L’AI cambia le regole: come CIO e CISO conquistano il CdA

«I C-level capiscono un terzo di quello che voi cercate di dire». È con questo richiamo schietto e pragmatico che Maximo Ibarra, membro del Consiglio di Amministrazione di Mediobanca ed ex Amministratore Delegato di Engineering, Sky Italia, KPN e Wind, ha aperto il dibattito nel corso del primo incontro dell’Empowerment Program 2026 dei Digital360 Awards 2026 e i Cybersecurity360 Awards, svoltosi il 16 aprile 2026 e intitolato “Board Relationship”. L’appuntamento ha messo al centro del confronto l’evoluzione della governance aziendale di fronte all’impatto dell’intelligenza artificiale e alla crescente pressione normativa europea.

I dati della survey presentata durante l’evento – condotta su un campione rappresentativo di 136 executive (120 CIO e 16 CISO) – fotografano una realtà in forte fermento ma ancora segnata da evidenti disallineamenti. Il 45% dei responsabili tecnologici non ha mai partecipato al CdA della propria azienda, mentre solo il 7% vi perviene in maniera continuativa.

Parallelamente, il 58% degli intervistati ritiene che il CdA comprenda poco o per nulla i temi ICT e cyber. Tuttavia, tra quel 55% di manager che ha avuto accesso alle riunioni del vertice, ben il 90% dichiara che le proprie raccomandazioni hanno influenzato le decisioni strategiche del Board o del Comitato Rischi.

Il nodo centrale non risiede dunque nella mancanza di interesse istituzionale, ma nella capacità dell’IT di tradurre la complessità tecnologica in un linguaggio orientato al valore d’impresa, alla continuità operativa e alla gestione del rischio.

Come cambia il ruolo dei C-level con la AI governance aziendale

L’ingresso pervasivo delle tecnologie generative e dei sistemi algoritmici nei processi decisionali richiede un’evoluzione profonda nelle competenze e nelle responsabilità delle figure direzionali.

Fino a poco tempo fa, la gestione dei sistemi informativi e la tutela della sicurezza viaggiavano su binari paralleli, incontrandosi spesso soltanto in presenza di criticità infrastrutturali o durante la negoziazione dei budget annuali. La velocità con cui le soluzioni tecnologiche entrano oggi nei modelli operative rende questo approccio del tutto inadeguato.

CIO e CISO sono chiamati a compiere un salto culturale, passando da supervisori tecnici a facilitatori strategici del cambiamento. La necessità di garantire la resilienza aziendale, rispettare le normative europee sui dati ed evitare i rischi legati allo Shadow IT spinge i vertici verso una visione sistemica. Richiamando la propria esperienza internazionale alla guida della telco olandese KPN, Ibarra ha sottolineato la differenza dei modelli di governance: «In Olanda la presenza del CTO e del CISO nei board era costante e imprescindibile già nel 2017: il livello di attenzione ed awareness era esponenzialmente più alto rispetto all’Italia».

Per colmare questo divario, i responsabili tecnologici devono superare la dimensione meramente difensiva. «Bisogna eliminare prima di tutto il fattore paura, ovvero il timore del manager di dire tutta la verità per evitare tagli al budget», ha rimarcato Ibarra, aggiungendo che «occorre spingere i manager IT verso la proattività: non serve la reattività di chi prepara centinaia di slide col rischio di andare in panico sulle domande, ma occorre trasferire i problemi fornendo la propria visione per la trasformazione aziendale con un linguaggio semplice».

La convergenza strategica tra CIO e CISO per la gestione del rischio

In questa nuova mappa delle responsabilità direzionali, la convergenza tra il Chief Information Officer e il Chief Information Security Officer costituisce il pilastro fondamentale della resilienza organizzativa. Mentre il primo ha il compito di abilitare l’innovazione, ottimizzare l’infrastruttura e accelerare la digitalizzazione, il secondo deve assicurare la riservatezza, l’integrità e la disponibilità delle informazioni. Tradizionalmente vista come un punto di frizione tra l’esigenza di velocità del business e la rigidità dei controlli, la relazione tra queste due figure sta evolvendo verso una collaborazione integrata.

Questa dinamica trova conferme dirette nella quotidianità dei manager sul campo. Vincenzo Meduri, CIO del Gruppo Mondadori, ha evidenziato la delicatezza del ruolo quando si viene convocati davanti alla direzione: «Quando vieni convocato c’è bisogno di sentire la tua voce e devi portare delle idee. Devi essere estremamente convincente ed affidabile: hai poco tempo e devi riuscire a trasmettere con un linguaggio semplice e chiaro dei contenuti che possano essere recepiti da interlocutori non tecnici, altrimenti la raccomandazione non trova terreno fertile».

L’imminente piena attuazione della Direttiva NIS2 e del regolamento DORA sta accelerando questo processo, spingendo le aziende a formalizzare i passaggi direttivi. Chiara Rocca, Deputy CISO di Edison, ha spiegato come la spinta normativa stia trasformando l’interazione con il vertice: «In Edison stiamo vivendo un momento cruciale grazie alla NIS2, perché dobbiamo passare dal CdA per farci approvare i programmi e fare formazione. La sfida più grande è superare la complessità della tecnologia per avvicinarci al linguaggio di business, parlando di impatti reputazionali, competitivi ed economici».

