La frattura fra Compliance e Marketing: perché amiamo la magia

Negli ultimi giorni ci sono stati due eventi apparentemente slegati che mi hanno fatto riflettere profondamente su quanto effettivamente si conosca il funzionamento reale dei Large Language Models (LLM).

Il primo è stato una conversazione con un tenace vibe coder. Parlando con lui, mi sono resa conto di una cosa disarmante: molte persone che usano gli LLM quotidianamente per il proprio lavoro non hanno la minima idea di come funzionino davvero. Lo trattano semplicemente come un oggetto magico in cui inserisci un'idea ed esce un prodotto "finito".

Finché parliamo di progetti personali, di script ricreativi o di cose che non vanno sul mercato… poco male. Ognuno gestisce il proprio rischio come crede.

Poi però si passa al mondo reale. Ed è qui che scatta il secondo evento.

Leggo un'inserzione di marketing che propone una soluzione AI "Black Box" pensata per "risolvere la complessità del SOC". E lì non ci ho più visto: sappiamo davvero cosa significa "Black Box" o sono solo parole inglesi utili nei pitch commerciali?

C'è una dissonanza spaventosa tra ciò che la regolamentazione europea sta imponendo (con l'EU AI Act), ciò che l'ACN cerca di promuovere a livello di resilienza e tracciabilità della filiera, e il marketing aggressivo che vende unicorni basati su IA.

Tutto questo nasce da un peccato originario sul modo in cui l'IA è stata introdotta nella nostra vita.

L'IA è entrata nelle nostre case prima come un tool-giocattolo: lo strumento simpatico che ti suggerisce la ricetta con quello che hai in frigo, ti pianifica il viaggio a Lisbona o ti crea un meme da una frase. Nel momento in cui questo strumento entra in azienda, la resistenza culturale è minima, ma tendiamo a trattarlo esattamente come facciamo sul divano di casa: quello strumento utile che ti aiuta tanto, che sì, ogni tanto inventa una sciocchezza o allucina, ma "dai, con un po' di aiuto umano si arriva a un risultato decente".

Il problema è che in azienda le cose si complicano giusto un po'.

La scorciatoia di Kahneman e i glitter del vendor

Perché caschiamo così facilmente nelle pitch di chi ci propone la "Black Box magica"? La risposta non è tecnologica, è psicologica. E non lo dico io, lo diceva Daniel Kahneman: il nostro cervello è pigro. Preferisce risparmiare energia affidandosi a scorciatoie mentali (il celebre Sistema 1) anziché affrontare la fatica cognitiva di analizzare i problemi complessi (il Sistema 2).

Quando un vendor si presenta in azienda ricoperto di glitter e ci dice esattamente quello che vogliamo sentirci dire - "Metti la nostra IA nel tuo SOC e risolvi la complessità senza sforzo" - non ci sta vendendo del software. Ci sta vendendo la scorciatoia perfetta. Sta comprando la nostra pigrizia.

Accettiamo volentieri la scatola nera perché ci toglie il peso della responsabilità. Ci focalizziamo sul dashboard luccicante con le metriche verdi e ignoriamo sistematicamente cosa c'è sotto il cofano: da dove arrivano i dati di addestramento? Come reagisce il modello a un attacco di prompt injection o a dati avvelenati? Non ci interessa, perché la favola dell'automazione totale è troppo bella per essere messa in discussione.

La compliance non è il "maestro cattivo"

In questa corsa all'AI, la legislazione e gli enti di sicurezza come l'ACN finiscono per fare la parte del maestro cattivo. Quello pedante, mai contento, che arriva a rovinare la festa di chi aggiunge AI solo perché vende, pretendendo l'AI-SBOM (l'inventario dei componenti software e dei modelli), la trasparenza degli algoritmi, i log di tracciabilità e la gestione del rischio cyber.

Il riflesso condizionato dell'imprenditore o del manager medio è sbuffare: "Ah ecco, l'ennesima checklist, la solita burocrazia europea che frena l'innovazione".

Ma la verità è un'altra. Il regolatore non sta facendo il guastafeste per diletto: sta solo cercando di ricordarci che in ambito critico la magia non esiste. Un'allucinazione su una ricetta vuol dire al massimo che hai una scusa per mangiare fuori; un'allucinazione o una cieca fiducia in una Black Box dentro un SOC può significare non rilevare un'intrusione critica o bloccare l'infrastruttura di un'azienda pensando che sia sotto attacco quando non lo è.

Oltre la narrazione della "Compliance come opportunità"

Forse il problema è che non stiamo più solo scappando dalla fatica cognitiva, stiamo scappando anche dalla paura di restare indietro. Vediamo il competitor annunciare "IA ovunque" e ci lasciamo prendere dalla FOMO (la paura di perdersi qualcosa), dimenticando che copiare la scorciatoia altrui non ci mette al riparo dai suoi stessi rischi.

Non basta ripetere che la trasparenza "conviene". Bisogna capire che è un requisito per chi vuole costruire un business sostenibile, non un vezzo da aggiungere quando fa comodo, perché il glitter di oggi è il problema di sicurezza di domani.