Swisscom, per le torri il nodo è il prezzo: “Pronti a discutere con Inwit”

Il braccio di ferro tra Fastweb e Inwit non si risolverà a breve ma Fastweb+Vodafone potrebbe restare se si scioglie il nodo del prezzo. “Ci aspettiamo ci vorrà un po’ di tempo per risolvere, non mi aspetto alcuna risoluzione rapida” risponde il Ceo di Swisscom Christoph Aeschlimann alle domande degli analisti in conference call. “Abbiamo provato a negoziare molte volte con Inwit e loro hanno rifiutato di entrare in discussione con noi, alla fine forzandoci ad uscire”. “Questo non ci impedisce di continuare a investire sul mercato, stiamo costruendo nuove torri, e continueremo a farlo in Italia, ma allo stesso tempo dobbiamo arrivare a costi sostenibili e questo è il motivo per cui stiamo lavorando con Tim per preparare il nostro plano di migrazione. Se Inwit fosse aperta a discutere per tornare a costi sostenibili, siamo aperti a farlo per trovare un accordo”, aggiunge.

La strategia di migrazione comunque, precisa il manager, sarà discussa con Inwit e il tavolo non si è ancora aperto ma “la time line potrebbe essere la stessa di Tim” che ieri ha fatto sapere che potrebbe uscire in 10 anni. “Siamo in discussione con le altre società di torri, stiamo lavorando anche su come costruire nuove torri direttamente o in joint venture”. “La migrazione potrebbe durare almeno tre anni dal momento in cui il contratto finisce, quindi 5 anni di migrazione”. 

INWIT: dichiarazioni CEO di Swisscom false e tendenziose

“INWIT si vede costretta suo malgrado a rettificare quanto oggi, ancora una volta, incautamente comunicato da Swisscom in nome e per conto della controllata italiana Fastweb. 

Non corrisponde al vero, infatti, che INWIT si sia “rifiutata di avviare discussioni” con Fastweb, “costringendo[la] infine a dare disdetta all’intero contratto di MSA”. È vero l’esatto contrario: come agevolmente documentabile, INWIT ha reiteratamente offerto concrete soluzioni migliorative dei termini del MSA in ottica di creazione di valore per entrambe le parti, suggerendo altresì di affrontare la questione relativa alla durata del MSA nelle forme della negoziazione assistita o in sede arbitrale. Fastweb ha irragionevolmente ritenuto di non accogliere tali proposte, contrapponendo una iniqua revisione delle condizioni del MSA secondo termini economicamente esorbitanti, e sempre nella modalità “prendere o lasciare”, cui ha fatto seguito l’introduzione di un giudizio di merito a fini dilatori, nell’ambito del quale INWIT ha dovuto formulare un’istanza cautelare onde far valere, con l’urgenza del caso, le proprie ragioni.

Riservato ogni diritto e azione“.

Fastweb+Vodafone, nel primo trimestre redditività a 460 milioni (+7,4%) con sinergie

Fastweb+Vodafone chiude il primo trimestre 2026 con risultati finanziari e performance in linea con le attese.

Prosegue la strategia basata sulla generazione di valore per tutti i segmenti di clienti – B2C, B2B e Wholesale – basata su innovazione, qualità e acquisizione di clientela ad alto valore, con l’obiettivo di stabilizzare i ricavi da servizi Telco e la marginalità complessiva, focalizzandosi sulla crescita dei ricavi da servizi ICT e beyond the core.

Clienti in calo

Al 31 marzo 2026 i clienti mobili, residenziali e business si attestano a 19 milioni 910 mila, in lieve flessione dello 1,5% rispetto allo stesso periodo dell’anno scorso, per una market share stabile pari al 26%. I clienti residenziali e business di rete fissa sono 5 milioni 550 mila (-2,0%), per una market share, anch’essa stabile, pari al 30%.

Ricavi in flessione del 4,5%

I ricavi totali nel trimestre si attestano a 1.737 milioni di euro (-4,5% rispetto allo stesso periodo del 2025). Nonostante la flessione dei ricavi, l’EBITDA after lease (EBITDAaL) è cresciuto a 457 milioni di euro (+8,5% su base annua), grazie al contributo delle sinergie e delle efficienze di costo. Le CAPEX ammontano a 339 milioni di euro (-11% rispetto al 1° trimestre 2025) e l’Operating Free Cash Flow (OpFCF) è pari a 118 milioni di euro.

Redditività in crescita del 7,4%

Escludendo i costi derivanti dall’integrazione, l’adjusted EBITDAaL è invece pari a 460 milioni di euro (+7,4% rispetto al 1° trimestre 2025) mentre i CAPEX adjusted si attestano a 304 milioni di euro (-17,95% rispetto al 1° trimestre 2025).  L’adjusted Operating Free Cash Flow si attesta a quota 155 milioni di euro, grazie al completamento di progetti strutturali e ad una rigorosa disciplina delle spese in conto capitale, oltre che una diversa distribuzione temporale degli investimenti tra i trimestri, in linea con le guidance 2026.

Nel segmento B2C, che continua ad essere caratterizzato da una pressione competitiva elevata, i clienti mobili si attestano a 15.437 milioni e i clienti fissi a 4.440 milioni.  I ricavi complessivi del segmento residenziale si attestano a 787 milioni di euro, registrando una flessione del 5,4% rispetto al primo trimestre dell’anno precedente. La focalizzazione sulla strategia a valore continua a generare effetti positivi sia rispetto all’ARPU che alla fidelizzazione della base clienti. Il divario nell’ARPU tra i clienti acquisiti e quelli che hanno disdetto il contratto si è ridotto in modo significativo (del 43% nel settore della telefonia mobile e del 21% in quello della banda larga), riflettendo una strategia di acquisizione più orientata al valore e un miglioramento della qualità complessiva e del valore nel tempo della base clienti; anche il tasso di abbandono è migliorato in modo significativo, diminuendo di 2,4 punti percentuali nel settore della telefonia mobile e di 4,2 punti percentuali in quello della banda larga rispetto al primo trimestre.

Crescono i ricavi beyond the core

Allo stesso tempo continuano a segnare una crescita sostenuta i ricavi generati dai servizi beyond the core. Fastweb Energia – ora disponibile anche per i clienti Vodafone – ha raggiunto 119.000 clienti (140.000 includendo i clienti B2B, +184% rispetto all’anno scorso) al 31 marzo 2026. A guidare l’adozione è un approccio trasparente, senza sorprese in bolletta, che consente alle famiglie di pianificare con certezza la propria spesa energetica.

