Parliamo ancora troppo spesso dell’intelligenza artificiale come di una sfida tra l’essere umano e la macchina.

Chi sarà più veloce? Chi prenderà le decisioni migliori? Quali professioni scompariranno? Quali competenze resteranno esclusivamente umane?

Questa narrazione è seducente, ma ci imprigiona in una domanda troppo ristretta: chi vincerà?

Mentre cerchiamo un vincitore, le organizzazioni devono rispondere a interrogativi molto più immediati. A quali decisioni possiamo affiancare un’intelligenza artificiale? Su quali dati? Con quali controlli? Chi resterà responsabile? Come continuare a operare se il sistema sbaglia, diventa indisponibile o subisce un attacco?

La vera linea di separazione probabilmente non passerà tra esseri umani e macchine. Dividerà le organizzazioni capaci di usare queste tecnologie con discernimento da quelle che avranno semplicemente automatizzato le proprie fragilità precedenti.

Il potere appartiene a chi sa ancora verificare

Pilastro Métrics: potenza e minacce

L’intelligenza artificiale sta già modificando i rapporti di forza.

Permette di analizzare grandi quantità di informazioni, individuare correlazioni, produrre contenuti persuasivi e accelerare alcune decisioni. Offre capacità nuove alle imprese e alle istituzioni pubbliche, ma anche ai gruppi criminali e agli attori impegnati in strategie di destabilizzazione.

La stessa tecnologia può servire a individuare una campagna di disinformazione o a crearne una. Può rafforzare un’infrastruttura critica o contribuire a rilevarne le vulnerabilità. Può facilitare l’accesso alla conoscenza o saturare lo spazio informativo di contenuti ingannevoli.

Il rapporto 2026 dell’Agenzia dell’Unione europea per la cibersicurezza sottolinea in particolare il peso delle tensioni geopolitiche e della crescente interconnessione degli ecosistemi digitali. Ricorda inoltre che le nostre dipendenze tecnologiche ampliano la superficie di attacco.[1]

In questo contesto, il potere non risiede più soltanto nella quantità di informazioni disponibili. Risiede nella capacità di stabilirne la provenienza, confrontarle, comprenderne i limiti e rifiutare una risposta quando non è sufficientemente affidabile.

La sfida strategica non è quindi soltanto adottare l’intelligenza artificiale. È conservare una capacità autonoma di valutazione.

Un progresso tecnico diventa utile soltanto quando cambia scala

Pilastro Métrics: scienza e tecnologie

Una dimostrazione spettacolare può essere realizzata in pochi minuti. La sua trasformazione in una capacità operativa richiede molto più tempo.

Tra il laboratorio e il campo ci sono i dati, le infrastrutture, la cibersicurezza, l’interoperabilità, le competenze, la manutenzione, il finanziamento e la conformità normativa. Occorre anche comprendere il contesto in cui la tecnologia sarà utilizzata e le possibili conseguenze di un errore.

Questa differenza spiega perché due organizzazioni dotate dello stesso strumento possono ottenere risultati radicalmente opposti. La tecnologia non sostituisce né la conoscenza del mestiere né la comprensione del problema.

Il regolamento europeo sull’intelligenza artificiale traduce questa esigenza in responsabilità organizzativa. Il suo articolo 4 impone ai fornitori e ai deployer di sistemi di IA di adottare misure per garantire ai propri gruppi di lavoro un livello sufficiente di alfabetizzazione in materia di IA, in funzione delle loro conoscenze, della loro esperienza e del contesto di utilizzo. Per i sistemi considerati ad alto rischio, il regolamento prevede anche obblighi di gestione dei rischi, trasparenza e sorveglianza umana.[2]

In altre parole, acquistare uno strumento non basta. Bisogna sapere che cosa fa, che cosa non fa e in quali circostanze i suoi risultati cessano di essere affidabili.

L’innovazione comincia con una tecnologia. La trasformazione comincia quando l’organizzazione acquisisce la capacità di comprenderla e governarla.

