I cinque articoli precedenti parlavano di controlli tecnici. Questo parla della persona alla tastiera – perché in quasi tutte le storie che seguono non si è guastato nulla, nessuno è stato sconsiderato e l’unico controllo presente in quel momento era il buon senso di qualcuno che aveva tre secondi per decidere.

Gennaio 2024. Un addetto alla finanza di una multinazionale dell’ingegneria riceve un messaggio dal direttore finanziario: c’è un’operazione riservata da gestire in silenzio e va fatta in fretta.

La cosa gli puzza. Perché tanta urgenza? Perché la segretezza?

Allora il direttore lo invita a una videochiamata. E ci sono tutti: il CFO, diversi colleghi che riconosce. Gli spiegano la situazione e cosa deve fare subito. Lui esegue – quindici bonifici, venticinque milioni di dollari.

Ogni singola persona di quella videochiamata era generata artificialmente. Volti e voci, ricostruiti da materiale pubblico. L’unica persona reale collegata era lui. La frode è emersa solo quando ha ricontattato la sede centrale, che gli ha chiesto: quale operazione?

Il responsabile informatico dell’azienda l’ha definita “ingegneria sociale potenziata dalla tecnologia”. Ma la parte che mi interessa davvero è un’altra: quel dipendente il sospetto ce l’aveva. Gli attaccanti hanno risposto al suo sospetto con una videochiamata e lui ha ottenuto la conferma su un canale che controllavano loro.

Non si è rotto niente. Nessun sistema è stato violato, nessuna vulnerabilità sfruttata, nessun avviso ignorato.

Perché questo pezzo è diverso dai precedenti

Nei cinque articoli precedenti ho scritto di confini di fiducia, privilegi minimi, autorizzazione continua, identità crittografiche. Roba che si progetta e si impone. Questo nasce da un corso costruito per tutt’altro pubblico – risorse umane, amministrazione, marketing, vendite – e la sua tesi, che condivido, è che una parte consistente del rischio AI non è raggiungibile da nessuno di quei controlli.

Tre situazioni, dal corso, tutte verosimili.

Il marketing organizza un webinar e raccoglie duecento contatti. Le vendite vogliono sapere chi chiamare per primo e qualcuno incolla l’elenco in una chat AI chiedendo di ordinarlo per priorità. Uso intelligente. Ma se quello strumento non è approvato dall’azienda, sono i dati personali di duecento persone appena usciti verso un fornitore terzo.

Ti colleghi a una riunione e c’è un trascrittore automatico. Normale, non ci fai più caso. Ma tutto ciò che viene detto in quella stanza adesso è un documento, e può viaggiare molto più lontano di quanto i presenti immaginino.

Qualcuno in HR chiede all’AI di selezionare i dieci curricula migliori su trecento. Veloce e sembra pure imparziale. Ma l’AI può aver raccolto pregiudizi che nessuno ha messo lì di proposito e adesso quello strumento sta scartando candidati.

Nessuno è stato imprudente. Nessuno aveva cattive intenzioni. E soprattutto: nessuna di queste è stata una decisione informatica. L’ha presa qualcuno nelle vendite, qualcuno in riunione, qualcuno in HR, in pochi secondi.

Gli strumenti di sicurezza aiutano, ma in quel momento lì non c’erano.

Primo: la verifica vale solo se il canale lo apri tu

Questa è la singola abitudine più trasferibile dell’intero corso e vale ben oltre i deepfake.

Il punto di partenza è smettere di contare sugli occhi e sulle orecchie. I deepfake più comuni non sono nemmeno i video: la voce costa molto meno. A un attaccante basta un minuto di audio di una persona – a volte pochi secondi – per costruirne una copia. Il materiale grezzo è ovunque: interventi a convegni, webinar, podcast, video su LinkedIn. Il docente del corso ne ha fatto uno di sé stesso con novanta secondi presi dal corso stesso.

E la metà che rende credibile la storia – a chi riporti, su cosa stai lavorando, dove sei stato la settimana scorsa – sta sui social e nelle risposte automatiche di assenza. Uno fornisce il volto e la voce di cui ti fidi, l’altro dice cosa farci dire.

