Tecnologia, cybersecurity, intelligenza artificiale, dati e privacy non possono più essere governati separatamente. Ma quante figure manageriali può permettersi una PMI?
Fino a qualche anno fa, quando un’azienda cominciava a crescere e i suoi sistemi informativi diventavano più complessi, emergeva la necessità di avere un CIO, il Chief Information Officer. Il CIO aveva il compito di governare l’infrastruttura tecnologica, scegliere le applicazioni, gestire i fornitori e assicurarsi che i sistemi informativi sostenessero adeguatamente le attività dell’azienda. Nelle organizzazioni più piccole questo ruolo veniva spesso ricoperto dal responsabile IT o, più semplicemente, dalla persona che conosceva meglio computer, server e software aziendali. Nel frattempo, però, la tecnologia ha smesso di essere soltanto uno strumento di supporto. È diventata il sistema nervoso dell’impresa. Oggi ordini, pagamenti, produzione, logistica, comunicazioni, dati dei clienti e rapporti con i fornitori dipendono quasi sempre da sistemi digitali. Quando questi sistemi si fermano, spesso si ferma anche l’azienda.
È così che accanto al CIO è comparsa un’altra figura: il CISO, il Chief Information Security Officer, responsabile della sicurezza delle informazioni e della gestione del rischio informatico. La NIS2 ha reso questo passaggio ancora più evidente. La normativa non obbliga formalmente le aziende ad assumere una persona con il titolo di CISO, ma stabilisce responsabilità che qualcuno deve necessariamente assumere. In Italia, l’articolo 23 del decreto legislativo 138/2024 prevede che gli organi di amministrazione e gli organi direttivi dei soggetti interessati approvino le modalità di implementazione delle misure di sicurezza informatica, ne controllino l’attuazione, seguano una formazione specifica e possano essere ritenuti responsabili delle violazioni. La cybersecurity non è quindi più un problema che il consiglio di amministrazione può semplicemente delegare al reparto informatico. È diventata una responsabilità di governo dell’impresa. Il testo completo è consultabile nella Gazzetta Ufficiale. Ma mentre le aziende cercavano di comprendere cosa significasse realmente governare il rischio cyber, è arrivata l’intelligenza artificiale.
Oggi quasi ogni impresa si sta chiedendo come utilizzare l’AI. C’è chi sperimenta assistenti come ChatGPT o Copilot, chi vuole automatizzare il servizio clienti, chi analizza documenti, chi genera contenuti e chi prova a introdurre l’intelligenza artificiale nei propri prodotti o processi. Il problema è che introdurre l’AI non significa semplicemente acquistare un nuovo software. Prima di adottare un sistema di intelligenza artificiale bisognerebbe capire quali dati utilizzerà, dove verranno elaborati, per quanto tempo saranno conservati, chi potrà accedervi e in che modo verranno controllati i risultati. Bisognerebbe inoltre valutare cosa potrebbe accadere se il sistema producesse informazioni errate, se venisse manipolato o se un dipendente inserisse al suo interno dati riservati. A questo punto emerge una nuova figura: il CAIO, il Chief Artificial Intelligence Officer.
Anche in questo caso, l’AI Act europeo non dice alle imprese di assumere necessariamente un CAIO. Tuttavia, introduce obblighi e responsabilità che richiedono competenze precise. Per i sistemi considerati ad alto rischio, il regolamento prevede processi continuativi di gestione del rischio, governo dei dati, documentazione, tracciabilità, supervisione umana, robustezza e cybersecurity.
Il collegamento tra intelligenza artificiale e sicurezza informatica è particolarmente importante. L’articolo 15 dell’AI Act considera esplicitamente attacchi come il data poisoning, attraverso il quale vengono manipolati i dati utilizzati dal sistema, il model poisoning, gli adversarial examples e altri tentativi di alterare il comportamento o i risultati di un modello. Questi aspetti sono descritti nel Regolamento europeo sull’intelligenza artificiale.
AI e cybersecurity sono quindi molto più collegate di quanto possa sembrare. Da una parte l’intelligenza artificiale può aiutare a identificare anomalie, analizzare grandi quantità di eventi e migliorare la capacità di risposta agli attacchi. Dall’altra introduce nuove vulnerabilità e nuove superfici di attacco. ENISA, l’Agenzia europea per la cybersicurezza, include tra le minacce ai sistemi di machine learning la manipolazione dei dati, gli attacchi adversarial e l’esfiltrazione delle informazioni. Non stiamo quindi parlando soltanto di scenari teorici, ma di una nuova categoria di rischi che le aziende devono imparare a riconoscere e governare. Un approfondimento è contenuto nel rapporto ENISA Securing Machine Learning Algorithms.
Immaginiamo che un attacco informatico permetta a qualcuno di accedere al CRM aziendale. Dal punto di vista del CISO siamo davanti a un incidente di sicurezza. Ma se all’interno del CRM sono presenti nomi, indirizzi, numeri di telefono, informazioni commerciali o altri dati personali, lo stesso episodio diventa anche una possibile violazione dei dati. Il GDPR prevede che, quando sussistono determinate condizioni, una violazione venga notificata all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne viene a conoscenza. Lo stabilisce l’articolo 33 del GDPR.
