Red Hat, specialista mondiale nelle soluzioni open source, ha annunciato i risultati di un’indagine che esamina l’adozione dell’intelligenza artificiale (AI) e la gestione del rischio nelle imprese, coinvolgendo 1.400 CIO in 14 Paesi, inclusa l’Italia. La ricerca indica che, mentre gli agenti AI autonomi stanno entrando rapidamente nella produzione aziendale, con il 99% delle imprese italiane intervistate che già li utilizza, persiste un divario cruciale tra la percezione della governance e l’effettiva visibilità operativa.
La maggior parte dei CIO italiani intervistati (92%) dichiara un elevato livello di fiducia nel fatto che i propri agenti AI operino in modo sicuro e conforme alle normative, grazie a guardrail e sistemi di monitoraggio. Tuttavia, i dati evidenziano che questo ottimismo può nascondere una carenza di visibilità:
· il 43% degli intervistati dichiara di avere una comprensione precisa dei flussi di dati all’interno della propria organizzazione e di sapere dove i dati vengono archiviati ed elaborati;
· solo quattro aziende su dieci (41%) hanno una visione completa della propria supply chain software, incluse le dipendenze dirette e indirette;
· la metà delle aziende (51%) afferma di valutare in modo continuativo i rischi posti dai fornitori di AI, oltre la fase iniziale di onboarding.
Questi risultati indicano che, sebbene gli intervistati ritengano che i propri agenti AI e gli ambienti in cui operano siano dotati di adeguati controlli di sicurezza e sovranità, la realtà mostra una mancanza di prove verificabili di tali operazioni. La natura dinamica dell’innovazione nell’AI e delle forze di mercato rende infatti possibile che un sistema presenti elevati livelli di sicurezza e conformità al momento del deployment, per poi diventare completamente esposto poco dopo.
Piccole lacune di visibilità, grandi rischi per i dati
Le imprese italiane stanno accelerando il proprio percorso di adozione dell’AI: il 59% degli intervistati afferma di poter fare pieno affidamento su guardrail testati, monitoraggio continuo e meccanismi di intervento automatizzati. Un ulteriore 33% delle aziende italiane si dichiara “abbastanza fiducioso” di avere sicurezza e compliance sotto controllo, pur riconoscendo alcune lacune minori nei propri guardrail e sistemi di monitoraggio.
Negli ambienti di produzione, tuttavia, gli scambi di dati non monitorati tra piattaforme aziendali, servizi cloud e modelli AI esterni possono creare rischi. Il 41% delle aziende italiane segnala piccole lacune nella visibilità dei flussi di dati; il 14% ha già introdotto funzionalità AI senza comprendere pienamente i flussi di dati; e il 2% non ha valutato la visibilità all’interno del proprio ambiente tecnologico.
A livello comparativo, la visibilità varia sensibilmente da paese a paese: mentre il 61% degli intervistati in Sudafrica dichiara di avere visibilità end-to-end sui flussi di dati, le organizzazioni francesi si fermano al 31%. Per le imprese italiane che operano in contesti normativi stringenti come il GDPR e l’AI Act europeo, garantire una tracciabilità verificabile dei dati lungo tutto il ciclo di vita resta essenziale per evitare non conformità e fughe di dati.
Il grande rischio delle dipendenze software indirette
Ben il 74% delle aziende italiane intervistate dichiara di essere in grado di correggere vulnerabilità software critiche entro 24 ore da quando una patch è disponibile. Le restanti impiegano alcuni giorni e nessuna indica tempi superiori a una settimana.
Tuttavia, la maggior parte delle aziende non sa con esattezza quali componenti software siano in uso. Solo il 41% dispone di una visione completa e costantemente aggiornata di tutti i componenti open source utilizzati, incluse provenienza, numeri di versione e dipendenze dirette e indirette. Considerando tutti i paesi coinvolti, la media si ferma a poco meno del 33%.
