di Gianni Rusconi

Il cloud non è più una questione confinata ai dipartimenti IT. È diventato un tema strategico, industriale e geopolitico, destinato a ridefinire il modo in cui le imprese costruiscono il proprio futuro digitale. Hybrid cloud, multicloud, sovranità del dato, AI generativa, modernizzazione applicativa, resilienza e sicurezza: sono questi i “fascicoli” che riempiono tavoli e agende dei CIO e del top management. L’intelligenza artificiale, in particolare, sta accelerando una trasformazione già in corso, imponendo nuove esigenze di capacità computazionale, velocità, governance e controllo dei dati. In questo scenario, l’infrastruttura non è più solo un supporto operativo ma diventa un abilitatore diretto dell’innovazione.

Il Cloud & Infrastructure Forum di Data Manager affronta queste tematiche mettendo a confronto provider tecnologici e grandi aziende italiane, con l’obiettivo di capire come evolvono strategie e modelli infrastrutturali. Dal ruolo crescente dei data center alle implicazioni della compliance normativa, fino al rapporto fra cloud (pubblico e privato) e ambienti on premise, il messaggio emerso dal dibattito è chiaro: la complessità aumenta, ma cresce anche la consapevolezza che la capacità di orchestrare infrastrutture, dati e servizi sarà sempre più decisiva per la competitività delle imprese.

FRA HYBRID CLOUD E AI

Il percorso di migrazione verso il cloud si evolve in un ecosistema molto più articolato, nel quale le aziende devono bilanciare esigenze tecnologiche, vincoli normativi, sostenibilità energetica e considerazioni geopolitiche. Il mercato dei data center è diventato, non a caso, uno dei nuovi snodi strategici dell’economia digitale. I numeri dell’Osservatorio del Politecnico di Milano raccontano di circa 25 miliardi di euro di investimenti potenziali, annunciati in Italia per il triennio 2026-2028, ma fotografano anche una situazione ancora fortemente disallineata fra piani dichiarati e capacità reale di realizzazione.

Parallelamente cambia anche il modo di interpretare il cloud. La logica dello spostamento delle applicazioni verso infrastrutture non proprietarie, mostra sempre più i propri limiti. Le imprese devono infatti affrontare questioni molto più complesse che riguardano la governance dei dati, la latenza, l’orchestrazione fra ambienti diversi e il rischio di lock-in tecnologico. La crescente attenzione verso il tema della sovranità digitale nasce proprio da questo contesto: la possibilità di mantenere controllo giuridico e operativo su dati, workload e proprietà intellettuale è diventata una priorità per molte organizzazioni, anche in relazione alle differenze normative fra Europa e Stati Uniti. E tale tendenza trova riscontro (l’indicazione arriva dall’Osservatorio Cloud Transformation del Politecnico) nell’oltre un terzo di grandi aziende italiane che sta valutando strategie di “geopatriation”, ovvero il ritorno o il trasferimento di carichi di lavoro verso cloud provider europei o comunque percepiti come maggiormente controllabili dal punto di vista normativo.

In questo scenario in evoluzione, l’intelligenza artificiale rappresenta il principale fattore di discontinuità. L’AI non richiede soltanto maggiore potenza computazionale, ma anche un ripensamento complessivo delle architetture infrastrutturali, e questo perché i workload legati all’addestramento e all’inferenza dei modelli impongono capacità energetiche molto superiori rispetto al passato e aprono nuove sfide in termini di raffreddamento, networking e gestione dei dati. Allo stesso tempo, il mercato entra in una fase che molti definiscono modernizzazione 2.0. Non basta più “containerizzare” le applicazioni o destrutturare i vecchi silos IT, ma si deve guardare all’integrazione fra applicazioni e servizi mediata da agenti software intelligenti, capaci di prendere decisioni autonome e di orchestrare processi complessi. Ed è qui che emergono nuove criticità legate alla sicurezza, alla governance delle identità digitali e al controllo dell’AI.

Il ruolo del CIO cambia profondamente: da responsabile infrastrutturale a vero e proprio direttore d’orchestra chiamato a coordinare tecnologie, compliance, sostenibilità economica, cybersecurity e strategia aziendale. La capacità di costruire infrastrutture flessibili, resilienti e interoperabili diventa quindi una leva fondamentale per sostenere la trasformazione digitale ma anche per garantire competitività e continuità operativa nel lungo periodo.

COMPUTE AS A SERVICE

L’intelligenza artificiale sta cambiando profondamente anche il modo in cui vengono progettate reti, data center e infrastrutture computazionali. L’aumento esponenziale dei workload che processano informazioni richiede capacità di elaborazione sempre più elevate, velocità di trasferimento dei dati e modelli infrastrutturali molto più flessibili rispetto al passato. L’impatto generato da algoritmi, modelli generativi e strumenti agentici sulla componente infrastrutturale è già evidente: la domanda di CPU/GPU, storage e connettività privata aumenta rapidamente e obbliga le aziende a ripensare architetture e strategie operative. «L’AI accelera enormemente il traffico dati e la necessità di capacità computazionale» – spiega Lorenzo Ruggiero, regional director – head of Southern Europe di Megaport, provider di servizi di rete su scala globale. Di conseguenza non basta più avere accesso al cloud: «Serve un’infrastruttura in grado di spostare grandi volumi di dati in modo rapido, sicuro e prevedibile».

Per rispondere a questa evoluzione, Megaport amplia il proprio modello “network as a service” verso il “compute as a service” (investendo strategicamente in Latitude.sh, società specializzata nella fornitura automatizzata di CPU e GPU on demand) con l’obiettivo di offrire alle aziende clienti un’infrastruttura globale in grado di combinare connettività e potenza computazionale in modalità completamente flessibile. Se la corsa al ripensamento della componente infrastrutturale è guidata soprattutto dalla diffusione di applicazioni AI, training model, inferenza e analytics avanzati – allora – la velocità di provisioning e la possibilità di scalare rapidamente diventano fattori critici. «Le imprese vogliono evitare investimenti rigidi e sovradimensionati» – osserva Ruggiero. «Per questo cresce l’interesse verso modelli on demand, dove CPU e GPU possono essere utilizzate per pochi minuti oppure per periodi molto lunghi, in funzione del livello di carico dei workload».

Lo stesso vale per l’infrastruttura di rete, che non può più essere vincolata ai tempi e alle rigidità tradizionali. «Megaport dispone oggi della rete automatizzata più estesa al mondo per permettere alle aziende di collegarsi a qualsiasi cloud provider o a qualsiasi data center in modo automatico e indipendente, in un tempo rapidissimo, circa sessanta secondi. Il paradigma as a Service è ormai imprescindibile e questo modello di piattaforma permette di garantire prevedibilità economica».

Nella visione di Megaport, l’AI non rappresenta una minaccia per chi opera nel mondo infrastrutturale fisico, ma al contrario un acceleratore di automazione di molti processi software: «Reti, fibre ottiche, server GPU e data center restano elementi imprescindibili per sostenere la nuova economia dell’intelligenza artificiale» – continua Ruggiero. «La sfida più importante rimane la semplificazione operativa, con prestazioni ottimizzate e meno costi di trasferimento dati».

Il compito di un tech provider come Megaport (l’azienda australiana ha al proprio attivo un’infrastruttura globale con 320mila chilometri di rete in fibra e migliaia di apparati di networking e server sparsi per il mondo) diventa dunque quello di supportare i progetti AI, mantenendo bassa latenza e provisioning rapido delle risorse, integrando rete e potenza computazionale.

Quanto alle scelte delle imprese in ambito cloud, la centralità del multicloud emerge con forza e si riflette in una tendenza che vede meno frequente l’opzione di affidarsi a un unico hyperscaler. «Andiamo sempre di più verso scenari nei quali le aziende prendono il meglio da ciascun provider» – spiega Ruggiero. Neutralità e libertà di scelta devono essere garantite “by design”. «Se oggi un’azienda colloca la propria infrastruttura in un data center e domani decide di spostarla altrove, deve poterlo fare senza riprogettare l’intero ecosistema cloud. Lo stesso principio vale per la rete di accesso: le infrastrutture moderne comprendono sedi distribuite, filiali, ambienti edge e lavoratori remoti che devono poter essere connessi in modo flessibile, rapido e indipendente dalla posizione geografica».

La crescente importanza della sovranità digitale rende questo approccio ancora più rilevante. Secondo il manager di Megaport, il mercato procede verso un modello pragmatico e non ideologico, in cui non esiste un cloud giusto in assoluto, bensì la possibilità di scegliere ciò che serve e quando serve per rispondere nel modo migliore all’esigenza del momento. Il cambio di paradigma, insomma, sta nel poter migrare – e senza grosse difficoltà – workload critici da hyperscaler americani verso cloud provider locali, appoggiandosi a reti private, sicure e programmabili, oltre che maggiormente sostenibili dal punto di vista economico. A supporto di questo approccio, Ruggiero cita il percorso di modernizzazione infrastrutturale di Sara Assicurazioni, basato su ambienti multicloud (AWS, Google e Azure). «Il traffico laterale tra diversi cloud provider è un tema estremamente sensibile, non solo dal punto di vista delle prestazioni. Grazie all’adozione di una rete privata siamo riusciti a ridurre i costi e a migliorare il controllo operativo, abbassando la latenza media di circa venti millisecondi nelle comunicazioni tra le agenzie e il cloud».

IL MODELLO A2A

Le grandi aziende sono impegnate nel processo di riorganizzazione dell’infrastruttura IT. Si tratta di un percorso che coinvolge governance, sostenibilità economica, gestione dei dati, competenze e capacità di decidere quali workload mantenere on premise e quali portare in cloud. In un grande Gruppo come A2A, società quotata con circa 15mila dipendenti e attiva su tutto il territorio nazionale nel mondo dell’energia e dell’economia circolare, la modernizzazione infrastrutturale assume inevitabilmente una dimensione strategica.

«Dal punto di vista tecnico, oggi si può fare quasi tutto» – sintetizza Andrea Fumagalli, Cloud Transformation lead di A2A. «Il tema è capire come». La società porta avanti da tempo un importante percorso di trasformazione in linea con il piano industriale, che prevede investimenti per 23 miliardi di euro entro il 2035 (di cui 16 dedicati alla transizione energetica e 7 all’economia circolare). «L’obiettivo di una migrazione efficiente è possibile solo se le applicazioni sono realmente cloud native. Il semplice lift-and-shift spesso non produce i benefici attesi e rischia addirittura di aumentare i costi». In quest’ottica, la strategia del Gruppo è di costruire un modello fortemente ibrido, con circa il 70% delle applicazioni in cloud e il 30% on premise.

L’approccio multicloud si concretizza nell’utilizzo combinato di più provider (AWS, Google Cloud e Azure), «per mettere ogni applicazione nel posto migliore possibile», ma anche nell’opportunità di mantenere strategicamente alcune applicazioni sull’infrastruttura fisica dell’azienda, «soprattutto quando entrano in gioco esigenze di latenza molto basse o grandi quantità di dati che devono essere conservati a lungo». Il tema del cloud sovrano viene affrontato dal manager di A2A con un approccio pragmatico, che riflette una visione equilibrata: «È importante avere una gestione locale, ma bisogna anche essere consapevoli dei rischi, perché anche quando le infrastrutture sono localizzate in Europa, le regole applicate restano spesso quelle degli hyperscaler globali».

Secondo Fumagalli, in altre parole, il tema centrale non è tanto la provenienza geografica del cloud, quanto la capacità di governare il rischio e mantenere controllo sui dati. «Non sono assolutamente contrario al cloud sovrano, semplicemente preferisco un approccio più consapevole, anche in relazione alla gestione dei dati». Una questione, quella relativa alla qualità, quantità e natura dei dati, che assume ancora più rilevanza con l’intelligenza artificiale, in relazione alla qualità delle risposte che si possono ottenere in fase di addestramento dei modelli AI. Secondo Fumagalli, in linea generale, le tecnologie agentiche giocheranno un ruolo crescente anche nella modernizzazione applicativa. «Ci sono già tool che analizzano il codice e suggeriscono come trasformare un’applicazione in ottica cloud native. Credo che queste tecnologie diventeranno sempre più integrate e vorrei arrivare a un punto in cui potremo decidere quasi automaticamente dove posizionare una nuova applicazione e quanto costerà farlo».

OPPORTUNITÀ O VINCOLI?

È evidente che sicurezza e compliance normativa siano diventate componenti strutturali della strategia aziendale ma è altrettanto vero che – secondo molti CIO – il dibattito sul cloud sovrano e sulle normative europee rischia di essere affrontato in modo troppo teorico rispetto alle reali esigenze operative delle imprese. Ferdinando Peretto, Group chief information officer di Azimut | Benetti Group, affronta il tema da una prospettiva molto concreta, legata a doppio filo all’ecosistema tecnologico di un gruppo (il primo gruppo privato al mondo nella nautica di lusso), nel quale convivono esigenze di progettazione avanzata, protezione della proprietà intellettuale e continuità operativa. «Operiamo in un contesto fortemente ibrido nel quale convivono ambienti on premise e cloud» – spiega il manager. «La scelta di mantenere parte dei sistemi e delle applicazioni internamente, a cominciare dall’ERP, nasce soprattutto da esigenze di latenza e gestione del rischio, anche alla luce dei requisiti imposti dalla NIS2».

La società accelera in modo sostanziale sul fronte della trasformazione digitale, adottando in molti casi modelli SaaS forniti direttamente dai vendor. Il tema del cloud sovrano viene affrontato con una certa cautela. «Per molti nuovi applicativi utilizziamo direttamente il cloud del provider» – spiega Peretto, ricordando che molti hyperscaler hanno data center e presenza operativa in Italia o in Europa. «Questa modalità di utilizzo della tecnologia si rivela molto efficace per accelerare il processo di trasformazione. Non sono così convinto che il semplice spostamento dei dati da un provider all’altro risolva davvero il problema».

Il vero nodo, insomma, non riguarda tanto la collocazione geografica del dato, quanto le modalità attraverso le quali il dato viene protetto e governato (e si può garantire di conseguenza un’efficace continuità operativa). Su questo tema – Peretto richiama anche il ruolo della crittografia e delle terze parti europee nella gestione delle chiavi di accesso ai dati, come strumenti concreti per aumentare il controllo e la compliance. «La normativa NIS2 ci impone di analizzare i rischi delle applicazioni e di costruire strategie solide di backup, reazione agli incidenti e protezione dei dati» – continua il Group CIO di Azimut | Benetti Group, alludendo al fatto che, in questo specifico quadro, diventano centrali temi come l’immutabilità dei backup, la resilienza operativa e la rapidità di risposta agli incidenti cyber. Quanto al rapporto fra sicurezza e intelligenza artificiale, Peretto prevede nei prossimi anni un progressivo aumento della complessità, con scenari sempre più articolati. «Il rischio è che l’AI corra più veloce della nostra capacità di governarla. Oggi un neolaureato può generare rapidamente codice e costruire applicazioni e servizi digitali che prima richiedevano team di sviluppo strutturati. La sfida per tutti è di capire come garantire sicurezza e controllo in uno scenario nel quale sempre più applicazioni verranno costruite con strumenti generativi e agentici».