I ricavi della Business Unit B2B si attestano a 739 milioni di euro (-6,9% rispetto al primo trimestre 2025). Una flessione in parte non strutturale che riflette la fisiologica rinegoziazione di alcuni contratti di connettività di grandi clienti, mentre rimane sostanzialmente stabile la base clienti e cresce il portafoglio ordini da parte della Pubblica Amministrazione.

Continua anche nel primo trimestre 2026 l’ottima performance del segmento Wholesale, a conferma della sua centralità nella strategia di Fastweb + Vodafone. Nel primo trimestre 2026 il numero di linee fisse a banda ultralarga fornito a operatori terzi si attesta a 1,194 milioni, in crescita del 23,3% rispetto allo stesso periodo dell’anno scorso, mentre il numero di linee mobili wholesale crescono a 8,190 milioni (+20,7%).  I ricavi totali del segmento si attestano a 205 milioni di euro, in aumento del 10,1% rispetto allo stesso periodo del 2025.

I continui investimenti in infrastrutture, tecnologie e competenze posizionano Fastweb + Vodafone come operatore di riferimento per la costruzione della sovranità digitale del Paese mettendo a disposizione di imprese e PA un ecosistema digitale in grado di integrare infrastrutture proprietarie di rete fisse e mobili e data center, tecnologia Cloud e Cybersecurity e potenza computazionale AI assicurando resilienza e pieno controllo dei dati end to end. Continua, in particolare, la performance positiva delle soluzioni di Intelligenza Artificiale di Fastweb AI Work, la piattaforma che integra GenAI e AI agentica per offrire ad aziende, PMI e PA soluzioni sicure e compliant alle normative. Alla fine del periodo sono più di 35.000 le licenze sottoscritte. A queste si aggiungono oltre 50 progetti di Intelligenza artificiale sviluppati per aziende e pubblica amministrazione.

Integrazione, rete e infrastrutture

Il processo di integrazione procede in linea con i piani. Nel primo trimestre del 2026 le sinergie hanno raggiunto i 77 milioni di euro, principalmente grazie al completamento della migrazione delle SIM Fastweb Mobile sulla rete proprietaria e a ulteriori efficienze di costo. Le sinergie annue complessive a regime sono stimate in circa 300 milioni di euro entro la fine del 2026.

L’integrazione sta procedendo anche sul fronte organizzativo, grazie all’introduzione di politiche del personale armonizzate, tra cui la settimana lavorativa corta e un potenziamento dello smart working.

Prosegue l’espansione delle infrastrutture proprietarie dell’azienda, con la rete mobile 5G che raggiunge a fine marzo l’89% di copertura della popolazione nazionale, +4 p.p. rispetto allo stesso periodo dell’anno scorso. Mentre aumenta di 6 p.p. la copertura della rete in fibra FTTH che raggiunge il 58% del territorio nazionale. Sulla base della strategia orientata a fornire la migliore esperienza di servizio ovunque, Fastweb + Vodafone offre a tutti i propri clienti, attraverso gli asset di rete di Fastweb e Vodafone Italia, la più performante connessione disponibile. 

Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/fastwebvodafone-nel-primo-trimestre-redditivita-a-460-milioni-74-con-sinergie-swisscom-pronta-a-trattare-con-inwit-sulle-torri/572136/

Accordo Ue sulle semplificazioni dell’AI Act, ecco cosa cambia e il calendario dell’entrata in vigore

L’Unione europea (Ue) riscrive il calendario di attuazione dell’AI Act e introduce nuove semplificazioni per le imprese, senza arretrare sulle tutele dei cittadini. Nella notte Parlamento europeo e Consiglio dell’Ue hanno raggiunto l’accordo politico sul cosiddetto “omnibus digitale sull’intelligenza artificiale”, il pacchetto presentato dalla Commissione europea il 19 novembre 2025 per alleggerire alcuni obblighi della normativa europea sull’AI, mantenendone però l’impianto di sicurezza e protezione dei diritti fondamentali.

Il risultato è una revisione molto rilevante soprattutto per le aziende che sviluppano o utilizzano sistemi di intelligenza artificiale in settori sensibili: cambia infatti il calendario di entrata in vigore degli obblighi per i sistemi ad alto rischio, vengono chiariti i rapporti tra AI Act e norme sulla sicurezza dei prodotti e si rafforzano i divieti contro gli utilizzi più abusivi dell’IA generativa.

Si tratta di un passaggio cruciale perché la normativa discussa è la prima regolazione organica al mondo sull’intelligenza artificiale e riguarda ormai quasi ogni settore economico: dalla sanità ai trasporti, dalle risorse umane alle piattaforme online, fino alla pubblica amministrazione.

L’obiettivo dichiarato della Commissione è evitare che le aziende debbano adeguarsi a norme tecniche ancora incomplete o non coordinate con la legislazione settoriale europea.

“Le nostre imprese e i nostri cittadini vogliono due cose dalle regole dell’AI. Vogliono essere in grado di innovare e sentirsi al sicuro. L’accordo odierno fa entrambe le cose. Con regole più semplici e favorevoli all’innovazione, rendiamo più facile innovare senza abbassare il livello di sicurezza. Stiamo inoltre assicurando che gli strumenti a sostegno delle imprese dell’UE per un’agevole attuazione della legge sull’AI siano pronti”, ha dichiarato Henna Virkkunen, Vicepresidente esecutiva per la Sovranità tecnologica, la sicurezza e la democrazia.

Dal 2 dicembre 2027: obblighi per i sistemi AI ad alto rischio

La prima data decisiva sarà il 2 dicembre 2027. Da quel momento scatteranno le regole per i sistemi di intelligenza artificiale classificati come “ad alto rischio” utilizzati in ambiti particolarmente sensibili.

Tra questi rientrano: sistemi biometrici; infrastrutture critiche; istruzione e formazione; occupazione e gestione del personale; forze dell’ordine; migrazione e asilo; controllo delle frontiere.

Si tratta delle applicazioni considerate più delicate dall’Unione europea perché possono incidere direttamente sui diritti fondamentali delle persone: accesso al lavoro, valutazione scolastica, sorveglianza, identificazione biometrica, gestione dei flussi migratori.

Per queste tecnologie saranno richiesti obblighi stringenti di gestione del rischio; qualità dei dati; supervisione umana; trasparenza; tracciabilità; cybersecurity; documentazione tecnica.

