CIO e CISO alla prova dell’AI: perché serve una nuova leadership di business

«Devo somministrarvi una prima verità scomoda sulla governance e sul ruolo di CIO e CISO: in Italia l’AI si sta diffondendo molto più lentamente di quanto i vendor e gli analisti internazionali ci dicono». Con questo avvertimento Mariano Corso, professore del Politecnico di Milano, ha aperto il suo intervento nel terzo appuntamento dell’Empowerment Program – dedicato all’head hunting – promosso nell’ambito dei Digital360 Awards e Cybersecurity360 Awards 2026.

Come sottolineato durante l’apertura dei lavori da Andrea Rangone, professore del Polimi e co-founder di Digital360 e Nextwork360, la maggior parte delle ricerche «top-down» finora condotte dipinge un quadro di apparente immobilismo strategico sull’AI: in un’indagine svolta su 150 Chief HR Officer, ben il 79% delle aziende dichiara zero impatto sul modello di business e tre su quattro non hanno nemmeno avviato una riprogettazione dei processi operativi.

A rendere il quadro ancor più sfidante intervengono i dati Eurostat richiamati da Corso, che collocano l’Italia al penultimo posto in Europa per diffusione dell’AI tra i cittadini e per competenze digitali di base.

Per fare chiarezza su questo paradosso, è stata presentata un’analisi dettagliata tracciata su oltre mille profili aziendali italiani (circa 700 CIO e oltre 350 CISO). La mappatura ha mostrato luci e ombre che caratterizzano oggi la figura della leadership tecnologica. I dati raccolti direttamente sul campo mettono in luce la necessità urgente di un salto di qualità manageriale, indispensabile per evitare che la guida strategica della trasformazione digitale venga definitivamente delegata ad altre funzioni aziendali.

Quali sono le differenze e le sinergie strategiche tra CIO e CISO

Analizzando la struttura organizzativa delle aziende medio-grandi in Italia -appartenenti per il 40% al settore dei servizi e per un altro 40% al comparto manifatturiero -, emerge una distinzione netta ma al contempo un’interdipendenza sempre più stretta tra chi guida la direzione IT e chi presidia la sicurezza delle informazioni.

Come emerso dalle rilevazioni, il Chief Information Officer e il Chief Information Security Officer condividono una matrice formativa fortemente omogenea, sbilanciata per oltre il 60% sulle discipline STEM (Scienze, Tecnologia, Ingegneria e Matematica). Ciononostante, si trovano ad affrontare mandate operative e sfide quotidiane profondamente differenti.

Se il CIO ha il compito prioritario di abilitare l’innovazione, ottimizzare l’efficienza dei processi aziendali e guidare l’adozione di nuove soluzioni software a supporto del business, il CISO deve garantire la resilienza complessiva dell’intero ecosistema digitale di fronte a minacce informatiche in costante e aggressiva evoluzione. Durante i tavoli di lavoro dedicati, i partecipanti hanno evidenziato come la convergenza tra queste due anime sia ormai ineludibile.

Tuttavia, le due funzioni operano con ritmi e metriche differenti: la gestione dell’infrastruttura richiede una naturale propensione al cambiamento, alla velocizzazione delle consegne di progetto e allo sviluppo di nuove architetture; la sicurezza, di contro, impone un approccio rigoroso e cautelativo, basato sulla costante valutazione del rischio, sulla compliance e sulla salvaguardia del patrimonio informativo.

Il confronto tra le due figure deve quindi evolvere verso una sinergia strutturata e priva di attriti. Come emerso dal dibattito tra i direttori IT e Security presenti all’evento, il rischio principale da scongiurare è la creazione di blocchi burocratici o sovrapposizioni paralizzanti. CIO e CISO sono chiamati a costruire un equilibrio dinamico tra la spinta ad accelerare sui progetti innovativi e la necessità inderogabile di blindare le risorse critiche dell’organizzazione, trasformando la sicurezza da freno percepito a vero e proprio fattore abilitante del business.

Come si integrano le responsabilità della tecnologia e della sicurezza aziendale

La convergenza tra l’operatività tecnologica e la protezione dei dati si manifesta in modo plastico nell’era della digitalizzazione spinta e dell’AI generativa. L’indagine evidenzia profili anagrafici ed esperienziali speculari: l’età media è estremamente vicina, attestandosi a 52 anni per i CIO e a 49,6 anni per i CISO, con un bagaglio di esperienza professionale accumulata che sfiora i tre decenni (rispettivamente 29 e 26 anni di carriera, e una permanenza media nel ruolo attuale di 9,2 e 8,3 anni).