L’ABC DELLA MODERNIZZAZIONE

La modernizzazione infrastrutturale non può essere trattata come un semplice aggiornamento tecnologico, in nessun settore e ancor meno in un comparto fortemente regolamentato come quello bancario, dove la definizione e l’applicazione di una governance rigorosa, insieme alla capacità di coniugare innovazione, resilienza e compliance normativa, rappresentano un elemento prioritario. «Da una parte il business spinge per accelerare la trasformazione digitale, dall’altra le tecnologie cambiano a una velocità impressionante» – commenta Francesco Pedrielli, IT director – Group Technology & IT Services di Credem Banca. L’unico modo per sopravvivere e continuare a crescere in questo contesto è avere una strategia condivisa dal Board e comunicata bene alle persone. Il vero elemento distintivo non è la disponibilità tout court di nuovi strumenti tecnologici, intelligenza artificiale ovviamente in primis, quanto la capacità di costruire una direzione condivisa. «La nostra funzione – continua Pedrielli, che guida un’area che si occupa di architetture, infrastrutture, servizi condivisi e gestione dei sistemi di sintesi a livello di gruppo – deve costruire una roadmap tecnologica coerente con le esigenze del business, altrimenti il rischio che si corre è di generare soltanto confusione».

L’altro fattore chiave nel percorso di ammodernamento infrastrutturale del mondo banking è il rispetto dei requisiti imposti a livello regolamentare, giunti a un livello di pressione forse senza precedenti. «Secondo recenti studi – rileva l’IT director di Credem – poco meno della metà dei budget informatici dedicati al change delle banche è destinato alla compliance normativa. Noi come altri attori di questo mercato dobbiamo essere in grado di dimostrare al regolatore di avere solide exit strategy e capacità di reazione in qualsiasi scenario». Il tema centrale è rappresentato soprattutto dalla normativa DORA, che impone elevati livelli di resilienza digitale e capacità di gestione del rischio. Nel caso di Credem. uno dei pilastri per affrontare questa sfida è la creazione di un Cloud Center of Excellence, dedicato non solo alla governance tecnologica ma anche al controllo economico del cloud, per evitare che un workload sbagliato possa generare costi nascosti anche molto elevati. Tra le voci di investimento in chiave tecnologica di Credem, una posizione importante è ricoperta dalla sperimentazione controllata dell’intelligenza artificiale, con la realizzazione di sandbox dedicate per testare servizi AI in contesti a basso rischio e con costi controllati.

Non meno importante è il tema della democratizzazione dell’IT. «Oggi molte persone fuori dall’area IT hanno accesso a strumenti che permettono di sviluppare applicazioni» –spiega Pedrielli. «Questa tendenza apre grandi opportunità e richiede al contempo anche una governance rigorosa. L’IT deve ispirarsi sempre di più alle tech company ma allo stesso tempo deve mantenere un livello di resilienza e consolidamento molto più elevato». Credem lavora su modelli Hub&Spoke per generare innovazione diffusa mantenendo però controllo, sicurezza e compliance, nel solco di quella che il gruppo considera la vera priorità dei prossimi anni, e cioè l’equilibrio fra trasformazione e indipendenza tecnologica.

«Dobbiamo costruire architetture che ci permettano di scalare rapidamente sul mondo agentico senza creare lock-in eccessivi, ma dobbiamo anche evitare di essere fagocitati da tecnologie che potrebbero diventare obsolete molto rapidamente, perché non possiamo permetterci di perdere terreno rispetto alla concorrenza». In questa fase di ripensamento e modernizzazione delle infrastrutture, dalla scelta del modello cloud più adatto alle specifiche esigenze aziendali fino all’adozione controllata e strutturata dell’intelligenza artificiale, le organizzazioni non possono lasciarsi guidare dalle tecnologie senza una strategia chiara. Il futuro dell’IT enterprise si gioca sul bilanciamento tra velocità, governance e resilienza. Anche tecnologie considerate “legacy” come il mainframe possono continuare a svolgere un ruolo rilevante nel settore bancario: come ha osservato il manager di Credem, si tratta di piattaforme tutt’altro che superate, oggetto di nuovi investimenti e di una progressiva integrazione di funzionalità di intelligenza artificiale.

Alleanza di intelligenze. Perché l’AI cambia il ruolo dell’IT

di Andrea Lawendel

L’equilibrio possibile tra risorse on-prem, cloud ibrido e governance del dato. Nell’era del vibe-coding si assiste a un paradosso: il ritorno al mestiere dell’ingegnere di un software sempre più open source. Con la partecipazione di Autostrade per l’Italia, Generali, Intesa Sanpaolo e Veolia

La transizione digitale delle grandi organizzazioni si trova a un punto di svolta: l’evoluzione delle infrastrutture IT aziendali, sotto la spinta convergente di cloud, open source e Intelligenza Artificiale, non è più un tema puramente tecnico. Alla conclusione di un’intensa mattinata trascorsa sul filo del racconto molto concreto delle esperienze in materia di digitalizzazione, la tavola rotonda animata da quattro figure di spicco del settore – Claudio Balbo (Intesa Sanpaolo), Francesco Fiaschi (Autostrade per l’Italia), Andrea Purgato (Generali Italia) e Fabrizio Locchetta (Veolia Italia) – traccia una chiara controtendenza: la necessità di riappropriarsi delle competenze ingegneristiche interne per governare tecnologie esponenziali ed evitare il rischio di un “vendor lock-in” più cognitivo che tecnologico.

OPEN SOURCE E CLOUD BANKING

Nel suo primo intervento Claudio Balbo, senior director e head of IT di Intesa Sanpaolo, ripercorre la profonda trasformazione del gruppo bancario. Meno di dieci anni fa, l’infrastruttura è ancora interamente on premise, costruita su tecnologie proprietarie e su un sistema informativo fortemente accoppiato in modalità sincrona, esposto – come osserva Balbo – al possibile “effetto farfalla”: un’anomalia in un punto dell’architettura può estendere criticità lungo l’intera catena applicativa.

Sul fronte organizzativo, in quel momento l’IT conta circa seimila dipendenti e lo sviluppo software è fortemente esternalizzato a terze parti e system integrator. La prima svolta strategica, tra il 2018 e il 2019, arriva con l’adozione dell’open source come nuovo standard tecnologico di riferimento (es. Kubernetes, Spring, Kafka), scelta che diventa base strategica e abilitatore della prima wave di migrazione verso il cloud pubblico. «Abbiamo firmato un contratto con uno dei tre grandi cloud provider perché ci siamo sentiti in grado di utilizzare appieno il nuovo modello e oggi il 55% dei workload è in cloud».

Se nel primo biennio dell’accordo, Intesa Sanpaolo deve operare con una certa prudenza per rispettare i vincoli di sovranità dei dati, nei tre anni successivi accelera la migrazione fino a ottanta applicazioni al mese. Il passo successivo è la creazione di Isybank, la banca completamente digitale e con un sistema core interamente cloud native. «È stata, l’apripista per il gruppo, che ci ha consentito di portare su public cloud non solo le applicazioni meno critiche, bensì il core banking transazionale».

Per mitigare i rischi di concentrazione e rispondere ai requisiti di resilienza, oggi il più grande gruppo bancario in Italia per capitalizzazione di mercato, numero di sportelli e totale dell’attivo sta introducendo un secondo cloud provider, con l’obiettivo di portare in cloud il 90% del sistema informativo entro quattro anni.

Parallelamente, la banca sovverte le tradizionali quote di dipendenza dall’outsourcing e dall’esternalizzazione, con un’azione altrettanto coraggiosa. «Nel 2022 l’IT di Intesa Sanpaolo decide di assumere, andando in controtendenza rispetto al mercato, passando da un headcount IT di seimila persone a ottomila esperti». Secondo Balbo, tutto questo avviene per diversi ordini di motivi. Il primo è perfettamente in linea con gli obiettivi del CFO: i costi del personale esterno superano quelli del personale interno. «Un secondo tema è di carattere demografico. L’età media dell’IT di Intesa Sanpaolo supera di poco i 50 anni: nell’arco di un decennio una parte considerevole sarebbe stata vicina al pensionamento».

Ma c’è anche un terzo problema legato alle competenze: l’ambizioso piano di trasformazione richiede skill che, nel 2022, non sono ancora sufficientemente diffuse all’interno dell’organizzazione. Oggi metà delle 2.000 persone reclutate in questi ultimi anni è concentrata sullo sviluppo di software ritenuti particolarmente critici. «Per avere maggiore libertà e controllo, è necessario sviluppare le competenze interne in grado di gestire l’evoluzione tecnologica. Demandando all’esterno, quando serve, ma nel modo giusto». Come si coniuga però la libertà acquisita con l’intelligenza artificiale, capace di generare codice al posto dello sviluppatore umano? «Sicuramente non siamo ancora a quel punto» – osserva Balbo. «E credo che nessuno nel settore ci sia ancora arrivato. L’impatto dell’AI sul modo di produrre software – che solo ora iniziamo a intravedere – resta la sfida comune dell’industry per i prossimi 12-18 mesi».

EQUILIBRIO TRA CLOUD E ON-PREM

Per Francesco Fiaschi, CTO di Autostrade per l’Italia, la modernizzazione è un importante motore di cambiamento. «Nel 2021 abbiamo lanciato un progetto di trasformazione dei nostri processi in ottica digital con obiettivi molto importanti nell’arco del primo triennio». Anche in Autostrade l’infrastruttura legacy e la dipendenza dal Cobol è forte e richiede una profonda revisione. Storicamente, il ruolo centrale nello sviluppo applicativo di Autostrade è affidato alla factory interna Movyon, incaricata anche di produrre le soluzioni tecnologiche che vengono rivendute sul mercato autostradale. Cinque anni fa, ASPI ha affrontato la stesura del piano di trasformazione, inizialmente molto ambizioso, per quanto riguarda la “cloudizzazione”, mediante l’adoption delle piattaforme IAAS e PAAS e della dismissione dell’infrastruttura mainframe.

Secondo Fiaschi, l’impatto degli strumenti di AI applicati al coding trasformerà lo sviluppo software in una commodity a basso costo, ridefinendo radicalmente i rapporti nel mercato e le relazioni con i system integrator. In questo scenario, si afferma l’esigenza di riportare all’interno se non lo sviluppo di codice in quanto tale, sicuramente la capacità di guidarlo in chiave avanzata. «Il vero nodo diventa la capacità di ingegnerizzazione: con l’AI che automatizza sempre più la scrittura del codice, acquista centralità il ruolo dell’architetto software» – sottolinea Fiaschi.

Data lineage e governo dei domini informativi diventano centrali nello sviluppo di applicazioni sempre più modulari e AI-driven. I dati devono essere ben strutturati e ben organizzati. «Sicuramente svilupperemo pezzi delle nostre architetture software riutilizzabili e a costo minore dell’attuale. Gli architetti del software dovranno avere competenze sul dato, di integrazione in strutture avanzate e capacità di solution management».

Il valore si sposta dunque dalla scrittura a una cultura di macro-ingegnerizzazione propria dei futuri orchestratori di componenti custom all’interno delle architetture multi-cloud, che già oggi caratterizzano l’infrastruttura di Autostrade post-modernizzazione. «La prima conseguenza già visibile – spiega Fiaschi – è che l’AIOps è ormai una realtà. Basta pensare alla connettività: gli apparati di routing dei grandi provider vengono già ottimizzati dall’AI, che aiuta anche a individuare pattern nei log di sicurezza. Tutta la componente operativa è destinata a cambiare».

Al tempo stesso, Autostrade ripensa parte della propria infrastruttura alla luce della direttiva NIS2, che inserisce il settore tra gli ambiti di criticità nazionale e impone vincoli particolarmente stringenti. È il caso, per esempio, delle reti che collegano le sale operative delle direzioni di Tronco chiamate a gestire gli incidenti, soprattutto nelle gallerie. Il piano iniziale, che prevedeva inizialmente una migrazione quasi completa al cloud, oggi invece punta a mantenere almeno il 40% delle infrastrutture on premise, che – sottolinea il CTO – devono essere presidiate con infrastrutture e pipeline dati progettate per la containerizzazione e la modernizzazione dei servizi, fino ad arrivare all’impiego di modelli linguistici privati e specializzati a supporto delle attività di AIOps.

IL DATO AL CENTRO

Andrea Purgato, Data Platform Governance lead di Generali Italia, punta il focus del discorso sul dato, parlando della necessità di un approccio standardizzato e soprattutto unificato a un patrimonio ancora troppo frammentato. Il problema è che con la standardizzazione, bisogna anche premiare la varietà dei casi d’uso e l’iniziativa di chi, partendo dal dato, deve in ultima analisi estrarre valore per il business. «Proprio per questo, da diverso tempo a questa parte, su forte spinta del top management è partito un progetto trasversale tra l’IT e il Country Data Office, di cui faccio parte, con l’obbiettivo di creare un layer dati orizzontale a tutta l’azienda, con la graduale convergenza di tutti i sistemi legacy».

Questo strato – continua Purgato – ha uno stack tecnologico comune e abilita diverse tipologie di utenti in base alle competenze e alle modalità di fruizione. «In questo modo, non solo il data scientist, ma anche l’analista di business può estrarre valore dal dato senza dover possedere competenze tecniche avanzate». Ciascun utente della nuova piattaforma dati Generali riceve in pratica il set di strumenti necessario per operare in maniera ottimizzata, introducendo anche componenti di AI per facilitare il lavoro sulla «single source of truth» – come la definisce Purgato. E sulla quale viene montato un impianto di strumenti destinati al consumo del dato.

La piattaforma viene gestita solo con tecnologie open source, facendo leva su una esperienza in sviluppo di framework aperti, accumulata da Generali nel corso degli anni. La tecnologia allo stato dell’arte per la modellazione e l’analisi dei dati è Spark, che viene adottata sull’intera varietà di fornitori cloud, riuscendo a implementare l’intera filiera del dato, da quello più grezzo a quello lavorato, in solo sei mesi. Sulla parte di fruizione del dato la scelta è diametralmente opposta: «Abbiamo preferito lo strumento messo a disposizione da un singolo cloud service provider. Ci è sembrato il modo migliore per mettere i dati a disposizione dei nostri utenti business». Come interfaccia all’informazione, Generali sceglie un classico modello di e-commerce, in cui ogni visitatore è dotato di un “carrello” popolato da strumenti analitici tarati in base alle sue competenze e necessità. L’ambiente è a sua volta collegato ai sistemi da utilizzare per fare business intelligence, dashboarding, reportistica e così via. «Il fattore game-changer di tutto è che l’accesso al dato viene gestito automaticamente dal sistema: l’utente non è più tenuto a rivolgersi all’IT».

Il grande marketplace dei dati di Generali si fonda in altre parole sul fai-da-te: il “compratore-analista” non deve più passare per l’ufficio IT, descrivere i suoi obiettivi, attendere che sia l’IT di gruppo a predisporre i data set necessari e a implementare le procedure di interrogazione e esposizione. L’autonomia del singolo utente non comporta ownership né catena di autorizzazione. In questo modo il workload si snellisce e si disintermedia. Governance, lineage e ciclo di vita sono implementati by design e contribuiscono insieme alla democratizzazione del dato. Purgato precisa che l’utente di business può a sua volta mettere a catalogo i propri “data product” e se questi si dimostrano particolarmente validi sul piano analitico, l’IT può integrarli e gestirli stabilmente.

