendesse da una scelta statale.
La disponibilità di dati commerciali pone al difensore una questione distinta: quali informazioni relative ai propri mezzi e alle proprie attività restano consultabili anche quando cambia il contributo di uno Stato?
La risposta va cercata nelle fonti effettivamente accessibili per ciascuna impresa.
Ambito civile e militare: come interpretare le esclusioni normative sull’intelligenza artificiale
Dove l’infrastruttura è distribuita, il responsabile della sicurezza dovrebbe leggere i dati sui propri asset dal punto di vista di un osservatore esterno.
Dove l’impresa usa un modello per selezionare allarmi, dovrebbe poter ricostruire quali informazioni hanno prodotto la segnalazione e quale persona può intervenire.
Le 2 verifiche riguardano decisioni diverse, ma chiedono entrambe di conoscere ciò che il sistema o un terzo può collegare.
Riferimenti normativi: Decreto Legislativo 160/2026 e AI Act
Dal 30 settembre 2026 entra in vigore anche il decreto legislativo 160/2026.
Il nuovo articolo 437-bis riguarda, fra gli altri casi, l’utilizzatore professionale di sistemi di AI ad alto rischio che omette intenzionalmente misure di sorveglianza umana, quando dall’omissione derivi un pericolo per la vita o l’incolumità pubblica o individuale, oppure per la sicurezza dello Stato.
L’impiego di AI per selezionare controparti o allarmi richiede quindi di verificare se il sistema sia qualificato ad alto rischio e quali obblighi si applichino al caso concreto.
L’articolo 14 dell’AI Act descrive già la sorveglianza umana; il Regolamento 2026/1744 rinvia l’applicazione delle disposizioni europee indicate per i sistemi ad alto rischio al 2 dicembre 2027 o al 2 agosto 2028, secondo la categoria.
Per l’impiego esclusivamente militare, l’articolo 2 dell’AI Act prevede un’esclusione. La parola «esclusivamente» conta per chi offre tecnologie utilizzabili anche in ambito civile: occorre esaminare l’uso specifico, senza trasferire automaticamente l’esclusione da un impiego all’altro.
Considero utile far discutere questo punto al consulente che legge la norma, all’architetto che conosce il sistema e all’analista che segue il contesto geopolitico, davanti alle stesse informazioni operative.
Conclusioni e raccomandazioni per il risk management
Per l’impresa con impianti, terminali o flotte, il primo passo riguarda le fonti:
- un servizio di tracciamento può mostrare posizione e rotta delle navi;
- registri e banche dati possono aiutare a ricostruire relazioni proprietarie;
- un programma portuale può rivelare uno scalo previsto.
Quali elementi siano pubblici, attuali e pertinenti va verificato per gli asset interessati.
Attribuire a tutti gli impianti un transponder, o presumere che ogni programma di manutenzione sia pubblicato, produrrebbe un inventario inesatto.
La verifica dovrebbe conservare anche il percorso seguito dall’osservatore: quale servizio è stato consultato, a quale data, quale relazione fra le informazioni è stata accettata e quale resta un’ipotesi.
Risk management e protezione degli asset: ripensare la sicurezza aziendale
Questo permette al responsabile di discutere un’esposizione concreta con i colleghi e di aggiornare il giudizio quando una pagina cambia, senza assumere che ogni dato pubblicato conservi lo stesso significato nel tempo.
Il faro resta acceso per permettere a un’attività di funzionare. Nel Mar Rosso, qualcuno ha collegato segnali disponibili prima che l’AI entrasse nel racconto.
Oggi un responsabile aziendale può usare la stessa domanda per proteggere la propria organizzazione: che cosa può conoscere un estraneo, quanto è affidabile ciascun dato e quale decisione cambierebbe se quelle informazioni fossero collegate?