Sulla stessa linea, Giampaolo Tacchini, CISO di Edison, ha confermato come nei comitati esecutivi e nei CdA si sia passati da una fase di incomprensione iniziale a momenti di vero «challenge sul rischio e sulla tipologia di investimento». Giampiero Aldo Zambetto, CISO di ACI Global Servizi, ha ribadito l’importanza del metodo: «Bisogna essere chirurgici quando si entra in consiglio direttivo, portando già delle soluzioni premasticate affinché vengano approvate».

I pilastri fondamentali per strutturare la ai governance aziendale

Costruire un modello di governo efficace per l’intelligenza artificiale significa definire chiare linee guida etiche, procedure operative condivise e una mappatura rigorosa dei dati trattati. La complessità introdotta dai modelli di apprendimento automatico risiede nella loro natura dinamica e poco trasparente. Le aziende non possono limitarsi ad approvare l’acquisto di software, ma devono strutturare un quadro di controllo permanente che monitori l’intero ciclo di vita delle soluzioni adottate.

Dall’angolo visuale di chi siede nei Consigli di Amministrazione, la chiarezza dell’informazione è l’elemento determinante per sbloccare le risorse economiche necessarie. Maria Elena Cappello, consigliere indipendente in istituti bancari tra cui Luminor Bank nei Paesi Baltici e già AD di Nokia Italia, ha rivolto un invito esplicito ai tecnici: «I manager hanno una doppia sfida: convincere il CEO che sono strategici e far capire al board che devono essere presenti sempre. Bisogna dare delle smart pills: qual è il problema, la soluzione, il costo e il valore restituito sul business. È importante far capire al board l’impatto della non decisione, ovvero il costo della non-innovazione che i CIO vedono molto prima del CEO».

Dalla tecnologia al parametro finanziario

Un passaggio critico riguarda la traduzione dei progetti tecnologici in parametri finanziari trasparenti. Antonella Ambriola, consigliere di amministrazione indipendente ed ex CTO di Vodafone e Wind Tre, ha messo in guardia contro la percezione dell’IT come una scatola nera costosa: «Spesso CIO e board cadono nella trappola della black box: il board non capisce quanti soldi si stiano spendendo nell’IT e il gergo tecnico a volte intimorisce o irrita. Il consiglio è tradurre le iniziative tecniche in obiettivi di business: invece di parlare di migrazione al cloud, parlate di riduzione del time-to-market o di uptime, parametri legati al P&L. Passate dal chiedere il permesso per l’implementazione tecnologica al chiedere un consiglio o supporto su come far servire l’IT alla strategia aziendale».

Un’ulteriore sfida è rappresentata dal disallineamento temporale tra i ritmi del CdA, abituato alle scadenze delle trimestrali finanziarie, e i tempi dei progetti informatici complessi che possono estendersi per 18 mesi. Per mantenere la fiducia degli amministratori, Ambriola suggerisce la pianificazione di rilasci progressivi e una gestione trasparente del rischio residuo: «In ambito cybersecurity il board deve capire che il rischio zero non esiste, e il CIO o CISO non deve isolarsi ma coinvolgere tutta l’azienda».

Gli scenari applicativi e i dati sulla maturità digitale delle imprese

L’analisi dei dati rilevati dalla survey del Politecnico di Milano per l’Empowerment Program 2026 traccia un quadro articolato sullo stato di adozione dell’intelligenza artificiale. Il 31% delle aziende dichiara di aver già definito una strategia concreta sull’AI, mentre il 43% la sta formalizzando e il 26% porta avanti esclusivamente sperimentazioni dal basso (bottom-up).

Nelle realtà che hanno strutturato un piano, la gestione della strategia è affidata per il 50% a un comitato interfunzionale di C-level e per il restante 50% direttamente al CIO o CTO. Sul fronte della sovranità digitale, il 90% degli intervistati rivela che il tema non è ancora stato affrontato dal proprio CdA. Tuttavia, la percezione verso regolamentazioni come l’AI Act e il Data Act è positivamente controtendenza: per il 45% del campione le normative europee agevolano e orientano l’innovazione, contro solo un 18% che le considera un ostacolo burocratico.

Nel commentare questi scenari, Marco Giorgino, professore ordinario al Politecnico di Milano, Presidente di Nedcommunity e board member di Mediobanca e Terna, ha evidenziato l’importanza dei comitati endogeni: «Il Comitato Rischi deve occuparsi di questi argomenti per ragioni di business, per i costi e per i KRI (Key Risk Indicators). Serve capacità di sintesi per delineare la big picture: capire perché affrontiamo certi temi e i relativi impatti. Inoltre, un CdA funziona se il Presidente inserisce questi argomenti centrali ai primi posti dell’ordine del giorno, non al tredicesimo punto quando l’attenzione è ormai calata».

L’evoluzione della maturità digitale richiede infine continuità e metodo nel tempo. Come sintetizzato da Giuseppe Galati, manager di Mediobanca, intervenuto dal pubblico: «Occorrono due ingredienti fondamentali: la costanza di presentarsi spesso nei comitati per monitorare KRI e KPI, e la struttura. Quando parte un nuovo board occorre creare un momento di formazione iniziale e da lì intraprendere un viaggio insieme; senza questa struttura costante, intervenire a strappo diventa una fatica enorme». È proprio attraverso questo percorso formativo permanente che le imprese italiane potranno trasformare la compliance e la sicurezza da vincoli normativi a leve strategiche di crescita e competitività globale.