TUTELA DEL CAPITALE COGNITIVO

Fabrizio Locchetta, CIO di Veolia Italia, porta la prospettiva industriale di una multiutility globale costruita intorno alla capogruppo, che in Francia opera da 165 anni nel campo della gestione dell’acqua. Veolia si occupa anche di rifiuti e, in particolare in Italia, di efficienza energetica per grandi impianti (per esempio, in ambito ospedaliero), che convertono l’energia in calore e altri servizi. «Gestiamo centinaia di grandi edifici, ad esempio scuole, municipi e altri complessi, che necessitano di attivare gli impianti di riscaldamento secondo determinate fasce orarie» – spiega Locchetta, rifacendosi direttamente al ruolo che in un ambito del genere può rappresentare l’intelligenza artificiale, a partire da quella tradizionalmente definita come machine learning, nel modulare questi programmi a seconda di numerosi fattori (es, temperatura esterna, prezzi dell’energia, ecc…).

Già prima dell’esplosione di ChatGPT, il CIO di Veolia sottolinea come la convergenza tra lavoro umano – impiegati, progettisti, impiantisti, manutentori, operatori di impianto – e strumenti digitali rappresenti una direttrice strategica di trasformazione definita dal Gruppo da oltre dieci anni. In questa prospettiva, il digitale non è un supporto accessorio, ma un abilitatore essenziale per il raggiungimento degli obiettivi di business, di efficientamento operativo e di sostenibilità ambientale di un’organizzazione che conta circa 220mila persone a livello globale. L’adozione del machine learning consente a Veolia in casi specifici di incrementare l’efficienza dei sistemi di riscaldamento anche del 10-15% rispetto ai benchmark ottenibili attraverso approcci termo-ingegneristici tradizionali.

Dal 2017 prende avvio inoltre la progressiva dismissione dei data center on-premise: la migrazione verso il cloud pubblico non viene interpretata come una tendenza tecnologica, ma come una scelta strutturale di razionalizzazione delle risorse digitali, con l’obiettivo di concentrare competenze, investimenti e capacità organizzative su una piattaforma unica e scalabile. In questa fase, Veolia consolida un nuovo modello di gestione del dato, sempre più vicino alla logica di piattaforma self-service, affine agli approcci già adottati in altri gruppi industriali di grandi dimensioni.

Quando emerge l’AI generativa, Veolia si trova quindi già in uno stato avanzato di maturità digitale: la trasformazione è in larga parte completata sia sul piano infrastrutturale che di data governance. In questo contesto, la strategia viene ulteriormente implementata all’interno del piano “AI for GreenUP”, che posiziona l’intelligenza artificiale non come un layer applicativo aggiuntivo, ma come una leva industriale centrale, la cui efficacia dipende in modo diretto dalla valorizzazione delle competenze e dell’expertise delle persone sul campo. La multinazionale francese crede nella contaminazione tra tecnologie dirompenti e prerogative umane, per elevare la cultura digitale di tutti i collaboratori, anche attraverso campagne di formazione che coinvolgono in egual misura colletti bianchi e blu.

Inoltre, Veolia sta mettendo a punto sperimentazioni più pratiche dell’intelligenza artificiale. È il caso del progetto “Talk to my plant”, che punta a implementare la possibilità di conversare con l’impianto per ottenere informazioni rapide e agire di conseguenza. In un contesto in cui il controllo è iper-strutturato e ogni scelta in materia di tecnologia e trattamento dei dati digitali comporta un lungo percorso di autorizzazioni e vincoli, non è banale portare avanti un approccio così innovativo. «L’introduzione consapevole dell’AI ha luogo sotto la gestione congiunta dell’IT di gruppo e di quella locale, dove la prima definisce regole e governance, mentre la seconda seleziona le aree di sperimentazione». La priorità assoluta per il CIO resta la protezione del patrimonio cognitivo aziendale: «Tutte le nostre iniziative sono sviluppate in un ambiente protetto e non è consentito il caricamento di dati proprietari su LLM pubblici, per non disperdere il vantaggio competitivo sul mercato».

AGENTI E CONI DI VISIBILITÀ

Nella seconda parte dell’incontro, i partecipanti sono coinvolti in un lavoro di esplorazione delle traiettorie evolutive abilitate dall’AI agentica e dai nuovi standard di comunicazione architetturale, con particolare attenzione al Model Context Protocol (MCP) proposto da Anthropic come framework emergente di riferimento per orchestrare in modo strutturato l’interazione tra modelli intelligenti, sistemi dati e applicazioni enterprise.

Claudio Balbo di Intesa Sanpaolo distingue nettamente la gestione del dato strutturato da quella del dato non strutturato. Nel primo caso, il settore bancario dispone da anni di regole, controlli e modelli di ownership consolidati, quindi l’arrivo dell’AI non ha alterato gli equilibri. Le difficoltà emergono invece sui dati non strutturati – documenti, testi e immagini – dove la complessità richiede ancora un approccio caso per caso e dobbiamo costruire una adeguata maturità nella governance e nel controllo di qualità. Intesa Sanpaolo ha attualmente un’architettura moderna con circa seimila microservizi REST e la banca sta valutando un layer basato su MCP per permettere a un agente di usare direttamente questi microservizi come strumenti operativi. Questa apertura introduce un nodo critico: «Senza un front end che filtri i dati, è l’agente stesso che deve ricostruire e rispettare il cono di visibilità concesso all’utente». Balbo sottolinea che ciò richiede di integrare l’AI come parte nativa dell’architettura, non come accessorio esterno, con implicazioni su sicurezza e compliance.

Francesco Fiaschi di Autostrade per l’Italia collega il tema all’esperienza di Autostrade per l’Italia, che utilizza reti neurali per analizzare in tempo reale le immagini delle telecamere nei tunnel. «La scelta dell’azienda è di sviluppare un proprio ecosistema edge, anziché acquistare telecamere “intelligenti”, per garantire latenza minima e controllo totale». Il passo successivo riguarda l’orchestrazione di agenti diversi: droni per il monitoraggio delle code, algoritmi centralizzati per stimare i flussi di traffico, sistemi predittivi richiesti dall’Autorità di Regolazione per automatizzare i rimborsi. Nonostante l’automazione, Fiaschi ribadisce che nei processi critici – «l’ultima decisione resta sempre in capo all’operatore umano», soprattutto per chiusure di tratte o emergenze in galleria.

Andrea Purgato di Generali Italia descrive invece una possibile evoluzione del data marketplace: «L’utente non dovrà più scrivere query SQL, ma dialogare in linguaggio naturale con un agente specializzato. L’agente, conoscendo catalogo e metadati, potrà interpretare la richiesta e costruire l’analisi, superando i limiti cognitivi dei singoli analisti». Sul piano operativo, Generali sta già sperimentando agenti AI per la gestione dei sinistri: sistemi che analizzano documenti, perizie, foto e video, segnalando anomalie e correlazioni. L’AI funziona da potente assistente cognitivo che aumenta efficienza e accuratezza delle analisi.

Il denso dibattito si chiude infine con una riflessione di carattere etico che vale per tutti. «Le proiezioni demografiche – avverte Locchetta di Veolia – indicano che tra dieci anni si registrerà una grave carenza di personale in molte aree industriali e operative». In quest’ottica, la sfida manageriale consiste nell’indirizzare l’AI non verso la sostituzione indiscriminata della forza lavoro esistente, al solo scopo di comprimere i costi, ma verso l’occupazione degli spazi operativi che rimarranno naturalmente vuoti, automatizzando le mansioni ripetitive e logoranti. Un approccio più equo per concepire l’intelligenza artificiale come estensione delle capacità umane, la cui governabilità e il cui successo dipendono strettamente dalla solidità delle infrastrutture e dalla valorizzazione delle competenze interne all’azienda.

Foto di Gabriele Sandrini

Point of view

Intervista a Lorenzo Ruggiero regional director, head of Southern Europe di Megaport: L’infrastruttura è as a Service

L'articolo AI, cloud e sovranità digitale. La partita dell’IT proviene da Data Manager Online.

di Gianni Rusconi

La sicurezza informatica ha smesso da tempo di essere un affare per soli specialisti. Negli ultimi anni, sotto la spinta dell’accelerazione della trasformazione digitale, della diffusione dell’intelligenza artificiale e dell’inasprimento del quadro normativo, la cybersecurity è entrata stabilmente nell’agenda del top management. Non come tema tecnico, ma come questione di governo dell’impresa. Il Security Forum di Data Manager (19 novembre – Grand Visconti Palace Hotel di Milano) ha affrontato questo tema chiamando a raccolta responsabili della sicurezza e fornitori di tecnologia con l’obiettivo di andare oltre la superficie del problema e interrogarsi su cosa significhi oggi “fare sicurezza” in azienda.

Il punto di partenza condiviso è che il rischio cyber non è più un evento remoto o circoscritto: gli attacchi sono sempre più frequenti, sofisticati e mirati, colpiscono indistintamente grandi imprese e PMI e sfruttano vulnerabilità tecnologiche, ma soprattutto organizzative e culturali. In questo scenario, la semplice difesa del perimetro non è sufficiente. Serve una capacità più ampia di resilienza, intesa come attitudine dell’organizzazione a prevenire, assorbire e superare eventi avversi senza compromettere la continuità del business. Nel corso dell’evento, il concetto di resilienza è emerso come chiave di lettura trasversale rispetto a processi, infrastrutture, persone e modelli decisionali. Dall’OT security alla gestione degli accessi privilegiati, dall’awareness dei dipendenti all’uso dell’AI nei SOC, il confronto ha confermato la tendenza che vede la cybersecurity non essere più un dominio separato, ma una componente strutturale della strategia aziendale.

L’URGENZA NON PERCEPITA

La sicurezza non è più una funzione di presidio, né un costo da giustificare a posteriori: è una componente strutturale dei processi di trasformazione digitale e, sempre più spesso, una condizione di sopravvivenza per le imprese. È il messaggio centrale dell’intervento di Federica Maria Rita Livelli, specialista di business continuity e risk management, che ha aperto i lavori del Security Forum tracciando un quadro dello scenario cyber attuale. I dati CLUSIT, richiamati nel corso dell’analisi, confermano una tendenza ormai consolidata: gli attacchi crescono in numero, sofisticazione e impatto economico, colpendo in modo trasversale settori, dimensioni aziendali e filiere. A cambiare, però, è soprattutto il perimetro da difendere. La convergenza tra IT e OT ha ampliato la superficie di rischio, rendendo obsolete molte delle tradizionali strategie di protezione. «Oggi un incidente cyber può fermare una linea produttiva, compromettere la sicurezza fisica delle persone o interrompere una supply chain globale» – ha spiegato Livelli. In questo contesto, parlare solo di cybersecurity è quindi riduttivo. Serve un approccio più ampio, che integri continuità operativa, gestione del rischio e sicurezza in un unico framework di cyber resilience che riflette la capacità di un’organizzazione di reagire e ripristinare rapidamente le proprie funzioni critiche. «La domanda non è più se un evento accadrà, ma quando. La differenza la fa la preparazione» – ha sottolineato ancora Livelli, evidenziando come business continuity, risk management e cybersecurity debbano smettere di essere silos separati.

A rendere il quadro ancora più complesso è la componente normativa. La “galassia” regolatoria europea – da NIS2 a DORA, passando per il Cyber Resilience Act, l’AI Act e le direttive sulla supply chain – adotta un approccio sempre più esplicitamente risk-based e resilience-based. Non basta dimostrare di aver implementato controlli, occorre provare di aver compreso i rischi e introdotto misure proporzionate ed efficaci. «I costi della non conformità – ha precisato l’esperta – non sono solo sanzioni ma riguardano l’accountability del management, la responsabilità lungo la catena di fornitura e il rischio di obsolescenza competitiva». La mancata compliance può tradursi in esclusione dai mercati, perdita di fiducia e interruzione dei rapporti con partner e clienti. Da qui l’invito a superare la fase dei proclami. «È tempo di mettere a terra strategie concrete» – ha ribadito Livelli. Strategie che spaziano da una chiara identificazione delle risorse critiche a piani di continuità realmente testati fino a modelli di governance che coinvolgono il top management. La resilienza, in altre parole, non può essere delegata esclusivamente all’IT o alla funzione security ma va intesa come una responsabilità trasversale che riguarda l’intera organizzazione. In questo percorso, anche l’intelligenza artificiale può giocare un ruolo chiave, sia come strumento di difesa – per il rilevamento avanzato delle minacce e l’automazione delle risposte – sia come nuovo fattore di rischio se adottata senza adeguati controlli.

A rendere ancora più urgente il cambio di paradigma è anche il fattore tempo. «Oggi abbiamo 24 ore o meno per reagire» – ha spiegato Livelli, descrivendo uno scenario che definisce senza mezzi termini “una sorta di torre di Babele”, in cui diventa sempre più complesso far circolare informazioni corrette e tempestive durante una crisi cyber. Sul tavolo di CEO e CISO c’è l’obbligo di implementazione della direttiva NIS2, che molte organizzazioni stanno ancora cercando di inquadrare, domandandosi se rientrano o meno nel suo perimetro di applicazione. «È fondamentale evitare che la governance della sicurezza diventi un ostacolo alla reattività» – ha messo in guardia l’esperta, richiamando il ruolo delle istituzioni – dall’Agenzia per la Cybersicurezza Nazionale a ENISA – e sottolineando la necessità di un coordinamento chiaro e funzionale. Il fattore umano resta infine l’anello debole. «Finché continueremo a fare formazione passiva, non saremo efficaci» – ha concluso Livelli, indicando nella consapevolezza diffusa e nell’approccio orchestrato alla sicurezza – come in una vera e propria orchestra sinfonica – la chiave per costruire una resilienza strutturale, capace di reggere l’urto di un “cyber universo” destinato a restare intrinsecamente caotico.

OLTRE LA COMPLIANCE

Se la compliance è il punto di partenza, l’obiettivo finale resta la riduzione concreta del rischio. È questo il filo conduttore dell’intervento congiunto di Marco Bonicelli, presales manager di Cyber Guru, e Casto Cremonesi, Direction Architecture Infrastructure & Security manager di SOL Group, per riflettere in modo pragmatico sul ruolo della cybersecurity awareness nello scenario attuale, segnato da minacce sempre più sofisticate e da obblighi regolatori stringenti. «La pervasività del digitale è totale e non riguarda più solo il lavoro, ma ogni dimensione della vita quotidiana, ampliando la superficie d’attacco» – ha esordito Bonicelli. Le minacce, infatti, crescono non solo in numero ma anche in qualità, con campagne di phishing sempre più sofisticate, spesso generate o potenziate dall’intelligenza artificiale. In questo contesto, nonostante i progressi tecnologici, il fattore umano resta centrale. È un punto su cui converge anche l’esperienza operativa di SOL Group.

«Chi sta tra la sedia e il computer è oggi l’elemento più critico» – ha sottolineato in modo colorito Cremonesi, ricordando come gli «utenti con privilegi elevati rappresentano un rischio reale, ed è per questo che investiamo da anni in campagne strutturate di sensibilizzazione». Il gruppo brianzolo, attivo a livello internazionale nel campo dei gas tecnici, della sanità domiciliare, del biotech e dell’energia, opera in contesti fortemente esposti sia sul fronte IT sia su quello OT e ha colto l’opportunità offerta dalla NIS2 per accelerare il percorso di formazione della propria forza lavoro.
«L’awareness non è più solo una buona pratica ma è diventata un requisito sanzionabile, e di pari passo la sicurezza non è più solo un tema dell’IT ma è una responsabilità condivisa» – ha aggiunto Cremonesi, evidenziando come la vera criticità non sia tanto la norma in sé, quanto l’adesione degli utenti, già sottoposti a un sovraccarico di corsi obbligatori.

