L’IA agentica, la sicurezza della catena di approvvigionamento digitale e l’entrata in vigore dell’AI Act europeo ridefiniscono le priorità dei CIO. Osserviamo un cambiamento in cui le tendenze informatiche non si sovrappongono più ai sistemi esistenti, ma richiedono una riprogettazione delle architetture e delle competenze interne.
Attacchi alla catena di approvvigionamento digitale: il punto debole dei sistemi informativi
La maggior parte degli articoli sulle tendenze IT affronta la cybersicurezza da un punto di vista difensivo classico: firewall, EDR, SOC. Il rischio legato alle dipendenze digitali di terze parti rimane sotto-documentato, mentre oggi rappresenta una superficie di esposizione critica.
L’ENISA sottolinea che gli attacchi alla catena di approvvigionamento possono provocare incidenti su larga scala, ben oltre il perimetro dell’organizzazione bersaglio. Un fornitore SaaS compromesso, un componente open source infetto o un fornitore cloud mal segmentato sono sufficienti a propagare una compromissione laterale.
Raccomandiamo di integrare la valutazione della postura di sicurezza dei fornitori in ogni ciclo di revisione dei rischi. Ciò implica audit contrattuali, clausole di notifica di incidenti e una mappatura regolarmente aggiornata delle dipendenze software. Per seguire queste evoluzioni e quelle che riguardano l’informatica su journalduwebmaster.com, il monitoraggio settoriale rimane il riflesso più redditizio.
L’approccio non si limita al perimetro tecnico. I team acquisti e legali devono essere coinvolti fin dalla fase di selezione di un fornitore, con criteri di sicurezza ponderati allo stesso livello del costo o del SLA.
AI Act europeo: obblighi concreti per i CIO in fase di applicazione
L’AI Act è entrato nella sua fase di applicazione generale. Gli obblighi relativi ai sistemi di intelligenza artificiale ad alto rischio riguardano direttamente le aziende che implementano strumenti di scoring, reclutamento automatizzato o sorveglianza.
La questione non è solo giuridica: struttura le scelte architetturali. Un modello di IA implementato senza documentazione di conformità, senza valutazione dei bias o senza meccanismo di supervisione umana espone l’azienda a sanzioni, ma anche a un rischio reputazionale.
Punti di attenzione tecnici
- La tracciabilità dei dati di addestramento deve essere garantita fin dalla progettazione del pipeline, non aggiunta successivamente. Ciò implica un versioning dei dataset e una governance dei dati allineata alla norma ISO 27701.
- I sistemi di decisione automatizzata devono integrare un meccanismo di contestazione accessibile, il che impatta direttamente sul design delle API e delle interfacce utente.
- La supervisione umana non si riduce a un pulsante “override”: richiede dashboard di monitoraggio in tempo reale con soglie di allerta configurabili.
Osserviamo che i team data e i team compliance lavorano ancora troppo spesso in silo. Allineare governance dei dati e conformità normativa fin dalla fase progetto riduce significativamente i costi di conformità successiva.
IA offensiva: quando gli strumenti di intelligenza artificiale servono gli attaccanti
L’IA non è più solo uno strumento difensivo. L’ENISA rileva un utilizzo crescente dell’intelligenza artificiale da parte di gruppi malevoli per automatizzare e amplificare le loro operazioni.
I casi documentati includono la produzione di contenuti sintetici su larga scala (deepfake audio e video per l’ingegneria sociale), la traduzione automatizzata di campagne di phishing per colpire simultaneamente più aree geografiche, e l’ottimizzazione dei vettori di attacco tramite apprendimento automatico.
Questo cambiamento impone di ripensare le difese. I filtri anti-phishing classici, addestrati su schemi linguistici noti, perdono efficacia di fronte a email generate da modelli di linguaggio. I sistemi di rilevamento devono ora integrare un’analisi comportamentale piuttosto che puramente lessicale.
Gli attacchi ai sistemi di IA stessi (avvelenamento di modelli, estrazione di dati di addestramento, iniezione di prompt) costituiscono una nuova categoria di minacce. Sicurezza di un modello in produzione implica proteggere non solo l’inferenza, ma anche il pipeline di addestramento e i dati sorgente.
Competenze informatiche e sovranità digitale: due urgenze collegate
L’ENISA insiste sull’importanza di rafforzare le competenze in cybersicurezza all’interno delle organizzazioni. La constatazione va oltre il semplice reclutamento: si tratta di formare i collaboratori esistenti a minacce che evolvono più velocemente dei curricula accademici.
Arbitrati concreti per i team IT
- Privilegiare le soluzioni cloud qualificate SecNumCloud o equivalenti per i dati sensibili, piuttosto che fidarsi esclusivamente delle certificazioni generiche degli hyperscalers.
- Investire nella formazione continua dei team sulle tecniche di iniezione di prompt e sulla sicurezza dei modelli di IA, un campo ancora assente nella maggior parte dei piani di formazione.
- Valutare la portabilità dei workload prima di qualsiasi impegno pluriennale con un fornitore, testando la reversibilità effettiva (non solo contrattuale) dei dati e delle configurazioni.
La reversibilità dei sistemi informatici non è più un tema teorico. Le organizzazioni che non testano regolarmente la loro capacità di migrare da un fornitore a un altro si espongono a un lock-in il cui costo di uscita aumenta nel tempo.
Il mondo dell’informatica nel 2026 si struttura attorno a una tensione tra accelerazione tecnologica e inquadramento normativo. I CIO che riescono a emergere sono quelli che trattano la conformità come un parametro architetturale, non come un vincolo aggiunto alla fine del progetto.
