Perché le aziende rimangono caute sull’AI — E come implementarlo in modo sicuro

L’AI ha conquistato il mondo. Mentre alcune organizzazioni sono state delle prime ad adottarlo, molte aziende hanno adottato un approccio più cauto — preoccupate della privacy, della conformità e dei problemi operativi che persistono ancora oggi.

Ho lavorato su centinaia di implementazioni di strumenti di sicurezza alimentati dall’AI e ho visto un pattern familiare svilupparsi. I sostenitori portano un entusiasmo iniziale. I piloti mostrano promesse. Poi arrivano dibattiti interni, revisioni legali e infine una pausa mentre le organizzazioni si immergono in un’analisi paralizzante. Nonostante il potenziale enorme dell’AI per trasformare le operazioni di sicurezza, molte aziende sono ancora riluttanti a adottarlo completamente.

Nel settore della sicurezza, la cautela è spesso l’istinto giusto. Ma ritardare l’implementazione dell’AI non fermerà le minacce alimentate dall’AI che stanno crescendo in scala e frequenza. La vera sfida è come adottare l’AI in modo sicuro, deliberato e senza compromettere la fiducia.

Ecco cosa ho imparato dalla linea del fronte — e cosa consiglio ai leader della sicurezza che sono pronti a procedere con fiducia.

1. Il problema della fiducia dei dati

Il primo e più grande ostacolo è la gestione dei dati. Molte aziende sono terrorizzate all’idea che i dati sensibili potrebbero fuoriuscire, essere utilizzati in modo improprio o — peggio ancora — essere utilizzati per addestrare un modello che beneficia un concorrente. Le violazioni di dati di alto profilo e le vaghe assicurazioni dei fornitori rafforzano solo queste paure.

Non è paranoia. Quando si tratta di informazioni personali dei clienti, proprietà intellettuale o dati regolamentati, consegnarli a un terzo può sembrare come perdere il controllo. E fino a quando i fornitori non faranno un lavoro migliore nel chiarire le loro politiche sulla segregazione dei dati, sulla conservazione, sull’involvimento di terze parti e sull’addestramento dei modelli, l’adozione rimarrà cauta.

Questo è dove la governance diventa cruciale. I CISO dovrebbero valutare i fornitori utilizzando framework emergenti come il NIST AI Risk Management Framework o ISO/IEC 42001, che offrono indicazioni pratiche sulla fiducia, sulla trasparenza e sulla responsabilità nei sistemi di AI.

2. Non puoi migliorare ciò che non misuri

Un altro ostacolo comune è la mancanza di metriche di base. Molte aziende non possono quantificare le prestazioni attuali, il che rende quasi impossibile dimostrare il ROI degli strumenti di AI. Come puoi affermare un guadagno di efficienza del 40% se nessuno ha tracciato quanto tempo ci voleva per completare il compito prima dell’automazione?

Se si tratta di tempo medio di rilevamento (MTTD), tassi di falsi positivi o ore di analista salvate, le organizzazioni devono iniziare a misurare i flussi di lavoro attuali. Senza questi dati, il caso per l’AI rimane aneddotico — e i sostenitori esecutivi non approveranno iniziative su larga scala senza numeri reali e difendibili.

Inizia a tracciare i KPI chiave ora, inclusi:

• Tempo medio di rilevamento/risposta (MTTD/MTTR)
• Riduzione dei falsi positivi, falsi negativi e volume dei biglietti
• Ore di analista salvate per incidente
• Miglioramenti della copertura (ad esempio, vulnerabilità scansionate e risolte)
• Incidenti risolti senza escalation

Queste baseline diventeranno la colonna vertebrale della tua strategia di giustificazione dell’AI.

3. Quando gli strumenti funzionano troppo bene

Ironia della sorte, una delle ragioni per cui l’adozione dell’AI si blocca è che alcuni strumenti funzionano troppo bene — esponendo più rischi di quanto l’organizzazione sia preparata a gestire.

Le piattaforme di intelligence sulle minacce avanzate, gli strumenti di monitoraggio del dark web e le soluzioni di visibilità alimentate da LLM spesso rivelano credenziali rubate, domini simili o vulnerabilità precedentemente non rilevate. Invece di creare chiarezza, questa visibilità schiacciante può generare un nuovo problema: da dove iniziare?

Ho visto team disabilitare scansioni avanzate perché il volume dei risultati ha creato disagio politico o di bilancio. Una migliore visibilità richiede una migliore priorità — e la volontà di affrontare i problemi di petto.

4. Bloccati in contratti legacy

Anche quando sono disponibili strumenti migliori, molte aziende sono bloccate in accordi pluriennali con fornitori legacy. Alcuni di questi contratti comportano penalità finanziarie così elevate che il passaggio a metà contratto è un’opzione non praticabile.

La sicurezza degli email è un caso classico. Le soluzioni moderne offrono ora rilevamento di minacce alimentato dall’AI, modellazione del comportamento e resilienza integrata per ambienti ibridi. Ma se il tuo fornitore attuale non ha tenuto il passo e sei bloccato in un accordo quinquennale, sei essenzialmente congelato fino a quando il contratto non scade.

Non si tratta solo di tecnologia. Si tratta di tempistica, procurement e pianificazione strategica.

5. L’ascesa dell’AI ombra

L’adozione dell’AI non sta avvenendo solo dall’alto verso il basso — sta avvenendo ovunque, spesso senza la conoscenza della sicurezza. La nostra ricerca mostra che oltre l’85% dei dipendenti sta già utilizzando strumenti di AI come ChatGPT, Copilot e Bard. (per non parlare di DeepSeek e TikTok!)

Senza una supervisione adeguata, i dipendenti possono immettere dati sensibili in strumenti pubblici, affidarsi a output allucinati o violare involontariamente le politiche aziendali. È un incubo di conformità e protezione dei dati, e fingere che non stia accadendo non risolve il problema.

I leader della sicurezza devono adottare un approccio proattivo:

• Stabilire politiche di utilizzo accettabile
• Bloccare app di AI non approvate dove necessario e reindirizzare gli utenti a strumenti autorizzati
• Distribuire piattaforme di AI sicure e approvate per l’uso interno
• Formare i dipendenti sull’utilizzo responsabile dell’AI

Nota sul campo: le politiche di utilizzo dell’AI non cambieranno l’utilizzo. Non puoi applicare ciò che non conosci, quindi il primo passo è quantificare l’utilizzo, poi attivare l’applicazione.

6. L’esternalizzazione comporta rischi propri

Pochissime aziende hanno l’infrastruttura per costruire e ospitare grandi modelli in casa. Ciò significa che l’esternalizzazione è spesso l’unico percorso praticabile — ma comporta rischi di terze parti e di catena di approvvigionamento che i CISO conoscono fin troppo bene.

Incidenti come SolarWinds, Kaseya e la recente violazione di Snowflake evidenziano come fidarsi di partner esterni senza visibilità possa portare a esposizioni significative. Quando si esternalizza l’infrastruttura di AI, si eredita la postura di sicurezza del fornitore — buona o cattiva.

Non basta fidarsi di un marchio. Chiedere chiarezza su:

• Ciclo di vita del modello e frequenza di aggiornamento
• Protocolli di risposta agli incidenti
• Controlli di sicurezza del fornitore e storia di conformità
• Isolamento dei dati e controlli dei tenant

7. La superficie di attacco dell’AI si sta espandendo

Mentre le organizzazioni adottano l’AI, devono anche prepararsi per vettori di attacco specifici dell’AI. Gli attaccanti stanno già sperimentando:

• Avvelenamento del modello (alterazione sottile dei dati di addestramento)
• Iniezione di prompt (manipolazione del comportamento di LLM)
• Input avversativi (aggiramento della rilevazione)
• Sfruttamento dell’allucinazione (inganno degli utenti a fidarsi di output falsi)

Questi non sono teorici. Sono reali e in crescita. Mentre i difensori adottano l’AI, devono anche adattare le loro strategie di red teaming, monitoraggio e risposta per tenere conto di questa nuova e unica superficie di attacco.

8. Le persone e i processi possono essere il vero collo di bottiglia

Una delle sfide più trascurate è la prontezza organizzativa. Gli strumenti di AI spesso richiedono cambiamenti nei flussi di lavoro, nelle competenze e nelle mentalità.

Gli analisti devono capire quando fidarsi dell’AI, quando sfidarla e come escalare in modo efficace. I leader devono integrare l’AI nei processi decisionali senza automizzare ciecamente il rischio.

La formazione, i playbook e la gestione del cambiamento devono evolversi insieme alla tecnologia. L’adozione dell’AI non è solo un’iniziativa tecnologica. È un’iniziativa di trasformazione umana.

Cosa possiamo fare?

Nonostante le sfide, credo fermamente che i benefici dell’AI nella sicurezza superino di gran lunga i rischi — se fatto nel modo giusto. Ecco come consiglio alle organizzazioni di procedere:

• Inizia con piccoli passi e testa rigorosamente
• Scegli un caso d’uso definito con un impatto misurabile. Esegui piloti controllati. Convalida le prestazioni. Costruisci la fiducia con i dati, non con l’ipotesi.
• Porta il legale, il rischio e la sicurezza all’inizio
• Non aspettare fino alla fase del contratto. Porta dentro il legale e la conformità per esaminare i termini di gestione dei dati, i rischi regolamentari e le implicazioni della catena di approvvigionamento fin dall’inizio.

Misura tutto

Traccia i KPI prima e dopo l’implementazione. Crea dashboard che parlano sia in termini di sicurezza che di business. Le metriche fanno o spezzano il finanziamento dell’AI.

Scegli partner con prove reali di progetti di successo

Guarda oltre le demo. Chiedi referenze. Chiedi il supporto post-vendita, la complessità di distribuzione e i risultati in ambienti come il tuo.

Cosa viene dopo? Casi d’uso emergenti da tenere d’occhio

Siamo ancora all’inizio del viaggio dell’AI nella sicurezza. I CISO lungimiranti stanno già esplorando:

• Copiloti di AI per la gestione dei firewall, la conformità e l’automazione della GRC
• Utilizzo di feed di minacce migliorati dall’AI che velocizzano la risposta alle minacce zero-day e l’accuratezza
• Red teaming generativo e simulazione di attacchi
• Infrastruttura multi-vendor auto-risanante
• Controlli di identità basati sul rischio alimentati da dati comportamentali

Questi casi d’uso stanno passando dai laboratori di innovazione alla produzione. Le organizzazioni che costruiscono muscoli ora saranno molto meglio preparate a capitalizzare.

Pensiero finale: Ritardare non è difesa

L’AI è qui e anche le minacce alimentate dall’AI. Più aspetti, più terreno perdi. Ma ciò non significa che dovresti entrare alla cieca.

Con una pianificazione attenta, una governance trasparente e i partner giusti, la tua organizzazione può adottare l’AI in modo sicuro — aumentando la capacità senza sacrificare il controllo.

Il futuro della sicurezza è aumentato. L’unica domanda è se guiderai o rimarrai indietro.