Per introdurre l’intelligenza artificiale (AI) in azienda, le aziende devono affrontare una serie di sfide correlate alla gestione del cambiamento e alla sicurezza. Change management e cybersecurity, infatti, devono procedere in parallelo, per garantire un percorso controllato e responsabile. La formazione non può limitarsi al semplice utilizzo dei nuovi strumenti, ma deve comprendere consapevolezza dei rischi legati alla protezione dei dati, accesso privilegiato e responsabilità individuale.
I settori in cui l’AI entra in campo spesso toccano dati sensibili e decisioni critiche, rendendo la questione della sicurezza un aspetto fondamentale. In ambito sanitario, ad esempio, l’utilizzo errato o non controllato di strumenti di AI potrebbe avere conseguenze fisiche dirette per i pazienti. Per questo è necessario che l’implementazione di soluzioni intelligenti preveda una serie di azioni integrate: policy chiare, monitoraggio degli utilizzi, gestione della Shadow AI, autenticazione forte e formazione continua.
Una strategia condivisa di adozione dell’AI: il caso Lifenet Healthcare
Un esempio concreto lo si trova in Lifenet Healthcare, un gruppo che gestisce ospedali privati e poliambulatori in diverse regioni italiane. Sotto la guida di Claudio De Mattia, CIO, l’adozione dell’AI segue un percorso articolato in cui tecnologia e gestione del cambiamento procedono insieme. La formazione, in particolare, viene calibrata per fornire a ciascun profilo lavorativo consapevolezza e competenze specifiche sull’utilizzo responsabile e sicuro di strumenti di intelligenza artificiale, garantendo conformità alle normative vigenti come GDPR, NIS2 e AI Act.
De Mattia evidenzia che l’introduzione dell’AI all’interno dell’organizzazione ha iniziato nel periodo del Covid, con un approccio graduale e concentrato sugli ambiti sanitari a maggior impatto. “Le prime soluzioni sono state adottate in radiologia per ottimizzare i tempi di refertazione, e successivamente in pronto soccorso, supportando i medici d’urgenza nella stesura del modulo di anamnesi. Questo ha permesso di testare l’AI su processi a alto valore clinico, fondamentali per la successiva adozione su scale più ampie”.
Approccio collaborativo per decisioni condivise
Un’altra leva strategica, spiega De Mattia, è il coinvolgimento diretto di stakeholder interni e top management nelle decisioni di adozione dell’AI. “Nel caso degli agenti AI per supporto al paziente, abbiamo adottato un processo trasversale che ha coinvolto in modo diretto il management e diversi esperti sanitari, in modo da fare una decisione non soltanto tecnica, ma anche condivisa da chi conosce i processi clinici e organizzativi”.
Il prossimo step per Lifenet è attivare la soluzione scelta in modo centralizzato, mantenendo il controllo sugli accessi e sull’utilizzo in conformità alle politiche. Parallelamente, si sta progettando una formazione strutturata, targettizzata su due macro aree: sanitaria e amministrativa. Entrambe gestiscono dati sensibili, con particolare attenzione alla privacy: mentre l’amministrazione tratta informazioni su contratti e operazioni M&A, quella sanitaria si deve occupare di dati molto critici, come quelli clinici.
Cybersecurity e rischi legati all’utilizzo di AI
Gli esperti di cybersecurity, come Fabio Buccigrossi di ESET, sottolineano l’importanza di una gestione attenta dell’AI per prevenire minacce esterne. “Le soluzioni AI supportano molte funzioni critiche in sanità, come la refertazione e la diagnosi, ampliando però la superficie esposta a attacchi. In questo contesto, gli ospedali e le aziende sanitarie diventano bersagli per ransomware e minacce informatiche.”
Gli effetti di una compromissione IT in sanità possono essere drammatici: possono compromettere diagnosi, interventi chirurgici e l’assistenza ai pazienti. “La cybersecurity deve, quindi, diventare parte integrante della trasformazione digitale – osserva Buccigrossi – attraverso un modello di protezione multilivello, con monitoraggio continuo e gestione delle vulnerabilità, autenticazione forte e conformità alle normative vigenti come il GDPR e il NIS2”.
Orientamento ai rischi, training continuo e controllo accessi
Un aspetto da non sottovalutare, ritiene Buccigrossi, è che i responsabili IT debbano adottare una strategia basata sulla governance e la valutazione dei rischi cyber, non solo sull’innovazione tecnologica. È cruciale stilare policy sull’utilizzo dell’AI generativa, chiarire i dati sanitari che possono essere elaborati e realizzare percorsi di formazione continua per il personale medico, amministrativo e IT. Questi corsi devono toccare, in particolare, i rischi di data leakage, phishing evoluto, deepfake, manipolazione di modelli AI.
“Bisogna anche implementare controlli sugli accessi e monitorare eventuali utilizzi non autorizzati, come quelli riconducibili alla cosiddetta Shadow AI – conclude Buccigrossi – e integrare la gestione del rischio AI nei sistemi di cybersecurity e compliance dell’azienda”.
Rischi concreti e lezioni da evitare: il framework della Shadow AI
Un rischio spesso sottovalutato è legato a utilizzi involontari di AI gen esterna da parte del personale aziendale, che potrebbe accedere a strumenti esterni senza controllo. Per evitare questo, il CIO di Lifenet, De Mattia, ha adottato un “approccio proattivo in fase di consolidamento”, identificando una soluzione di riferimento e definendo un framework di governance per un utilizzo sostenibile ma controllato.
Vengono predisposte linee guida interne, come la produzione di una Policy AI che stabilisca chiaramente gli usi consentiti e i dati trattabili, e definisca l’accesso a strumenti di AI solo a utenti autorizzati. In parallelo, vengono organizzati corsi mirati di sensibilizzazione sul rischio di data leakage e sull’uso non autorizzato di AI generativa con dati sensibili dei pazienti, al fine di rendere l’AI aziendale la soluzione più affidabile e facile da utilizzare rispetto a quelle non autorizzate.
Best practice da adottare in materia di AI security
Per affrontare i rischi tecnologici specifici collegati all’AI, De Mattia ritiene fondamentale attuare un insieme chiaro di best practice. Alcuni esempi pratici che applica Lifenet nel percorso di integrazione dell’AI sono:
- Creazione di una governance chiara che coinvolga le aree IT, Compliance e Human Resource.
- Produzione di linee guida interne per l’uso sicuro e autorizzato dell’AI.
- Riduzione della superficie di rischio attraverso politiche di monitoraggio e controllo.
- Formazione continua di tutto il personale sull’utilizzo consapevole dell’AI.
- Integrazione del monitoring del rischio AI nei processi di sicurezza e compliance.