Il 37% delle aziende dell’area dispone di una buona visione dei componenti e delle versioni, ma ammette comunque l’esistenza di compromessi nella comprensione delle origini e delle dipendenze indirette. Il 18% degli intervistati non ha una visione completa, in parte perché si concentra sui componenti dei progetti più grandi o perché la visibilità dipende fortemente dalle specifiche applicazioni o unità di business che li utilizzano. Solo l’1% delle imprese rispondenti non monitora in modo sistematico la propria supply chain software open source.
Le dipendenze indirette sono comuni in molti progetti software open source, il che significa che incorporano librerie, framework e altri componenti provenienti da altri progetti. Queste dipendenze possono spesso rappresentare rischi significativi per il patrimonio IT di un’organizzazione, specialmente se non vengono valutate in modo efficace (56%).
La valutazione del rischio come attività continua, non episodica
Per quanto riguarda la valutazione dei rischi posti dai fornitori di AI, la metà delle aziende italiane (51%) afferma di essere ben preparata e di disporre di criteri misurabili e monitorati in modo continuo nell’ambito delle attività quotidiane legate all’AI. Si tratta di una quota significativamente superiore, ad esempio, a quella dei Paesi Bassi (poco meno del 22%) e della Germania (33%).
Sebbene un terzo (33%) delle aziende intervistate in Italia effettui una valutazione del rischio prima di implementare nuove tecnologie AI, incontra difficoltà nel monitorare e valutare tali rischi in seguito. Il 12% si affida esclusivamente a una valutazione iniziale, un approccio che può rivelarsi insufficiente nel mondo in rapida evoluzione dell’AI, in cui modelli, dati, requisiti normativi e minacce cambiano quasi quotidianamente.
Questa sfida, e la necessità di affrontarla con metodi misurabili e controllati internamente, non sfugge agli intervistati. Solo il 3% delle aziende italiane si affida esclusivamente ad audit esterni, certificazioni e garanzie contrattuali per le proprie valutazioni del rischio. E solo l’1% non adotta alcun approccio strutturato per valutare i rischi legati ai fornitori.
Fabio Grassini, enterprise sales director, Italy, Red Hat, ha dichiarato: “Una governance efficace dell’AI non dipende soltanto da policy e processi di audit, ma richiede prima di tutto una visibilità completa, qualcosa che la maggior parte delle organizzazioni italiane sembra non avere attualmente. Le aziende devono sapere come fluiscono i dati, quali componenti software stanno utilizzando e quali rischi pongono i fornitori di AI — e questo deve essere fatto lungo l’intero ciclo di vita degli agenti AI. Il fatto che solo il 41% disponga di una visione completa della propria supply chain software, incluse le dipendenze dirette e indirette, è preoccupante. Prima di scalare AI e agenti, dovrebbero sempre essere messi in campo meccanismi di monitoraggio e governance per identificare i rischi in anticipo, soprattutto perché l’AI rende più facile individuare e sfruttare le vulnerabilità.”
Chris McBrayne, senior vice president e general manager, EMEA, Red Hat, ha aggiunto: “Sebbene le autovalutazioni delle aziende mostrino alcune leggere differenze a livello internazionale, la maggior parte si dichiara relativamente fiduciosa nella propria capacità di monitorare e controllare efficacemente gli agenti AI. Tuttavia, questa fiducia nelle proprie capacità non è sempre giustificata: la nostra ricerca evidenzia infatti una mancanza di trasparenza completa e continuativa in merito ai flussi di dati, alle dipendenze software e ai rischi legati ai fornitori. Architetture aperte con una gestione centralizzata possono però aiutare le aziende a mantenere il controllo e a restare flessibili nella scelta di modelli e provider.”
La ricerca è stata condotta da Censuswide su 1.400 CIO (25+) nel Regno Unito, Francia, Italia, Germania, Spagna, Emirati Arabi Uniti, Svezia, Turchia, Svizzera, Polonia, Sudafrica, Paesi Bassi, Belgio e Arabia Saudita tra il 24.08.2026 e il 01.09.2026. Censuswide è membro della Market Research Society e del British Polling Council, nonché firmataria del Global Data Quality Pledge.