Su un campione di duemila persone avvisate in anticipo che avrebbero visto contenuti falsi e invitate a individuarli, meno dell’uno per cento ha fatto en plein. E con i video è andata peggio che con le immagini.

Quindi se il volto e la voce non sono più verificabili, si guarda la richiesta. Perché quello che vogliono gli attaccanti non è cambiato: nessuno costruisce un deepfake del direttore finanziario per chiederti che tempo fa. La commissione federale statunitense per il commercio pubblica da anni quattro segnali che si applicano perfettamente:

Fingono di essere qualcuno che conosci.
C’è un problema o un premio – qualcosa che solo tu puoi risolvere, o che stai per perdere.
Pressione: subito, e non dirlo a nessuno. Urgenza più segretezza non è quasi mai legittimo.
Pagamento, in una modalità specifica. E non è sempre denaro: possono essere dati, accessi, una password.

Quando una richiesta è urgente, riservata e riguarda denaro, dati o accessi, è lì che deve suonare l’allarme. E deve suonare per qualsiasi cambio di coordinate bancarie, per quanto familiare sembri chi lo chiede.

La regola operativa è una sola: riaggancia, cerca tu il numero, richiama. Non il numero che ti ha chiamato, non quello nella mail appena ricevuta. Il caso del fornitore che comunica le nuove coordinate bancarie e ti invita a chiamarlo per conferma è esattamente questo: telefonare a quel numero sembra un controllo, ma stai chiamando l’attaccante.

Luglio 2024, un dirigente Ferrari riceve messaggi WhatsApp da un numero nuovo che dice di essere l’amministratore delegato. Acquisizione riservata, massima discrezione. Poi il telefono squilla ed è la sua voce, accento perfetto. Il dirigente risponde che ha bisogno di verificare e gli chiede quale libro gli avesse consigliato pochi giorni prima. Il truffatore riattacca.

La domanda sul libro è brillante ma non necessaria. Sarebbe bastato: ti richiamo subito io e comporre il numero che aveva già.

E sì, si può riagganciare in faccia all’amministratore delegato. Ti garantisco che è il primo a volerlo.

Secondo: i dati escono dalla porta principale

C’è una cosa che il corso dice con una chiarezza che mi è piaciuta: la chat con l’AI sembra un’altra cosa rispetto al resto del lavoro. Una mail sembra ufficiale, una chat sembra pensare ad alta voce. Per questo ci si sbilancia di più e si scrivono cose che non si metterebbero mai in una mail.

Ma le chat di lavoro con l’AI sono dati di lavoro, come le mail e i file. Il che significa tre cose: sono conservate, viaggiano e si possono tirare fuori.

Conservate. Sui piani aziendali l’accordo col fornitore in genere esclude che le conversazioni vengano usate per addestrare i modelli – ed è la ragione principale per cui l’azienda paga una licenza invece di lasciare che tutti usino strumenti gratuiti. Ma privato non vuol dire invisibile: le chat restano archiviate e l’azienda può conservarle, cercarle e consultarle quando c’è una ragione. Esattamente come già accade per la posta.

Viaggiano, e qui ci sono tre esempi che non sono violazioni di nulla.

Il pulsante condividi: nel 2025 migliaia di conversazioni condivise hanno cominciato a comparire nei risultati dei motori di ricerca, perché quei link erano pubblici e i motori li indicizzavano. Curricula, problemi di lavoro, vicende personali, a una ricerca di distanza.

L’estensione del browser: a fine 2025 i ricercatori hanno esaminato un’estensione VPN gratuita con milioni di utenti, che copiava parola per parola le conversazioni AI – ogni richiesta, ogni risposta – anche a VPN spenta, e le girava a una società di dati che le rivendeva come analisi di mercato. Lo strumento AI non aveva alcun difetto: l’estensione stava nel browser e leggeva tutto.

Il riepilogo della riunione, che il trascrittore manda a tutti gli invitati, ospiti esterni compresi.

Nessuno ha forzato niente. Ogni volta è una funzionalità che fa il suo mestiere.

Si possono tirare fuori. A febbraio 2026 un giudice federale di New York si è pronunciato su un dirigente sotto accusa per frode che aveva discusso la propria difesa con un’AI: quelle conversazioni non sono coperte da alcun privilegio. L’AI non è il tuo avvocato. E il principio si estende al lavoro quotidiano: la domanda stizzita su un collega, il reclamo che non hai mai mandato, i ragionamenti “e se invece facessimo…”. Se l’hai scritto, è agli atti.