Questa profonda maturità professionale deve oggi tradursi in modelli di governance integrata. Durante la restituzione dei tavoli di lavoro sulla sicurezza, Luca della Giovanna, CISO di Humanitas, ha spiegato come la gestione della protezione aziendale si sia dovuta trasformare radicalmente con l’avvento dei modelli linguistici: «Fare il CISO nell’epoca dell’AI cambia le regole del gioco. Si è cercato di creare un know-how di base e si è cominciato a introdurre policy necessarie per determinare le regole del gioco e i controlli, perché la Shadow AI è molto democratica e bypassa i sistemi informativi classici».

L’integrazione tra le responsabilità richiede dunque la creazione di organismi congiunti, come i “Cyber Board” o comitati di valutazione del dato, citati dallo stesso della Giovanna, all’interno dei quali IT e Security analizzano preventivamente quali informazioni possano essere cedute ai modelli AI. Si rende inoltre necessaria l’implementazione di architetture avanzate di “AI Prompt Security” e il tracciamento rigoroso delle identità, in grado di gestire e monitorare lo switch operativo tra l’utente umano che avvia un processo e l’agente AI che lo esegue. Soltanto attraverso questa collaborazione sistematica è possibile garantire la piena tracciabilità e la sicurezza forense dei workflow automatizzati.

L’impatto dell intelligenza artificiale sui ruoli di CIO e CISO

L’irruzione prepotente degli strumenti di intelligenza artificiale generativa ha modificato l’agenda quotidiana della leadership tecnologica. L’effetto primario riscontrato sul campo dalle aziende italiane non è stata la paventata riduzione drastica degli organici – che rimangono stabili in virtù di strutture interne già storicamente sottodimensionate -, bensì un aumento esponenziale della complessità gestionale e un riposizionamento strategico dei compiti.

Come riportato da Francesco Ciuccarelli, Chief Innovation & Technology Officer di Alpitour World, le organizzazioni si trovano oggi a un tornante decisivo: «Siamo in un momento in cui passiamo dalla sperimentazione alla scala, e senza le tre leve di cultura, tecnologia e architettura la scala non si potrà raggiungere». I CIO e i CISO sono chiamati a fungere da veri e propri “navigatori” o “bussole” per l’azienda, presidiando tre ambiti fondamentali: la diffusione di una cultura digitale diffusa, la demarcazione netta tra AI individuale e AI enterprise, e infine l’orchestrazione tecnologica mediante logiche di model routing per ottimizzare le prestazioni e i costi computazionali.

Questa transizione richiede una gestione estremamente attenta delle metriche economiche e delle risorse. Come sottolineato nei gruppi di lavoro, l’esplosione dei consumi computazionali impone una profonda comprensione della cosiddetta tokenomics: la capacità di valutare come i token si traducano in costi operativi diretti oltre che in forza lavoro digitale, attivando pratiche di FinOps. I leader tecnologici non possono più limitarsi a testare le soluzioni in laboratorio, ma devono strutturare processi “AI Native” capaci di garantire la sostenibilità finanziaria, la compliance e l’efficienza scalabile dell’intera architettura aziendale.

Dalla produttività individuale alla gestione della organizzazione agentica

Nonostante il grande clamore mediatico, la maggioranza assoluta delle imprese italiane resta imbrigliata in quella che Corso definisce “Fase 1” dell’adozione: una dimensione in cui l’AI viene fruita su base prevalentemente individuale per la redazione di testi, la traduzione rapida o la sintesi automatica di verbali di riunione. Corso ha evidenziato con severità i limiti intrinseci di questo approccio: «La stragrande maggioranza delle aziende è in Fase 1, in cui l’AI è data semplicemente come strumento di produttività individuale, e lì si manifestano solo i costi e non i risparmi. Il beneficio di produttività oggi nelle nostre imprese è bassissimo: i lavoratori usano l’AI sul 17% delle attività e risparmiano circa mezz’ora al giorno, un dato che in un anno non è cresciuto. Inoltre, questo risparmio di tempo viene gestito e reinvestito dalle aziende solo nel 9% dei casi».

Il vero salto quantico si realizza con il passaggio alla “Fase 2” (riprogettazione e reingegnerizzazione strutturale dei processi operativi) e soprattutto alla “Fase 3”, caratterizzata dall’affermazione della cosiddetta organizzazione agentica. In questa nuova era, gli agenti virtuali operano come veri e propri digital coworker capaci di svolgere workflow complessi in autonomia.

Ferdinando Peretto, Group Chief Information Officer presso Azimut|Benetti Group, ha commentato questo scenario citando il fermento registrato tra i CIO: «Si va verso un’AI che fa attività operative vere e proprie, ma serve qualcuno in grado di programmarle. Ci siamo anche posti la domanda se domani il CIO sarà il capo del personale, visto che dovrà gestire un organico di agenti virtuali». L’integrazione degli agenti permette infatti di superare i vecchi sistemi RPA, spostando il personale umano su attività strategiche o compensando il blocco del turnover mediante la creazione di forza lavoro algoritmica.

