L\u2019intelligenza artificiale generativa, la GenAI, \u00e8 entrata nelle organizzazioni con una velocit\u00e0 che pochi avevano previsto. Ad oggi, pi\u00f9 dell\u201980% delle aziende ha gi\u00e0 adottato strumenti di GenAI o prevede di farlo a breve. <\/p>\n\n\n\n
Partendo da un prezioso spunto pubblicato da Deloitte dal titolo \u201cLo stato della GenAI Security \u2013 I CISO italiani alla guida della nuova frontiera della sicurezza\u201d (*) \u00e8 nata una spontanea riflessione a riguardo: la domanda non \u00e8 pi\u00f9 se<\/em> l\u2019AI far\u00e0 parte del nostro lavoro, ma come<\/em> riusciremo a gestirla in modo sicuro e responsabile. <\/p>\n\n\n\n \u00c8 a partire da questa domanda che, come professionisti della cybersecurity, sentiamo il dovere di contribuire al dibattito. Lo schema che si ripete, silenzioso e quasi inevitabile, nelle organizzazioni di ogni dimensione \u00e8 sempre lo stesso: la GenAI arriva, viene adottata, entusiasma e solo in un secondo momento qualcuno si chiede come gestirla. Normalizzare un approccio del tipo prima si adotta, poi si governa<\/em> significa accettare di costruire oggi i problemi di domani. <\/p>\n\n\n\n Il vero divario che emerge non riguarda la tecnologia in s\u00e9, riguarda le persone, i processi e la cultura. La maggior parte delle organizzazioni non dispone ancora di una strategia strutturata di AI security, la gestione del rischio \u00e8 spesso reattiva piuttosto che integrata, e le competenze per governare questi strumenti arrancano rispetto alla velocit\u00e0 con cui gli strumenti stessi vengono introdotti. Questa abitudine consolidata nel mondo IT che la GenAI sta ereditando nel peggiore dei modi, cio\u00e8 trattare la sicurezza come qualcosa che entra \u201cdopo\u201d, una volta che il sistema \u00e8 gi\u00e0 in piedi pu\u00f2 tradursi in qualcosa di estremamente pericoloso. <\/p>\n\n\n\n Con l\u2019intelligenza artificiale generativa questo approccio non \u00e8 solo discutibile: i rischi specifici dell\u2019AI, come la perdita di controllo sui modelli o i comportamenti inattesi, non si gestiscono a posteriori. La sicurezza non \u00e8 un accessorio: \u00e8 un elemento fondante, che deve entrare in gioco fin dalla fase di progettazione. A questo si aggiunge il fatto che molte organizzazioni tendono ancora a leggere la GenAI con le categorie di rischio tradizionali: privacy, data leakage, accessi non autorizzati. Rischi reali, ma del tutto insufficienti come mappa. <\/p>\n\n\n\n La GenAI introduce categorie nuove: un modello che produce output plausibili ma errati, usato per supportare decisioni aziendali, pu\u00f2 provocare danni enormi e spesso difficilmente reversibili. Non \u00e8 pi\u00f9 una questione di scelta: con NIS2, DORA e AI Act, la sicurezza dell\u2019AI \u00e8 diventata un requisito strutturale, con ricadute concrete in termini di responsabilit\u00e0, spesso anche finanziaria. <\/p>\n\n\n\n La chiave dell\u2019uso dell\u2019AI, che spesso non viene considerata, \u00e8 la scrittura corretta dei prompt dato che avere la consapevolezza di ci\u00f2 che viene caricato rimane sempre il requisito necessario per l\u2019uso delle piattaforme nel mondo lavorativo, e non solo – inoltre \u00e8 bene non dimenticare che l\u2019intelligenza artificiale cresce e si nutre dei nostri dati -. C\u2019\u00e8 infine una dimensione del rischio che viene spesso ignorata: l\u2019erosione silenziosa della trasmissione della conoscenza. In molte aziende si sta consolidando l\u2019abitudine di rivolgersi a un modello AI invece di confrontarsi con un collega esperto. Il risultato arriva in secondi, \u00e8 ben formulato, sembra esaustivo. <\/p>\n\n\n\n Ma quello che non arriva \u00e8 il contesto, l\u2019esperienza accumulata, il ragionamento critico costruito nel tempo, quella conoscenza tacita che un professionista esperto trasmette non solo con le parole, ma con il modo in cui imposta un problema. Se sostituiamo sistematicamente quel dialogo, quella conoscenza si disperde. Il rischio non \u00e8 solo individuale: \u00e8 organizzativo, generazionale, culturale. <\/p>\n\n\n\n La risposta non \u00e8 una policy di dieci pagine che nessuno legge, ma educazione nel senso pi\u00f9 concreto del termine: costruire consapevolezza su come si usa l\u2019AI in modo efficace e sicuro, su cosa \u00e8 opportuno condividere con questi sistemi e cosa non dovrebbe mai uscire dall\u2019azienda, su quali sono i limiti reali di questi strumenti. <\/p>\n\n\n\n Come azienda che opera quotidianamente nella cybersecurity, siamo convinti che la GenAI rappresenti un\u2019opportunit\u00e0 reale, ma che richieda un cambio di mentalit\u00e0 altrettanto concreto. <\/p>\n\n\n\n L\u2019AI deve essere un aiuto, non una sostituzione: un\u2019integrazione tra capacit\u00e0 umane e capacit\u00e0 computazionali, non una delega totale n\u00e9 un rifiuto pregiudiziale. Perch\u00e9 questa integrazione funzioni, non basta che chi progetta i sistemi sia attento: serve che chi li usa ogni giorno abbia gli strumenti culturali per farlo bene. Le scelte che facciamo oggi, su come adottiamo l\u2019AI, su come la governiamo, su come formiamo le persone, determineranno il tipo di organizzazioni che costruiremo. Non \u00e8 un tema solo per esperti di tecnologia, ma un tema di vita quotidiana. <\/p>\n\n\n\n