Nelle prime ore successive a un attacco non è possibile affrontare separatamente tecnologia, cybersecurity e privacy. Bisogna contenere l’incidente, capire quali sistemi siano stati compromessi, identificare i dati coinvolti, valutarne le conseguenze, preservare le evidenze, decidere se effettuare una notifica e contemporaneamente cercare di garantire la continuità delle attività aziendali. Se poi nell’incidente è coinvolto anche un sistema di intelligenza artificiale, sarà necessario capire se siano stati compromessi i dati utilizzati dal modello, se gli output possano essere ancora considerati affidabili e se sia opportuno sospenderne l’utilizzo. Quello che tecnicamente potrebbe sembrare un singolo attacco diventa quindi un problema tecnologico, operativo, legale, organizzativo e reputazionale.
Ed è proprio qui che la tradizionale separazione tra CIO, CISO, CAIO e privacy comincia a mostrare i propri limiti. Una grande azienda può costruire una struttura composta da un CIO, un CISO, un CAIO, un Chief Data Officer, un responsabile della privacy, un DPO e diversi team di specialisti. Per una PMI, invece, un’organizzazione di questo tipo è difficilmente sostenibile. Ciò non significa, però, che una piccola o media impresa possa fare a meno delle competenze rappresentate da queste figure.
È anche importante precisare che non tutte le PMI sono direttamente soggette alla NIS2. L’applicazione dipende dalle dimensioni, dal settore e dal tipo di attività svolta. La direttiva riguarda principalmente organizzazioni medie e grandi che operano nei settori considerati critici, oltre ad alcune categorie particolari. Una sintesi del campo di applicazione è disponibile sul portale EUR-Lex.
Molte imprese più piccole ne vengono però coinvolte indirettamente. Se una PMI fornisce servizi, software o componenti a un’organizzazione soggetta alla NIS2, è probabile che quest’ultima cominci a richiedere garanzie, procedure e requisiti di sicurezza anche ai propri fornitori. ENISA ha sottolineato proprio questo problema: numerose aziende non direttamente comprese nel perimetro della direttiva devono comunque confrontarsi con richieste di conformità provenienti dalla supply chain. Il tema è affrontato nel documento NIS2 Post-Implementation – Advisory Group Opinion Paper. La domanda diventa quindi inevitabile: come può una PMI permettersi tutte queste figure?
È da questa domanda che nasce il concetto di CxyO. La x e la y sono volutamente delle variabili. Possono rappresentare Information, Innovation, Artificial Intelligence, Security, Data, Privacy, Resilience o altre competenze che diventano necessarie in funzione delle caratteristiche dell’impresa. Il CxyO non dovrebbe essere visto come un nuovo titolo altisonante da inserire sul biglietto da visita. Dovrebbe essere soprattutto una funzione di collegamento. Il suo compito sarebbe quello di mantenere una visione complessiva delle tecnologie utilizzate dall’azienda, dei dati trattati, dei progetti di intelligenza artificiale, dei fornitori e dei rischi associati. Dovrebbe essere in grado di tradurre gli obiettivi dell’imprenditore in una roadmap realistica, comprendere quando una decisione tecnologica introduce un rischio di sicurezza o di privacy e coinvolgere gli specialisti necessari prima che il problema si manifesti. Questo non significa che una sola persona debba sapere e fare tutto. Sarebbe poco realistico e, in alcuni casi, anche inopportuno.
Il DPO, ad esempio, quando previsto deve poter svolgere le proprie funzioni in modo indipendente. Non può trovarsi nella posizione di controllare decisioni che ha preso lui stesso. L’European Data Protection Board ricorda che ruoli dirigenziali come il responsabile IT possono essere incompatibili con quello di DPO quando consentono di determinare finalità e mezzi del trattamento. Il principio è spiegato nella guida dell’EDPB dedicata alle piccole imprese.
Il CxyO non deve quindi sostituire ogni specialista. Deve sapere quando coinvolgerlo e come integrare il suo contributo nelle decisioni aziendali. Potremmo definirlo come un unico punto di regia sostenuto da una rete di competenze. Una figura capace di parlare contemporaneamente con l’imprenditore, con chi gestisce i sistemi, con gli esperti di cybersecurity, con chi sviluppa i progetti di AI e con i consulenti legali e privacy.
Nelle PMI il titolare è spesso già, suo malgrado, una specie di Chief Everything Officer. Deve occuparsi dei clienti, delle persone, delle banche, dei fornitori, della strategia e, quando qualcosa non funziona, anche dell’informatica.
Il CxyO non dovrebbe aggiungere un altro problema al titolare, né diventare un’altra persona sulla quale concentrare qualsiasi responsabilità. Dovrebbe produrre l’effetto opposto: costruire un sistema nel quale le decisioni vengono prese con maggiore consapevolezza, le responsabilità sono chiare e i rischi tecnologici vengono tradotti in rischi aziendali comprensibili. Forse, allora, la domanda non è se una PMI possa permettersi contemporaneamente un CIO, un CISO, un CAIO e tutte le altre figure che stanno comparendo. La domanda è un’altra:
chi possiede oggi la visione complessiva della tecnologia, dei dati, dell’intelligenza artificiale e dei rischi collegati?
Se in azienda nessuno riesce a rispondere chiaramente, probabilmente è già emersa l’esigenza di un CxyO.