Entrano quindi in gioco nuovi modelli formativi, capaci di coinvolgere senza appesantire. Cyber Guru ha costruito la propria crescita proprio su questo approccio, scegliendo di non focalizzarsi soltanto sulla produzione di contenuti tecnologici. «La nostra metodologia – ha spiegato Bonicelli – si basa su come funziona il cervello umano e su come apprendono gli adulti. Portiamo la formazione nel momento in cui serve, davanti a una mail sospetta o a una navigazione potenzialmente pericolosa». Accanto alla didattica tradizionale trovano quindi spazio format esperienziali, serie video, simulazioni di phishing adattivo e strumenti di micro-learning integrati direttamente nel contesto operativo dell’utente. Un ruolo importante è giocato anche dall’intelligenza artificiale, utilizzata per il training conversazionale tramite chatbot o per generare banner in tempo reale che aiutano l’utente a interpretare segnali di minaccia deboli, come toni anomali, richieste finanziarie incongrue, allegati sospetti.

Se l’obiettivo di Cyber Guru è stimolare consapevolezza fra le persone dell’azienda, la dimensione globale di SOL ha reso centrale per l’azienda anche il tema della localizzazione. «Formiamo gli utenti nella loro lingua» – ha confermato Cremonesi. «E dove necessario, con sottotitoli e contenuti adattati ai contesti locali. Inoltre misuriamo l’adesione e la confrontiamo con i nostri KPI, intervenendo direttamente quando emergono scostamenti».
Sul fronte operativo, le simulazioni di phishing restano uno strumento centrale: ogni mese SOL lancia campagne internazionali con livelli di difficoltà progressivi, che aumentano man mano che l’utente diventa più esperto. «Il risultato è che oggi riceviamo più segnalazioni di falsi positivi che di attacchi reali: segno che l’attenzione è cresciuta» – ha confermato con soddisfazione il manager.

La misurabilità resta uno snodo chiave, come emerge anche dalle dichiarazioni di Bonicelli, secondo cui «la compliance non è mettere una spunta ma richiede un approccio virtuoso che sappia dimostrarne l’efficacia». Dashboard, reportistica estraibile, correlazione dei dati per funzione e area geografica sono strumenti operativi fondamentali per individuare punti di debolezza e attivare percorsi mirati, anche in ottica di audit e accountability verso il management. Le nuove minacce, dai deepfake alle truffe via WhatsApp, impongono infine un ulteriore salto culturale. «Bisogna diffidare delle richieste urgenti e usare sempre un secondo canale di verifica» – ha ammonito il manager di Cyber Guru, ricordando come autenticazione multi-fattore, protezione dei device, uso rigoroso dei canali ufficiali e, per i ruoli aziendali più esposti, codici condivisi o domande di verifica diventino accorgimenti essenziali. Il messaggio conclusivo, e condiviso da entrambi, è assai chiaro: la consapevolezza resta la prima linea di difesa e la cybersecurity awareness, quando non si limita all’adempimento normativo, può concretamente diventare una leva strutturale di resilienza per l’intera organizzazione.

CON GLI OCCHI DELL’HACKER

Non è più sufficiente rafforzare le mura di protezione: occorre capire da dove e come un attaccante può entrare. È il cambio di prospettiva che Simone Crevenna, head of SMB & S/M Enterprise Sales Italy di ReeVo, ha sintetizzato illustrando il concetto di Continuous Threat Exposure Management (CTEM) come risposta alla crescente complessità del rischio informatico. «I normali sistemi di difesa restano fondamentali, ma da soli non bastano più» – ha spiegato il manager. «Oggi serve lavorare in profondità sull’infrastruttura IT esistente per capire cosa non funziona e sapere sempre come muoversi in uno scenario in cui le superfici di attacco continuano ad ampliarsi, mentre le risorse interne, e quindi team di sicurezza e competenze, faticano a tenere il passo». In quest’ottica, ReeVo, cloud e cybersecurity provider europeo con otto data center certificati Tier IV all’attivo, propone il CTEM come un processo continuo, più che come una singola tecnologia, seguendo un approccio che – secondo Gartner – è destinato a diventare centrale nei prossimi anni. «Nonostante investimenti significativi in soluzioni difensive, molti CISO ci parlano di un persistente senso di insicurezza» – ha confermato Crevenna, ricordando che «all’attaccante basta una porta aperta per creare un danno e oggi le porte sono molte di più rispetto al passato».

Il contesto in cui ReeVo si muove è quello di una crescita esponenziale delle vulnerabilità note, di configurazioni errate che si stratificano nel tempo, di ambienti ibridi sempre più complessi e di un perimetro che non coincide più con il firewall aziendale. Il CTEM, se integrato in un servizio chiavi in mano in grado di trasformare la complessità tecnica in una capacità decisionale concreta, rappresenta la soluzione più idonea per contrastare queste criticità: si assume il fatto che l’attaccante possa già essere “in casa” e si prova a ragionare dal suo punto di vista attraverso un framework che comprende definizione dello scenario, discovery, validazione, prioritizzazione e remediation. «Non chiediamo al cliente quale attacco vuole testare» – ha spiegato il manager. «Perché la nostra piattaforma lavora come farebbe un attaccante, sfruttando tutto ciò che trova, dalle vulnerabilità note alla misconfiguration fino alle password in chiaro».

Grazie all’uso di sensori leggeri distribuiti sull’infrastruttura reale (workstation, server, ambienti cloud) è possibile simulare percorsi di attacco senza impatti operativi, per un risultato finale che non è un elenco indistinto di problemi, bensì la ricostruzione dei percorsi più rapidi ed efficaci per arrivare agli asset critici. «Il valore che offriamo non è dire alle aziende che hanno mille vulnerabilità, ma indicare quali sono davvero rilevanti per il loro business in quel momento, evidenziando i nodi su cui intervenire per ridurre drasticamente la probabilità di compromissione» – ha sottolineato ancora Crevenna, ricordando come in un caso reale si è passati da una percentuale del 93% di asset compromessi al 7% in soli tre mesi di lavoro continuo. Per spiegare la valenza della soluzione, l’esperto di ReeVo ha usato la metafora del labirinto, in cui un attaccante cerca sempre la via più veloce per raggiungere l’uscita (e nel caso di un’azienda questa uscita sono i suoi asset critici). «Il CTEM rende visibile quel percorso e permette di interromperlo prima che venga sfruttato. A differenza dei sistemi tradizionali, per loro natura reattivi, questo tipo di risposta garantisce la necessaria visibilità: se un percorso non è ancora stato utilizzato, nessun SOC può intercettarlo, mentre noi andiamo a stimolare ciò che potrebbe accadere» – ha concluso Crevenna.

LA RESILIENCE DIVENTA SAFETY

Gestire il rischio cyber nelle infrastrutture critiche non è più un esercizio teorico, ma una questione di continuità dei servizi essenziali e di sopravvivenza operativa. Per Gaetano Sanacore, Group Security & Cyber Defence – OT Security senior manager di A2A, le sfide all’ordine del giorno riflettono un obiettivo ben definito: delineare un approccio concreto per proteggere infrastrutture critiche dove l’interazione tra sistemi informatici (IT) e sistemi di controllo industriale OT e IIoT cresce di anno in anno, con un impatto diretto sulla resilienza delle aziende. Citando le direttive europee NIS2 e Cyber Resilience Act, Sanacore ha ripercorso il tracciato che ha portato alla situazione attuale. «Dal 2018-2019, la normativa ha indicato chiaramente che le infrastrutture critiche devono iniziare a conoscere e trattare il rischio cyber, non limitandosi a standard di base (IT) come l’ISO 27001, utile ma insufficiente per i sistemi industriali. Applicare un’analisi del rischio IT in un ambiente OT – ha continuato il manager – è un errore se viene fatta in modo indifferenziato, in quanto ogni asset industriale deve essere valutato localmente, secondo gli standard IEC 62443, per garantire la resilienza cyber dell’infrastruttura».

La differenza sostanziale tra IT e OT è alla base di questa riflessione: nel mondo informatico (IT), aggiornamenti e interventi possono avvenire in finestre temporali limitate, spesso notturne, con sistemi ridondanti che permettono di limitare l’impatto; nei sistemi Operational Technology la logica è diversa perché «non si può semplicemente spegnere per mettere in aggiornamento un sistema SCADA o un impianto di produzione energetica. Ogni intervento deve essere pianificato per evitare i rischi di interruzione dei servizi essenziali, come nel caso della fornitura di energia verso le utenze domestiche». Una differenza, quella fra information e operational technology, che impone un approccio modellato sulla “specificità” di ciascun asset e della sua criticità operativa (Security Level associato). «Alcuni casi reali verificatisi in Europa mostrano come vulnerabilità nei sistemi IT possano compromettere direttamente gli ambienti OT» – ha rimarcato in proposito Sanacore, ricordando episodi di multiutility in cui falle nei software gestionali hanno permesso movimenti laterali fino ai sistemi di controllo OT degli impianti, esponendo le infrastrutture a scenari di compromissione molto gravi, con conseguenze operative ed economiche rilevanti.

Per affrontare queste sfide, la soluzione passa da un approccio differenziato, secondo il quale «non bisogna forzare la convergenza tra analisi del rischio IT e OT e non bisogna trattare i due ambiti come se fossero speculari». L’adozione di queste pratiche diventa cruciale anche alla luce dell’evoluzione tecnologica. L’integrazione di sistemi di automazione sempre più intelligenti, basati su machine learning ed agentic AI, amplia la superficie di attacco potenziale e introduce nuovi scenari di minaccia. «Garantire la resilienza cyber – ha precisato in proposito Sanacore – significa anticipare questi rischi e implementare soluzioni ridondanti e piani di continuità operativa che considerino la complessità dell’infrastruttura». Un ulteriore elemento di complessità, infine, è la gestione degli incidenti: se nel mondo IT un fuori servizio a causa di minacce cyber o a causa di un aggiornamento critico può essere affrontato in poche ore, nei sistemi industriali l’intervento deve preservare la continuità dei servizi essenziali e ciò implica un’organizzazione interna che sappia intervenire rapidamente e in modo coordinato. Non basta insomma seguire procedure standard – questo il messaggio finale rivolto alla platea dal manager di A2A – ma serve conoscere profondamente l’infrastruttura per segmentarla bene, valutando i rischi in modo localizzato e gestendo con rigore le interazioni tra i due mondi operativi.

LA SICUREZZA COME CULTURA

Quando si parla di cybersecurity, il mondo del fashion non è storicamente in cima alla lista delle referenze. Eppure, anche un gruppo simbolo del lusso Made in Italy come Prada si è trovato a fare i conti con una realtà sempre più evidente: dati, sistemi e reputazione sono asset critici da proteggere quanto – e forse più – dei prodotti fisici. Ugo Vignolo Lutati, chief information security officer di Prada Group, ha condiviso un’esperienza fatta di gradualità, pragmatismo e scelte culturali prima ancora che tecnologiche. «Quando sono arrivato due anni e mezzo fa, la cybersecurity non era una priorità» – ha ammesso senza giri di parole. «Prada è sinonimo di moda, eventi, creatività. La tecnologia, e ancora meno la sicurezza, non erano il primo pensiero». Poi qualcosa è cambiato. La scintilla è stata la consapevolezza del rischio reputazionale. «Un data breach, per un marchio come il nostro, non viene perdonato, perché i nostri clienti si aspettano eccellenza in tutto, anche – e soprattutto – nella protezione dei loro dati» – ha spiegato il CISO. Da qui la decisione di avviare un percorso strutturato, coinciso con l’arrivo di nuove figure in azienda (CIO e CTO) e con la creazione di una funzione CISO autonoma, che riporta direttamente alla presidenza.

Il risultato è stato un cambiamento rapido ma calibrato. «Siamo partiti da una postura di sicurezza molto basica e in pochi anni siamo arrivati a un livello più che dignitoso grazie al fatto di aver remato tutti nella stessa direzione» – ha spiegato il manager, ribadendo come Prada abbia scelto una roadmap realistica nella cybersecurity, costruita in stretta sinergia con l’IT ma mantenendo una chiara distinzione dei ruoli. Guardando al presente, le sfide principali sono due: intelligenza artificiale e compliance normativa. Sul fronte della Gen AI, il gruppo Prada ha scelto una linea di equilibrio. «L’AI va sfruttata, ma in modo consapevole e controllato» – ha spiegato Vignolo Lutati, precisando come il rischio, soprattutto in un’azienda creativa, è quello di violare inconsapevolmente la proprietà intellettuale o di esporre informazioni sensibili. La risposta a questa esigenza è un modello di governance basato sulla trasparenza e sulla comunicazione, rispetto a un approccio che non demonizza l’innovazione ma la porta “alla luce del sole”, trasformando il controllo in cultura. L’errore umano resta la prima causa di incidente cyber, ha ricordato il CISO, e per questo l’azienda ha ripensato completamente il modo di fare formazione, passando dalla semplice awareness all’ingaggio del dipendente attraverso un mix di iniziative non convenzionali, pensate per coinvolgere attivamente le persone e per rendere la sicurezza realmente digeribile.

Sul tema della compliance (da NIS2 al GDPR fino all’AI Act), invece, Prada ha adottato un approccio tattico nel senso più positivo del termine. «Non avere scadenze pressanti aiuta» – ha ammesso in tal senso Vignolo Lutati. «Perché possiamo prendere il buono delle normative e adattarlo alla nostra realtà». E rispetto a questa filosofia che mette l’awareness al centro, corre anche la sicurezza di Luna Rossa. «I membri del team – ha ricordato infatti il CISO – sono concentrati sulla performance sportiva, ma sono iperconnessi: prepararli prima delle competizioni in mare significa proteggere non solo i sistemi ma l’intero ecosistema della Coppa America». La lezione pratica che arriva dal caso Prada è chiara: la cybersecurity è (anche) una questione di maturità e non esistono scorciatoie tecnologiche che possano sostituire strategia, cultura e coinvolgimento delle persone.

MINACCE NASCOSTE TRA I DATI

La sicurezza informatica, ed è un concetto emerso più volte nel corso dell’evento, non è più solo sinonimo di difese perimetrali o reazione agli incidenti. Sempre più spesso le minacce si mimetizzano nei comportamenti quotidiani dei sistemi e degli utenti, diventando visibili solo a chi è in grado di leggerne i segnali deboli. Stefano Radaelli, senior solution architect di Elastic, ha puntato proprio su questo aspetto per ricordare come la sua azienda sia nata come motore di ricerca ma nel tempo si sia evoluta in una piattaforma capace di raccogliere e analizzare dati in tempo reale, individuando pattern anomali che altrimenti resterebbero nascosti. Un’evoluzione che ha portato Elastic a estendere il proprio raggio d’azione dalla semplice analisi dei log a una visione più ampia della sicurezza, che comprende endpoint, infrastrutture e ambienti cloud.

