AI e criminalità: l'analisi di Joaquín Delgado sul crime-as-a-service
- L'IA ha reso il crimine più economico, veloce e scalabile, trasformando gli attacchi in operazioni quasi industriali.
- Emerge il modello del crimine as-a-service: piattaforme automatizzate che eseguono attacchi a pagamento per clienti senza competenze tecniche.
- L'ingegneria sociale resta il vettore principale, potenziata da deepfake che minacciano l'integrità delle prove giudiziarie.
- Il sistema giudiziario e le forze dell'ordine procedono a remolque, necessitando di nuovi mezzi e tipizzazioni penali.
Il reato diventa un servizio
Il crimine non è più l'appannaggio di singoli hacker esperti o di organizzazioni con risorse tecniche interne. Oggi, l'intelligenza artificiale ha trasformato l'illegalità in un prodotto scalabile. Come evidenziato dal magistrato Joaquín Delgado, della Sala de lo Penal de la Audiencia Nacional, l'IA rende il fatto di delinquere più economico, più rapido, più facile e, soprattutto, molto più scalabile.
Siamo di fronte a una mutazione strutturale: il passaggio dal hacking artigianale a operazioni quasi industriali. Delgado descrive un ecosistema in cui i criminali non hanno più bisogno di possedere conoscenze tecniche avanzate per lanciare ciberattacchi. Esistono piattaforme automatizzate che gestiscono l'intera esecuzione dell'attacco; l'utente paga per il servizio e la piattaforma lo esegue. Questo modello di business criminale protegge l'aggressore finale attraverso molteplici strati di intermediari tecnologici, rendendo l'attribuzione del reato estremamente complessa.
L'ambito di applicazione di queste tecnologie eccede ampiamente la sola IA generativa, come ChatGPT, che produce testi o immagini. Il magistrado avverte che l'universo dell'IA colpisce ogni singola facciata della vita quotidiana, automatizzando attacchi di denegazione di servizio e altre forme di aggressione digitale che, se prima richiedevano tempo e competenza, ora sono disponibili a chiunque abbia la capacità di pagare un abbonamento o un servizio.
Chi paga per l'algoritmo criminale?
L'analisi di Delgado suggerisce che il vero motore di questa evoluzione sia l'abbattimento delle barriere all'ingresso. Se prima il costo di un attacco sofisticato era legato al capitale umano (l'esperto di sicurezza), oggi il costo è spostato verso l'infrastruttura software.
Analisi strategica per l'imprenditore: Questo spostamento significa che il rischio per un'azienda non dipende più solo dalla visibilità del proprio brand o dal valore dei propri asset, ma dalla semplice esistenza di tool automatizzati che scansionano il web alla ricerca di vulnerabilità. Il rischio è diventato democratico e ubiquitario. La difesa non può più basarsi sulla speranza di non essere un bersaglio interessante, poiché l'attacco automatizzato non sceglie la vittima in base all'importanza, ma in base alla vulnerabilità rilevata dall'algoritmo.
Il magistrato sottolinea come l'investigazione penale proceda 'a remolque', ovvero sia costantemente in ritardo rispetto all'evoluzione tecnologica. Mentre i criminali ottimizzano i processi di attacco tramite IA, i giudici e le forze di polizia soffrono di una cronica carenza di mezzi materiali per contrastare l'automazione. La sfida non è solo tecnica, ma di risorse: senza un adeguamento dei mezzi per polizie, procuratori e giudici, il gap tra l'efficienza del crimine e la capacità di risposta dello Stato continuerà ad aumentare.
L'inganno vince sulla tecnica
Esiste un pregiudizio diffuso secondo cui i ciberdelitti siano il risultato di sofisticate operazioni di hacking tecnico. Joaquín Delgado smonta questa tesi con una constatazione netta: la grandissima maggioranza dei ciberdelitti viene commessa tramite l'ingegneria sociale.
Il punto debole non è la macchina, ma l'essere umano che la utilizza. Il criminale non ha bisogno di vulnerare un sistema di sicurezza complesso se può semplicemente ingannare la persona che ha le chiavi di accesso. L'IA potenzia drasticamente questa capacità di manipolazione. I deepfake, in particolare, rappresentano una minaccia critica non solo per l'opinione pubblica, ma per l'amministrazione della giustizia stessa.
La possibilità di creare audio, video o immagini ultrarrealiste falsi permette di presentare prove in tribunale che appaiono autentiche. Per contrastare questo fenomeno, Delgado propone un sistema di verifica a tre livelli:
- La percezione diretta del giudice o delle parti coinvolte.
- L'utilizzo di programmi informatici specifici per l'analisi dei file.
- Il ricorso alla prova peritale tecnica.
Tuttavia, il magistrato ammette che la crescente sofisticazione di queste tecniche rende l'identificazione precoce dei falsi sempre più difficile. L'inganno non è più un accessorio, ma il cuore della strategia criminale moderna, dove l'IA funge da moltiplicatore di efficacia per la manipolazione psicologica.
Joaquín Delgado e il lato oscuro
Il ritratto che emerge dagli interventi di Joaquín Delgado è quello di un magistrato consapevole della fragilità del sistema penale di fronte all'innovazione. Aprendo la sua ponencia alle XX Jornadas de Documentos Jurídico-Psiquiátricos con la frase 'Señoras, señores, bienvenidos al lado oscuro', Delgado ha voluto spostare l'attenzione dalle potenzialità benefiche dell'IA alla sua applicazione malevola.
Il suo approccio è pragmatico e allarmista nel senso tecnico del termine: non si concentra sulla teoria del diritto, ma sulla pratica del reato. Nel suo libro Inteligencia Artificial en el Sistema Penal, Delgado esplora come la tecnologia stia ridefinendo i concetti di responsabilità. La sua tesi centrale è che più l'IA diventa autonoma, più diventa difficile individualizzare la responsabilità penale.
Se un algoritmo prende decisioni autonome per eseguire un attacco, chi è il colpevole? Il programmatore, l'utente che ha attivato il servizio, o l'intermediario che ha fornito la piattaforma? Questa zona grigia è ciò che Delgado definisce come la sfida principale per il diritto penale contemporaneo, che deve decidere non solo come punire i reati già commessi, ma quando intervenire preventivamente prima che il danno si concretizzi.
La giustizia tra deepfake e AI Act
La situazione descritta dal magistrato spagnolo ha riflessi immediati sul contesto europeo e italiano. La necessità di tipizzare reati specifici, come la presentazione di prove false generate da IA, è un'urgenza che travalica i confini della Spagna.
Analisi di scenario per l'UE e l'Italia: L'entrata in vigore dell'AI Act europeo stabilisce cornici di sicurezza e trasparenza, ma la lotta al crimine richiede strumenti di contrasto penale più rapidi. Per le imprese italiane, questo significa che la conformità normativa (compliance) non basta più; è necessaria una strategia di cyber-resilienza che includa la formazione del personale contro l'ingegneria sociale potenziata da IA.
Possiamo ipotizzare due scenari evolutivi per i prossimi 24 mesi:
1. Scenario di integrazione giudiziaria: L'introduzione di protocolli standardizzati di verifica delle prove digitali a livello UE per contrastare i deepfake. Indicatore verificabile: L'adozione di una direttiva europea o di linee guida della Corte di Giustizia UE sulla validità delle prove generate da IA entro il 2027.
2. Scenario di escalation del Crime-as-a-Service: Un aumento della frequenza di attacchi automatizzati a piccole e medie imprese (PMI) che non dispongono di sistemi di difesa avanzati. Indicatore verificabile: Un incremento superiore al 20% nelle segnalazioni di ransomware o phishing automatizzato registrate dalle agenzie di cybersicurezza nazionali (come l'ACN in Italia) nel prossimo anno.
In sintesi, la lezione di Delgado è che la tecnologia non ha creato nuovi desideri criminali, ma ha fornito strumenti di esecuzione di massa. Per l'imprenditore, l'IA non è solo un vantaggio competitivo nel business, ma è diventata l'arma principale di chi vuole destabilizzare l'impresa. La difesa non è più solo un problema di IT, ma di cultura aziendale e consapevolezza del rischio umano.
Per approfondire la risposta penale a queste minacce, è possibile consultare le analisi di Confilegal o i documenti ufficiali pubblicati da Moncloa.
Lettura per le imprese italiane
Per le aziende italiane, il rischio principale non è l'attacco mirato, ma l'attacco automatizzato a basso costo. L'AI Act e la direttiva NIS2 impongono standard di sicurezza più alti, ma la vera vulnerabilità resta l'ingegneria sociale. Le imprese devono investire in formazione specifica per i dipendenti, poiché l'IA ha reso l'inganno indistinguibile dalla realtà.
Domande frequenti
Cos'è il crimine as-a-service citato dal magistrato Delgado?
È un modello in cui i criminali contrattano piattaforme automatizzate basate su IA che eseguono l'attacco (come hacking o denegazione di servizio) a pagamento, eliminando la necessità per l'aggressore di avere competenze tecniche.
Perché i deepfake sono considerati un pericolo per i tribunali?
Perché possono generare audio, video o immagini ultrarrealiste falsi che possono essere presentati come prove, rendendo difficile per i giudici distinguere il vero dal falso senza analisi peritali sofisticate.
Qual è il ruolo dell'ingegneria sociale nei ciberdelitti?
È il vettore principale: invece di forzare tecnicamente un sistema, il criminale inganna l'utente per ottenere l'accesso. L'IA potenzia questa capacità rendendo le esche molto più credibili.
Fonti: Confilegal (2), Moncloa ·
glacom · IA per studi legali: i fascicoli non escono dallo studio →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