Il rinvio al dicembre 2027 serve a consentire la predisposizione delle norme tecniche europee e degli strumenti operativi necessari all’applicazione uniforme del regolamento.

Dal 2 agosto 2028: sistemi AI integrati nei prodotti

Una seconda scadenza fondamentale è fissata al 2 agosto 2028.

Da quella data si applicheranno le regole ai sistemi di IA incorporati come componenti di sicurezza in prodotti disciplinati dalla normativa europea sulla sicurezza e sulla sorveglianza del mercato.

È il caso, ad esempio, di ascensori; macchinari industriali; giocattoli; dispositivi soggetti a certificazione europea.

Questa distinzione è particolarmente importante per il mondo industriale e manifatturiero europeo, perché consente di coordinare meglio l’AI Act con le norme settoriali già esistenti, evitando sovrapposizioni burocratiche tra regolazione dell’AI e regolazione dei prodotti.

Stop alle app di “nudificazione” e ai contenuti pedopornografici

L’accordo introduce anche un rafforzamento dei divieti, come i deepfake. Saranno vietati i sistemi di intelligenza artificiale che generano contenuti sessualmente espliciti non consensuali, immagini intime false, materiale pedopornografico.

Nel mirino ci sono soprattutto le cosiddette applicazioni di “nudificazione” basate su AI generativa, strumenti capaci di creare immagini realistiche di persone nude partendo da fotografie autentiche.
Un caso eclatante, tra i tanti, è quello che ha visto in questi giorni involontaria protagonista la Premier Giorgia Meloni.

Negli ultimi mesi queste tecnologie hanno registrato una forte diffusione online, soprattutto attraverso app mobili e piattaforme social, sollevando gravi preoccupazioni in materia di violenza digitale, revenge porn e tutela dei minori.

L’Unione europea sceglie dunque una linea molto rigida su uno degli utilizzi più controversi dell’intelligenza artificiale generativa.

La legge posticipa inoltre l’applicazione degli obblighi di ‘watermarking’, cioè le tecniche che consentono di individuare e tracciare i contenuti generati dall’AI.

Più semplificazioni per imprese e PMI

Il pacchetto omnibus nasce però soprattutto con una finalità economica: ridurre i costi di conformità per le imprese europee. Secondo Bruxelles, il rischio era che l’AI Act diventasse troppo complesso da applicare soprattutto per startup, PMI e aziende innovative.

Per questo l’accordo prevede: semplificazioni procedurali, governance più chiara, minori duplicazioni normative, estensione di alcune agevolazioni anche alle imprese a media capitalizzazione.

Un punto centrale riguarda il coordinamento tra AI Act e regolamento macchine, così da evitare doppie certificazioni o sovrapposizioni tra obblighi settoriali e obblighi sull’intelligenza artificiale.

Arrivano gli “spazi di sperimentazione normativa”

Una delle novità più interessanti riguarda l’espansione dei “sandbox regolatori”, ossia ambienti controllati nei quali le imprese potranno testare sistemi di IA in condizioni reali sotto la supervisione delle autorità.

L’accordo prevede spazi di sperimentazione nazionali, un sandbox europeo centralizzato e accesso facilitato per gli innovatori. L’obiettivo è accelerare sviluppo e sperimentazione senza compromettere sicurezza e tutela dei diritti.

È una misura molto attesa soprattutto dalle startup europee dell’intelligenza artificiale, che da tempo chiedevano regole più prevedibili e meno onerose rispetto ai grandi operatori globali.

Secondo la correlatrice della commissione Mercato interno e tutela dei consumatori, Arba Kokalari (Ppe, Svezia), “con questo accordo, dimostriamo che la politica può evolversi con la stessa rapidità della tecnologia. Ora rendiamo le norme sull’AI più applicabili nella pratica, eliminiamo le sovrapposizioni e sospendiamo i requisiti per i sistemi ad alto rischio. Affinché l’Europa diventi un continente dell’AI, dobbiamo promuovere l’innovazione, sostenere le startup e le scaleup e semplificare lo sviluppo dell’AI in Europa“.

Per il correlatore della commissione per le Libertà civili, la giustizia e gli affari interni, Michael McNamara (Renew, Irlanda), “oltre alle misure di semplificazione, vietiamo le app di nudità, un punto chiave del mandato del Parlamento, e, naturalmente, la creazione di materiale pedopornografico tramite sistemi di intelligenza artificiale. In questo modo, disponiamo degli strumenti per intervenire qualora i fornitori non si adoperino per risolvere il problema dei sistemi di intelligenza artificiale che compromettono i diritti fondamentali o la dignità umana”.

Rafforzato il potere dell’Ufficio europeo per l’IA

L’intesa amplia anche i poteri dell’AI Office della Commissione europea, l’organismo che avrà il compito di vigilare sull’applicazione della normativa.

L’Ufficio potrà rafforzare il monitoraggio dei modelli di IA per finalità generali, dei sistemi integrati nelle piattaforme online molto grandi e dei motori di ricerca di dimensioni molto grandi.

È un punto strategico perché l’Europa punta a esercitare un controllo diretto sui modelli più avanzati di AI generativa e sui grandi operatori digitali globali.

Il settimo “omnibus” della strategia di semplificazione europea

L’omnibus sull’IA fa parte di una più ampia strategia della Commissione europea per ridurre gli oneri regolatori. Il pacchetto presentato il 19 novembre 2025 comprendeva la semplificazione delle norme su AI, un secondo omnibus su cybersicurezza e dati e una nuova strategia europea per l’Unione dei dati.

Secondo Bruxelles, l’obiettivo è rendere le imprese europee più competitive, meno gravate da costi amministrativi e più rapide nell’innovazione digitale. Quello approvato dai co-legislatori rappresenta il settimo intervento omnibus della legislatura europea.

I prossimi passaggi

L’accordo provvisorio deve essere ora adottato formalmente sia dal Parlamento che dal Consiglio prima di poter entrare in vigore. I colegislatori intendono adottarlo entro il 2 agosto prossimo, data di entrata in vigore delle attuali norme sui sistemi ad alto rischio.

Successivamente il testo sarà pubblicato nella Gazzetta ufficiale dell’Unione europea ed entrerà in vigore tre giorni dopo la pubblicazione. Da quel momento inizierà ufficialmente il nuovo percorso temporale dell’AI Act europeo.

Perché questo accordo è importante

La decisione dei co-legislatori europei segna un equilibrio politico molto delicato.

