Lo stato della GenAI Security

I CISO italiani alla guida della nuova frontiera della sicurezza

La survey realizzata da Deloitte in collaborazione con Cloud Security Alliance (CSA) fotografa per la prima volta il livello di maturità delle organizzazioni italiane nella sicurezza della Generative AI: adozione, governance, gestione del rischio e nuovi obblighi normativi.

La GenAI è ormai una realtà operativa nelle aziende italiane, ma sta evolvendo più velocemente di quanto governance e sicurezza riescano a tenere il passo. In un contesto in cui l'adozione corre e la superficie di rischio si amplia, la domanda che i board pongono ai CISO non è più quanto rischio porta l'AI, ma quanto valore si lascia sul tavolo non sapendola ancora governare in sicurezza. La survey rende misurabile questo divario - e indica dove i CISO possono agire per colmarlo.

La GenAI è già in produzione, la sicurezza insegue

Oltre l'80% delle organizzazioni italiane utilizza già la GenAI o ne sta sperimentando l'adozione. Gli use case oggi sono ancora a bassa complessità, ma il passaggio verso applicazioni business-critical è destinato ad ampliare la superficie di rischio in modo esponenziale: dati più sensibili, decisioni più autonome, integrazioni più profonde con i sistemi core.

Consapevoli dei rischi, senza una strategia per gestirli

Circa due terzi delle organizzazioni non dispone ancora di una strategia strutturata di AI Security, e la maggioranza gestisce i rischi della GenAI fuori da framework formali di governance. Il risultato è un paradosso: il CISO eredita la responsabilità di gestire i rischi dell'AI senza aver partecipato alle decisioni che li hanno generati.

Da scelta di maturità a obbligo normativo

NIS2, DORA e AI Act stanno trasformando la sicurezza dell'AI da best practice a requisito regolatorio, con sanzioni che possono arrivare fino al 7% del fatturato globale. Con l'applicazione generale dell'AI Act dal 2026, affrontare l'enforcement senza una strategia strutturata non è più solo un rischio operativo, ma un vero e proprio rischio di compliance.

Una maturità a più velocità

Le organizzazioni italiane affrontano la sicurezza della GenAI con livelli di maturità molto diversi tra loro, e oggi sono ancora poche quelle realmente pronte. La ricerca mappa questo divario e individua le leve concrete su cui i CISO possono agire fin da subito, affinché la traiettoria della sicurezza dell'AI in Italia non sia dettata dal mercato, ma dalla loro leadership.