AI in azienda, perché gestire il cambiamento è anche una questione di sicurezza

Change management e cybersecurity devono procedere insieme, per innovare senza perdere il controllo. La formazione non può limitarsi all’uso operativo delle soluzioni di AI, ma deve includere consapevolezza sui rischi, regole di accesso, protezione dei dati e responsabilità individuali. L’esigenza di occuparsi degli aspetti legati alla sicurezza e di capire gli impatti del fattore umano su di essa è trasversale a tutti i settori, ma nel caso della Sanità può avere conseguenze dirette sulle persone anche sul piano fisico.

Accompagnare il cambiamento significa quindi anche ridurre la superficie di rischio, rendendo il personale consapevole del corretto utilizzo dell’AI. Policy chiare, monitoraggio degli utilizzi, controllo della Shadow AI, autenticazione forte e formazione continua diventano così elementi della stessa strategia. Per Claudio De Mattia, CIO di Lifenet Healthcare, gruppo che include ospedali privati e poliambulatori in Lombardia, Piemonte, Emilia-Romagna, Lazio e Toscana, adozione tecnologica e cura del cambiamento vanno in parallelo, per cui in azienda la formazione viene calibrata “per fornire a ciascun profilo consapevolezza e competenze specifiche sull’uso responsabile e sicuro degli strumenti di intelligenza artificiale, in coerenza con gli obblighi normativi (GDPR, NIS2, AI Act) e con le peculiarità dei dati trattati da ciascuna funzione”. Ecco i consigli.

Change management e AI, perché coinvolgere gli stakeholder

Dunque è chiaro che, di qualsiasi settore si tratti, introdurre l’AI in azienda significa intervenire su modalità di lavoro, processi decisionali e competenze, non soltanto sull’infrastruttura tecnologica. Per questo l’adozione deve essere sostenuta da un change management puntuale, in grado di preparare le persone, chiarire ruoli e responsabilità e integrare i nuovi strumenti nelle attività quotidiane senza creare disallineamenti organizzativi o nuovi rischi operativi.

Racconta De Mattia che, nel caso aziendale specifico di Lifenet, l’introduzione dell’AI è iniziata “nel periodo Covid, con un approccio graduale e verticale sugli ambiti sanitari a maggior impatto. Le prime soluzioni adottate riguardavano la radiologia, per ottimizzare i tempi di refertazione, e successivamente il pronto soccorso, con strumenti a supporto dei medici d’urgenza nella compilazione del modulo di anamnesi post triage. Questa fase ci ha permesso di validare l’AI su processi circoscritti e ad alto valore clinico, prima di affrontare un’adozione più trasversale”.

Invece, “per l’AI agentica a supporto degli utenti, abbiamo scelto un approccio di valutazione trasversale che ha coinvolto tutto il top management e diversi stakeholder sanitari, proprio per garantire che la decisione non fosse solo tecnologica ma condivisa da chi conosce i processi clinici e organizzativi”, spiega il CIO.

Il prossimo step è “attivare la soluzione scelta, con una gestione centralizzata direttamente dalla corporate Lifenet, per mantenere controllo su accessi, utilizzo e conformità da subito”.

L’idea è far procedere in parallelo l’adozione tecnologica e i percorsi formativi: “Abbiamo recentemente individuato la soluzione AI più adatta alle nostre esigenze, al termine di un attento percorso di scouting interno che ha coinvolto attivamente il top management e i referenti del mondo sanitario, garantendo un approccio condiviso e allineato alle specificità del settore – aggiunge il CIO -. Parallelamente, stiamo definendo la struttura più efficace dei percorsi formativi, che saranno targettizzati in base al profilo professionale, partendo da due macro-aree: amministrativa e sanitaria. Entrambe le aree gestiscono dati particolarmente sensibili, seppur di natura diversa: l’area amministrativa tratta generalmente contratti e informazioni relative a operazioni di M&A, mentre l’area sanitaria gestisce dati sanitari, la categoria più critica dal punto di vista della riservatezza e della normativa privacy”.