Come gestire i rischi di shadow AI e garantire la conformita normativa

La proliferazione incontrollata di applicativi di intelligenza artificiale al di fuori del perimetro ufficiale validato dall’IT rappresenta uno dei principali incubi per la direzione della sicurezza informatica. Spinti dalla ricerca di efficienza immediata, i dipendenti ricorrono massicciamente a piattaforme esterne non censite, esponendo l’organizzazione a gravissimi rischi di esfiltrazione di dati riservati, violazione della privacy e attacchi di prompt injection.

A questo scenario di vulnerabilità diffusa si aggiunge il pressing incessante dei quadri normativi europei. Direttive e regolamenti come la NIS 2, l’AI Act, DORA e il Data Act impongono requisiti stringenti di tracciabilità, trasparenza degli algoritmi e governance dei dati. Giorgio Medina, Head of Cyber Security di Enilive, ha rimarcato come la compliance sia stata il vero motore propulsivo dell’aggiornamento professionale: «Come CISO non abbiamo in generale adottato azioni concrete in termini di soft skills legate all’AI; il driver principale è stato semmai la compliance normativa. Il personale tecnico ha dovuto acquisire competenze per rispettare normative come l’AI Act, e per il prossimo futuro si ha in mente di fare leva su NIS 2».

Per contenere la Shadow AI senza soffocare l’innovazione, i CISO stanno passando dalla semplice emanazione di policy alla creazione di controlli tecnici e procedurali stringenti. Come sottolineato da Luca della Giovanna, l’adozione di filtri avanzati contro le minacce informatiche dirette ai modelli AI deve accompagnarsi alla gestione rigorosa delle identità sintetiche, garantendo che ogni operazione compiuta da un agente automatico sia riconducibile a un preciso perimetro di responsabilità per le analisi forensi post-incidente.

L’identikit professionale e l’evoluzione delle carriere di CIO e CISO

L’indagine empirica degli Osservatori del Polimi, condotta analizzando sistematicamente oltre mille profili pubblici della dirigenza IT e Security in Italia, sintetizza una fotografia chiara ed emblematica dell’estrazione e del percorso professionale dei manager di settore:

I dati rivelano una marcata iper-specializzazione e una progressione di carriera fortemente verticale. Se da un lato oltre il 60% dei manager possiede un titolo di studio universitario in ambito scientifico o ingegneristico, dall’altro emerge un dato sorprendente: ben il 75% del campione non ha mai svolto corsi di formazione post-laurea o percorsi executive aziendali.

Tra il ristretto 25% che ha investito in formazione avanzata, i CIO mostrano una predilezione per percorsi di business management come gli MBA (14%), mentre i CISO tendono a focalizzarsi su percorsi di specializzazione tecnica ed executive governance.

Inoltre, come evidenziato durante la presentazione dei dati, l’analisi delle traiettorie lavorative mostra un’elevata mobilità intersettoriale: tra il 50% e il 60% dei professionisti ha cambiato tre o più settori merceologici durante la propria carriera, a dimostrazione di come le competenze tecnologiche e la gestione dell’infrastruttura siano percepite come fortemente trasversali rispetto ai singoli mercati di sbocco.

L’analisi dei profili italiani tra competenze tecniche e bisogno di formazione manageriale

Un elemento di profonda riflessione emerso dall’analisi riguarda la marcata omogeneità dei percorsi di provenienza. Circa il 70% dei responsabili della tecnologia e della sicurezza ha compiuto l’intero cammino lavorativo all’interno della funzione ICT. Inoltre, il restante 30% giunto da esperienze esterne proviene quasi esclusivamente dai mondi della consulenza IT o della system integration. Sommando queste due componenti si scopre che quasi il 90% del campione possiede un background radicato esclusivamente nell’ecosistema tecnologico.

Se questo solido imprinting garantisce un’eccellente padronanza delle architetture e dei sistemi, al contempo rivela uno scoperto storico nelle competenze economico-finanziarie, di strategia aziendale e di gestione delle risorse umane. Intervenendo nella tavola rotonda dedicata all’Executive Search, Stefano Cavaliere, fondatore di Sparkling, ha evidenziato questo nervo scoperto: «Le aziende faticano a colmare i vuoti con profili tradizionali. I CIO e i CISO devono riuscire a scalare ai “tavoli alti” per imporre il loro know-how strategico, altrimenti rischiano di diventare solo un servizio per le altre funzioni».