Progettare pensando al giorno in cui il sistema non risponderà più

Pilastro Métrics: sistemi critici e resilienza

Valutiamo volentieri un sistema quando funziona in condizioni normali. Eppure la resilienza si misura quando queste condizioni vengono meno.

Che cosa accade se i dati sono corrotti? Se il fornitore diventa indisponibile? Se un aggiornamento modifica le prestazioni del modello? Se un attacco prende di mira un componente della catena tecnologica? Se i gruppi di lavoro non sanno più eseguire manualmente un’operazione diventata interamente automatizzata?

La direttiva europea NIS2 include proprio la continuità operativa, la gestione delle crisi, i backup e la sicurezza delle catene di approvvigionamento tra le misure di gestione dei rischi attese dalle entità che rientrano nel suo ambito di applicazione. Affida inoltre agli organi di gestione un ruolo di approvazione e supervisione di queste misure.[3]

Nel settore finanziario, il regolamento DORA spinge oltre questa logica imponendo un approccio strutturato alla resilienza digitale e programmi di test adeguati ai rischi: analisi delle vulnerabilità, test basati su scenari, verifiche di sicurezza e test di penetrazione.[4]

La CNIL raccomanda, da parte sua, di associare la sicurezza informatica classica a un’analisi dei rischi propri dei sistemi di IA. Insiste in particolare sull’affidabilità dei dati, sulla documentazione dei componenti, sulla conoscenza dei limiti del sistema, sugli audit di sicurezza e sulla preparazione di procedure di ripristino dello stato precedente.[5]

La domanda non è quindi: «Questo sistema è efficiente?»

È: «Saremo ancora capaci di agire quando non si comporterà più come previsto?»

L’automazione ridistribuisce le responsabilità

Pilastro Métrics: economia, governance e fattore umano

Le tecnologie non entrano mai in un’organizzazione neutra.

Incidono sulle responsabilità, sulle competenze, sui metodi di valutazione e sulla circolazione delle informazioni. Possono mettere in discussione una professione, ma anche uno status, un’identità professionale o una forma di potere.

Per questo le resistenze non devono essere interpretate troppo rapidamente come un rifiuto del progresso. Possono esprimere domande perfettamente legittime: chi controllerà il risultato? Chi risponderà dell’errore? Come sarà valutato il mio lavoro? Guadagnerò autonomia o dovrò semplicemente produrre di più?

Secondo l’Organizzazione internazionale del lavoro, circa un lavoratore su quattro svolge ormai una professione con un certo grado di esposizione all’intelligenza artificiale generativa. L’OIL ritiene però che la trasformazione dei posti di lavoro resti più probabile della loro completa soppressione, in particolare perché molte attività continuano a richiedere un intervento umano. Invita quindi a organizzare questa evoluzione attraverso il dialogo sociale.[6]

Questa trasformazione non può essere guidata soltanto attraverso indicatori di produttività.

Un cruscotto può misurare il numero di attività automatizzate o il tempo risparmiato. Rivela molto meno facilmente la perdita di fiducia di un gruppo di lavoro, la progressiva scomparsa di una competenza critica o il fatto che alcuni collaboratori non osino più contestare le raccomandazioni di un sistema.

I principi aggiornati dell’OCSE sull’intelligenza artificiale insistono proprio su trasparenza, robustezza, tracciabilità e responsabilità lungo l’intero ciclo di vita dei sistemi.[7]

Una governance seria non consiste quindi nel chiedere ai gruppi di lavoro di fidarsi dello strumento. Consiste nel creare le condizioni in cui questa fiducia può essere accordata, limitata o ritirata.

Il valore di una soluzione comincia dopo la dimostrazione

Pilastro Métrics: sperimentazione e soluzioni dei partner

Le dimostrazioni tecnologiche si svolgono generalmente in un ambiente controllato. Le organizzazioni, invece, operano in condizioni molto meno ordinate.