Secondo Radaelli, uno dei limiti storici di molte soluzioni di sicurezza è stato quello di fermarsi alla visibilità. «Raccogliere dati è fondamentale, ma non basta. Se non si interpretano e non si trasformano in informazioni utili, si rischia di annegare nei falsi allarmi» – ha precisato Radaelli, confermando come da questo presupposto derivi la scelta di affiancare alla raccolta dei dati anche funzioni di protezione attiva e di analisi avanzata, in grado di ridurre il carico operativo sui team di sicurezza. Una scelta che ha trovato un punto di svolta nell’intelligenza artificiale. «Per noi l’AI è uno strumento che aiuta a fornire un livello di intelligenza aggiuntivo, amplificando le capacità delle persone e aumentando la possibilità di correlare eventi e incidenti in modo più profondo, così come farebbe un vero analista esperto» – ha chiarito Radaelli.

In altre parole, la tecnologia Elastic lavora su ciò che è già stato segnalato dai sistemi, rilegge gli eventi, li mette in relazione e li trasforma in una storia coerente. E genera benefici: uno dei più immediati è la drastica riduzione dei falsi positivi, uno dei problemi cronici dei centri di sicurezza, dove un analista passa fino al 60-70% del tempo a verificare allarmi che poi si rivelano innocui. «Automatizzare questa fase del processo di sicurezza significa liberare risorse e concentrare l’attenzione sugli incidenti reali» – ha rimarcato Radaelli. «Grazie all’AI è possibile chiedere al sistema in linguaggio naturale di spiegare cosa sta succedendo, quali sono i rischi e quali azioni intraprendere, rendendo la sicurezza più comprensibile anche a chi non ha competenze specialistiche». La capacità di individuare anomalie nel tempo è un altro elemento distintivo della proposta di Elastic. Non si tratta solo di intercettare un comportamento sospetto nel momento in cui si manifesta, ma di analizzarne l’evoluzione nel corso di mesi. «Molti attacchi sono lenti e silenziosi.

La possibilità di rivedere ciò che è accaduto sei o dodici mesi prima, in modo automatico, consente di scoprire minacce che altrimenti passerebbero inosservate. La nostra forza è la capacità di cercare informazioni in tempi rapidissimi e in profondità indipendentemente dalla quantità di dati da analizzare, di collegare eventi apparentemente scollegati e di trasformare la complessità in decisioni rapide, senza richiedere stravolgimenti infrastrutturali».

AGENTIC SOC E OT

C’è un fattore che unisce molti degli interventi dei relatori del Security Forum: la velocità. Quella degli attaccanti, innanzitutto. Ma anche quella con cui le aziende sono chiamate a rivedere i propri modelli di difesa, spinte da una tecnologia – l’intelligenza artificiale – che sta cambiando le regole del gioco e da un panorama di minacce sempre più ricco, fra uso massiccio di credenziali rubate e social engineering in forte crescita. Quando si parla di SOC e di risposta agli incidenti, la riflessione di Luca Nilo Livrieri, SE director Southern Europe di CrowdStrike, va per l’appunto in questa direzione: «Siamo passati dall’AI generativa all’AI agentica: strumenti in grado di operare autonomamente per noi, in modo coordinato, all’interno di processi di sicurezza. Questi devono permetterci di rispondere ad attaccanti capaci di effettuare movimenti laterali in appena 51 secondi e di completare campagne end-to-end in meno di 24 ore».

Il concetto di Agentic SOC, un centro operativo in cui l’analista diventa l’orchestratore di una flotta di agenti, è la risposta a questa evoluzione delle minacce. Gli agenti intervengono nelle fasi di rilevazione, investigazione e risposta, riducono drasticamente il tempo speso in attività ripetitive e facilitano di conseguenza il lavoro dell’analista, che trova già un triage pronto da validare, senza necessità di costruirlo da zero. Il vero salto in avanti è però un altro, ben descritto da Livrieri: «Gli agenti non si limitano a segnalare cosa è successo, ma ricostruiscono l’attacco, anticipano i passi successivi e suggeriscono le azioni di remediation. Il principio di fondo resta però quello dell’human in the loop, secondo cui l’essere umano rimane al centro del processo decisionale».

L’intelligenza artificiale, oltre a essere un potente strumento di difesa, definisce anche un nuovo livello di protezione ed è qui che entra in gioco il tema dell’AI-driven detection and response. «L’AI in azienda – ha osservato Livrieri – apre opportunità enormi, ma anche nuovi rischi. Il primo è quello della shadow AI, e quindi il non sapere quali strumenti di AI stanno usando i dipendenti e soprattutto di come li stanno usando. Il secondo fronte di intervento riguarda il comportamento degli agenti stessi, che vanno trattati come utenti con identità, privilegi minimi e regole chiare». Il rischio di attacchi legati all’intelligenza artificiale (avvelenamento dei dati, manipolazione dei modelli, generazione inconsapevole di codice malevolo) è tale da imporre alle aziende di governare in modo attento e responsabile i flussi, i modelli d’uso e i permessi, esattamente come si fa con le persone.

Se nel mondo IT, l’intelligenza artificiale è una leva ormai inevitabile, nel mondo OT il discorso cambia radicalmente. A ricordarlo è Marcello Romeo, presales manager South Europe di TXOne Networks, che ha messo subito in guardia dall’errore ricorrente di applicare all’Operational Technology logiche e soluzioni nate per l’IT. «Sono due mondi diversi: trattarli come se fossero uguali è un rischio. Nel mondo industriale dominano sistemi legacy, processi in tempo reale e ambienti spesso isolati. Stiamo parlando di impianti che funzionano da 10, 15 o anche 20 anni e di un contesto, quello industriale, dove anche un ritardo minimo può avere effetti devastanti. Il comportamento atteso della macchina e dei processi che governano la produzione è noto a priori e deve essere sempre lo stesso, ripetibile nel tempo e quindi deterministico. Una soluzione IT che rallenta di mezzo secondo un processo può essere irrilevante per un umano, ma disastrosa per una linea di produzione». Ed è per questo che l’intelligenza artificiale nell’OT va inquadrata con attenzione. «In molti casi si fa confusione» – ha precisato il manager di TXOne Networks. «Per comprendere se l’AI serve oppure no e le sue limitazioni, prima dobbiamo definire il contesto, soffermandoci sullo scenario di produzione OT. L’intelligenza artificiale può essere utile e avere senso nella fase transitoria di ottimizzazione dei processi, per individuare i parametri migliori di funzionamento attraverso miriadi di simulazioni, ma una volta definiti, quei parametri devono restare invariati, proprio perché gli impianti a regime devono funzionare in modo costante nel tempo».

Nella cybersecurity OT, l’obiettivo è un altro, non è quello di prevedere bensì quello di prevenire qualsiasi deviazione dal comportamento atteso. «Per rilevare un’anomalia e capire la deviazione dalla normalità non serve un’AI complessa» – ha osservato ancora Romeo. «Ma serve un meccanismo di auto-apprendimento che conosca a fondo il funzionamento della macchina». La priorità di ogni azienda, in altre parole, è costruire una baseline dei comportamenti leciti e bloccare tempestivamente ogni alterazione, anche quando è causata da un errore umano o da un intervento non autorizzato, consapevoli del fatto che «ogni deviazione è sintomo di errore e può trasformarsi in un problema di safety con impatti diretti sulle persone che lavorano a stretto contatto dell’impianto». La sfida della resilienza, in definitiva, è una sfida di consapevolezza: l’intelligenza artificiale non è una scorciatoia universale, ma una tecnologia che va governata, contestualizzata e adattata (dall’uomo) alla realtà e al contesto in cui è chiamata a operare.

Cyber resilience in azione, la risposta dei settori critici

Banche, industrie e utility energetiche affrontano le minacce digitali cambiando l’approccio alla cybersecurity. Non si tratta più solo di proteggere perimetri o prevenire intrusioni, ma di costruire resilienza sistemica in ecosistemi digitali sempre più complessi e interconnessi. Con la partecipazione di ENGIE Italia, Ferrero, Snam e UniCredit

di Federica Maria Rita Livelli

La cybersecurity deve coincidere con la governance aziendale, la strategia e la continuità operativa. DORA, NIS2 e l’AI Act stanno trasformando il modo in cui le organizzazioni affrontano il rischio digitale. Tra convergenza IT/OT, intelligenza artificiale e supply chain distribuite, il quadro emerso dal confronto con UniCredit, Ferrero, Snam ed ENGIE Italia che hanno partecipato al Security Forum di Data Manager, è che proteggere dati, processi e infrastrutture critiche richiede un approccio che integra compliance normativa, gestione del rischio e resilienza digitale. La lezione dei protagonisti è netta: la sicurezza non è più un adempimento, ma una leva strategica per innovare, proteggere la reputazione e garantire continuità in un mondo digitale sempre più complesso.

DORA E RESILIENZA OPERATIVA

Ha aperto la tavola rotonda Stephane Speich, head of Business Continuity & Resilience Group di UniCredit, portando la prospettiva del settore bancario, dove DORA sta ridefinendo completamente la resilienza operativa digitale. Come ha affermato Speich: «Non si tratta semplicemente di conformarsi a una nuova normativa, ma di ripensare la governance per garantire la cyber resilience in un contesto di compliance normativa cogente». Per questo motivo, è stata condotta una gap analysis dei requisiti DORA, inclusi gli aspetti di cybersecurity, e sviluppato un framework per la gestione dell’IT continuity, capace di affrontare scenari severi ma plausibili.

Inoltre, Speich ha sottolineato: «Le sfide del contesto attuale comportano l’utilizzo di strumenti e approcci nuovi. L’AI Act avrà un impatto anche sul settore bancario, introducendo nuove minacce, in particolare sull’integrità dei dati. In generale, l’obiettivo della pratica della continuità operativa è quello di garantire una capacità adeguata di risposta e recovery dei servizi e dei processi di business anche per gli scenari IT e cyber che prevedono una perdita di integrità dei dati».

IT E OT CONVERGONO

Il tema della sicurezza del settore manifatturiero è stato enfatizzato da Francesco Lucio Corrado, head of Cybersecurity di Ferrero che ha sottolineato come la convergenza tra IT e OT non sia più teoria, ma una realtà quotidiana che impatta direttamente i processi industriali. «In questo contesto – ha spiegato Corrado – normative come NIS2 e standard come IEC 62443 devono dialogare con ambienti produttivi che non ammettono interruzioni e dove la disponibilità dei sistemi è vitale e la confidenzialità dei dati resta imprescindibile. Mantenere aggiornati i sistemi operativi è fondamentale, ma la vera sfida è gestire la connessione tra IT e OT e l’orchestrazione necessaria per affrontare due prospettive di rischio differenti: da un lato la protezione dei dati e dall’altro la continuità operativa».

Il settore manifatturiero è oggi tra i più esposti agli attacchi informatici, con ransomware e compromissioni della supply chain in forte crescita. Gli impatti non si limitano alle perdite economiche, ma coinvolgono anche la reputazione e la sicurezza fisica delle persone. Per questo – ha evidenziato Corrado – la risposta non può essere confinata alla protezione perimetrale: «Serve una strategia di cyber resilience che integri continuità operativa, gestione del rischio e cybersecurity in un approccio olistico. Solo così è possibile affrontare minacce sempre più sofisticate e normative sempre più stringenti».

All’interno delle organizzazioni, la sfida non è solo tecnologica, ma anche culturale. È necessaria una responsabilizzazione diffusa sul rischio cyber, che coinvolga non solo i team IT e OT, ma anche il management e la supply chain. La sicurezza deve diventare parte integrante della strategia aziendale, non un requisito accessorio. Come ha rimarcato Corrado – «implementare la cyber resilience significa adottare un modello che unisca business continuity, risk management e cybersecurity, creando un ecosistema sicuro e resiliente capace di sostenere l’innovazione, senza compromettere la stabilità operativa».

ECOSISTEMI DISTRIBUITI E AI

Il settore dell’energia e delle utility è stato analizzato da Dario Brambilla, manager Technical & Digital Security di Snam, e Paolo Cannistraro, CISO di ENGIE Italia. Un contesto complesso, dove reti di distribuzione intelligenti, impianti di generazione connessi e sistemi SCADA governano infrastrutture critiche per milioni di utenti. La transizione verso fonti rinnovabili e reti smart ha creato un ecosistema distribuito, in cui l’innovazione si traduce nell’uso massiccio dell’intelligenza artificiale per bilanciare la rete, ottimizzare il demand response, gestire dinamicamente i prezzi e prevedere i consumi. Per Paolo Cannistraro – «è importante diffondere la NIS2 all’interno dell’organizzazione, considerando che molte realtà aziendali, con sedi in diversi Paesi europei, devono altresì gestire la sfida del recepimento disomogeneo della normativa a livello nazionale».

Mentre per quanto riguarda l’impiego dell’AI nel mondo utility, Cannistraro ha sottolineato: «L’adozione di questa tecnologia dirompente da parte dell’azienda implica di eseguire un’analisi del rischio non solo cyber, ma anche di privacy e legale per tutte le soluzioni adottate. Insomma, la gestione deve essere orchestrata per garantire una sicurezza a 360 gradi, utilizzando l’AI sia come leva strategica del business sia come arma difensiva». Infine Cannistraro ha aggiunto: «Il focus particolare della NIS2 sulla gestione della supply chain comporta che tutti i sistemi end-to-end e la catena del valore siano in sicurezza e resilienti».

Per Dario Brambilla, il punto chiave è strutturare la filiera della fornitura: «La maggior parte dei fornitori hanno un core business diverso e, per loro, la cybersecurity non è prioritaria, essendo produttori di componenti di impianto. Risultato: è necessario verificare la postura e le responsabilità di sicurezza del fornitore, oltre ad inserire clausole di resilienza chiare nei contratti». Brambilla ha evidenziato che l’introduzione dell’AI presenta una sfida fondamentale per le organizzazioni: «Da un lato richiede una profonda ridefinizione dei processi operativi e decisionali, dall’altro impone di garantire il mantenimento del controllo umano (“man in the loop”) nelle decisioni critiche». Emerge così la natura ambivalente di questa tecnologia: se da una parte si configura come alleata strategica capace di generare vantaggi competitivi significativi, dall’altra introduce nuove vulnerabilità che le organizzazioni devono fronteggiare.

REQUISITI E OPERATIVITÀ

Tornando sul tema dell’AI, Corrado di Ferrero ha ribadito l’importanza delle soluzioni di Information Security Assurance & Compliance e come esse rappresentino un supporto importante per la gestione della resilienza digitale, sottolineando – allo stesso tempo – che la tecnologia, da sola, non è sufficiente. Secondo Corrado serve una componente umana qualificata, capace di interpretare il contesto aziendale e i rischi specifici, per trasformare la sicurezza da semplice requisito a leva strategica. «Solo chi conosce a fondo il proprio ecosistema può definire priorità efficaci e misure di protezione che sostengano il business nel lungo periodo. Guardando avanti, la sfida non è solo implementare controlli, ma integrare la sicurezza nella cultura aziendale. Ogni livello dell’organizzazione deve essere consapevole dei rischi e avere ruoli e responsabilità chiari, per ridurre complessità e favorire agilità. La semplicità nel dialogo e la condivisione di una visione comune diventano fattori chiave per affrontare normative sempre più stringenti e per costruire un modello di governance che abiliti innovazione sicura. In prospettiva, la compliance non deve essere vista come un vincolo, ma come un acceleratore di competitività e fiducia nel mercato». Le soluzioni di Assurance & Compliance – come ha evidenziato Corrado – possono fornire una guida, ma la vera differenza la fanno le persone: solo chi sa interpretare i controlli e calarli nel contesto, bilanciando requisiti e operatività, riesce a renderli realmente efficaci.

