Sicurezza IA Generativa: il 77% dei CISO in Spagna vede rischi critici

77% dei CISO: l'allarme sulla sicurezza dell'IA generativa

Il dato è netto e preoccupante. In Spagna, le preoccupazioni relative alla sicurezza dell'intelligenza artificiale generativa sono cresciute di 39 punti percentuali su base annua, raggiungendo il 77% dei Chief Information Security Officers (CISO). Questo numero emerge dal report 'Voice of the CISO 2026' di Proofpoint, un'indagine condotta su 1.600 responsabili della sicurezza in 16 paesi.

L'analisi suggerisce un paradosso strategico. Mentre a livello globale si registra una lieve tendenza verso una maggiore ciberresilienza — con la previsione di un attacco significativo che scende dal 76% del 2025 al 61% del 2026 — la complessità dei rischi si è spostata. Non si tratta più solo di difendere il perimetro, ma di gestire l'integrazione di sistemi di IA nelle attività quotidiane.

Analisi business: Per l'imprenditore, questo dato indica che l'adozione dell'IA non è un processo puramente tecnologico, ma un rischio operativo. L'incremento della percezione del rischio in Spagna riflette probabilmente una fase di adozione rapida e non governata, dove l'efficienza produttiva ha superato la capacità di controllo della sicurezza.

Perché il fattore umano è diventato il punto debole?

L'intelligenza artificiale non ha eliminato l'errore umano; lo ha amplificato. Il 79% dei CISO a livello globale identifica oggi il fattore umano come la principale vulnerabilità della propria organizzazione, un salto considerevole rispetto al 66% registrato l'anno precedente.

Il problema risiede nell'interazione tra l'utente e lo strumento. Il 78% dei responsabili della sicurezza teme che i dipendenti espongano dati sensibili utilizzando strumenti di IA, mentre il 74% è preoccupato per la fuga di informazioni dei clienti attraverso soluzioni di IA generativa ad accesso pubblico. In Spagna, l'inquietudine si concentra specificamente su tre aree: le tecnologie di IA generativa pubbliche (38%), gli assistenti e agenti autonomi (34%) e l'archivio in cloud (31%).

Questa vulnerabilità non è teorica. I dati mostrano che le aziende che hanno subito perdite di dati significative sono passate dal 33% al 42%. Il comportamento dei dipendenti è visto dal 79% degli intervistati come l'elemento scatenante di queste falle.

L'illusione dei controlli interni

Esiste una discrepanza cognitiva pericolosa tra la percezione della sicurezza e la realtà operativa. In Spagna, il 90% dei CISO dichiara di avere fiducia nel fatto che i controlli attuali mitigheranno i rischi legati all'IA e al software as a service (SaaS). Tuttavia, questa fiducia coesiste con una realtà opposta: il 60% di questi stessi dirigenti ammette che le loro organizzazioni non sono adeguatamente preparate per affrontare un attacco mirato.

Per contrastare questo rischio, il 79% dei responsabili in Spagna ha già implementato restrizioni dirette sull'uso di applicazioni di IA nell'ambiente di lavoro. Questo approccio reattivo, tuttavia, si scontra con la necessità strategica: il 93% dei CISO spagnoli ritiene che facilitare l'uso sicuro di copiloti e strumenti di automazione sia una priorità assoluta per il futuro prossimo.

Analisi strategica: La fiducia del 90% nei controlli interni appare come un bias di conferma. Se il 60% non si sente pronto per un attacco mirato, i controlli esistenti sono probabilmente efficaci contro le minacce generiche, ma totalmente insufficienti contro attacchi sofisticati che sfruttano proprio l'IA per penetrare nei sistemi.

Chi protegge l'azienda senza budget?

