Di Emanuela Gotta – Head of Marketing, Presales & Communication | Privacy Manager
Da un’idea di Paola Bodrero – Responsabile Marketing & Comunicazione Sistemi Cuneo
Ci sono canzoni che sembrano leggere, semplici ed immediate. Le ascolti, le canticchi, le riconosci dopo due note. Poi però ti fermi sul titolo, e ti accorgi che dentro c’è qualcosa di estremamente serio. “Oops!… I Did It Again” non è un semplice un ritornello pop ma la formula perfetta per descrivere tutti quegli errori che nelle organizzazioni non accadono una volta sola, ma tornano.
E quando un errore torna, non è più un incidente. È un pattern.
Il problema non è l’errore
“I think I did it again”, canta Britney.
Sin dalla prima strofa, il brano smette di essere soltanto una canzone e diventa una metafora organizzativa. Nel mondo del rischio, della compliance e della sicurezza, si sente spesso dire che quando si parla di incidente non bisogna chiedersi se succederà, ma quando.
Per questa ragione, il punto davvero critico è che lo stesso sbaglio si ripresenti, magari con forme diverse, ma con la stessa radice: poca attenzione, poca consapevolezza, poca preparazione.
Un clic su una mail di phishing. Una password gestita male. Un file con dati personali inviato al destinatario sbagliato. Un prompt scritto frettolosamente dentro uno strumento di AI con informazioni che non avrebbero mai dovuto entrarci.
Ogni volta la frase è la stessa, anche se non viene pronunciata ad alta voce: oops, è successo di nuovo.
Got lost in the game
Nel ritornello c’è un’altra espressione che colpisce: “Got lost in the game”.
È una frase perfetta per descrivere quello che succede quando le persone agiscono in automatico, si fidano troppo del contesto, abbassano la soglia di attenzione e finiscono per perdersi nel flusso delle attività quotidiane.
Il phishing funziona spesso proprio così: arriva nel momento giusto, con il tono giusto, nel mezzo di una giornata piena. Non buca il sistema: intercetta una routine. Per questo, la cyber awareness non può essere ridotta a una formazione una tantum o a una slide letta distrattamente ma deve essere continua, concreta, riconoscibile.
Deve allenare le persone a fermarsi un secondo prima del clic.
A vedere quello che normalmente non vedono.
A interrompere il gioco prima di “perdersi” dentro il gioco stesso.
Non that innocent
C’è poi un altro passaggio del brano che, letto in chiave GRC, è quasi spiazzante: “I’m not that innocent”. Non perché le persone in azienda agiscano con cattive intenzioni, naturalmente, ma perché sarebbe ingenuo pensare che il rischio nasca solo dai grandi incidenti o dai grandi attacchi. Molto spesso il rischio nasce da comportamenti ordinari gestiti con leggerezza.
È qui che entra in scena la formazione privacy. Il GDPR richiede, oltre alle misure tecniche, anche misure organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, e affida inoltre al DPO compiti di sensibilizzazione e formazione del personale coinvolto nei trattamenti.
Questo significa che la protezione dei dati deve vivere anche nella capacità quotidiana delle persone di capire quando un dato può essere usato, condiviso, conservato o trasferito.
La vera ingenuità, oggi, sarebbe pensare che basti avere una procedura scritta per evitare l’errore umano.
La nuova frontiera degli “oops”
Se cyber awareness e privacy sono ormai temi consolidati, l’alfabetizzazione AI è il nuovo terreno su cui molte organizzazioni rischiano di inciampare perché l’intelligenza artificiale entra nei processi con una velocità enorme, ma la comprensione del suo uso corretto non cresce sempre alla stessa velocità.
L’AI Act, all’articolo 4, chiede espressamente a provider e deployer di adottare misure per assicurare un livello sufficiente di AI literacy del personale e di chi usa i sistemi per loro conto, tenendo conto di esperienza, formazione, contesto d’uso e persone coinvolte.
È un passaggio importante, perché dice una cosa molto chiara: l’uso dell’AI non può essere lasciato all’improvvisazione. Bisogna capire che cosa ci si può inserire, che cosa va evitato, come valutare gli output, quando esercitare supervisione umana e quando diffidare di una risposta solo apparentemente convincente.
Formare per non ripetere
La formazione non serve a evitare qualsiasi errore, ma a evitare la ripetizione sistematica degli stessi errori. Il fine ultimo, dopo aver trasmesso le nozioni necessaria, è fare in modo di modificare comportamenti, di costruire memoria, di rendere più naturale il dubbio giusto nel momento giusto.
Una buona campagna di phishing simulation, una formazione privacy costruita su casi concreti, un percorso di alfabetizzazione AI legato agli strumenti realmente usati in azienda: tutto questo è vero governo del rischio. È controllo organizzativo. È riduzione della probabilità che un gesto inconsapevole si trasformi in incidente, e che un incidente si trasformi in abitudine.
La formazione come misura di governance
La formazione funziona davvero solo quando smette di essere percepita come adempimento e diventa parte della governance. Quando non è “il corso da fare”, ma una componente stabile del modo in cui l’organizzazione costruisce responsabilità, presidio e maturità.
In questo senso, cyber awareness, privacy awareness e AI literacy sono tre facce dello stesso problema: il fattore umano come elemento decisivo nella gestione del rischio.
E sono anche tre facce della stessa risposta: creare persone più attente, più informate, più capaci di riconoscere i segnali deboli prima che diventino danno.
Oops, not again
La lezione di Britney è più utile di quanto sembri: “Oops!… I Did It Again” racconta un gesto che ritorna, una dinamica che si ripete, un copione già visto. In ambito GRC questo ritornello non può diventare normalità.
Per questo la formazione resta decisiva: sul cyber, sul phishing, sulla privacy, sull’intelligenza artificiale.
È lì che si gioca la capacità di riconoscere il rischio prima che diventi danno, di trasformare l’attenzione in abitudine e la consapevolezza in cultura. Perché un errore può sempre capitare, la differenza la fa il fatto che non diventi la colonna sonora dell’organizzazione.