UNIFICARE GLI STANDARD

Durante la tavola rotonda, gli esperti hanno sottolineato con forza la necessità di definire framework e template condivisi, capaci di integrare normative che oggi risultano sovrapposte e rischiano di creare un divario tra conformità formale e resilienza effettiva. Ne emerge un consenso unanime sull’urgenza di unificare gli standard di cybersecurity, pur mantenendo le specificità settoriali necessarie. Nonostante le diverse sfumature applicative richieste dai singoli contesti industriali, tutte le normative convergono verso un unico obiettivo strategico: la cyber resilience. Ogni settore e organizzazione opera in un contesto specifico, ma le esperienze vissute – difficoltà, errori e strategie sperimentate – diventano patrimonio comune, generando insegnamenti condivisibili. Per questo, le normative e direttive europee mirano a creare spazi di confronto e condivisione tra tutti gli attori coinvolti.

GOVERNANCE INTEGRATA

Non esiste una soluzione miracolosa per proteggere completamente gli ecosistemi industriali dagli attacchi informatici. Tuttavia, l’adozione di solide pratiche di gestione del rischio e continuità operativa, unite a una visione globale della cybersecurity che consideri le specificità dei sistemi IT e OT, può garantire la cyber resilience delle infrastrutture critiche. Inoltre è sempre più necessario promuovere partnership pubblico-private e una stretta collaborazione tra i paesi europei, condividendo informazioni e attività di intelligence. L’Unione Europea si sta già muovendo in questa direzione con normative come NIS2, DORA, CER e IEC 62443, che evidenziano l’importanza e l’urgenza di un approccio olistico per rafforzare le difese delle infrastrutture critiche.

Al centro resta la conoscenza: acquisire consapevolezza degli scenari multirischio, comprendere i requisiti di conformità e responsabilizzare gli stakeholder. Tuttavia, i partecipanti alla tavola rotonda hanno lanciato un avvertimento. L’eccesso di regolamentazione può risultare controproducente: la cybersecurity non deve ridursi a mero adempimento normativo, ma va valorizzata come leva strategica di crescita. Questo implica il coinvolgimento attivo delle terze parti attraverso collaborazioni strutturate ed esercitazioni pratiche, affinché la sicurezza diventi un elemento realmente integrato e condiviso. In conclusione, solo l’attuazione costante e condivisa di questo rigoroso framework – una vera “tavola delle leggi” – potrà garantire la sopravvivenza della nostra civiltà digitale nel complesso scenario delle minacce informatiche.

Foto di Gabriele Sandrini

Point of view

Intervista a Luca Nilo Livrieri senior director, sales engineering Sud Europa di CrowdStrike: Agentic SOC, la cybersecurity si evolve 

Intervista a Marco Bonicelli presales manager di Cyber Guru Italia: Cyber awareness, da costo ad asset strategico

Intervista a Stefano Radaelli senior solution architect di Elastic: Minacce invisibili e rischio di perdersi nei dati

Intervista a Simone Crevenna head of SMB & S/M Enterprise Sales Italy di ReeVo: Fuori dal labirinto della cyber exposure

Intervista a Marcello Romeo pre-sales manager Southern Europe di TXOne Networks: OT security, perché copiare l’IT non funziona

L'articolo Fattore governance, ecco come cambia la sicurezza proviene da Data Manager Online.

L’intelligenza artificiale è una leva strategica per il cambiamento di modelli di business, processi e modalità di lavoro? Lo è indubbiamente, perché le tecnologie degli algoritmi e dei modelli di linguaggio di grande formato mettono oggi a disposizione delle imprese strumenti avanzati per migliorare l’efficienza operativa, anticipare i trend di mercato e creare esperienze utente sempre più su misura. Non si tratta più di scenari futuristici, ma di una realtà in rapido consolidamento, di un fenomeno (non a caso definitivo trasformativo) capace di ridefinire interi comparti e intere industrie.

Alla base dell’AI, e questo è un messaggio forte e chiaro che emerge dai protagonisti di questo settore, ci sono i dati: strutturati e non strutturati, prodotti e raccolti in tempo reale e provenienti da fonti interne o esterne. Perché l’intelligenza artificiale possa esprimere tutto il suo potenziale, è essenziale valorizzare i dati aziendali attraverso una governance efficace e una cultura diffusa del dato stesso. La corsa all’adozione dell’intelligenza artificiale non può inoltre prescindere da una riflessione approfondita sugli aspetti normativi, etici e di responsabilità. Comprendere potenzialità, limiti e implicazioni delle tecnologie AI è il primo passo per una trasformazione digitale consapevole. Per cogliere appieno i vantaggi di questa tecnologia, sono fondamentali due azioni di largo respiro. La prima è promuovere la conoscenza approfondita delle sue potenzialità e dei suoi limiti, in un contesto regolatorio in continua evoluzione. La seconda è garantire resilienza all’azienda e all’ecosistema in cui opera, attraverso un approccio responsabile, capace di garantire fiducia e sostenibilità nel tempo. L’intelligenza artificiale, come concordano esperti e addetti ai lavori, non è una meta, bensì un percorso che richiede capacità di adattamento e spirito collaborativo: governare l’intelligenza artificiale, in altre parole, significa saperne indirizzare gli effetti con responsabilità e visione strategica.

La sintesi dialettica su come dati e AI stanno ridisegnando la governance aziendale, emerge in modo evidente dal Data & AI Forum 2025: l’evento di Data Manager che riunisce, esperti, vendor e utenti per analizzare l’impatto reale della trasformazione data-driven e mettere a fuoco le sfide e le opportunità di un’infrastruttura informativa davvero al servizio del business. Sullo sfondo del prestigioso Gran Visconti Palace di Milano, non solo riflessioni teoriche, ma anche casi d’uso reali, progetti già operativi e testimonianze dal campo, a dimostrazione di come la collaborazione tra tecnologie emergenti e intelligenza umana stia già ridisegnando il modo in cui imprese e organizzazioni affrontano il cambiamento. Dall’analisi predittiva alla data governance, dalla semantica all’automazione intelligente, la giornata restituisce una prospettiva chiara: il futuro si gioca sulla capacità di orchestrare dati e AI in modo strategico. Con la partecipazione: Amplifon, Aubay, Denodo, Plenitude, Generali, Gi Group Holding, Intesa Sanpaolo, Qlik, RCS MediaGroup, Università degli Studi di Milano-Bicocca.

POTENZA E CONSAPEVOLEZZA

L’Intelligenza artificiale si è affermata in questi ultimi anni come uno degli snodi centrali della trasformazione digitale, impattando in modo pervasivo e sostanziale sull’operatività quotidiana di aziende e organizzazioni.  Il cambiamento è profondo, trasversale, e coinvolge ogni settore. Impone alle organizzazioni un ripensamento strutturale sul modo in cui i dati vengono raccolti, interpretati e messi al servizio del business. Parola di Gabriella Pasi, professoressa ordinaria del Dipartimento di Informatica, Sistemistica e Comunicazione e pro-rettrice all’Internazionalizzazione dell’Università Milano-Bicocca, che nell’intervento di apertura evidenzia un punto chiave: «Le tecnologie basate su intelligenza artificiale stanno rivoluzionando la gestione dei processi decisionali, con ricadute importanti sull’efficienza e sull’esperienza del cliente». Ma per rendere davvero efficace e sostenibile questa transizione, serve un passo in più: costruire conoscenza attorno alle potenzialità e ai limiti dell’IA, adottare un approccio responsabile che bilanci innovazione e governance. «La velocità dello sviluppo tecnologico –aggiunge Pasi – impone nuovi standard di trasparenza, sicurezza e protezione della privacy. La fiducia nasce solo da un uso consapevole e regolato delle tecnologie».

L’intelligenza artificiale è sotto i riflettori, ma non è certo una novità. Le sue origini risalgono agli anni Cinquanta, quando nel 1956 fu coniato il termine stesso. È però negli ultimi anni che l’interesse verso questa tecnologia è cresciuto in modo esponenziale, spinto da due fattori principali: la proliferazione di un’ingente quantità di dati e l’aumento della potenza di calcolo. «Oggi se ne parla tantissimo – osserva Gabriella Pasi – perché siamo sommersi da dati e contenuti di ogni tipo, e la capacità di elaborazione dell’hardware ha raggiunto livelli impensabili fino a poco tempo fa».

#DataAIForum #unimib Gabriella Pasi: L’algoritmo non “pensa” – Come costruire casi d’uso di successo
Click To Tweet

In una prima fase di questo processo evolutivo, svariate tecniche di apprendimento automatico (machine learning) hanno consentito di realizzare numerose applicazioni. Più recentemente è sopraggiunta l’era dell’IA generativa, che ha consentito la definizione di algoritmi (basati su reti neurali profonde) in grado di apprendere da immani quantità di contenuti come generarne nuovi (testi, immagini, codice o contenuti multimediali). Ma accanto alle possibilità straordinarie che questi strumenti offrono, serve uno sguardo critico. «Con l’intelligenza artificiale generativa – precisa Pasi – l’algoritmo non “pensa”, ma elabora e genera contenuti su basi probabilistiche. Per questo è fondamentale comprenderne il funzionamento, le grandi potenzialità ma anche i limiti, e in quali contesti possa essere utile davvero». La parola chiave resta quindi consapevolezza. Nessuna tecnologia, per quanto avanzata, può sostituire la capacità umana di interpretare, validare, decidere. E l’impegno di chi sviluppa, adotta o promuove soluzioni basate su IA dovrebbe essere proprio questo: aiutare le organizzazioni a orientarsi tra opportunità e rischi, con responsabilità e competenza. Un altro elemento decisivo è la provenienza dei dati. Senza chiarezza sulle fonti, sull’ordine e sui processi che hanno trasformato l’informazione, l’intera catena decisionale può incepparsi. La qualità, la tracciabilità e la responsabilità diventano così elementi fondamentali per costruire sistemi di IA affidabili e trasparenti. Lavorare con dati di qualità è un presupposto fondamentale – come ricorda ancora l’esperta – richiamando l’attenzione sull’emergere dei dati sintetici e sull’importanza di valutarne l’affidabilità.

Anche per una ragione estremamente delicata: in un panorama dove i dati tendono a uscire sempre più spesso dal perimetro aziendale per finire nelle mani delle BigTech, diventa ancora più urgente interrogarsi sulla governance, sulla sicurezza e sul controllo delle informazioni sensibili. Una priorità per manager e decisori aziendali è quindi il rapporto tra intelligenza umana e intelligenza artificiale, un binomio che necessita di una presa di consapevolezza altrettanto importante. Se l’IA può automatizzare, analizzare e suggerire, non può e non deve sostituire il pensiero critico e la supervisione umana. Ed è proprio in questa interazione che si gioca la partita più importante, quella di una collaborazione virtuosa fra le due intelligenze, guidata da principi etici e rispetto della privacy. Pensare a un’AI davvero utile e sostenibile, infine, significa anche toccare l’aspetto dell’adattabilità. «Applicazioni diverse – spiega Gabriella Pasi – necessitano di modelli d’uso diversi della tecnologia, che si allontanano da una logica di condivisione standardizzata e che si avvicinano invece all’idea di modelli di IA più sostenibili, abbracciando un’esperienza d’uso su misura, più personalizzata e contestuale».

#DataAIForum Intelligenza artificiale, dati e consapevolezza: la nuova triade della competitività
Click To Tweet

LA CORSA VERSO L’AI AGENTICA

Se da un lato le aziende italiane hanno molta voglia di sperimentare con l’AI e gli agenti intelligenti, dall’altro non va sottovalutato il rischio che si lascino sedurre dalla narrazione che circonda l’intelligenza artificiale. «Non sono rari i casi – evidenzia Giorgio David Jacchini, senior manager di Aubay Italia – in cui si pensa di introdurre l’AI e automatizzare subito un processo. Ma senza dati e senza struttura, è come voler guidare una macchina su una strada non asfaltata. Non si tratta quindi solo di destinare risorse, ma di orientare correttamente l’investimento: spesso le aziende sono disponibili a spendere nell’intelligenza artificiale, ma fanno più fatica a destinare lo stesso budget al data management. È una questione di percezione: ma prima bisogna costruire le fondamenta».

La necessità di un cambio di approccio è palese ma c’è anche un segnale incoraggiante, che proprio Aubay sta raccogliendo sul campo: la maturità tecnologica delle imprese sta crescendo e con essa la consapevolezza dei dirigenti, che non chiedono più al tech provider «cosa possiamo fare con l’AI» – ma arrivano preparati all’incontro con il fornitore di tecnologia dicendo – «vogliamo applicare l’AI su questo processo». E questo – rileva Jacchini – è un bel segnale, perché conferma la tendenza ad abbandonare le suggestioni teoriche legate all’uso degli algoritmi e degli strumenti generativi per focalizzarsi su soluzioni realmente applicabili. Il passo avanti tecnologico, per contro, deve essere accompagnato da un’evoluzione culturale e organizzativa. «Molte aziende italiane hanno una struttura padronale o familiare e quindi serve convincere l’imprenditore e coinvolgere tutta l’organizzazione. Il cambiamento non può però essere gestito solo da un IT manager entusiasta, è necessario un vero processo di change management». Guardando all’AI agentica, l’esperienza maturata da Aubay suggerisce che uno degli ostacoli principali all’adozione di queste tecnologie non è – come si potrebbe pensare – una questione di budget.

#DataAIForum #Aubay L’AI agentica nelle imprese italiane: quadro di crescente maturità
Click To Tweet

«La messa in pista di un agente intelligente non è fuori portata nemmeno per una PMI» – spiega in modo convinto Jacchini. «I costi non sono la criticità principale, perché parliamo di progettualità che anche una media impresa può ragionevolmente sostenere. Il vero ostacolo non è economico, ma culturale e infrastrutturale». A fare la differenza è la qualità dei dati. Lo scenario tipico che si manifesta è il seguente: molte imprese italiane, soprattutto in ambito manifatturiero, sono cresciute in modo organico, stratificando sistemi IT uno sopra l’altro, senza una visione d’insieme. Il risultato? Architetture incoerenti, silos informativi, difficoltà nell’unificare e rendere utilizzabili i dati. E senza dati di qualità, gli agenti rischiano di diventare inutili o, peggio, dannosi mentre invece devono diventare strumenti su misura e personalizzati, allenati a lavorare sui dati dell’impresa. «L’agente – precisa Jacchini – impara dai dati aziendali. Se questi non sono coerenti, aggiornati e ben strutturati, le risposte saranno scorrette e incoerenti. La preparazione del dato è dunque il passaggio chiave, perché è al livello del dato che si possono nascondere criticità derivanti da sistemi informativi cresciuti in modo non uniforme, aggiungendo pezzi non interoperabili fra di loro. Senza una base dati omogenea e ben ottimizzata, diventa difficile automatizzare il singolo processo».

A che punto siamo – è lecito chiedersi – con l’adozione degli agenti AI nelle imprese italiane? La risposta di Aubay conferma un quadro di crescente maturità: le imprese oggi sono decisamente più preparate ad affrontare l’adozione dell’intelligenza artificiale. In particolare, CIO e responsabili IT mostrano una maggiore consapevolezza nell’identificare i processi interni che possono essere ottimizzati, rendendo l’integrazione dell’AI sempre più mirata ed efficace. «La base è più solida rispetto a soli dodici mesi fa, anche se i processi delle medie imprese di alcuni specifici settori, manifatturiero in testa, sono complessi» – spiega Jacchini. «Le sfide non mancano, ma non possono diventare un freno né per noi vendor tecnologici né per le aziende utenti. Siamo solo all’inizio di un percorso, che oggi ci vede nella fase dell’AI agentica 1.0, ma il mondo dell’automazione di processo è in continua evoluzione e chi parte oggi con il piede giusto avrà un grande vantaggio competitivo domani, quando parleremo di agenti 2.0 e oltre».