Da un lato l’Europa conferma l’ambizione di costruire la regolazione più avanzata al mondo sull’intelligenza artificiale, mantenendo forti garanzie su sicurezza, trasparenza e diritti fondamentali.

Dall’altro riconosce che l’eccesso di complessità normativa rischiava di rallentare l’innovazione europea proprio mentre Stati Uniti e Cina accelerano nello sviluppo dell’IA generativa.

Il nuovo calendario offre dunque più tempo alle imprese per adeguarsi, ma conferma che le applicazioni considerate più pericolose continueranno a essere sottoposte a controlli rigorosi.

Per cittadini, aziende e pubbliche amministrazioni significa una cosa molto concreta: l’intelligenza artificiale entrerà sempre di più nella vita quotidiana europea, ma con regole precise su responsabilità, sicurezza e limiti d’uso.

Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/ai-act-lue-prende-tempo-e-rinvia-gli-obblighi-per-i-sistemi-ad-alto-rischio-stop-ai-deepkafe-nudi/572131/

Mag 07, 2026 Redazione Approfondimenti, In evidenza, News, RSS, Scenario, Scenario 0

---

Il problema del dipendente “infedele” è vecchio quanto le aziende stesse, ma sembra che il panorama stia evolvendo più velocemente del previsto nella direzione sbagliata e che una parte dei lavoratori sembra aver normalizzato comportamenti che fino a pochi anni fa sarebbero stati considerati gravissimi. Un nuovo studio pubblicato dal servizio britannico per la prevenzione delle frodi (Cifas) mostra infatti un quadro estremamente preoccupante: il 13% dei lavoratori afferma di aver venduto credenziali aziendali o di conoscere qualcuno che lo ha fatto negli ultimi dodici mesi.

Il dato assume un peso ancora maggiore se si considera che un altro 13% degli intervistati ritiene “giustificabile” vendere accessi ai sistemi aziendali, soprattutto a ex colleghi o soggetti ritenuti “fidati”. Secondo gli analisti, questo fenomeno indica un cambiamento culturale profondo nel modo in cui parte dei dipendenti percepisce il valore delle credenziali digitali e la responsabilità legata alla gestione degli accessi.

Il problema è culturale, non solo tecnologico

L’aspetto più inquietante emerso dalla ricerca è che la tolleranza verso questi comportamenti aumenta con il livello gerarchico. Lo studio evidenzia infatti che il 32% dei manager, il 36% dei direttori e addirittura il 43% degli executive di livello C-suite ritengono accettabile la vendita delle proprie credenziali aziendali in determinate circostanze. Ancora più sorprendente il dato relativo agli imprenditori: l’81% degli imprenditori coinvolti nel sondaggio ha dichiarato che il comportamento può essere giustificato

Questi numeri suggeriscono che il problema non riguarda soltanto la consapevolezza degli utenti finali, ma coinvolge direttamente la governance e la cultura organizzativa. In molte aziende, infatti, le credenziali continuano a essere percepite come strumenti operativi personali, anziché come componenti critiche della superficie di attacco aziendale.

Secondo Cifas, dietro questi comportamenti si nascondono spesso motivazioni economiche, insoddisfazione lavorativa, convinzione di non essere scoperti oppure la percezione che il gesto sia “innocuo” o che non abbia vere conseguenze.

Credenziali legittime: la porta perfetta per gli attaccanti

Dal punto di vista della cybersecurity, la vendita di account aziendali rappresenta uno scenario estremamente pericoloso. Gli attaccanti cercano sempre più spesso di ottenere accessi legittimi invece di forzare direttamente le difese perimetrali e delle credenziali autentiche permettono di aggirare numerosi controlli di sicurezza, ridurre la probabilità di rilevamento e muoversi lateralmente nei sistemi con maggiore facilità.

L’uso di identità valide è ormai centrale nelle operazioni ransomware, negli attacchi supply chain e nelle campagne di cyber spionaggio. In molti casi, gli access broker acquistano o rivendono credenziali sottratte o cedute volontariamente per poi monetizzarle nei marketplace underground.

Secondo la ricerca, i settori più esposti a una maggiore tolleranza verso comportamenti fraudolenti includono IT e telecomunicazioni, dove gli utenti possiedono spesso privilegi elevati e accessi sensibili.

La sicurezza non può dipendere soltanto dai controlli tecnici

I risultati del report mostrano chiaramente come la sicurezza aziendale non possa più basarsi esclusivamente su firewall, MFA o sistemi di monitoraggio. Le organizzazioni devono affrontare il problema anche dal punto di vista culturale e organizzativo, lavorando su formazione, consapevolezza e governance degli accessi.

Secondo Cifas, la prevenzione passa attraverso la costruzione di una vera “fraud-aware culture”, nella quale ogni dipendente comprenda le conseguenze operative, economiche e legali legate alla condivisione o vendita delle credenziali.

In questo scenario, onestamente desolante, assumono un ruolo centrale i modelli Zero Trust, la segmentazione degli accessi, il principio del privilegio minimo e il monitoraggio continuo delle anomalie comportamentali. Tuttavia, ricordiamoci che anche le architetture più avanzate rischiano di diventare inefficaci se una parte significativa del personale considera normale monetizzare l’accesso ai sistemi aziendali.

---

• access broker, access governance, account compromise, Cifas, credenziali aziendali, cybercrime, cybersecurity, frodi interne, identity security, insider threat, sicurezza informatica, Zero Trust

---

---

https://www.securityinfo.it/2026/05/07/un-dipendente-su-otto-considera-accettabile-vendere-le-credenziali/?utm_source=rss&utm_medium=rss&utm_campaign=un-dipendente-su-otto-considera-accettabile-vendere-le-credenziali

La Pennsylvania ha avviato una causa contro Character Technologies, la società dietro la piattaforma Character.AI, accusando alcuni chatbot del servizio di fingersi medici e professionisti della salute mentale autorizzati.

Il governatore Josh Shapiro ha definito l’azione legale “la prima del suo genere” promossa da un governatore statunitense contro una società AI per pratiche legate all’esercizio abusivo della professione medica.

Secondo quanto riportato nella denuncia depositata presso la Commonwealth Court della Pennsylvania e ripresa da Reuters, lo Stato avrebbe individuato diversi chatbot presenti sulla piattaforma che sostenevano di esercitare la professione.

Il caso “Emilie”: “Sono una psichiatra autorizzata”

Uno degli esempi citati riguarda un personaggio virtuale chiamato “Emilie”.