Qui aggiungo una nota per chi legge dall’Italia, perché il corso è pensato per il contesto statunitense e la cornice da noi è diversa. Il nostro equivalente non è tanto la discovery civile quanto il GDPR e, sul versante del controllo dei lavoratori, lo Statuto dei Lavoratori: conservazione, informativa e base giuridica non sono dettagli e vanno guardati con il responsabile della protezione dei dati prima, non dopo. Il punto pratico però non cambia di una virgola: quello che scrivi lì dentro è un documento aziendale.

Terzo: ogni strumento è un fornitore nuovo

Gennaio 2025: un’app AI arriva prima nella classifica statunitense dell’App Store in una settimana. Gratuita, veloce, davvero notevole. Le persone cominciano a usarla per lavoro subito – non dopo una verifica, non dopo un aggiornamento delle policy.

Il 29 gennaio alcuni ricercatori guardano l’infrastruttura di quella società e trovano un database aperto su internet: nessuna password, nessun accesso. Dentro, oltre un milione di righe di log, cronologie di conversazioni comprese. L’azienda ha chiuso in fretta la falla e i database mal configurati sono fra i ritrovamenti più comuni in assoluto. Ma il punto che riguarda chi legge è questo: nessuno fra gli utenti avrebbe potuto accorgersene. Funzionava benissimo. Non si capisce quanto è sicuro uno strumento usandolo.

E a volte lo strumento è l’attacco. Nel 2024 un ingegnere di una grande azienda di intrattenimento scarica sul computer di casa uno strumento gratuito per generare immagini. Era malware: ha preso le password salvate su quella macchina, comprese quelle di lavoro. Quell’estate oltre un terabyte di conversazioni interne è finito online.

Non è un caso isolato. Nel rapporto IBM sui costi delle violazioni del 2026, il 43% delle organizzazioni colpite ha avuto un incidente che coinvolgeva AI non autorizzata – più del doppio rispetto al 20% dell’anno prima.

La risposta non è meno AI, è sapere quale AI. E qui c’è il cambio di forma che spiega perché i controlli tradizionali faticano: una volta il software nuovo si valutava prima di adottarlo. Oggi arriva come una scheda del browser e un indirizzo email, o come un’estensione che promette di migliorarti la scrittura e chiede di leggere tutto quello che apri. Un clic ed è dentro. Ma sotto è sempre la stessa cosa: codice di una società esterna che vede il tuo lavoro, lo elabora e a volte agisce.

Quando ti registri con la mail aziendale e incolli contenuti di lavoro, stai accettando le loro condizioni per i dati della tua azienda. Quanto li tengono, dove e se li usano per addestrare – cosa che su molti piani gratuiti e personali è attiva in partenza, mentre sulle versioni aziendali degli stessi strumenti in genere non lo è. Lo stesso strumento, sull’account personale e su quello di lavoro, tratta i tuoi dati in modo molto diverso.

La richiesta da fare al reparto informatico sta in tre righe: cosa stai cercando di fare, quale strumento hai trovato, quali dati toccherà. Non sarà sempre un sì immediato, ma è così che le buone idee entrano dalla porta principale. E spesso esiste già una versione approvata di quello che stavi per installare.

Quarto: usare e collegare non sono la stessa cosa

Qui si entra nel territorio che avevo già trattato per gli addetti ai lavori, ma la versione per tutti è più utile di quanto mi aspettassi. Tre domande prima di collegare qualunque AI: cosa può vedere, cosa può fare e di chi sono le parole che legge.

Cosa può vedere. Un’AI collegata non ottiene accessi speciali: ottiene i tuoi. E i tuoi accessi non sono solo i file su cui lavori, sono anche tutti quelli che altri hanno condiviso con te – la cartella enorme a cui mezza azienda ha accesso, l’unità che un collega ti ha aperto per un progetto di due anni fa. L’AI collegata può cercare dentro tutto quello.

