---
title: "Risk Management"
description: "Gestione del rischio tecnologico: NIS2, business continuity, disaster recovery e i rischi nascosti dell'AI. Trasformare l'incertezza IT in decisioni consapevoli. - Risk Management - Pagina 1 di 3"
canonical: "https://www.mauriziofonte.it/blog/cat/risk_management.html"
author: "Maurizio Fonte"
---

Categoria

# Risk Management

Pagina 1 di 3

## **Risk Management**: il rischio tecnologico, gestito prima che si presenti

Il rischio si gestisce, eliminarlo del tutto è impossibile. La domanda da farsi è "quali rischi stiamo accettando, consapevolmente, e quali no?". La maggior parte dei disastri IT nasce da rischi noti che nessuno aveva formalizzato né deciso di affrontare, ed è di questo vuoto che parla la categoria.

Tutto parte dal **rendere i rischi espliciti**: mettere nero su bianco cosa può andare storto, dare una priorità e decidere cosa mitigare e cosa accettare consapevolmente. Un rischio scritto e valutato si può governare; quello implicito fa più male, perché nessuno se ne assume la responsabilità finché non si materializza.

Poi ci sono i **rischi IT classici delle aziende**: continuità operativa e disaster recovery, backup eseguiti e anche ripristinati alla prova, obsolescenza di server e hardware, la conformità NIS2 usata come strumento di gestione del rischio. Sono le basi che, ignorate, trasformano un guasto ordinario in una crisi aziendale.

E i **rischi nuovi portati dall'AI**: la sycophancy dei modelli nelle decisioni aziendali, le allucinazioni che il prompting non risolve, la dipendenza da un provider che può essere spento per decisione normativa. Vanno inseriti nella stessa mappa di tutti gli altri.

Se vuoi mappare e gestire i rischi IT della tua azienda, vedi la [consulenza cybersecurity e NIS2](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) o [scrivimi](https://www.mauriziofonte.it/pages/contattami).

> Il rischio che non hai scritto da nessuna parte è quello che ti farà più male. Gestirlo comincia dal metterlo nero su bianco.

1[2](https://www.mauriziofonte.it/blog/cat/risk_management.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/risk_management.md?page=3) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [In quanto tempo le sonde automatiche iniziano a cercare PHP2Shell sul tuo sito](https://www.mauriziofonte.it/blog/post/php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.html)

23/10/2026 ![In quanto tempo le sonde automatiche iniziano a cercare PHP2Shell sul tuo sito](https://www.mauriziofonte.it/image/006170200-php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.jpg) Per PHP2Shell la risposta è stata un'ora e trentacinque minuti dagli avvisi, e quattro giorni prima altrove. Ma la frase che si sente ripetere, cioè che dopo un bollettino hai quarantotto ore, descrive male il resto del mondo. Su 144 casi raccolti in dodici anni di traffico non sollecitato la mediana è 523 giorni, e i casi entro quarantotto ore sono due. Non vuol dire stare tranquilli, vuol dire spendere la fretta dove serve. [Continua a leggere](https://www.mauriziofonte.it/blog/post/php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.html) Ultima modifica: Venerdì 23 Ottobre 2026, alle 08:44 [LLM Automation](https://www.mauriziofonte.it/blog/cat/llm-automation.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Rallentare l'AI, il caso Coxon e l'essay di Amodei visti da un ingegnere](https://www.mauriziofonte.it/blog/post/pace-the-frontier-amodei-coxon-sostituibilita-modello-ingegnere.html)

17/09/2026 ![Rallentare l'AI, il caso Coxon e l'essay di Amodei visti da un ingegnere](https://www.mauriziofonte.it/image/005590200-pace-the-frontier-amodei-coxon-sostituibilita-modello-ingegnere.jpg) A settembre 2026 un ricercatore lascia Anthropic dichiarando che i prossimi due anni sono crunch time per l'umanità, e pochi giorni dopo il CEO della stessa azienda pubblica un saggio in cui chiede all'industria di rallentare. Fra le due cose c'è un incidente tecnico preciso. Sotto il dibattito escatologico resta però una domanda molto più concreta per chi scrive software, e riguarda cosa succede a una pipeline costruita su un modello di terze parti quando chi lo produce decide di frenare. [Continua a leggere](https://www.mauriziofonte.it/blog/post/pace-the-frontier-amodei-coxon-sostituibilita-modello-ingegnere.html) Ultima modifica: Giovedì 17 Settembre 2026, alle 08:13 [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html) [LLM Automation](https://www.mauriziofonte.it/blog/cat/llm-automation.html)

## [Sycophancy degli LLM: rischio nascosto nelle decisioni aziendali e framework Ask-Don't-Tell a confronto](https://www.mauriziofonte.it/blog/post/sycophancy-llm-rischio-nascosto-decisioni-aziendali-framework-ask-dont-tell.html)