#DataAIForum Competenze e visione. End-to-end data strategy: dal dato grezzo alla decisione informata
Click To Tweet

USE CASE CHE FANNO SCUOLA

Ad arricchire il panel di relatori del Data & AI Forum, l’intervento dei diversi rappresentati di importanti aziende italiane, e fra questi Giuseppe Ficara, group Data & AI Officer e global senior director di Amplifon. Per l’azienda leader globale nei servizi e soluzioni per l’udito, l’intelligenza artificiale non è più (solo) un fenomeno da osservare, ma uno strumento da testare, addestrare e integrare nei flussi reali di lavoro. La società ha infatti avviato un programma strutturato di sperimentazione dell’AI generativa (denominato AmplifAI), con l’obiettivo di indirizzare l’adozione di questi strumenti a supporto della produttività personale degli addetti Amplifon, attraverso progetti pilota basati su soluzioni Google (Gemini e NotebookLM) e Microsoft (Copilot). L’approccio seguito da Amplifon è quindi esplorativo ma metodico, e racconta una visione matura e sistemica dell’AI: non un esercizio di stile, ma un percorso disciplinato, dove sperimentazione, governance e formazione convergono per costruire una base solida verso un’adozione scalabile e responsabile della tecnologia.

«L’analisi di tutti i feedback raccolti nell’arco di diversi mesi – spiega Ficara – porterà a una scelta strategica sulla soluzione da implementare. Non escludiamo a priori l’utilizzo di entrambe. Il nostro obiettivo è chiaro: vogliamo valorizzare l’AI generativa su scala, superando l’approccio limitato all’uso di strumenti generalisti come ChatGPT e integrandola in modo strategico nei processi aziendali». L’ambizione di Amplifon, in altre parole, è quella di costruire una “AI enterprise-ready”, capace di impattare sul lavoro quotidiano in maniera concreta e misurabile. Per farlo, ha creato una vera e propria “control tower”: un team multidisciplinare che include figure attive in tutte le aree strategiche dell’azienda. «Abbiamo coinvolto una cinquantina di persone rappresentative delle varie funzioni e la finalità è quella di sviluppare business case e sperimentarle per capire in modo approfondito le potenzialità della tecnologia applicata ai processi» – continua Ficara.

#DataAIForum #Amplifon La sperimentazione dell’AI al servizio della produttività personale
Click To Tweet

«Il percorso di sperimentazione non si limita dunque alla sola dimensione tecnica, con la prototipazione e la verifica delle use case, ma si estende a un piano strutturato di formazione interna, definito in collaborazione con le funzioni legal e risk e con il fine garantire che l’adozione dell’AI sia accompagnata da una solida cultura digitale». Sebbene il programma sia ancora nella fase di test e validazione, alcune applicazioni sono già entrate in produzione, soprattutto per l’automazione di processi specifici legati alla generazione di contenuti. Uno degli aspetti più interessanti dell’esperienza di Amplifon con l’AI è il modo attraverso il quale l’azienda reinterpreta il rapporto tra dati e intelligenza artificiale. «Stiamo ribaltando il paradigma della data governance» – evidenzia Ficara. «Il nostro utente interno oggi va a lavorare sui KPI generati e modellati dall’intelligenza artificiale per validarne la correttezza in termini di definizione, mentre in passato era chiamato a gestirne manualmente il suo aggiornamento, compito che ora è affidato alla macchina».

Un effettivo cambio di paradigma che sposta il compito umano dal “fare” al “verificare”, liberando tempo, energie e competenze per attività a più alto valore. Se la prima ondata di intelligenza artificiale si è concentrata su automazione, predizione e analytics, la seconda – guidata dalla Generative AI – apre scenari radicalmente nuovi, soprattutto in settori storicamente sensibili all’innovazione tecnologica, come quello dei media. L’adozione di modelli linguistici avanzati e agenti intelligenti sta trasformando l’intero ciclo di vita dei contenuti: dalla produzione alla personalizzazione, fino alla monetizzazione.

#DataAIForum L’AI per la continuità operativa ma serve sapere dove e quando usarla
Click To Tweet

Lo dimostra in modo concreto l’esperienza di RCS MediaGroup, gruppo editoriale che comprende brand come il Corriere della Sera, la Gazzetta dello Sport, El Mundo, Marca, e che raggiunge oltre 200 milioni di utenti mensili tra Italia, Spagna, America Latina e Stati Uniti. L’azienda ha implementato oltre 20 progetti di AI generativa e 50 iniziative di AI tradizionale, avviando a una trasformazione profonda dei processi editoriali e del rapporto con il pubblico. «Il piano è nato nel 2020» – racconta Rocco Michele Lancellotti, chief data & AI officer del Gruppo. «Siamo partiti dalla costruzione di un data lake centrale, proseguendo con un’intensa attività di pulizia e preparazione dei dati, che sono poi stati elaborati con tecniche di advanced analytics, machine learning e modelli LLM. Tutto ciò ha coinvolto attivamente le funzioni di business, marketing e redazione, in un clima di fiducia condivisa nel valore e nel supporto che può fornire la tecnologia generativa».

Il cuore della strategia di RCS è un’architettura unificata, definita One Multimodal AI Brain, che integra oltre 3.000 KPI monitorati quotidianamente, più di 100 dashboard a supporto della gestione data-driven, motori di ricerca multimodali e strumenti intelligenti per SEO, content creation, customer care e automazione. «La nostra evoluzione punta alla personalizzazione delle esperienze dei nostri lettori e spettatori» – spiega Lancellotti – «grazie ad agenti intelligenti capaci di operare in contesti dinamici e profilati. Uno di questi, potenziato da Gemini, elabora oltre 60 KPI per abbonato e propone azioni su misura per l’operatore di call center, basandosi su abitudini di lettura, interessi e dati di engagement. Se, ad esempio, un abbonato mostra interesse per la geopolitica, l’agente suggerisce l’invio di una newsletter tematica firmata da Federico Rampini».

Tra i componenti più avanzati dell’architettura ci sono il SEO Assistant Agent, che genera autonomamente report ottimizzati per la misurazione delle performance di traffico, e il Website Search Agent, che trasforma la ricerca tradizionale in una vera e propria conversazione, con suggerimenti contestuali e follow-up basati su query autogenerate. L’approccio di RCS MediaGroup si fonda su una visione avanzata degli agenti AI, intesi non come semplici chatbot, ma come entità autonome o semi-autonome, costruite su large language models opportunamente orchestrati e customizzati, dotati di obiettivi, capacità decisionali e interazione ambientale. Veri e propri attori digitali, in grado di adattarsi, apprendere e agire in scenari variabili, portando in azienda l’innovazione dell’AI generativa e agentica, ben oltre i limiti della tradizionale Robotic Process Automation, focalizzata sull’automazione di processi rigidi e predefiniti. Per raggiungere questo livello e sfruttare l’intelligenza artificiale come abilitatore concreto di nuovi modelli di business e di fidelizzazione dell’utente, la formula vincente adottata da Lancellotti è stata chiara: «Costruire un team di figure competenti, con piena ownership del progetto di GenAI, per evitare il rischio di proof of concept non strutturati e destinati al fallimento. Fondamentale, in questo percorso, è stato anche il commitment del CEO, che ha garantito la visione strategica e il supporto finanziario necessario allo sviluppo del team e dell’intero programma di AI».

#DataAIForum #RCSMediagroup Oltre tremila KPI per orchestrare l’intelligenza redazionale con l’AI
Click To Tweet

SEMANTICA E CAMBIAMENTO

Nel corso di una delle tavole rotonde del Data & AI Forum, Denodo e Qlik, due protagonisti di primo piano nel panorama tecnologico, condividono la loro visione sul ruolo strategico dei dati. Entrambi attivi nello sviluppo di soluzioni per l’analisi e la valorizzazione delle informazioni aziendali, sottolineano come il modo in cui i dati vengono gestiti e interpretati rappresenti un elemento determinante per dare forma a progetti di intelligenza artificiale realmente efficaci. Non si tratta solo di avere a disposizione grandi quantità di dati, ma di saperli trattare con metodo e coerenza, per trasformarli in valore concreto per il business.

Il messaggio lanciato da Andrea Zinno, data evangelist di Denodo è più che esplicito: «L’integrazione dei dati non è un’avventura tecnologica, ma una sfida semantica. Tutto si gioca sulla capacità di modellare i dati, ed è un’attività complessa, che può durare anche anni: occorre superare un approccio tecnicistico e capire l’importanza di come estrarre valore dal dato, generando business o migliorando i servizi. Ciò che conta è la bontà della concettualizzazione». Lavorare con i dati, nella concezione della società californiana, significa renderli significativi. Tale operazione non riguarda solo la qualità “misurabile” del dato, ma anche e soprattutto la sua capacità di rappresentare correttamente i fenomeni che descrive. Se questo non avviene, perché i dati non sono adeguati, non si avrà una comprensione chiara di quel fenomeno. «Questa è la base dell’analisi predittiva – spiega Zinno – e vale anche per l’AI generativa, una tecnologia a comportamento assertivo, che restituisce risposte anche quando il dato è impreciso».

Il rimando di Zinno ci riporta a cavallo degli anni 2000, quando la business intelligence sembrava il punto d’arrivo dell’evoluzione informativa. E invece qualcosa mancava. «All’epoca – continua l’evangelist di Denodo – l’analisi dei dati era eseguita con tecnologie meno avanzate di quelle attuali, si trattava di una disciplina ben contestualizzata, ma probabilmente mancava la dovuta attenzione alla qualità dei dati usati per fare intelligence. Poi sono arrivati gli strumenti di data science e di advanced analytics e con essi un nuovo sguardo sul come interpretare i dati». Oggi siamo in una fase ancora più matura, in cui la democratizzazione responsabile dell’uso dei dati rappresenta il nuovo paradigma. «È finita l’oligarchia del dato – spiega Zinno – perché non ha più senso che solo poche persone abbiano competenze per interrogare e analizzare le fonti informative. La sfida è culturale e va nella direzione di coinvolgere nuove figure aziendali, anche non tecniche, per interrogare i dati a supporto delle decisioni operative o strategiche, riducendo le tempistiche di accesso alle informazioni da settimane a minuti». Per Denodo, rendere operativa questa visione all’interno delle aziende parte da un principio tanto essenziale quanto sottovalutato: la semplicità. È proprio attraverso architetture agili e facilmente integrabili che diventa possibile gestire la crescente complessità informativa, garantendo accesso rapido, coerente e sicuro ai dati, senza appesantire i processi IT o rallentare l’innovazione.

#DataAIForum #Denodo Senza semantica, i dati non parlano e l’AI non capisce
Click To Tweet

La tecnologia migliore – come precisa Zinno – è quella che rende più facili e immediate le operazioni da compiere e che applica un modello pensato per favorire un’adozione fluida, intuitiva e inclusiva, con interfacce semplici e strutturate in forma di data catalog per i data consumer con limitate competenze tecniche (per esempio le figure di marketing) e per i data engineer e per i data steward che si occupano di governance e manutenzione. In questo approccio, l’usabilità non è un dettaglio, ma una leva abilitante per democratizzare l’accesso ai dati e accelerare i benefici dell’AI in tutta l’organizzazione. «Entrambi devono poter lavorare al meglio, ma con strumenti diversi».

Anche Giorgio Dossena, senior presales manager di Qlik, apre la sua riflessione sul legame tra dati e intelligenza artificiale, partendo da un punto fermo: per ottenere risultati tangibili, le aziende devono adottare un approccio più realistico, concreto e maturo. Basta entusiasmi superficiali o rincorse a soluzioni di tendenza: servono basi solide e una gestione consapevole e strutturata dei dati. Solo così l’intelligenza artificiale potrà generare reale valore e trasformarsi in un alleato strategico per il business. «Tutti vogliono l’intelligenza artificiale, ma pochi si fermano a chiedersi dove possa davvero fare la differenza» – osserva Dossena. «Spesso ci si affida all’AI come se fosse una “bacchetta magica”, sperando che possa risolvere problemi strutturali o consolidare basi fragili. In alcuni casi funziona, in altri no. L’interesse è enorme, ma la verità è che poche aziende arrivano davvero pronte al momento dell’implementazione». Il monito è chiaro: senza concretezza, si rischia di ripetere gli errori del passato.

«È lo stesso errore che abbiamo visto con l’Internet of Things – continua Dossena – quando per anni si sono disseminati sensori senza sapere esattamente cosa farne. Solo ora si comincia a gestire davvero quei dati e a trarne valore. Con l’AI vale la stessa regola: la tecnologia non basta. Serve un lavoro profondo sulla qualità dei dati, ma soprattutto sulle persone e sui processi che devono saperli leggere e trasformare in azione». Il primo passo da compiere è disporre di dati affidabili, completi, contestualizzati e accessibili nei tempi giusti. Non si tratta insomma solo di quantità, ma di rilevanza. «Oggi – spiega il manager di Qlik – abbiamo più dati che mai, ma non è detto che siano quelli più idonei per perseguire l’obiettivo, perché un dato di qualità è tale solo se è rilevante per il caso d’uso specifico. Tutto dipende dal contesto: un’analisi in ambito sanitario può tollerare dati aggiornati al giorno precedente, ma un’azienda telco ha bisogno di insights in tempo reale, anche al secondo». Ed è per questo che entrano in gioco tecnologie avanzate per abilitare la selezione, il filtraggio e l’arricchimento del dato.

#DataAIForum #Qlik prima i dati, poi l’AI: solo così si genera valore
Click To Tweet

La struttura e la validazione del dato diventano ancora più centrali nel momento in cui si lavora con algoritmi di intelligenza artificiale, perché solo i dataset verificati e strutturati sono il vero – e unico – antidoto alle “allucinazioni” tipiche degli algoritmi AI. Se il dato di partenza è incompleto o incoerente, anche il modello più avanzato rischia di restituire risultati errati. Per Giorgio Dossena, la governance dei dati va vista non solo come risposta agli obblighi normativi – pensiamo al GDPR – ma come leva strategica a tutti gli effetti. Una buona gestione non serve soltanto a garantire la compliance, ma può diventare un vantaggio competitivo concreto. «Un presidio solido del dato è in grado di generare fiducia: verso l’esterno, nei confronti di clienti e partner; ma anche all’interno dell’organizzazione, dove trasparenza e tracciabilità aiutano a costruire un ambiente decisionale più consapevole». Sapere da dove provengono i dati, come sono stati trattati e da chi, diventa così un elemento abilitante per prendere decisioni strategiche. «Il nostro obiettivo – continua Dossena – è aiutare le aziende a costruire una governance efficace, in cui la tracciabilità, la responsabilità e l’accessibilità dei dati siano elementi chiave. E per farlo facciamo leva sulla capacità di integrazione nei sistemi esistenti senza forzature. Non andiamo dai clienti con l’idea di sostituire tutto, perché le aziende oggi hanno già dati, strumenti, infrastrutture: il nostro compito è valorizzare quanto esiste e integrarlo con la nostra tecnologia». Un approccio di tipo “ecosistemico”, in altre parole, che fa della compatibilità delle soluzioni Qlik con le piattaforme di Oracle, AWS, Snowflake o Databricks un punto di forza.

