Per anni il settore della sicurezza informatica ha identificato l’elemento umano come l’anello debole della catena aziendale, individuando nella formazione tradizionale la risposta al problema della human liability. I dati confermano tuttora che il fattore umano è coinvolto nella maggior parte delle violazioni: secondo il Verizon DBIR 2025, il 68% degli incidenti e dei breach analizzati riguarda direttamente distrazioni o azioni umane, come attacchi di phishing, ingegneria sociale, errori di configurazione o abuso di credenziali.
Tuttavia, mentre nei decenni passati il phishing tradizionale ha impiegato anni per consolidarsi parallelamente all’adozione delle e-mail, i cicli tecnologici attuali evolvono a ritmo di settimane o giorni. L’approccio consolidato di cybersecurity awareness, basato su corsi erogati a cadenza annuale e test di verifica sanzionatori, si mostra superato e richiede una transizione rapida verso lo sviluppo di capacità decisionali consapevoli.
Dall’errore umano alla supervisione dell’Intelligenza Artificiale
Con la diffusione dell’intelligenza artificiale generativa e dei Large Language Models (LLM), la natura dell’errore umano è cambiata radicalmente. Il rischio non risiede più soltanto nel fare clic su un collegamento sospetto, ma nell’interazione incontrollata con sistemi che possono essere manipolati da vettori malevoli.
La OWASP Foundation ha posizionato il Prompt Injection al primo posto nella lista delle principali vulnerabilità delle applicazioni basate su LLM fin dalla sua prima classificazione del 2023, confermando la criticità anche nel 2025. Questa tecnica consente agli attaccanti di inserire istruzioni dannose all’interno di documenti, file PDF o pagine web lette dall’AI, spingendola a bypassare le regole di protezione e a recuperare dati non affidabili.
A questo quadro si aggiunge il fenomeno della Shadow AI, ovvero la tendenza dei dipendenti a utilizzare strumenti e assistenti di intelligenza artificiale non autorizzati o non tracciati dalla struttura IT aziendale. Questo crea ampie zone grigie dove documenti riservati escono dai confini protetti e le decisioni operative vengono prese sulla base di suggerimenti automatici non verificati.
La Trasformazione dei Rischi Umani
MODELLO TRADIZIONALE ───> Phishing testuale e clic su link sospetti
│
▼
ERA DELL'AI ───> Deepfake, Voice Cloning e Phishing iper-personalizzato
│
▼
SHADOW AI & PROMPT ───> Inserimento di prompt injection e fuga di dati sensibili
Poiché le e-mail di attacco sono ormai prive di errori sintattici, contestualizzate e spesso arricchite da tecnologie di voice cloning o documenti formattati con lo stile aziendale, alle persone non viene più chiesto soltanto di saper identificare un attacco, ma di saper assumere decisioni sicure anche in assenza di informazioni complete.
I pilastri del nuovo paradigma formativo
Per guidare questa trasformazione, le strategie di formazione aziendale devono evolvere lungo tre direttrici fondamentali:
1. Personalizzazione dei contenuti tramite AI
L’approccio uniforme (one-size-fits-all) deve essere sostituito da percorsi calibrati sui ruoli e sulle responsabilità operative specifiche. Il profilo di rischio di un CFO differisce in modo sostanziale da quello di un responsabile delle risorse umane o di un operatore di stabilimento. L’impiego dell’intelligenza artificiale consente di adattare moduli, simulazioni e contesti al profilo del singolo discente.
2. Apprendimento continuo, esperienziale e “Just-in-Time”
Accanto a metodologie ad alto coinvolgimento basate sull’esperienza diretta in contesti di stress controllato, come le escape room, la formazione deve passare da una logica just-in-case a una just-in-time. Invece di somministrare corsi teorici di un’ora ogni dodici mesi, i sistemi assistiti da GenAI possono inviare micro-learning e suggerimenti di pochi secondi nel momento esatto in cui l’utente sta per compiere un’azione potenzialmente rischiosa, come la condivisione esterna di un file riservato.
3. Misurazione delle metriche comportamentali
La maturità formativa di un’organizzazione non si misura più con indicatori formali come le ore di lezione erogate, la percentuale di completamento delle diapositive o il punteggio ottenuto nei quiz finali. I parametri di riferimento devono diventare le metriche comportamentali reali:
- Velocità e frequenza di segnalazione dei tentativi di phishing.
- Tasso di riduzione degli errori e dei comportamenti a rischio.
- Utilizzo corretto degli strumenti di protezione e trasparenza nell’uso dell’AI.
- Qualità complessiva delle scelte operative in situazioni incerte.
Dalla sensibilizzazione al cambio di comportamento
La cybersecurity awareness si trasforma in questo modo in una disciplina di vero e proprio cambiamento comportamentale (behavior change), integrando dinamiche di psicologia organizzativa. L’avvento dell’intelligenza artificiale non elimina il ruolo delle persone nei processi di difesa, ma ne eleva la funzione: dal semplice dovere di evitare errori alla capacità di supervisionare in modo critico l’operato dei sistemi intelligenti. La resilienza delle imprese dipenderà sempre di più dalla qualità della collaborazione tra persone, processi e algoritmi.