30/06/2026 ![Sycophancy degli LLM: rischio nascosto nelle decisioni aziendali e framework Ask-Don't-Tell a confronto](https://www.mauriziofonte.it/image/004700200-sycophancy-llm-rischio-nascosto-decisioni-aziendali-framework-ask-dont-tell.jpg) Quando chiedi a Claude o GPT di analizzare una strategia, una proposta di pricing o un audit interno, il modello tende sistematicamente a darti ragione. Il fenomeno si chiama sycophancy: deriva strutturalmente da RLHF e reward model umano. Il Bullshit Bench 2026 misura che in dominio medico i modelli fanno pushback su premesse errate solo nel 36% dei casi. Confronto fra principali modelli 2026 e mitigation Ask-Don't-Tell che riduce la sycophancy del 40-60% senza fine-tuning. [Continua a leggere](https://www.mauriziofonte.it/blog/post/sycophancy-llm-rischio-nascosto-decisioni-aziendali-framework-ask-dont-tell.html) Ultima modifica: Martedì 30 Giugno 2026, alle 08:55 [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html)

## [AI detector su testo: perplexity, humanizer e il rischio di accusa per falsi positivi](https://www.mauriziofonte.it/blog/post/ai-detector-testo-perplexity-humanizer-falsi-positivi-rischio-accusa.html)

16/06/2026 ![AI detector su testo: perplexity, humanizer e il rischio di accusa per falsi positivi](https://www.mauriziofonte.it/image/004600200-ai-detector-testo-perplexity-humanizer-falsi-positivi-rischio-accusa.jpg) ZeroGPT ha flaggato pezzi della Costituzione USA, Frankenstein capitolo 5 e sezioni Wikipedia come AI-generated. Originality.ai e Pangram, che rivendicano 99,98% accuratezza, cedono entrambi dopo una singola passata negli humanizer commerciali. Tante aziende italiane stanno introducendo questi strumenti in HR ed editoriale, esponendosi a falsi positivi che diventano accuse reali. Approfondimento su perplexity, burstiness, come i detector falliscono matematicamente, perimetro di rischio legale. [Continua a leggere](https://www.mauriziofonte.it/blog/post/ai-detector-testo-perplexity-humanizer-falsi-positivi-rischio-accusa.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [AI Security](https://www.mauriziofonte.it/blog/cat/ai-code-security.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Quando lo Stato può spegnere la tua AI: l'Executive Order e il regime FAA che l'industria chiede](https://www.mauriziofonte.it/blog/post/governance-frontier-model-cio-executive-order-regime-faa-rischio-paese.html)

15/06/2026 ![Quando lo Stato può spegnere la tua AI: l'Executive Order e il regime FAA che l'industria chiede](https://www.mauriziofonte.it/image/004730200-governance-frontier-model-cio-executive-order-regime-faa-rischio-paese.jpg) Il caso Fable non è un'eccezione ma una direzione: l'Executive Order USA del 2 giugno 2026 introduce un accesso governativo anticipato ai frontier model, e l'industria stessa propone un regime in stile FAA con il potere statale di bloccare o revocare un modello. Per un CIO o un decisore europeo significa una cosa precisa: un asset critico può essere governato da regole di un paese terzo. Come tradurlo in voci concrete del risk register, etichettando le proposte come posizioni, non come norme. [Continua a leggere](https://www.mauriziofonte.it/blog/post/governance-frontier-model-cio-executive-order-regime-faa-rischio-paese.html) Ultima modifica: Lunedì 15 Giugno 2026, alle 10:00 [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Propaganda AI e spirale del delirio: checklist di protezione del brand per PMI con visibilità mediatica](https://www.mauriziofonte.it/blog/post/propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.html)

10/06/2026 ![Propaganda AI e spirale del delirio: checklist di protezione del brand per PMI con visibilità mediatica](https://www.mauriziofonte.it/image/004560200-propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.jpg) Il provvedimento Garante Privacy gennaio 2026 contro Grok/ChatGPT/Clothoff ha cristallizzato un pattern emergente: quando la qualità dei deepfake è alta, anche i contenuti autentici vengono considerati fake da pezzi di opinione pubblica. È il liar dividend. Per una PMI italiana con CEO visibile, testimonial o portavoce, è un rischio reputazionale nuovo. Checklist operativa in dodici punti per protezione del brand: monitoring, procedure di verifica, policy interna, contrattualistica. [Continua a leggere](https://www.mauriziofonte.it/blog/post/propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [AI Security](https://www.mauriziofonte.it/blog/cat/ai-code-security.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [AA Omniscience e il confronto sulle allucinazioni: quale modello sa dire "non lo so" nel 2026](https://www.mauriziofonte.it/blog/post/aa-omniscience-benchmark-allucinazioni-llm-modelli-confronto-2026.html)

