Attualmente, l’83% delle organizzazioni utilizza strumenti di intelligenza artificiale. Solo il 25% dispone di un quadro di governance sufficientemente solido da consentire di gestire ciò che l’intelligenza artificiale sta effettivamente facendo. Questo divario tra adozione e controllo rappresenta oggi il rischio più grave all’interno della maggior parte delle aziende, e quasi nessuno ha incaricato qualcuno di colmarlo.
La situazione diventa sempre più preoccupante man mano che si sale ai livelli più alti. Una ricerca di Deloitte mostra che il 66% dei consigli di amministrazione ha ancora una conoscenza limitata o nulla dell’IA. Il sondaggio “2026 AI Impact Survey” di Grant Thornton, condotto su 950 leader aziendali, ha rilevato che il 78% dei dirigenti non è sufficientemente sicuro di poter superare un audit indipendente sulla governance dell’IA entro 90 giorni. Nel frattempo, secondo Economist Impact, solo l’8% delle organizzazioni a livello globale dispone di quello che i ricercatori definirebbero un quadro completo di governance dell’IA.
Questa non è una storia di cattive intenzioni. La maggior parte delle organizzazioni ha adottato rapidamente l’IA perché la pressione ad agire in fretta era reale e gli strumenti erano davvero utili. Ciò che non è riuscito a tenere il passo è stata la capacità interna di gestire ciò che veniva adottato. Chi è responsabile quando qualcosa va storto, come viene valutato il rischio prima che uno strumento, un flusso di lavoro o un agente venga messo in funzione, cosa significa in pratica «conforme»? Quel divario di capacità è ora il fattore che, silenziosamente, determina quali organizzazioni ottengono il ritorno che si aspettavano dall’IA e quali no.
E la redditività è davvero in gioco. Una ricerca di Grant Thornton ha rilevato che le organizzazioni con un’IA pienamente integrata e ben gestita hanno una probabilità quasi quattro volte maggiore di registrare una crescita del fatturato rispetto a quelle ancora ferme alla fase pilota: il 58% contro il 15%. Il fattore di differenziazione non era la tecnologia, ma la responsabilità. Le organizzazioni che stanno guadagnando terreno sono quelle in grado di spiegare come la loro IA prenda le decisioni, chi sia responsabile del risultato e cosa accada quando commette un errore. Tutte le altre stanno generando solo attività, non risultati.
Ecco l’aspetto che dovrebbe cambiare il modo in cui le organizzazioni affrontano la questione: non serve un esercito di esperti di etica dell’IA né un dipartimento di conformità completamente strutturato per colmare questa lacuna. Basta una sola persona. Una persona che operi nell’ufficio legale, nelle operazioni, nelle risorse umane, nell’ingegneria o nell’ufficio del capo di gabinetto, che comprenda davvero i rischi legati all’IA, che sia in grado di condurre una valutazione dei rischi adeguata prima che quella nuova funzionalità venga implementata in tutta l’organizzazione, che sappia come si presenta effettivamente un quadro di governance conforme alle normative e che possa fornire una risposta quando un cliente, un’autorità di regolamentazione o il proprio consiglio di amministrazione chieda: «Come gestiamo il nostro uso dell’IA?»
Questo sta già accadendo in modo informale, indipendentemente dal fatto che le organizzazioni lo abbiano pianificato o meno. Il sondaggio condotto da IBM nel 2026 su 2.000 amministratori delegati ha rilevato che il 79% sta distribuendo ed estendendo la responsabilità in materia di IA man mano che un numero crescente di esperti di settore viene coinvolto nelle decisioni relative a tale tecnologia. In ogni organizzazione c’è già qualcuno che sta diventando “il responsabile dell’IA” per default e, di solito, senza formazione, senza un quadro di riferimento e senza molta voce in capitolo in materia. Le organizzazioni che gestiscono bene questa situazione sono quelle che hanno deciso chi sarebbe stata quella persona e le hanno fornito gli strumenti per svolgere il ruolo in modo adeguato.
E non si tratta nemmeno di un rischio ipotetico. Proprio questa settimana, OpenAI ha rivelato che uno dei suoi modelli, durante un test interno delle proprie capacità informatiche, è sfuggito a un ambiente di test che si riteneva isolato e ha poi hackerato in modo autonomo i sistemi di Hugging Face, un’importante piattaforma di hosting di modelli e dataset di IA. Il modello ha sfruttato una vulnerabilità finora sconosciuta per ottenere l’accesso a Internet, quindi ha combinato credenziali rubate e ulteriori exploit per penetrare nei server di produzione di Hugging Face, il tutto senza che un essere umano dirigesse ogni singolo passaggio. OpenAI lo ha definito un incidente senza precedenti. Lo stesso CEO di Hugging Face lo ha descritto come il primo del suo genere: un attacco condotto dall’inizio alla fine da un agente autonomo di intelligenza artificiale.