Cosa può fare. Aprile 2026: un’azienda di infrastrutture per il web ha comunicato una violazione partita da un dipendente che si era registrato a uno strumento AI con l’account di lavoro e aveva cliccato consenti tutto nella finestra dei permessi. Quando la società di quello strumento è stata compromessa, gli attaccanti hanno usato quel consenso. Nessuna password da rubare, nessun secondo fattore da aggirare: il permesso era già lì. E da lì sono arrivati a sistemi interni, credenziali e chiavi di accesso.

Quel consenso non scade quando finisce il compito. Resta finché non lo togli.

Di chi sono le parole che legge. Quando l’AI legge la tua posta, i tuoi file o una pagina web, legge parole scritte da altri – e non sempre distingue fra contenuto da valutare e istruzioni da eseguire. È la prompt injection di cui ho scritto diffusamente e la sua versione quotidiana fa impressione: una mail che non apri mai, con dentro istruzioni rivolte non a te ma all’assistente, resta lì in casella. Giorni dopo chiedi all’AI di riassumerti la posta, lei la legge, segue le istruzioni, raccoglie i dettagli sensibili che riesce a trovare e li fa uscire infilandoli nell’indirizzo di un’immagine che il tuo schermo carica da solo.

Non hai cliccato niente, non hai aperto niente. E all’attaccante non è servito alcun permesso di invio: leggere è bastato. Ciò che l’AI può vedere è ciò che si può far uscire.

C’è un ultimo caso, del febbraio 2026, che vale più di qualsiasi spiegazione. Una dipendente di una grande azienda tecnologica collega un agente AI alla propria posta, dopo settimane di prove su una casella di servizio andate bene. Istruzione chiara: suggerisci soltanto cosa archiviare o eliminare, non fare nulla finché non te lo dico. Ma la casella vera era molto più grande di quella di prova, l’agente ha perso il filo delle istruzioni e ha iniziato a cancellare. Lei gli ha detto di fermarsi. Ha continuato. Quando è riuscita a spegnerlo, erano spariti centinaia di messaggi.

L’ha chiamata una leggerezza da principianti, ma guarda cos’è successo davvero: aveva dato un’istruzione su cosa fare e cosa non fare e le istruzioni non sono vincoli. L’AI aveva il permesso di cancellare, e l’ha usato.

È la stessa cosa che scrivevo nell’articolo precedente in linguaggio tecnico e tradotta per tutti suona anche meglio: quello che comanda davvero sono i permessi, non le istruzioni. Se non gli dai il permesso di cancellare, non cancellerà in nessun caso.

Da cui quattro abitudini: collega con uno scopo preciso e uno solo; prendi meno di quello che la finestra ti offre – se c’è un’opzione per fare di meno, scegli quella, perché chi riassume la posta non ha bisogno anche di spedirla; mettiti davanti a tutto ciò che è difficile da annullare – inviare, condividere, cancellare, pagare, pubblicare; e ogni tanto guarda cosa è collegato ai tuoi account e stacca quello che non usi.

Quinto: i verbali che nessuno ricordava di avere in stanza

Settembre 2024. Un imprenditore presenta la propria azienda a un fondo di investimento in videochiamata. Finita la presentazione si scollega, gli investitori restano a discuterne fra loro. Il trascrittore automatico resta anche lui. A fine riunione manda il riassunto a tutti i partecipanti – lui compreso. Quello che legge nella discussione privata gli basta per abbandonare la trattativa.

Nessuna violazione, nessuna fuga intenzionale. Lo strumento ha funzionato come previsto.

Un ex responsabile della sicurezza di alcune grandi aziende tecnologiche ha definito il trascrittore la persona più importante nella stanza, perché non è un arredo, è un partecipante. Sente tutto, incluse le chiacchiere prima dell’inizio e la conversazione dopo il “chiuso” – hai presente la sala riunioni dove la videochiamata resta aperta sullo schermo mentre tutti escono? Scrive e spedisce, non solo trascrive: riassume, estrae decisioni, assegna compiti e li manda agli invitati o li riversa negli strumenti condivisi. E lavora per chi l’ha portato: spesso non sei tu e allora il verbale non è tuo e dove finisce non lo decidi tu.

Le tue riunioni sono diventate documenti: archiviabili, ricercabili, condivisibili.