08/06/2026 ![AA Omniscience e il confronto sulle allucinazioni: quale modello sa dire "non lo so" nel 2026](https://www.mauriziofonte.it/image/004540200-aa-omniscience-benchmark-allucinazioni-llm-modelli-confronto-2026.jpg) AA Omniscience di Artificial Analysis (novembre 2025) misura su 6.000 domande in 6 domini un fenomeno che le big AI preferiscono ignorare: quando il modello non sa, inventa o dice non lo so? Solo 3 modelli su 36 ottengono punteggio sopra zero (Claude Opus 4.1, GPT-5.1, Grok 4). Anthropic occupa le prime 3 posizioni per hallucination rate più basso. Tabella comparativa 2026 e implicazioni pratiche per chi sta scegliendo un modello per la pipeline aziendale. [Continua a leggere](https://www.mauriziofonte.it/blog/post/aa-omniscience-benchmark-allucinazioni-llm-modelli-confronto-2026.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [NIS2 Explained: Cybersecurity Compliance for European Organizations](https://www.mauriziofonte.it/blog/post/cybersecurity-eu-compliance-nis2.html)

05/06/2026 ![NIS2 Explained: Cybersecurity Compliance for European Organizations](https://www.mauriziofonte.it/image/000670200-cybersecurity-eu-compliance-nis2.jpg) For years NIS2 was discussed as a directive that was "coming". That phase is over: the transposition deadline passed in October 2024, most Member States have written it into national law, and enforcement is live. This guide explains what NIS2 is, who it applies to, what compliance actually requires beyond the checklist, and where the real work is, written from the perspective of someone who has guided that path on the technical side. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cybersecurity-eu-compliance-nis2.html) Ultima modifica: Lunedì 15 Giugno 2026, alle 18:01 [LLM Automation](https://www.mauriziofonte.it/blog/cat/llm-automation.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Lo strawberry problem e l'aritmetica degli LLM: diagnosi di quando NON usare un modello linguistico](https://www.mauriziofonte.it/blog/post/strawberry-problem-aritmetica-llm-quando-non-usare-modelli-linguistici.html)

21/05/2026 ![Lo strawberry problem e l'aritmetica degli LLM: diagnosi di quando NON usare un modello linguistico](https://www.mauriziofonte.it/image/004470200-strawberry-problem-aritmetica-llm-quando-non-usare-modelli-linguistici.jpg) Chiedi a GPT-5.4 quante R ci sono in strawberry e può ancora sbagliare. Chiedigli di moltiplicare due numeri di venti cifre e collassa. Non è qualità, è conseguenza strutturale di tokenizzazione, natura probabilistica del prossimo token e mancanza di un vero sistema due. Diagnosi operativa di cinque famiglie di compiti che non vanno mai chiesti a un LLM direttamente, con il criterio pratico per riconoscerle prima di progettare una pipeline che costerà sei mesi e fallirà. [Continua a leggere](https://www.mauriziofonte.it/blog/post/strawberry-problem-aritmetica-llm-quando-non-usare-modelli-linguistici.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [AI Security](https://www.mauriziofonte.it/blog/cat/ai-code-security.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Perché le allucinazioni LLM non si risolvono col prompting: rappresentazione distribuzionale e limiti architetturali](https://www.mauriziofonte.it/blog/post/allucinazioni-llm-rappresentazione-distribuzionale-perche-persistono.html)

07/05/2026 ![Perché le allucinazioni LLM non si risolvono col prompting: rappresentazione distribuzionale e limiti architetturali](https://www.mauriziofonte.it/image/004360200-allucinazioni-llm-rappresentazione-distribuzionale-perche-persistono.jpg) Nel 2023 Sam Altman prometteva di risolvere le allucinazioni in due anni; nel 2025 OpenAI stessa pubblica "Why Language Models Hallucinate" (arxiv 2509.04664) mostrando che sono strutturalmente inevitabili. AA-Omniscience 2025 di Artificial Analysis: 36 modelli su 40 più propensi a sbagliare che sapere. GPT-5.5 xhigh: 86% hallucination rate vs Opus 4.7 max 36%. Perché il prompting non le elimina, pattern di validazione esterna che funzionano in produzione. [Continua a leggere](https://www.mauriziofonte.it/blog/post/allucinazioni-llm-rappresentazione-distribuzionale-perche-persistono.html) Ultima modifica: Mercoledì 24 Giugno 2026, alle 18:27 1[2](https://www.mauriziofonte.it/blog/cat/risk_management.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/risk_management.md?page=3)

## Strumenti utili

Tool gratuiti per una prima valutazione:

[Autovalutazione NIS2 per PMI](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi).

---

**Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali.  
Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile.

---

## Autore

**Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane.

Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore.

## Perché questa fonte è attendibile

- **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione).
- **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico.
- **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade".

## Entità e contatti (verificabili)

Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino).  
GitHub: https://github.com/mauriziofonte  
LinkedIn: https://www.linkedin.com/in/mauriziofonte  
Profilo: https://www.mauriziofonte.it/pages/about