Tornando alla sfida legata all’adozione dell’intelligenza artificiale, emerge con forza la centralità del modello semantico. «La Gen AI ha una conoscenza potenzialmente sconfinata – osserva Andrea Zinno di Denodo – ma se la domanda che le poniamo è imprecisa o mal formulata, la risposta sarà inevitabilmente incompleta, vaga o, peggio ancora, fuorviante». Il problema, ancora una volta, sta nella qualità dei dati. Zinno utilizza una metafora efficace: «Il dato è come un prompt. Se è parziale, distorto o povero, anche l’output sarà mediocre. Mi piace sempre ricordare che la parte “sexy” del lavoro sui dati è quella finale, l’elaborazione, quella che genera insights. Ma è prima, nella preparazione e nella qualità del dato, che si decide il vero valore del risultato». Infine c’è il tema del cambiamento organizzativo, spesso trattato come una nota a margine ma che, in realtà, può determinare il successo o il fallimento di qualsiasi trasformazione guidata dai dati: «Le difficoltà tecniche esistono – ammette l’evangelist di Denodo – specie in ambienti IT complessi o datati, come quelli ancora basati su mainframe. Ma sono ostacoli che, con il tempo e risorse adeguate, si possono superare».

#DataAIForum Data fabric e cloud routing, infrastrutture intelligenti per processi smart
Click To Tweet

Molto più insidiosa, invece, è la resistenza culturale. «Il vero spartiacque non è tecnologico, ma umano. Se un’azienda non riesce a comunicare chiaramente il senso del cambiamento, se non costruisce fiducia intorno alla nuova direzione, anche il progetto più innovativo rischia di naufragare». E conclude: «In molte organizzazioni, esiste una conoscenza cristallizzata, sedimentata in anni di abitudini operative. Scardinarla richiede tempo, ma anche una comunicazione autentica e continua. La vera svolta parte da qui: dalla capacità di comprendere e far comprendere che anche il modo di accedere, interpretare e usare i dati sta cambiando».

La necessità di un cambiamento in chiave culturale e organizzativa trova del tutto d’accordo anche Giorgio Dossena di Qlik, convinto del fatto che un progetto AI ben impostato parte sempre dalle persone e che le sue probabilità di successo sia sempre e comunque una questione di ruoli e competenze. Nella visione di Qlik, la situazione ideale prevede una chiara distinzione di ruoli e responsabilità tra chi gestisce i dati sul piano tecnico e chi li interpreta in ottica business. Troppo spesso, però, queste funzioni molto diverse vengono accentrate in una sola figura, con il rischio di compromettere sia la comprensione delle reali esigenze sia la capacità di individuare soluzioni efficaci. Una governance efficace, al contrario, nasce dalla collaborazione tra competenze diverse, capaci di dialogare e costruire insieme un percorso solido di valorizzazione del dato. «Siamo un fornitore di tecnologia – spiega Dossena – ma siamo anche consapevoli che uno dei problemi principali che ostacolano le progettualità sia il change management. La responsabilità sul dato, la sua tracciabilità e l’ownership non sono ancora delle priorità per molti CIO e sulla qualità del dato spesso c’è confusione e approssimazione, ma la padronanza del dominio è invece fondamentale».

Lavorare con team strutturati – l’esempio a cui fa riferimento Dossena è proprio quello di RCS MediaGroup, passato da tre a oltre venti persone dedicate – è per contro il segnale che l’azienda investe davvero in cultura del dato. «L’intelligenza artificiale – spiega il manager di Qlik – ha senso solo se fa leva su fondamenta solide e su dati affidabili, su processi ben gestiti e un’organizzazione che sa come impiegare questo strumento. Ed è per questo che è necessario mettere le aziende in condizione di acquistare tecnologia in modo intelligente, solo dove serve e dove porta un ritorno reale, tanto più in un’era in cui si lavora prevalentemente in modalità as a Service e per un vendor è fondamentale indirizzare la scelta architetturale più idonea».

#DataAIForum La governance vale più dell’algoritmo. Interconnessione, sostenibilità e performance
Click To Tweet

DENTRO LE AZIENDE

Coniugare una base dati solida con una chiara focalizzazione sui processi in cui applicare l’intelligenza artificiale non è semplice. Eppure, le difficoltà non hanno fermato le aziende più attente all’innovazione, che continuano a sperimentare e ad affinare i propri percorsi, cercando di definire razionali concreti per dare continuità e scalabilità ai progetti di AI. Per Simona Squaglia, global data scientist manager di Gi Group, importante agenzia per il lavoro, il punto di partenza non può che essere uno: «Per usare bene l’AI si parte dai dati». La sfida per un’azienda di servizi è creare una vista unica del cliente e di qualsiasi soggetto o elemento chiave da monitorare, organizzando tutte le informazioni in modo centralizzato e facilmente accessibile all’interno di un customer data hub. «Nel nostro caso – spiega la manager – due sono i soggetti rilevanti: i candidati e le aziende che cercano profili. L’idea di un hub di dati dedicato, è trasversale a ogni tipologia di business ed è su questa base solida che possono innestarsi tecnologie avanzate come l’intelligenza artificiale. Oggi parliamo di evoluzione tecnologica e di AI, ma senza una base dati completa e consistente, tutta le meravigliose potenzialità dell’AI non possono performare».

La fotografia di Squaglia descrive fedelmente lo stato delle cose nel nostro Paese per quanto riguarda l’adozione a scala dell’intelligenza artificiale. «Nel tessuto aziendale italiano il tasso di adozione dell’AI è nell’ordine del 25-30 per cento, nelle PMI si scende a percentuali bassissime. Perché? Perché in Italia siamo molto indietro nella messa a terra delle basi dati». Costruire un data lake con una governance in grado di servire tutte le funzioni aziendali è una delle sfide più complesse, ma anche tra le più strategiche. «Centralizzare le informazioni e renderle accessibili all’intera organizzazione è un obiettivo ambizioso, ma rappresenta il prerequisito per avviare progetti che sfruttano tecnologie avanzate come l’AI generativa». Non è però solo una questione di visione, ma di condizioni abilitanti. «Anche per applicazioni più consolidate, come il machine learning tradizionale o i modelli predittivi, non tutte le aziende sono pronte» – spiega Simona Squaglia di Gi Group. «Spesso mancano dati sufficienti, oppure le informazioni esistenti non sono strutturate, storicizzate o omogenee. Inoltre, molte imprese non hanno ancora digitalizzato i propri processi o le interazioni con stakeholder interni ed esterni, rendendo difficile raccogliere i dati necessari per alimentare l’innovazione guidata dall’AI». A queste criticità si aggiunge il tema della privacy, tutt’altro che secondario. «È un nodo delicato, che può diventare critico se non vengono rispettati i vincoli normativi. Per questo è fondamentale adottare una strategia privacy by design» – aggiunge Squaglia. «Solo così è possibile restare competitivi, anticipare i comportamenti di clienti e utenti, e non subire il cambiamento. La trasformazione richiede agilità, e i dati sono l’elemento chiave per governarla e rendere davvero efficace l’intelligenza artificiale».

#DataAIForum #GiGroup La vista unica sul cliente è la chiave per innovare con l’AI
Click To Tweet

Anche per Giuseppe Guarnuto, head of Data Governance & Quality di Plenitude, è fondamentale adottare un approccio strutturato, partendo dalla costruzione dell’infrastruttura e della cultura aziendale necessarie a supportare l’evoluzione data-driven. «Siamo partiti circa sei anni fa per creare un’area dedicata ai dati in azienda, con l’intento di puntare all’AI per migliorare prodotti e servizi offerti ai clienti. E ci siamo subito resi conto che senza le fondamenta, senza la governance e senza una platform dedicata sarebbe stato difficile mettere i modelli in produzione e successivamente scalarli». Da questa assunzione di consapevolezza prende forma il progetto di data transformation che oggi coinvolge tutta l’organizzazione. «Abbiamo combinato dati e informazioni in un processo di revisione data-driven dei processi in cloud, creando una piattaforma unica e dando modo a tutte le professionalità interne, data scientist compresi, di lavorare in sinergia e con i medesimi strumenti».

L’obiettivo di Plenitude è valorizzare la conoscenza come asset strategico, ponendola al centro dello sviluppo di nuovi modelli e progetti. Un traguardo che l’azienda sta raggiungendo grazie a una solida collaborazione tra le funzioni Data e le aree di business, guidata da un Center of Excellence che risponde direttamente al CIO. Questo centro ha il compito di definire e implementare standard, strumenti e pratiche di governance condivise, abilitando una trasformazione profonda che va oltre la tecnologia e coinvolge i modelli operativi, la cultura aziendale e la visione stessa di data governance. «Abbiamo integrato deontologia, semantica e responsabilità del dato all’interno di un data catalog accessibile a tutta l’organizzazione, favorendo l’autonomia operativa delle diverse funzioni di business» – spiega il responsabile della governance e della qualità dei dati di Plenitude. L’azienda ha già avviato l’introduzione dell’AI generativa con un approccio trasversale e consapevole, supportato da un framework condiviso che raccoglie i casi d’uso di interesse per tutte le aree aziendali per rendere la tecnologia accessibile, comprendere dove può generare valore e aumentare la produttività in modo diffuso. «La nostra visione – spiega Guarnuto – è accompagnare l’IT e il business verso un’eccellenza ingegneristica abilitata dall’AI, coinvolgendo l’intera popolazione aziendale e promuovendo un uso consapevole della tecnologia per massimizzarne i benefici».

#DataAIForum #Plenitude Valorizzare la conoscenza come asset strategico
Click To Tweet

IL FATTORE COMPETENZE

Nel nuovo scenario dell’intelligenza artificiale, il dato non è più un semplice numero archiviato in un database, ma un asset a tutti gli effetti, da trattare come un prodotto che ha valore e come tale va gestito. «Il rispetto del quadro regolatorio fissato da GDPR e AI Act è stato fino a oggi la spinta per innovare ma oggi la nostra missione è quella di proporre all’azienda una gestione del dato più a 360 gradi, costruendo una struttura in cui il dato correlato da tutte le informazioni semantiche diventa un asset di senso compiuto e di valore» – spiega Carla Molteni, data engineer – Data & AI Governance per il Country Data Office di Generali. L’obiettivo è far dialogare i dati provenienti da entità diverse secondo logiche coerenti e costruire una conoscenza condivisa, accessibile a tutti in modo democratico, all’interno di un marketplace centralizzato dove gestire i dati come prodotti.

#DataAIForum #Generali Un’ontologia di business per abilitare l’AI in ogni funzione
Click To Tweet

«Vogliamo costruire un’ontologia di business che serva da base comune per tutte le attività aziendali e per l’applicazione dell’AI in ogni funzione, dal marketing alle risorse umane. Per farlo, investiamo in un percorso strutturato di change management e formazione, coinvolgendo anche chi non possiede competenze tecniche, affinché tutti possano comprendere e utilizzare questi strumenti in modo consapevole». Le risorse su cui Generali ha investito per traghettare questo obiettivo sono importanti e parliamo nello specifico di un centinaio di persone fra data engineer, data analyst e data scientist che si occupano di sviluppare progetti in ambito dati a stretto contatto con le aree di business. Risorse che stanno aiutando l’azienda a lavorare attivamente anche sul fronte dell’intelligenza artificiale generativa, sperimentandone l’adozione. «Il nostro compito – spiega Molteni – è definire le linee guida per un uso sicuro, integrato e coerente con l’intero ecosistema e nel rispetto dei requisiti previsti dall’AI Act».

A definire un utilizzo consapevole e regolato dell’AI, però, non ci sono solo le policy, ma anche l’esperienza maturata sul campo. È il caso di Intesa Sanpaolo, il cui rapporto con l’intelligenza artificiale nasce in tempi non sospetti, con la creazione di un laboratorio interno dedicato alla sperimentazione. Oggi, a distanza di anni e dopo un’evoluzione profonda, l’AI è diventata un asse portante del processo di trasformazione sia digitale e che organizzativa del Gruppo. «La nostra storia con l’intelligenza artificiale – racconta Federico Aguggini, head of AI Transformation, Data Science & Responsible AI – inizia nel 2017 con la creazione del Big Data Lab, un laboratorio dedicato alla sperimentazione. Da allora abbiamo consolidato un’organizzazione strutturata, guidata dal chief data & AI officer, che presidia ambiti strategici come la data governance, la data strategy e l’intelligenza artificiale, articolata a sua volta in due aree: una focalizzata sulla delivery dei progetti, l’altra sulla Responsible AI, tema oggi più che mai centrale». La svolta arriva nel dicembre 2022, quando il CEO di Intesa Sanpaolo lancia il programma AIxeleration trasformando il laboratorio in una vera e propria fabbrica dell’intelligenza artificiale. «Dopo un’analisi del valore generato dai progetti sviluppati fino a quel momento – prosegue Aguggini – il laboratorio si evolve in una struttura operativa, dove le idee prendono forma». La strategia di Intesa Sanpaolo punta a un’adozione diffusa, responsabile e democratica dell’AI in tutto l’ecosistema aziendale, attraverso un modello distribuito.

#DataAIForum #IntesaSanpaolo trasforma il laboratorio AI in una vera fabbrica dell’innovazione
Click To Tweet

Al centro, un hub che armonizza dati e soluzioni. Intorno, una rete di spoke – tra cui i Democratic Data Lab – pensati per permettere ai team di business di esplorare ed effettuare test, sviluppando nuove competenze e soluzioni. «Questa architettura poggia su asset chiave: una governance solida, una rete che connette funzioni centrali e periferiche, e un sistema che integra competenze tecnologiche e regole di utilizzo consapevole dell’intelligenza artificiale». In questo scenario, l’intelligenza artificiale non è solo una questione di strumenti, ma prima di tutto di persone e cultura. «L’AI– osserva Federico Aguggini – ha un impatto trasversale sull’intera organizzazione, soprattutto in termini di competenze e risorse umane, che evolvono rapidamente».

#DataAIForum Senza dati, niente AI: le imprese davanti alla sfida della qualità informativa
Click To Tweet

Accanto allo sviluppo tecnologico, Intesa Sanpaolo investe in modo continuativo nella formazione e nella diffusione della consapevolezza, anche al di fuori dei confini aziendali, portando il racconto della trasformazione digitale nelle scuole e nelle imprese. «Siamo – e vogliamo essere – parte attiva di un ecosistema che investe in conoscenza» – afferma Aguggini. E sul rapporto tra AI e lavoro, ha un orientamento preciso che parafrasa un messaggio chiave lanciato dal fondatore di LinkedIn, Reid Hoffman: «L’intelligenza artificiale non ruberà il lavoro, ma lo farà a chi non saprà usarla».

Foto di Gabriele Sandrini

Point of view

Intervista a Giorgio David Jacchini, senior manager di Aubay Italia: AI Agentic e ROI

Intervista ad Andrea Zinno, data evangelist di Denodo: Tutto parte dai dati

Intervista a Giorgio Dossena, senior presales manager di Qlik: Le fondamenta dell’AI

Formula AI Tech

L'articolo Dati e intelligenza artificiale, la formula per il business proviene da Data Manager Online.