AG 421 è una bozza di schema italiano destinata ad allineare le norme nazionali con l'AI Act dell'UE. In pratica, rappresenta un passaggio da una politica ampia sull'IA a una supervisione applicabile: autorità designate, poteri di vigilanza, obblighi di revisione umana ed esigenze di conformità per le organizzazioni che sviluppano o distribuiscono sistemi di IA.
Per i team di sicurezza informatica, AG 421 è importante perché la governance dell'IA è anche un problema di controlli. Le regole basate sul rischio possono richiedere supervisione umana, personale con sufficiente alfabetizzazione sull'IA per individuare le modalità di guasto e tracciabilità tramite log e documentazione. Queste misure aiutano a prevenire automazioni non sicure, a supportare le indagini sugli incidenti e a dimostrare chi potrebbe fermare o annullare un sistema quando necessario. Nelle difese reali, la bozza indica attività concrete: mappare i casi d'uso dell'IA, nominare i responsabili e dimostrare che la supervisione non è simbolica. Negli attacchi o negli usi impropri, gli stessi controlli possono limitare i danni causati da output manipolati, escalation inadeguate o fiducia cieca nell'IA di supporto.