Quando il trascrittore è tuo: annuncialo a voce, dagli un nome che dica di chi è e controlla tre impostazioni: se si auto-invita a tutte le riunioni in calendario anche quando tu non ci sei, a chi manda le note e dove le riversa. Soprattutto, tienilo fuori dalle stanze sbagliate. In una causa del 2026 un’azienda ha licenziato una dipendente in videochiamata con il trascrittore attivo; secondo il ricorso ha continuato a registrare dopo che lei si era scollegata, raccogliendo i commenti dei responsabili su chi avrebbe dovuto sostituirla – e poi le ha mandato il link alla registrazione completa. Adesso è la prova principale di una causa per discriminazione.

Quando è di qualcun altro: hai il diritto di chiedere che venga spento e se non è chiaro puoi chiedere a voce se qualcuno sta registrando. Non è scortese, è normale. In mancanza di risposta, dai per scontato che ci sia e parla come se ti stessero verbalizzando.

Sul piano giuridico il corso ragiona di consenso secondo il diritto statunitense, dove in diversi Stati serve l’accordo di tutte le parti. In Italia la cornice è un’altra – GDPR per il trattamento e Statuto dei Lavoratori quando di mezzo c’è il luogo di lavoro – e non è materia su cui improvvisare: se nella tua organizzazione i trascrittori sono arrivati senza che nessuno abbia scritto una riga di informativa, quello è il punto da sollevare.

Sesto: l’output lo firmi tu

Due famiglie di problemi, una sola conclusione.

L’AI sbagliata che sembra sicura di sé. Nel 2025 una società di consulenza consegna al governo australiano una revisione di un sistema sanzionatorio. Un docente universitario fa una cosa semplicissima: legge le note a piè di pagina. Trova citazioni di articoli accademici inesistenti, riferimenti a un libro mai scritto e una citazione da una sentenza con parole che il giudice non ha mai scritto – col nome pure sbagliato. La società ha dovuto ripubblicare il rapporto e restituire parte del compenso. Le conclusioni erano valide, dicono, e probabilmente è vero: ma una volta trovate fonti inventate, nessuno si fida più del resto.

Il meccanismo l’ho spiegato nell’articolo precedente: il modello non mente, prevede come dovrebbe essere fatta una buona risposta ed è bravissimo a farlo. Ma una risposta ben fatta e una risposta vera non sono la stessa cosa. Se chiedi tre fonti, te ne dà tre – che esistano o no.

Due controlli. Esiste? Il libro, la sentenza, il link: se conta, verificalo. E un trucco che uso anch’io: apri una chat nuova, incolla la risposta e chiedi di verificarla. È un compito completamente diverso dal chiedere alla stessa chat “ma è vero?”, perché quella tende a confermare quello che ha già detto – nel 2023 un avvocato di New York ha fatto esattamente l’errore opposto, ha chiesto conferma alla stessa conversazione, si è sentito dire di sì e nessuna delle sei sentenze citate esisteva.

Lo firmeresti? Perché una volta che lo usi, è a tuo nome. E se è il chatbot della tua azienda a dirlo, l’ha detto la tua azienda: il vettore aereo che sostenne che il proprio chatbot fosse un soggetto responsabile delle proprie affermazioni si sentì rispondere dal giudice che era una tesi notevole e dovette onorare quanto promesso.

Infine, commisura il controllo alla posta in gioco: una bozza per te stesso si scorre, un brainstorming si lascia correre, ma tutto ciò che va a un cliente, a un capo, su un sito, si verifica riga per riga. Più lontano viaggia, più attenzione merita.

L’AI che decide delle persone. Nel 2021 una donna fa domanda per un appartamento vicino a Boston. Ha sedici anni di affitti pagati puntualmente alle spalle. La società di gestione passa la pratica a un servizio automatico di valutazione degli inquilini: punteggio troppo basso, respinta. Lei fa ricorso allegando le referenze di due proprietari precedenti. La risposta: non accettiamo ricorsi e non possiamo modificare l’esito della valutazione.

Rileggi quella frase. Non possiamo modificare l’esito. Lo strumento era diventato il decisore. La causa si è chiusa con una transazione superiore ai due milioni di dollari che ha coinvolto anche la società del software, la quale sosteneva di non essere responsabile perché si limitava a produrre un punteggio.