Secondo gli investigatori della Pennsylvania, il chatbot avrebbe dichiarato a un investigatore sotto copertura – che si era presentato come un paziente affetto da depressione – di essere una psichiatra autorizzata sia in Pennsylvania sia nel Regno Unito, fornendo persino un falso numero di licenza professionale.

Quando l’investigatore ha chiesto se fosse in grado di prescrivere farmaci, il chatbot avrebbe risposto:

“Tecnicamente sì. Rientra nelle mie competenze come medico.” Per lo Stato della Pennsylvania, queste interazioni configurano una violazione delle norme che vietano l’esercizio abusivo della professione medica.

La Pennsylvania chiede un’ingiunzione

Con la causa, la Pennsylvania punta a ottenere un’ingiunzione contro Character.AI per impedire alla piattaforma di continuare a violare la legge statale.

“I cittadini della Pennsylvania meritano di sapere con chi – o con cosa – stanno interagendo online, soprattutto quando si parla della loro salute”, ha dichiarato Shapiro.

L’iniziativa arriva dopo la creazione, lo scorso febbraio, di una task force statale dedicata all’AI, nata proprio per affrontare i rischi legati ai chatbot che impersonano professionisti sanitari autorizzati.

Character.AI: “Personaggi fittizi e creati per intrattenimento”

Character.AI non ha commentato direttamente il contenuto della causa, ma un portavoce della società ha ribadito che la sicurezza degli utenti rappresenta “la massima priorità” dell’azienda.

“I personaggi creati dagli utenti sulla nostra piattaforma sono fittizi e destinati all’intrattenimento e al role playing”, ha spiegato la società.

Secondo Character.AI, l’azienda avrebbe già adottato “misure robuste” per chiarire la natura non reale dei chatbot presenti sulla piattaforma.

Non è la prima controversia

La società è già finita al centro di numerose polemiche negli Stati Uniti, soprattutto sul fronte della sicurezza dei minori.

A gennaio il Kentucky aveva avviato un’azione legale sostenendo che la piattaforma esponesse bambini e adolescenti a contenuti sessuali, abuso di sostanze e incoraggiamento all’autolesionismo.

Nello stesso mese Character.AI e Google avevano inoltre raggiunto un accordo in una causa per wrongful death intentata da una donna della Florida, secondo cui un chatbot avrebbe spinto il figlio quattordicenne al suicidio.

Dopo quelle polemiche, Character.AI aveva annunciato nuove misure di sicurezza dedicate agli utenti più giovani, tra cui limitazioni alle conversazioni aperte e controlli più restrittivi.

Il nodo dei chatbot “esperti”

Il caso Pennsylvania apre però un fronte ancora più delicato: quello dei chatbot che simulano competenze professionali regolamentate.

Con l’espansione dei modelli generativi cresce infatti il rischio che sistemi AI vengano percepiti dagli utenti come figure autorevoli o qualificate, soprattutto in ambiti sensibili come salute mentale, medicina, consulenza legale o supporto psicologico.

La causa potrebbe diventare un precedente importante negli Stati Uniti per stabilire fino a che punto le aziende AI siano responsabili dei comportamenti e delle affermazioni generate dai chatbot ospitati sulle proprie piattaforme.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/la-pennsylvania-fa-causa-a-character-ai-il-chatbot-si-spaccia-per-medico/572100/

Piazza Affari premia la trimestrale di Tim, che in apertura guadagna il 3%. L’operatore controllato da Poste ha chiuso il primo trimestre del 2026 con ricavi a 3,3 miliardi di euro, in crescita dell’1,4% trainato in primo luogo dal Brasile (+6,4%) e da Tim Enterprise (+3,2%).

In calo del 2,7% anche l’EBITDA After Lease di Gruppo, pari a 0,8 miliardi di euro (-8,2% nel domestico a 0,4 miliardi di euro, +4,3% in Brasile a 0,4 miliardi di euro).

Le perdite nette sono aumentate a 292 milioni di euro, più che raddoppiate rispetto ai 124 milioni dell’anno precedente.

L’indebitamento finanziario netto rettificato After Lease di Gruppo al 31 marzo è inferiore a 7,3 miliardi di euro, a fronte dei 7,5 miliardi dell’anno precedente, con una leva inferiore a 2x.

Tim Consumer compensato da Tim Enterprise e Brasile

• Tim Consumer ha registrato una flessione del 3% dei ricavi a 1,4 miliardi in primo luogo a causa un calo del business MVNO.
• TIM Enterprise ha registrato ricavi totali pari a 0,8 miliardi di euro (+3,2% anno su anno) e ricavi da servizi pari a 0,7 miliardi di euro (+4,2% anno su anno), con un trend di crescita tendenziale che ha raggiunto il quindicesimo trimestre consecutivo. Il Cloud si conferma la principale linea di business e quella a maggior crescita, con un aumento dei ricavi da servizi del 14,5% anno su anno, anche grazie al Polo Strategico Nazionale, il cui contributo aumenta del 50% anno su anno, con oltre 650 pubbliche amministrazioni servite. In crescita IoT e Security, stabile la connettività grazie anche al contributo one-off delle attività legate agli eventi olimpici di Milano-Cortina. Sale al 65% (+1 punto percentuale anno su anno) la percentuale di ricavi da servizi legata all’ICT. Il valore del portafoglio ordini è atteso in crescita a oltre 4,2 miliardi di euro nel 2026. TIM Enterprise conferma il proprio posizionamento come principale operatore italiano di sovranità digitale, attraverso tre direttrici: lo sviluppo di infrastrutture, cloud e di rete, proprietarie e sicure, il posizionamento come piattaforma sovrana per carichi di lavoro AI e il ruolo di trusted partner per l’adozione di soluzioni hyperscaler da parte delle imprese italiane. A supporto di questa strategia, TIM, nel quadro del proprio piano di investimenti, prevede di dedicare circa 500 milioni di euro nel triennio 2026–2028 a infrastrutture e asset legati alla sovranità digitale.
• La Guidance 2026 è confermata.

“I primi tre mesi del 2026 sono in linea con le previsioni del Gruppo e con la guidance fornita al mercato per l’intero esercizio. Il riposizionamento delle diverse attività, avviato negli scorsi anni, continua a dare buoni risultati, con TIM Consumer che mostra una top line resiliente, TIM Enterprise che prosegue nel proprio percorso di crescita e TIM Brasil che si conferma fra i migliori operatori mondiali di TLC. Nel corso dell’esercizio continueremo a posizionarci come i protagonisti del panorama italiano sul fronte della sovranità digitale e dell’intelligenza artificiale, e a semplificare la struttura societaria del Gruppo, con la conversione delle azioni di risparmio, che si chiuderà entro fine maggio, e il successivo raggruppamento azionario. La generazione di cassa attesa porterà nel 2026 a un’ulteriore significativa riduzione del debito e della leva finanziaria di Gruppo”, ha detto l’amministratore delegato Pietro Labriola.