Sulla stessa linea si è espressa Cristina Napoletano, Head of Sales per DUNE Talent, che ha rimarcato come nelle grandi organizzazioni stia finalmente cambiando la percezione dell’IT, non più considerata un mero centro di costo ma una funzione strategica. Per sostenere questo salto di qualità, i vertici aziendali cercano di supportare i CIO integrandone le competenze attraverso percorsi executive focalizzati su finance, governance e leadership.

Le nuove prospettive di crescita e il rischio di marginalizzazione nel vertice aziendale

Il rischio sotterraneo ma assai concreto per la leadership tecnologica è quello di subire una progressiva marginalizzazione operativa, rimanendo relegata alla pura gestione delle infrastrutture e della manutenzione sistemistica. Nel frattempo, la regia strategica della trasformazione digitale e dell’AI viene frequentemente avocata a sé da nuove figure apicali, quali il Chief Transformation Officer o il Chief HR Officer, maggiormente inseriti nelle dinamiche di business e nelle stanze decisionali.

Analizzando le tendenze del mercato del lavoro executive, Virginia Ghisani, partner di Key2People, ha delineato con chiarezza la spaccatura in atto nelle aziende italiane: «Siamo davanti a un nuovo livello di cooperazione tra Business, IT e HR, una responsabilità condivisa verso la skills-based organization. Nelle aziende partecipate da fondi Private Equity stiamo assistendo a una spaccatura: c’è chi si occupa dell’IT tradizionale e chi della trasformazione, spesso affidata a un Chief Transformation Officer a riporto del CEO».

I dati emersi dagli “Instant Poll” condotti durante l’evento confermano un’interessante ambivalenza psicologica: sebbene il 70% dei CIO e CISO dichiari di voler rimanere nel proprio ruolo attuale (cercando semmai aziende più complesse), ben il 65% indica che l’elemento decisivo per valutare una nuova opportunità lavorativa sia la «possibilità di guidare una trasformazione importante». Commentando queste risposte, Stefano Cavaliere ha lanciato una provocazione alla platea: «Le trasformazioni nascono dall’uscita dalla comfort zone. Per evolvere serve allargarsi internamente nella propria azienda, facendo progetti anche al di fuori del perimetro strettamente IT per ottenere visibilità al vertice».

La sovranità digitale e la gestione del rischio di lock in per CIO e CISO

Oltre alla dirompente onda dell’intelligenza artificiale, l’altro grande pilastro strategico affrontato dai tavoli di lavoro riguarda la sovranità digitale e la progressiva dipendenza delle imprese europee dai grandi fornitori tecnologici d’oltreoceano. Il tema ha smesso di essere un’astratta speculazione geopolitica ed è diventato un’urgenza gestionale quotidiana, complicata dall’esplosione dei costi dei servizi cloud erogati dagli hyperscaler americani.

I recenti interventi normativi dell’Unione Europea – culminati nel giugno 2026 con il lancio del cosiddetto “Digital Sovereignty Package”, integrato con il Chips Act 2.0, il Cloud e l’AI Act – stanno cercando di tracciare un indirizzo di politica industriale integrata. Ciononostante, le aziende sul campo affrontano una realtà asimmetrica e complessa.

Le imprese registrano un continuo aumento dei canoni di licenza e una sostanziale impossibilità di contrattare le condizioni economiche con i colossi tecnologici. Per le direzioni IT e Security, la sfida prioritaria consiste nel definire strategie di vendor rating e vendor selection capaci di tutelare il patrimonio informativo dell’organizzazione, evitando di consegnare l’intera operatività aziendale a provider esteri su cui si possiede un controllo limitato.

Come affrontare la dipendenza dai grandi fornitori cloud e tutelare il patrimonio informativo

L’ostacolo principale per le imprese italiane ed europee risiede nella quasi totale assenza di alternative di mercato di pari livello rispetto alle Suite applicative mission-critical forniti dagli hyperscaler statunitensi. Come evidenziato con crudo realismo da Vincenza Moroni, Head of Cyber Security & Compliance presso la Fondazione Milano Cortina 2026, la sperequazione economica vanifica spesso qualsiasi tentativo di diversificazione: «I costi dei fornitori cloud hanno un peso tale che vanifica i tentativi di introdurre parametri diversi. Essere schiacciati significa affrontare il rischio di lock-in sia operativo che economico: il primo anno i costi sono vantaggiosi, il secondo anno il fornitore può triplicare il canone e tu sei bloccato».

A farle eco è intervenuta Antonella Periti, CIO di Edison, che ha ribadito la necessità di condurre rigorose analisi di impatto preventivo: «La sovranità digitale riguarda la governance per essere meno dipendenti dalla supply chain e dai vendor. Sulla sovranità non abbiamo alternative reali, soprattutto sui software applicativi dove gestiamo i processi critici. Prima di tutto conta fare una Business Impact Analysis per capire le priorità».