I dati sono imperfetti. I sistemi esistenti comunicano con difficoltà tra loro. Le responsabilità sono condivise. I vincoli giuridici, di bilancio e umani si sovrappongono.

Per questo una soluzione deve essere messa alla prova in scenari reali: crisi cyber, interruzione dell’approvvigionamento, indisponibilità di un fornitore, attacco informativo, guasto di un sensore o decisione presa sotto forte pressione.

Occorre testare non soltanto la tecnologia, ma anche l’organizzazione che la utilizza.

Chi rileva l’incidente? Chi può interrompere il sistema? Esiste una soluzione di ripiego? I gruppi di lavoro sanno agire senza lo strumento? I dati e i modelli sono reversibili? Le responsabilità tra il progettista, l’integratore, il fornitore e l’utente sono chiaramente definite?

La sperimentazione diventa allora uno strumento di governance. Permette di confrontare le promesse con la realtà, rivelare le dipendenze e determinare le condizioni in cui un’innovazione può davvero contribuire alla resilienza.

Scegliere che cosa vogliamo rafforzare

Non conosciamo ancora i limiti definitivi dell’intelligenza artificiale. Cercare già oggi le competenze che non potrà mai riprodurre rischia quindi di distoglierci da decisioni più urgenti.

Possiamo invece scegliere le capacità che vogliamo rafforzare: il discernimento, la preparazione, la cooperazione, la responsabilità e la libertà di contestare una decisione automatizzata.

È in questa prospettiva che si inserisce Métrics.

Collegare gli specialisti delle minacce, gli scienziati, gli industriali, i responsabili dei sistemi critici, i dirigenti, i giuristi e gli attori del finanziamento permette di superare una visione esclusivamente tecnologica del progresso.

Perché un’organizzazione non diventa resiliente quando possiede gli strumenti più avanzati.

Lo diventa quando sa perché li utilizza, quali responsabilità affida loro e come continuerà a decidere quando raggiungeranno i propri limiti.

Note e riferimenti

1. ENISA, Threat Landscape 2026, analisi delle minacce che interessano l’Unione europea e dell’incidenza delle dipendenze digitali: Agenzia dell’Unione europea per la cibersicurezza https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026.

2. Regolamento (UE) 2024/1689 sull’intelligenza artificiale, in particolare articoli 4, 9, 13 e 14 relativi all’alfabetizzazione in materia di IA, alla gestione dei rischi, alla trasparenza e alla sorveglianza umana: testo ufficiale su EUR-Lex https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:32024R1689.

3. Direttiva (UE) 2022/2555, detta NIS2, in particolare articoli 20 e 21 riguardanti la responsabilità degli organi di gestione, la continuità operativa, la gestione delle crisi e la sicurezza delle catene di approvvigionamento: testo ufficiale su EUR-Lex https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555.

4. Regolamento (UE) 2022/2554, detto DORA, in particolare articoli da 24 a 27 relativi ai programmi di test di resilienza operativa digitale: testo ufficiale su EUR-Lex https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554.

5. CNIL, Garantire la sicurezza dello sviluppo di un sistema di IA, raccomandazioni relative ad analisi dei rischi, audit, limitazioni d’uso, controlli dei risultati e procedure di ripristino dello stato precedente: raccomandazioni della CNIL https://www.cnil.fr/fr/ia-garantir-la-securite-du-developpement.

6. Organizzazione internazionale del lavoro, Intelligenza artificiale generativa e occupazione: revisione 2025: nota di ricerca dell’OIL https://www.ilo.org/fr/publications/intelligence-artificielle-generative-et-emploi-revision-2025.

7. OCSE, Principi sull’intelligenza artificiale, aggiornati nel 2024: trasparenza, spiegabilità, robustezza, sicurezza operativa, protezione e responsabilità: Principi dell’OCSE sull’IA https://www.oecd.org/fr/themes/principes-de-l-ia.html.