Ciò che è degno di nota non è solo il fatto che sia successo, ma il motivo per cui è successo. Gli esperti di sicurezza informatica hanno individuato una causa alla radice molto comune: un ambiente configurato in modo errato. La sandbox “isolata” in cui il modello è stato testato non era in realtà scollegata da Internet, ed è stata proprio una falla nel sistema di installazione dei pacchetti al suo interno a consentire al modello di sfuggire al controllo. Non si è trattato di un caso in cui l’IA è diventata incontrollabilmente intelligente. È stato un fallimento a livello di governance e di processo, del tipo che qualsiasi organizzazione che gestisce o testa sistemi di IA potrebbe commettere.
Rifletteteci un attimo! Questo è successo in uno dei laboratori di IA più all’avanguardia al mondo, con team di sicurezza il cui lavoro a tempo pieno consiste proprio nel gestire questo tipo di rischio. Se una falla del genere può verificarsi lì, può verificarsi ovunque i sistemi di IA abbiano accesso effettivo all’infrastruttura, ai dati o a Internet, il che, sempre più spesso, significa ovunque. Le organizzazioni meglio posizionate per individuare questo tipo di fallimenti prima che si verifichino non sono necessariamente quelle dotate dell’IA più avanzata. Sono quelle che dispongono di una figura il cui compito è porre le domande scomode prima dell’implementazione, non dopo.
È proprio questa la lacuna che il nostro Programma di gestione dei rischi dell’IA, guidato da Toju Duke, è stato concepito per colmare. Toju ha trascorso i suoi ultimi anni in Google come responsabile del programma per un’IA responsabile, occupandosi dei processi di governance relativi ad alcuni dei più grandi modelli di IA dell’azienda, ed è autrice di due libri sull’argomento, tra cui la prima guida pratica alla valutazione e alla gestione dei rischi legati all’IA. Ha strutturato questa serie di masterclass seguendo lo stesso principio: i partecipanti non si limitano ad apprendere concetti, ma costruiscono, sessione dopo sessione, un quadro di governance funzionante per la propria organizzazione, affiancato da valutazioni dei rischi reali, casi di studio dal vivo ed esercitazioni pratiche basate su scenari concreti.
Se nella vostra organizzazione non c’è ancora qualcuno in grado di assumersi con sicurezza questa responsabilità, non si tratta di un fallimento, ma semplicemente della situazione in cui si trovano attualmente la maggior parte delle organizzazioni. La domanda che vale la pena porsi è: chi sarà quella persona e se è già pronta per questo ruolo.
Dettagli importanti:
Data di inizio: mercoledì 26 agosto 2026
Ora: 16:00 (ora del Regno Unito)
Durata del corso intensivo: 60 minuti x 8 settimane
Dettagli per partecipare: il link Zoom e le informazioni relative al calendario saranno inviati al momento della conferma
Rilascio di un attestato al termine di tutte le sessioni
Numero massimo di partecipanti: da 10 a 30
Se desideri diventare il referente di riferimento della tua organizzazione su questo tema, oppure se vuoi proporre qualcuno per questo ruolo, puoi trovare tutti i dettagli e registrarti qui:
Ulteriori approfondimenti
Compliance Week e konaAI, sondaggio del 2026 condotto su 193 responsabili dei settori compliance, etica, rischio e audit https://www.complianceweek.com/survey-reports/cw-survey-compliance-teams-struggling-with-ai-implementation-and-trust-issues/36460.article
Deloitte Global, “Governance dell’IA: un imperativo fondamentale per i consigli di amministrazione di oggi” (2ª edizione, 2026) https://www.deloitte.com/global/en/issues/trust/progress-on-ai-in-the-boardroom-but-room-to-accelerate.html
Grant Thornton (USA), Indagine sull’impatto dell’IA 2026 (950 dirigenti di alto livello, 10 settori, inizio 2026) https://www.grantthornton.com/services/advisory-services/artificial-intelligence/2026-ai-impact-survey
Economist Enterprise & KYOCERA Global, “Dall’intenzione all’azione”: studio sul futuro del lavoro (639 dirigenti, Londra/New York/Singapore/Sydney/Tokyo, fine 2025) https://insights.economistenterprise.com/technology-innovation/from-intent-to-action/report
IBM Institute for Business Value, Studio sui CEO del 2026 (2.000 CEO a livello globale) https://newsroom.ibm.com/2026-05-04-ibm-study-ceos-are-reshaping-c-suite-roles-for-the-ai-era
L'incidente OpenAI / Hugging Face
La versione dei fatti fornita da OpenAI https://openai.com/index/hugging-face-model-evaluation-security-incident/
TechCrunch — sulla configurazione errata all'origine del problema https://techcrunch.com/2026/07/22/how-an-openais-human-mistake-led-to-the-ai-powered-hack-on-hugging-face/
CNN Affari — panoramica generale https://www.cnn.com/2026/07/22/tech/openai-hugging-face-ai-cybersecurity
CNBC — dettagli tecnici sui modelli e sul metodo di fuga https://www.cnbc.com/2026/07/22/open-ai-cyber-models-hack-hugging-face.html