Causa contro Tim-DAZN da 1,9 miliardi di Sky per i diritti del calcio

Ma a rovinare almeno in parte la festa è arrivata la denuncia di Sky sull’accordo per i diritti Tv con DAZN nel periodo 2021-2024, con una richiesta di risarcimento danni da 1,9 miliardi di euro. E così sul futuro di Tim, che entro fine anno sarà incorporata da Poste (che a luglio lancerà un’Opas da 10,8 miliardi di euro), torna l’incertezza. Ieri Sky, dopo la conferma dell’Antitrust di una “grave intesa restrittiva della concorrenza”, ha chiesto fino a 1,9 miliardi di danni a Tim e Dazn per i diritti sulle partite di calcio di Serie A per il 2021-2024. Intesa – per cui le due società erano state già multate dall’Antitrust (di cui Tim per solo 800mila euro e DAZN 7 milioni), che secondo Sky si è protratta per un anno e sette mesi, ed è stata “denunciata” dal provvedimento dell’Autorità pubblicato lo scorso 12 gennaio.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/tim-ricavi-14-nel-primo-trimestre-trainati-da-brasile-e-enterprise-ma-sul-futuro-pesa-la-causa-di-sky/572101/

C’è un paradosso al cuore della sicurezza informatica contemporanea: le organizzazioni investono risorse crescenti per proteggere il proprio perimetro, ma continuano a subire violazioni che entrano da una porta laterale, quella dei fornitori. Il Third Party Risk Management (TPRM), ovvero la gestione strutturata dei rischi provenienti da terze parti, è diventato uno degli ambiti più critici e, al tempo stesso, più sottovalutati della cybersecurity aziendale. Non è una questione di strumenti mancanti né di consapevolezza assente: è una questione di complessità che si moltiplica più rapidamente della capacità di governarla.

Il perimetro che non esiste più

L’impresa digitale moderna non ha confini netti. Ogni organizzazione è immersa in una rete di dipendenze fatta di software as a service, fornitori cloud, integratori di sistema, partner logistici e consulenti esterni, elementi che rendono il concetto stesso di perimetro di sicurezza quasi obsoleto. Secondo il TPRM Impact Report 2025 di Whistic, basato su interviste a oltre 500 decision-maker della sicurezza informatica in organizzazioni con almeno 500 dipendenti, la media aziendale gestisce oggi 286 fornitori, un incremento del 21% rispetto all’anno precedente.

Di queste organizzazioni, il 70% ha subito una violazione dei dati negli ultimi tre anni, e in ben il 77% dei casi l’origine era riconducibile a una terza parte. Il costo medio di un data breach ha raggiunto i 4,88 milioni di dollari secondo il rapporto IBM Cost of a Data Breach 2024, un dato che tende ad amplificarsi quando si aggiungono le ricadute reputazionali e le sanzioni regolamentari.

Il quadro che emerge non è semplicemente preoccupante: è strutturalmente instabile. Secondo lo stesso rapporto Whistic, le organizzazioni hanno aggiunto in media tre dipendenti full-time alla funzione TPRM nel corso del 2024, a un costo medio di 109.000 dollari ciascuno, ma il 94% dichiara comunque di non riuscire a valutare tutti i fornitori che vorrebbe. Il tempo dedicato agli assessment è aumentato a 37,4 ore settimanali, quattordici ore in più rispetto all’anno precedente, senza che ciò si traduca in un miglioramento proporzionale della copertura del rischio. Si spende di più, si fa di più, ma si riesce a meno. È la fotografia di un modello operativo che ha raggiunto i propri limiti strutturali.

La catena che si rompe dove è più debole

L’ENISA Threat Landscape 2025, pubblicato in ottobre e basato sull’analisi di 4.875 incidenti registrati tra luglio 2024 e giugno 2025, fornisce una prospettiva di taglio europeo altrettanto severa. Gli attacchi alla supply chain rappresentano il 10,6% di tutte le minacce censite, ma il loro peso specifico va oltre la mera statistica: ogni compromissione di un fornitore chiave produce effetti a cascata su decine o centinaia di organizzazioni a valle.

Un caso emblematico, documentato direttamente dall’ENISA, riguarda l’Italia. Nel marzo 2025 la violazione di Plus Service, fornitore esterno che gestisce la piattaforma Telemaco per conto di numerose aziende di trasporto italiano, ha comportato l’esfiltrazione non autorizzata di dati verso un repository remoto. Il risultato immediato è stato la paralisi dei sistemi di biglietteria di Mobilità di Marca per due giorni, con migliaia di pendolari coinvolti. Non è stata attaccata una singola organizzazione: è stato compromesso il nodo da cui dipendevano tutte le altre. Questa è la logica degli attacchi alla supply chain nella sua forma più pura, attaccare il fornitore per colpire i clienti, ed è una logica che gli avversari hanno interiorizzato con precisione industriale.

L’Operation Digital Eye, campagna di cyberespionage che nel 2024 ha preso di mira i principali provider IT del Sud Europa con l’obiettivo di infiltrare le catene di fornitura, conferma che questo non è un fenomeno episodico. ENISA segnala che i gruppi statali e para-statali, tra cui il gruppo nordcoreano Lazarus, sfruttano sistematicamente le dipendenze digitali, compresi i repository npm e le estensioni browser, per mantenersi all’interno degli ecosistemi aziendali senza essere rilevati. La sofisticazione non risiede soltanto nell’attacco in sé, ma nel fatto che questo si nasconde dietro la fiducia che le organizzazioni ripongono nei propri fornitori.

Il rischio dell’Nth-party: quando non sai nemmeno chi sono i tuoi fornitori

La complessità del TPRM non si ferma ai fornitori diretti. La Third Party Risk Association, nel suo State of the Industry 2026 pubblicato nel dicembre 2025, sintetizza con precisione un fenomeno già avvertito nel corso dell’anno precedente: quello del rischio Nth-party. I fornitori dipendono a loro volta da sub-fornitori, che dipendono da altri ancora, in catene che si estendono per tre, quattro, cinque livelli di profondità. Come osservato nel rapporto AuditBoard TPRM Trends for 2025, la crescente dipendenza da terze parti, intensificata dall’adozione dell’intelligenza artificiale, ha espanso non solo il numero di fornitori ma l’intera gamma dei rischi correlati. Non stiamo più gestendo il rischio di terze parti: stiamo gestendo il rischio di ecosistema.