Il pregiudizio non ha bisogno che qualcuno lo voglia: basta che i dati ce l’abbiano. Il caso classico resta lo strumento di selezione dei curricula addestrato su dieci anni di assunzioni di un’azienda, che da solo ha imparato a penalizzare ogni curriculum contenente la parola “femminile” – club di scacchi femminile, università femminile. Nessuno aveva scritto quella regola e nessuno la voleva. E una parte del problema arriva ancora prima: esperimenti che sottopongono ai modelli curricula identici parola per parola, cambiando solo il nome in cima, hanno visto le classifiche spostarsi sulla base del nome.

C’è poi la trappola nascosta nella frase rassicurante “l’AI assiste, ma decidi tu”. Se l’AI ha già filtrato, cosa stai decidendo esattamente? Hai chiesto i dieci migliori, hai scelto con cura fra quei dieci e non hai mai visto i trenta che ha scartato. La classifica era la decisione.

Il test che riassume tutto: sai spiegare la scelta senza citare l’AI? “Il sistema l’ha classificato in basso” non è una motivazione. Se la risposta è “ha scelto così l’AI”, non è una decisione, è una delega.

Cosa aggiungerei io

Due cose, dal mestiere che faccio.

La segnalazione precoce è il controllo con il miglior rapporto fra costo e resa, e le organizzazioni lo distruggono da sole. In quasi tutte le storie qui sopra, la differenza fra un problema e un disastro è stata quanto tempo è passato prima che qualcuno lo dicesse. La frode ai danni della multinazionale è emersa perché il dipendente ha ricontattato la sede, e a quel punto i soldi erano partiti. Se nella tua azienda chi segnala di aver incollato la cosa sbagliata nello strumento sbagliato si prende una ramanzina, hai appena comprato mesi di silenzio al prezzo di cinque minuti di sfogo. Le chat si possono cancellare, gli account chiudere, i permessi revocare, le note disfare – ma solo se qualcuno lo dice e presto.

Quello che chiederò se mi chiami. Vale la pena saperlo in anticipo, perché determina cosa è ricostruibile: quale strumento, su quale account – personale o aziendale – e con quali permessi concessi e quando; cosa esattamente è stato incollato o collegato; chi altro era sul link, sull’invito o nella catena; e se l’output è già uscito, dove. Non è un interrogatorio, è la differenza fra contenere in un’ora e rincorrere per un mese. Chi tiene traccia di queste quattro cose mentre lavora si semplifica enormemente la vita.

Una riga sull’etichettatura

Dell’AI Act ho scritto a sufficienza nei pezzi precedenti, quindi qui tengo solo la parte che tocca chiunque pubblichi qualcosa.

Dal 2 agosto 2026 gli obblighi di trasparenza sono pienamente operativi e in pratica significa questo: se un contenuto generato o modificato artificialmente è abbastanza realistico da essere scambiato per autentico e va al pubblico, va etichettato. La foto di un cliente reale con l’espressione ritoccata, la voce sintetica di un dirigente in un video promozionale: sì. L’illustrazione stilizzata su una slide: no, nessuno la scambia per reale.

Il testo funziona diversamente ed è la parte più utile da ricordare: la regola riguarda i testi pubblicati per informare il pubblico su questioni di interesse pubblico e c’è un’esenzione che le immagini non hanno. Se il testo passa da una revisione umana vera e una persona se ne assume la responsabilità editoriale, l’etichetta non serve. Stesso contenuto, stesso strumento: cambia solo se qualcuno lo possiede davvero.

Che poi è il filo che tiene insieme tutto quello che hai letto fin qui.

Torna all’inizio, alla videochiamata con venticinque milioni in ballo. Non si è rotto niente. Il microfono funzionava, la rete funzionava, i sistemi dell’azienda funzionavano. L’unica cosa che poteva fermare quella frode era un dipendente che, avendo già il sospetto giusto, scegliesse di verificarlo su un canale aperto da lui.

È tutto qui il motivo per cui questa roba non si delega all’informatica.

Articolo elaborato a partire dagli appunti del corso “AI Security for Everyone” di AISEC University (docente: Dan Barahona). I casi citati sono stati verificati a ottobre 2026. Le note sul contesto normativo italiano, la sezione sulla segnalazione precoce e i raccordi con gli articoli precedenti sono miei.

Fonti: