Esiste un termine che sta entrando nel vocabolario della sicurezza aziendale per descrivere qualcosa che le aziende italiane stanno sperimentando senza che abbia ancora un nome: GenAI Security Gap. \u00c8 la distanza strutturale tra la velocit\u00e0 con cui l\u2019intelligenza artificiale viene adottata all\u2019interno delle organizzazioni e la capacit\u00e0 di chi le governa di tenere il controllo su cosa gira, su quali dati, con quali rischi.<\/p>\n
Il report \u201cLo stato della GenAI Security in Italia\u201d pubblicato da Deloitte<\/a> e Cloud Security Alliance<\/a> a giugno 2026 offre una misura concreta di questo divario nel contesto italiano: solo il 9% dei responsabili della sicurezza dichiara di avere piena visibilit\u00e0 sulle iniziative AI in corso nella propria organizzazione. Anche a livello globale, il 77% dei technology leader ammette che l\u2019adozione dell\u2019AI sta superando le proprie capacit\u00e0 di governance (IBM Institute for Business Value, giugno 2026).<\/p>\n Il mercato AI italiano ha raggiunto 1,8 miliardi di euro nel 2025, con una crescita del 50% anno su anno (Osservatorio AI, Politecnico di Milano, febbraio 2026). Sebbene il 16% delle aziende italiane usi almeno uno strumento di AI, l\u2019adozione rimane frammentata e non governata (Istat, ICT Report 2025).<\/p>\n Il GenAI Security Gap non \u00e8 un semplice problema tecnico. \u00c8 un problema di controllo organizzativo, e si manifesta su tre livelli distinti, ognuno con implicazioni proprie.<\/p>\n La caratteristica principale del GenAI Security Gap \u00e8 la cecit\u00e0. Le aziende non perdono il controllo dell\u2019AI perch\u00e9 qualcuno gliela sottrae: lo perdono perch\u00e9 l\u2019AI entra nei processi aziendali in modo frammentato, distribuito e spesso non visibile dai vertici.<\/p>\n I dipendenti adottano strumenti AI per comprensibili ragioni di produttivit\u00e0: scrivere pi\u00f9 in fretta, analizzare pi\u00f9 dati, automatizzare attivit\u00e0 ripetitive. Lo fanno attraverso account personali, plugin non approvati, funzionalit\u00e0 AI embedded negli aggiornamenti di software gi\u00e0 in uso. Il 92% delle organizzazioni riconosce che la GenAI ha cambiato il modo in cui i dipendenti condividono informazioni aziendali (DTEX\/Ponemon, 2026). Il costo annuo degli incidenti legati a comportamenti negligenti connessi alla Shadow AI \u00e8 stimato in 19,5 milioni di dollari per organizzazione (DTEX\/Ponemon, 2026).<\/p>\n In Italia, questa dinamica \u00e8 amplificata da un ritardo strutturale nella governance: sempre secondo Deloitte\/CSA, il 63% delle organizzazioni non ha programmi di formazione strutturata sull\u2019uso della GenAI, il 12% ha integrato i rischi AI nei propri framework di risk management, e solo il 3% ha un modello di governance maturo. L\u201986% non ha un budget<\/p>\n dedicato alla sicurezza dei sistemi GenAI. Gli attacchi informatici potenziati dall\u2019AI in Italia sono cresciuti del 90% anno su anno.<\/p>\n Non vedere quello che si usa significa non essere in grado di reagire quando qualcosa va storto, n\u00e9 tecnicamente, n\u00e9 legalmente.<\/p>\n Il GenAI Security Gap ha una dimensione normativa che molte aziende stanno trascurando, in parte perch\u00e9 hanno frainteso le indicazioni del Digital Omnibus approvato dal Parlamento europeo a giugno 2026.<\/p>\n Il Digital Omnibus ha rinviato alcune scadenze dell\u2019AI Act: per i sistemi ad alto rischio elencati nell\u2019Allegato III (strumenti usati in selezione del personale, scoring creditizio, gestione di infrastrutture critiche) ci sar\u00e0 tempo fino a dicembre 2027. Per quelli integrati in prodotti regolamentati da normative settoriali fino ad agosto 2028. Molte aziende hanno letto queste proroghe come un segnale tranquillizzante, che regala loro pi\u00f9 tempo per mettersi in regola.<\/p>\n Il problema \u00e8 che parte degli obblighi \u00e8 gi\u00e0 esigibile. L\u2019AI Literacy, ossia la formazione documentata del personale che usa strumenti AI, \u00e8 obbligatoria dal 2 febbraio 2025. Gli obblighi di trasparenza verso gli utenti che interagiscono con chatbot o contenuti generati da AI scattano il 2 agosto 2026. La Legge italiana 132\/2025, in vigore da luglio 2025, non ha beneficiato di nessuna proroga: l\u2019obbligo di informare clienti e utenti sull\u2019uso di sistemi AI \u00e8 gi\u00e0 vincolante, con l\u2019ACN che ha poteri ispettivi e sanzionatori attivi. Per gli amministratori delle aziende italiane, la responsabilit\u00e0 civile derivante dall\u2019art. 2086 del Codice Civile, che impone assetti organizzativi adeguati, non dipende da nessuna scadenza europea.<\/p>\n C\u2019\u00e8 poi un problema di classificazione che aggrava il gap: molte aziende usano senza saperlo sistemi che rientrano nella categoria ad alto rischio dell\u2019AI Act. Un software HR che filtra curriculum con criteri algoritmici \u00e8 un sistema ad alto rischio. Un CRM con scoring predittivo sui clienti \u00e8 un sistema ad alto rischio. Un tool di performance management che supporta valutazioni sui dipendenti \u00e8 un sistema ad alto rischio. Queste applicazioni arrivano spesso come funzionalit\u00e0 embedded in aggiornamenti di piattaforme gi\u00e0 in uso, non vengono acquistate come \u201csistemi AI\u201d. Il 67% dei security leader ritiene che i rischi GenAI richiedano cambiamenti significativi ai propri approcci di sicurezza (Gartner, settembre 2025). Ma per cambiare approccio \u00e8 necessario prima sapere cosa si ha.<\/p>\n Il livello pi\u00f9 sottovalutato del GenAI Security Gap \u00e8 organizzativo. Non riguarda i sistemi n\u00e9 le normative: riguarda la catena di responsabilit\u00e0 interna.<\/p>\n In molte aziende italiane non esiste un referente formale per l\u2019AI<\/a> che abbia visibilit\u00e0 su tutti i sistemi attivi, autorit\u00e0 sulle configurazioni e responsabilit\u00e0 sulle scelte operative. Le decisioni<\/p>\n sull\u2019adozione di strumenti AI vengono prese in modo distribuito: il team marketing adotta un tool per la generazione di contenuti, l\u2019HR usa un software di recruiting con scoring algoritmico, il commerciale integra funzionalit\u00e0 predittive nel CRM. Ognuna di queste scelte ha implicazioni sulla sicurezza dei dati, sulla compliance normativa e sulla responsabilit\u00e0 dell\u2019azienda. Nessuna viene coordinata centralmente.<\/p>\n Questo vuoto non \u00e8 un problema di competenze, ma di governance. La percentuale di organizzazioni che valuta sistematicamente la sicurezza degli strumenti AI prima del deployment \u00e8 quasi raddoppiata nell\u2019ultimo anno, passando dal 37% al 64% (WEF, Global Cybersecurity Outlook 2026). Ma il 36% non ha ancora nessun processo formale, e in Italia, dove la maturit\u00e0 di governance \u00e8 strutturalmente sotto la media europea, quella percentuale \u00e8 presumibilmente pi\u00f9 alta.<\/p>\n Per chiudere il GenAI Security Gap non \u00e8 necessario bloccare l\u2019adozione. Vanno create le condizioni per usare l\u2019AI in modo che sia controllabile, tracciabile e difendibile.<\/p>\n Il primo passo \u00e8 la visibilit\u00e0: censire tutti gli strumenti AI in uso, inclusi SaaS di terze parti, plugin e funzionalit\u00e0 embedded negli aggiornamenti. Senza questa mappa, qualsiasi policy \u00e8 formale sulla carta e vuota nella pratica.<\/p>\n Il secondo \u00e8 la classificazione: per ogni strumento identificato, capire se rientra nelle categorie a rischio elevato dell\u2019AI Act, con attenzione ai processi che riguardano persone. Questa classificazione determina quali obblighi si applicano, con quale urgenza e chi in azienda ne risponde.<\/p>\n Il terzo \u00e8 l\u2019assegnazione di responsabilit\u00e0 chiare: un referente interno, coordinato con il DPO e con le funzioni legale e IT, che mantenga il quadro aggiornato e abbia autorit\u00e0 sulle scelte operative. Non una struttura burocratica: una catena di responsabilit\u00e0 che permetta di rispondere con certezza a chi chiede come viene usata l\u2019AI in azienda.<\/p>\n L\u2019intelligenza artificiale genera valore quando opera come copilota: uno strumento potente, sotto supervisione consapevole. Diventa un rischio quando opera come pilota automatico, prendendo decisioni su dati sensibili senza che nessuno abbia scelto esplicitamente di delegargliele. La distanza tra questi due scenari si chiama GenAI Security Gap: colmarla \u00e8, prima di tutto, una responsabilit\u00e0 organizzativa.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Il GenAI Security Gap cresce quando le aziende adottano strumenti di AI senza visibilit\u00e0, controlli e responsabilit\u00e0 chiare<\/p>\n","protected":false},"author":1,"featured_media":8580,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[4154,8,1],"tags":[4296],"class_list":{"0":"post-8579","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-featured","8":"category-opinioni","9":"category-speciale-sicurezza","10":"tag-axitea"},"yoast_head":"\nIl primo livello: non si vede quello che si usa<\/h3>\n
Il secondo livello: non si sa cosa \u00e8 gi\u00e0 obbligatorio<\/h3>\n
Il terzo livello: manca una responsabilit\u00e0 formale<\/h3>\n
Come si chiude il gap<\/h3>\n
A cura di Millo Meneghini, Head of Digital Transformation & Innovation di Axitea<\/a><\/h3>\n