Ciò pone un problema di visibilità che è prima di tutto epistemologico. La maggior parte delle organizzazioni non sa, e non può sapere con i soli strumenti manuali, chi siano effettivamente tutti i soggetti che accedono, anche indirettamente, ai propri dati e sistemi. La SecurityScorecard ha rilevato che la maggior parte delle organizzazioni che si dichiarano “fiduciose” nella propria gestione del rischio di terze parti non ha visibilità nemmeno sul 50% dei propri vendor. È la fiducia come sostituto della conoscenza: un punto cieco che gli avversari conoscono bene.

Il quadro normativo europeo: dal vincolo alla strategia

Il 2025 ha segnato un punto di non ritorno nella regolamentazione europea del rischio di terze parti. Con DORA, il Digital Operational Resilience Act, pienamente applicabile dal 17 gennaio 2025, le istituzioni finanziarie dell’UE sono ora soggette a requisiti dettagliati e prescrittivi sulla gestione del rischio ICT, incluse le dipendenze da fornitori terzi.

La normativa impone agli enti finanziari di costituire e mantenere un Register of Information dettagliato su tutti i fornitori di servizi ICT e i relativi accordi contrattuali. I registri erano da consegnare alle rispettive autorità competenti nazionali, con le European Supervisory Authorities che li hanno raccolti dalle autorità nazionali entro il 30 aprile 2025. Le stesse ESA hanno avviato la valutazione dei Critical Third-Party Providers (CTPP), con notifiche di classificazione previste entro luglio 2025. DORA introduce inoltre l’obbligo di strategie di uscita per i fornitori ICT critici: se un vendor non è sostituibile, diventa un rischio sistemico da dichiarare e gestire.

La NIS2, dal canto suo, estende questi obblighi al di là del settore finanziario, imponendo agli enti essenziali e importanti misure esplicite di sicurezza della supply chain ai sensi dell’Articolo 21(d). Sebbene l’iter di recepimento nazionale risulti ancora frammentato, poiché al 30 giugno 2025 soltanto 14 Stati membri su 27 avevano completato la trasposizione e la Commissione Europea il 7 maggio 2025 ha avviato procedure di infrazione nei confronti di 19 di essi, l’obbligo sostanziale è chiaro: la sicurezza dei fornitori è una responsabilità diretta dell’organizzazione committente.

Il recepimento italiano è avvenuto con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024, che ha attribuito all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di Autorità Nazionale Competente NIS. ACN ha successivamente adottato le Determinazioni attuative n. 333017/2025 e n. 379907/2025, che definiscono i requisiti specifici di sicurezza e le modalità operative per i soggetti NIS italiani.

L’articolazione tra NIS2 e DORA segue il principio della lex specialis: DORA prevale sulle disposizioni NIS2 per il rischio ICT nel settore finanziario, ma le previsioni NIS2 non coperte da DORA restano applicabili. Per le organizzazioni che si trovano all’intersezione dei due regimi, tipicamente i fornitori di servizi tecnologici che operano nel settore finanziario, la sfida di compliance si moltiplica. ENISA e le ESA hanno firmato un Memorandum of Understanding per rafforzare la cooperazione e garantire un approccio armonizzato, ma la convergenza reale tra framework regolatori resta un cantiere aperto. Su questo tema è disponibile anche una analisi della convergenza normativa pubblicata su queste pagine, che esamina le implicazioni operative per le imprese italiane soggette a più regimi contemporaneamente.

L’intelligenza artificiale: amplificatore di rischio e leva di resilienza

L’AI occupa un posto duplice e paradossale nel panorama TPRM del 2025. Da un lato è emersa come il secondo rischio TPRM per importanza secondo il State of Third-Party Risk Management 2025 di Venminder/Ncontracts, con il 49% delle organizzazioni che ha subito un incidente cyber legato a terze parti nel corso del 2024 e il 40% che ha già inserito nei contratti clausole specifiche sull’uso dell’AI da parte dei vendor. Dall’altro, l’AI è la principale tecnologia abilitante per superare i limiti strutturali dei programmi TPRM tradizionali.

Il paradosso si chiarisce disaggregando i due piani. Sul versante del rischio, i fornitori che adottano modelli AI introducono nuove variabili: qualità e provenienza dei dati di addestramento, potenziale di model poisoning, opacità dei processi decisionali automatizzati, esposizione a prompt injection e adversarial attacks. Valutare la maturità AI di un fornitore è oggi una componente necessaria del processo di due diligence, e la maggior parte dei framework di assessment non è ancora attrezzata per farlo in modo sistematico.

Sul versante della resilienza, l’AI applicata ai programmi TPRM consente di automatizzare fino al 90% delle fasi di valutazione, dalla compilazione dei questionnaire all’analisi documentale, dal risk scoring al monitoraggio continuo, riducendo drasticamente i tempi e aumentando la copertura. La tecnologia è allo stesso tempo la fonte del problema e la chiave per affrontarlo.

Maturità operativa: tra modelli ibridi e automazione

Il survey Venminder/Ncontracts 2025, alla sua nona edizione con rispondenti provenienti da servizi finanziari, fintech, sanità e IT in organizzazioni di tutte le dimensioni, registra segnali incoraggianti di maturazione dei programmi TPRM. Il 52% delle organizzazioni ha adottato un modello operativo ibrido, una crescita del 41% in termini relativi rispetto all’anno precedente, segnale di una comprensione più sofisticata della complessità della gestione del rischio di terze parti.

L’utilizzo di piattaforme TPRM dedicate è aumentato del 19%, raggiungendo il 64% dei rispondenti, mentre il ricorso a spreadsheet manuali è diminuito del 29%. Il mercato globale del TPRM è stimato a circa 9,54 miliardi di dollari nel 2024, con proiezioni di crescita a tassi compresi tra il 14 e il 16% annuo fino al 2033: numeri che riflettono un’urgenza diffusa, non una moda.

