C’è un CIO che conosco, una persona seria, competente, con anni di lavoro solido alle spalle, che fa ancora il backup del telefono manualmente. Su un hard drive fisico. Locale. Che controlla lui.
Me l’ha raccontato con una punta d’orgoglio.
Ho sorriso. E poi ho smesso di sorridere, perché non è un’abitudine: è una visione del mondo. E quella visione, oggi, è l’ostacolo più concreto che vedo all’adozione dell’AI in ogni organizzazione.
Grazie a un corso che sto facendo sull’AI (o IA, come volete, io preferisco l’acronimo inglese, mi esce più spontaneo), sto avendo un numero insolitamente alto di conversazioni su questo tema con persone che guidano organizzazioni: CEO, CIO, responsabili HR, direttori operativi. E un pattern si sta facendo largo con una chiarezza che non mi aspettavo: mentre il mondo dibatte su come adottare l’AI, molte organizzazioni stanno ancora dibattendo se i file debbano vivere su un server o nel browser. È una problematica che conosco bene, perché ho lavorato nel release management di una fintech, proprio per la parte SaaS. E si sa, le banche sono state per anni reticenti a mettere i propri dati in mano ad altri.
Tuttavia, con qualche difficoltà, ci sono arrivate anche loro.
E allora, mi domando, cosa può portare un’azienda a restare strutturalmente ferma al 2010, per poi confrontarsi con l’AI generativa del 2026?
Il problema non è l’ignoranza tecnologica. È la sequenza.
L’AI arriva prima delle fondamenta
Esiste una gerarchia logica nell’evoluzione dei dati: prima l’infrastruttura, poi la qualità dei dati, poi l’analisi, poi (solo poi) i modelli avanzati. È una piramide, e va costruita dal basso. Quello che mi raccontano invece è che l’AI entra sempre in agenda al vertice, mentre le fondamenta non sono mai state gettate davvero. Non si costruisce il tetto prima dei muri. Ma soprattutto: non si costruisce il tetto fingendo che i muri ci siano già.
Gartner stima che il 57% delle organizzazioni dichiari che i propri dati non sono “AI-ready”. Non è un dato di contorno: è la descrizione precisa di un problema strutturale. L’AI non fallisce per mancanza di ambizione. Fallisce perché viene impiantata su infrastrutture che non erano state progettate per sostenerla. Solo il 18% dei casi d’uso di AI generativa implementati nel 2024 ha prodotto un ROI misurabile, secondo McKinsey. Il resto è rumore costoso.
In risposta alla mia osservazione che le organizzazioni che non navigano bene questa transizione rischiano di non esistere tra cinque anni, un CEO mi ha detto che stavo esagerando. Che ero un catastrofista.
Posso capire la sua reazione. Ma la risata mi ha lasciato a disagio, perché non stavo cercando di provocare: stavo cercando di essere conservativo e concreto.
Il talento che lavora in silenzio
Il paradosso è che l’innovazione, in questi contesti, non muore. Si nasconde.
In quasi ogni organizzazione che conosco, c’è qualcuno, spesso giovane, spesso assunto per fare altro, che nel tempo residuo, ai margini del suo job description ufficiale, ha costruito qualcosa. Non è stato incaricato di farlo. Non è stato autorizzato. È semplicemente accaduto, perché le persone capaci trovano spazio dove le strutture hanno le crepe.
E questa descrizione mi ha fatto pensare a un developer con cui lavoro: ventenne, assunto per gestire infrastruttura di rete. Insieme abbiamo costruito alcune automazioni e un piccolo prototipo basato su LLM. Funziona. È contenuto, concreto, reale. Ed è completamente non ufficiale, il che racconta qualcosa di preciso su come sopravvive l’innovazione negli ambienti resistenti: non scende dall’alto. Entra di lato, in silenzio, senza permesso.
Questo è anche un problema di talento mal allocato. Persone con potenziale AI vengono assunte e poi inserite sulla manutenzione di tipo legacy. Poi ci si stupisce che le organizzazioni non riescano a costruire capacità AI. Non è un paradosso: è un sistema che produce esattamente quello che è stato progettato per produrre.
Il firewall non è una politica
C’è un pattern mi preoccupa ancora di più, anche eticamente: la cosiddetta “adozione ombra”.
La risposta più comune che sento, quando il tema AI emerge nelle organizzazioni resistenti, è immediata e senza framework: bloccare l’accesso. Nessuna policy, nessuna valutazione del rischio. Solo un firewall. Il problema è che bloccare l’accesso a ChatGPT non ferma l’uso di ChatGPT. Lo sposta sul telefono personale, fuori da qualsiasi framework istituzionale, fuori da qualsiasi protezione.
I numeri su questo sono inequivocabili. Oltre l’80% dei lavoratori usa strumenti AI non approvati dalla propria organizzazione, secondo una ricerca UpGuard del 2025. Meno del 20% dichiara di usare esclusivamente strumenti approvati dall’azienda.
Una indagine del 2025 su oltre 12’000 lavoratori ha rilevato che il 60% usa strumenti AI al lavoro, ma solo il 18,5% è a conoscenza di una policy aziendale ufficiale in materia.
Le organizzazioni che hanno bloccato ChatGPT non hanno eliminato il rischio. Lo hanno reso invisibile. E hanno scambiato la governance con l’illusione della governance.
A questo aggiungiamo che solo il 7,5% dei dipendenti ha ricevuto una formazione estesa sull’AI, una percentuale cresciuta di appena mezzo punto percentuale nell’ultimo anno, nonostante gli utenti quotidiani siano aumentati di 16 punti. Il gap non si sta chiudendo. Si sta allargando.
E così ci troviamo con le persone con meno potere istituzionale, quelle che più avrebbero bisogno di supporto e governance, che usano strumenti potenti (e, a volte, pericolosi) in completa solitudine organizzativa.
Gestione del rischio ed evitamento del rischio non sono la stessa cosa
L’analogia con il cloud degli anni 2010 è evidente, ma con un livello aggiunto di severità. A quell’epoca, le organizzazioni che resistevano perdevano efficienza. Oggi, le organizzazioni che resistono rischiano di produrre disuguaglianza: un sistema a due velocità in cui alcuni lavoratori beneficiano di workflow aumentati dall’AI, e altri ne sono ufficialmente esclusi, salvo poi usarla comunque, da soli, senza tutele.
Quello che accomuna i pattern di cui ho parlato poco fa (il debito infrastrutturale camuffato da policy di sicurezza, il talento mal allocato, l’adozione ombra) è un’unica assenza: una cultura della governance abbastanza sofisticata da distinguere tra gestione del rischio e evitamento del rischio.
Non sono la stessa cosa.
La gestione del rischio richiede analisi, scelte, responsabilità. L’evitamento del rischio richiede solo un firewall.
E il firewall, alla fine, non protegge nessuno. Ci dà solo l’idea di aver fatto qualcosa di concreto.
Cosa ne pensi?