Change management e AI, attenzione alla sicurezza

In questo percorso di allineamento tra adozione tecnologica e coinvolgimento umano, va prestata particolare attenzione agli aspetti di cybersecurity e safety. Secondo Fabio Buccigrossi, Vice President of South West Europe Sales di ESET, il change management ha un impatto diretto sulla sicurezza aziendale. Prendendo ad esempio il settore sanitario, “le cartelle cliniche elettroniche consentono la condivisione immediata delle informazioni tra reparti, riducendo errori e duplicazioni di esami. La telemedicina estende il monitoraggio e le visite a distanza, mentre l’AI supporta diagnosi, triage e pianificazione clinica. Questa evoluzione però amplia anche la superficie degli attacchi informatici, rendendo ospedali e aziende sanitarie bersagli privilegiati di ransomware e altre minacce cyber“.

Le conseguenze possono essere gravi: “Un’interruzione dei sistemi IT può compromettere diagnosi, interventi chirurgici e assistenza ai pazienti. Per questo, diventa prioritario che la cybersecurity diventi parte integrante della trasformazione digitale, attraverso un approccio preventivo basato su protezione multilivello, monitoraggio continuo, gestione delle vulnerabilità, autenticazione forte e conformità a normative come GDPR e NIS2“.

AI, persone e sicurezza: i consigli per il management

Secondo Buccigrossi, è importante che “i responsabili IT delle aziende sanitarie considerino l’adozione dell’AI in primis pensando a governance e rischi cyber, valutando non solo gli aspetti di innovazione tecnologica. Occorre partire dalla definizione di policy sull’uso degli strumenti di AI generativa, dalla classificazione dei dati sanitari che possono essere elaborati e dal training continuo di personale clinico, amministrativo e IT sui rischi di data leakage, phishing evoluto, deepfake e manipolazione dei modelli AI”.

I rischi della shadow AI e come prevenirli

È inoltre fondamentale per Buccigrossi “stabilire controlli sugli accessi, monitorare gli utilizzi non autorizzati (come nel caso della shadow AI) e integrare la gestione del rischio AI nei processi di cybersecurity e compliance”.

Proprio i rischi della shadow AI vanno portati all’attenzione del personale. In modo involontario, se non si ha la giusta consapevolezza, un dipendente o un manager potrebbero accedere da un sistema aziendale a un’AI gen esterna, con un account personale, esponendo l’azienda a pericoli. Spiega il CIO di Lifenet che “il rischio di shadow AI è affrontato con un approccio in fase di consolidamento: abbiamo recentemente individuato la soluzione AI aziendale di riferimento e stiamo definendo il framework di governance per un utilizzo diffuso ma controllato”.

Linee guida e best practice contro la shadow AI

De Mattia spiega che in azienda si stanno adottando linee guida specifiche, in primis “produzione della Policy AI interna al fine di identificare regole su usi consentiti, dati trattabili e responsabilità, coerenti con GDPR e AI Act e definire criteri puntuali e chiari che stabiliscano quali saranno gli utenti abilitati all’utilizzo dell’AI. La documentazione, in coros di validazione è radatta in cooperazione tra le aree del reparto IT, la Compliance e Human Resource”. Poi, la formazione, con “sensibilizzazione sui rischi di data leakage e sull’uso non autorizzato di AI generativa con dati sensibili o dei pazienti”, con l’obiettivo di rendere l’AI “sia affidabile e ben integrata, da risultare più conveniente delle soluzioni shadow, con obiettivo primario di disincentivare l’utilizzo le soluzioni non autorizzate”.

Change management e sicurezza, le best practice

Rispetto ai rischi specifici legati all’AI, le best practice che il CIO De Mattia ritiene fondamentali e applica in azienda sono:

• Segmentazione e controllo degli accessi ai sistemi che integrano modelli AI, “per limitare l’esposizione di dati clinici, attività strategiche di M&A e contratti riservati di diversa natura”, spiega.
• Monitoraggio del traffico verso servizi AI esterni, “per individuare utilizzi anomali o non autorizzati”.
• Aggiornamento costante “delle policy di sicurezza in base all’evoluzione delle minacce AI-driven (es. phishing generato con AI, deepfake, social engineering avanzato)”, racconta.
• Formazione continua del personale sui rischi.
• Integrazione tra cybersecurity e governance AI, “per non trattare i due ambiti in modo separato”.

L’obiettivo, conclude l’esperto, “è un modello di difesa proattivo, non solo reattivo agli incidenti”.