Eppure la maturità tecnica non basta da sola. Il survey Ncontracts specificamente dedicato alle istituzioni finanziarie rileva che il 73% di esse gestisce il rischio fornitori con due o meno dipendenti full-time, nonostante oltre la metà supervisioni più di 300 vendor. Il 97% delle organizzazioni dichiara che farebbe valutazioni più approfondite se avesse le risorse per farlo. Il vincolo non è la volontà né la consapevolezza: è la sproporzione tra la complessità del rischio e la capacità organizzativa di governarlo. È qui che il salto verso l’automazione intelligente non è una scelta ma un’esigenza strutturale.

Verso un TPRM sistemico: oltre la checklist

La riflessione che emerge dall’insieme di questi dati non è tecnica ma strategica. Il TPRM tradizionale, fondato su assessment periodici, questionnaire standardizzati e revisioni contrattuali, è strumento necessario ma non più sufficiente. Il rischio di terze parti non è più un problema di compliance da gestire a cadenza annuale: è una variabile dinamica che cambia con ogni aggiornamento software di un fornitore, con ogni nuovo sub-contractor ingaggiato, con ogni modifica nella supply chain di un partner critico.

Il modello di governance che si profila per il 2026 e oltre è quello del TPRM come funzione di intelligenza continua: monitoraggio in tempo reale, mappatura Nth-party, integrazione con i team di threat intelligence, allineamento strutturale tra acquisti, compliance, sicurezza e vertici aziendali. Le organizzazioni che si sono distinte nel 2025, come osserva il rapporto TPRA, condividono una caratteristica: la collaborazione interfunzionale. La cybersecurity è uscita dai confini dell’IT per diventare una variabile di governance d’impresa.

La regolamentazione europea, con DORA, NIS2 e il Cyber Resilience Act in corso di piena implementazione, sta accelerando questa transizione, imponendo obblighi che trasformano il TPRM da buona pratica volontaria a requisito legale esigibile. Non è un onere aggiuntivo da assorbire: è, se letto correttamente, un’opportunità per costruire una resilienza che il mercato e gli avversari stanno già testando ogni giorno.

La porta dei fornitori è aperta. La domanda non è se qualcuno entrerà, ma se saremo in grado di accorgercene in tempo.

https://www.ictsecuritymagazine.com/notizie/third-party-risk-management/

Most people assume they can recognize a real face when they see one, but in practice this is not always the case. A recent report published in the National Library of Medicine’s PubMed Central database found human accuracy in identifying deepfakes can fall below 25 percent in certain conditions. As a result, the need for verification is shifting away from the individual and toward the systems designed to validate identity.

These systems have long relied on the process of capturing a biometric input, comparing it to a stored record and confirming a match. While that model offers a broad range of use cases across government and enterprise environments from border control to digital service access, it’s built on the assumption that the input being evaluated originates from a legitimate, physical source.

Advances in generative AI are challenging that assumption. As synthetic media becomes more realistic and more widely available, systems are increasingly being asked to evaluate inputs that may not come from a camera or sensor. This shift is showing up in how identity standards develop, raising new questions about how verification systems validate the data they receive.

Standards Begin to Address Synthetic Inputs

In response to these emerging risks, identity frameworks are now accounting for inputs that may not come from a live, physical capture. The National Institute of Standards and Technology (NIST) recently updated its biometric data exchange standard, SP 500-290e4, marking its first revision since 2016. The standard defines how biometric data is formatted and shared across systems used in areas such as law enforcement, border security and identity verification.

One notable update is the formal classification of synthetic and morphed facial images as non-biometric content. This distinction signals that AI-generated images must be handled differently from traditional biometric data within verification workflows.

Additional guidance in NIST SP 800-63-4 outlines expectations for identity systems, including considerations for detecting machine-generated content and countering emerging attack methods such as injection attacks.

Together, these updates signal a wider recognition that identity systems must account for inputs that were not part of earlier design assumptions. However, updating standards is only the first step in translating these changes into effective system controls.

Standards define how data must be handled, but they don’t determine how systems operate. In practice, a system may confirm that an image match without evaluating whether the input itself is authentic.

As synthetic media becomes more accessible, this creates a point of friction between how identity is defined in standards and how it is processed in practice. The classification of synthetic images as non-biometric content reinforces that not all inputs can be treated equally.

As these gaps persist, attackers are quickly adapting, introducing new threats that outpace legacy detection methods.

Evolving Threat Models and Detection Approaches

Controls such as liveness detection and presentation attack detection (PAD) were designed to address spoofing at the point of capture. They remain effective in situations where a user interacts directly with a camera or sensor.

However, not all inputs enter the system that way. Injection attacks, for example, require inserting digital content directly into a verification pipeline rather than capturing it through a device. In those cases, front-end controls may never be triggered. 

Industry guidance has started to reflect this evolution, with programs such as the FIDO Alliance Face Verification Program testing for deepfake and spoofing resistance, while government-led efforts like the Department of Homeland Security’s Remote Identity Validation Rally (DHS RIVR) are exploring how systems perform against both presentation attacks and more complex scenarios.

Considerations for Government and Regulated Environments

Government systems and regulated environments rely on biometric standards to support interoperability and security across agencies and jurisdictions. To ensure these systems remain effective against synthetic identities, agencies should:

• Evaluate detection capabilities across contexts: Assess whether existing tools remain effective across different operational environments. 
• Strengthen end-to-end workflows: Review how verification is structured, including how inputs are validated before and during processing.
• Align systems with evolving standards: Ensure system controls reflect updates like NIST SP 500-290e4 to maintain consistency while adjusting to new technologies and threats.
• Design for constrained environments: Support identity verification in field operations or low-connectivity settings where centralized systems may not be accessible.
• Leverage independent evaluation programs: Use third-party testing programs to assess how identity systems perform against real-world threats such as deepfakes and injection attacks. 

Together, these considerations emphasize the need to evaluate identity verification beyond individual controls.

Rethinking Verification Workflows

These developments point to a broader shift in how identity verification is approached.

Standards for identity verification must evolve to address how inputs are introduced, processed and validated before matching occurs. Agencies then need to reassess where their systems assume inputs are valid. Controls that focus only on capture may leave gaps as synthetic media becomes easier to generate and insert into digital systems.

Strengthening identity workflows does not require abandoning existing models, but it does require expanding them. Establishing confidence in the input itself is becoming just as important as confirming the identity.

https://www.securitymagazine.com/articles/102291-synthetic-identities-are-redefining-trust-in-biometric-systems

https://www.theverge.com/ai-artificial-intelligence/925665/musk-altman-trial-shivon-zilis-testimony

https://www.theverge.com/entertainment/925601/star-fox-nintendo-switch-2

https://www.theverge.com/tech/925559/google-project-mariner-shut-down