“Governare, mappare, misurare, gestire” sono le quattro funzioni fondamentali dell’AI Risk Management Framework del NIST. Insieme, trasformano la sicurezza dell’IA in un processo del ciclo di vita: governare definisce policy e responsabilità, mappare identifica dove il sistema sarà utilizzato e cosa potrebbe andare storto, misurare valuta tali rischi con test e metriche, e gestire applica controlli, monitoraggio e azioni di risposta.
Questa struttura è importante nella cybersecurity perché i sistemi IA possono essere abusati per phishing, social engineering, fuga di dati o automazione non sicura. I difensori usano il framework per pianificare red-teaming, controlli di accesso, logging, risposta agli incidenti e revisione post-deployment. Gli attaccanti traggono vantaggio quando uno qualsiasi di questi passaggi manca: una governance debole, una cattiva mappatura dei rischi o l’assenza di misurazioni possono lasciare un modello esposto all’uso improprio. In pratica, l’espressione è una sintesi del passaggio della sicurezza dell’IA da controlli ad hoc a controlli ripetibili e documentati.