Il ritratto che emerge per il CISO moderno è quello di un professionista stretto in una morsa. Da un lato, l'azienda spinge per l'innovazione; dall'altro, le risorse rimangono statiche. Il 78% degli intervistati prevede di dover gestire i rischi legati all'IA nei prossimi due anni senza alcun aumento di budget o l'assunzione di personale specializzato.

Patrick Joyce, CISO residente globale di Proofpoint, descrive questa situazione come una doppia responsabilità: 'A los responsables de seguridad se les pide que hagan dos cosas al mismo tiempo: proteger a la empresa frente a los riesgos tecnológicos y ayudarla a adoptar de forma segura y rápida tecnologías transformadoras'.

Il CISO non è più solo il guardiano della porta, ma deve diventare un abilitatore di business. Deve garantire che l'innovazione non esponga dati sensibili, accessi privilegiati o processi critici, ma deve farlo con gli stessi strumenti e lo stesso staff di prima, mentre la superficie di attacco si espande esponenzialmente a causa dell'IA.

Il paradosso della ciberresilienza

Se guardiamo i numeri globali, sembra che le aziende siano più resistenti. La percezione del rischio di perdita di dati a scala globale è scesa dal 66% al 53%. Eppure, questo non si traduce in un lavoro più semplice per i dirigenti della sicurezza. Il rischio si è semplicemente spostato e concentrato in punti più critici: persone, dati, applicazioni e sistemi di IA integrati.

La ciberresilienza dichiarata potrebbe essere l'effetto di una maggiore consapevolezza, ma l'aumento delle perdite di dati effettive (dal 33% al 42%) suggerisce che la resilienza percepita non coincida con la sicurezza reale. Le aziende sono più brave a 'sopravvivere' a un attacco, ma sono meno capaci di evitarlo.

Per monitorare l'evoluzione di questo scenario, gli imprenditori dovrebbero osservare i seguenti indicatori verificabili:

• Budget Security 2027: Se la percentuale di CISO senza budget aggiuntivo rimarrà sopra il 70%, assisteremo a un aumento dei fallimenti di implementazione dell'IA.
• Tasso di Data Leakage: Un ulteriore incremento della percentuale di aziende con perdite di dati significative (oltre il 42%) confermerà l'inefficacia dei controlli attuali.
• Adozione di AI-Governance: Il numero di aziende che passano dalle 'restrizioni' (attualmente al 79%) a 'policy di uso sicuro' certificate.

La gestione dei copiloti tra AI Act e sicurezza UE

Per le imprese italiane ed europee, i dati del report Voice of the CISO 2026 assumono un valore normativo. L'integrazione di assistenti di IA e copiloti non è più solo una scelta di produttività, ma un tema di compliance.

L'AI Act dell'Unione Europea impone requisiti severi sulla trasparenza e sulla gestione dei rischi per i sistemi di IA, specialmente quelli classificati ad alto rischio. Il fatto che il 78% dei CISO globali debba gestire l'IA senza risorse aggiuntive pone le imprese UE in una posizione di vulnerabilità legale: l'incapacità di monitorare l'uso dei dati sensibili all'interno dei copiloti potrebbe portare a sanzioni pesanti non solo per violazione della sicurezza, ma per mancata conformità al regolamento europeo.

In Italia, dove il tessuto imprenditoriale è composto prevalentemente da PMI, il rischio è che l'adozione di strumenti di IA avvenga in modo 'ombra' (Shadow AI), ovvero dipendenti che utilizzano tool pubblici senza che il CISO ne sia a conoscenza. Questo scenario, unito alla direttiva NIS2 che innalza gli standard di sicurezza per i settori critici, rende imperativo che l'investimento in sicurezza non sia più visto come un costo di manutenzione, ma come l'unico modo per rendere l'IA legalmente e operativamente sostenibile.

Per approfondire l'impatto di queste tendenze sulla gestione aziendale, è possibile consultare l'analisi di InfoNegocios.

Domande frequenti

Fonti: Computing, Lasnoticiasdelaia, Infonegocios ·