Il CTO avverte gli ingegneri: non date per scontata la sicurezza dell’IA
Scopri come un CTO utilizza l’IA per accelerare la distribuzione del software mantenendo sicurezza, responsabilità e revisione umana negli ambienti di sviluppo ad alta criticità.
Pedro Thomaz
Fondatore e CTO di Amplified Creations
Impatto-IA: L’IA ha trasformato Amplified Creations migliorando l’efficienza e affermandosi come fondamento del prodotto.
Confine-Sicurezza: L’IA ha aumentato sia la velocità di sviluppo sia i rischi per la sicurezza, rendendo necessarie misure complete e supervisione umana.
Leadership-CTO: L’IA informa ogni aspetto dello sviluppo del prodotto, ma richiede il giudizio umano per la governance e la responsabilità.
Giudizio-Senior: Oggi le assunzioni si concentrano sugli sviluppatori senior per il loro giudizio e la capacità di gestire le complessità create dall’IA.
Accelerazione-Sviluppo: L’IA ha accelerato significativamente i tempi di sviluppo, trasformando i cicli e migliorando l’efficienza dell’output del team.
Pedro Thomaz è il fondatore e CTO di Amplified Creations, nonché dei prodotti presenti nel suo portafoglio.
Abbiamo parlato con lui delle opportunità offerte dall'IA, nonché delle sue minacce critiche alla sicurezza. Ecco cosa ci ha raccontato.
Quando l'IA ha fatto clic
Sono Pedro, CTO, sviluppatore e sviluppatore in fase di recupero dalla mentalità del «basta pubblicarlo».
Vuoi di più da The CTO Club?
Crea un account gratuito per completare questo articolo e unirti a una comunità di CTO e leader ingegneristici che condividono framework, strumenti e approfondimenti reali per progettare, implementare e scalare tecnologie guidate dall'IA.
Have an account? Log In
Ho iniziato nel settore tecnologico come fanno in molti: scrivendo codice, consegnando progetti e mantenendo soddisfatti i clienti. Per anni ho gestito Amplified Creations, uno studio creativo e tecnologico che ho cofondato nel 2007, realizzando software personalizzati, tour virtuali ed esperienze digitali per aziende in tutto il Portogallo e oltre. Buon lavoro. Lavoro solido. Ma soprattutto, pura esecuzione.
Poi è arrivata l'IA. Non l'ondata pubblicitaria, ma la parte realmente utile. Per me la svolta è avvenuta alla fine del 2023, mentre lavoravo a RVer, un sistema sanitario in realtà virtuale che stiamo sviluppando internamente.
Stavamo creando ambienti immersivi per ridurre l'ansia dei pazienti in contesti clinici: ospedali, case di cura, ecc. Quando abbiamo integrato l'IA nel sistema, qualcosa è cambiato. Medici, professionisti sanitari e terapisti — le persone che operano in un ambiente realmente complesso e ad alto rischio — sono diventati misurabilmente più efficienti.
È stato allora che ho smesso di considerare l'IA una funzionalità e ho iniziato a costruirla come fondamento.
Oggi, attraverso Amplified Creations, lavoro con aziende di diversi settori per aiutarle ad applicare l'IA dove può fare davvero la differenza: operazioni, contenuti, automazione e distribuzione.
La necessità di confini tecnici e operativi
Amplified Creations è una combinazione unica di studio creativo, azienda tecnologica e società di consulenza sull'IA.
Siamo un team snello, ma composto da professionisti senior. A seconda della fase di un progetto, coordiniamo oltre 25 persone, tra dipendenti interni e subappaltatori specializzati. La nostra organizzazione dà priorità alla flessibilità, non al numero di dipendenti.
Il nostro portafoglio di prodotti è variegato. Da un lato, RVer — la nostra piattaforma sanitaria interna in realtà virtuale — funziona su un'infrastruttura privata e isolata dalla rete. I dati sanitari non vengono trasferiti nel cloud. Punto. Dall'altro, il nostro lavoro di automazione dell'IA per i clienti — PMI portoghesi del commercio al dettaglio, dell'industria e dei servizi — è generalmente nativo del cloud, viene distribuito rapidamente e si integra con i sistemi esistenti.
Dal punto di vista architetturale, siamo pragmatici. Non abbiamo un'ideologia riguardo allo stack tecnologico. Scegliamo ciò che si adatta al modello di sicurezza, al livello di maturità del cliente e ai tempi di consegna. Di solito questo significa cloud, ma quando il settore lo richiede, realizziamo invece soluzioni da distribuire in sede, in modo privato e sicuro.
Passare da un contesto all'altro in tutte queste aree crea complessità. Guidare un team che nello stesso sprint distribuisce un sistema sanitario in realtà virtuale fortemente regolamentato e un sistema di automazione dell'IA per il commercio al dettaglio richiede confini molto chiari, sia tecnici sia operativi.
Come l'IA cambia il modo in cui i CTO costruiscono e governano i prodotti
L'IA tocca ogni aspetto, ma l'ultima parola spetta sempre all'essere umano. Soprattutto in ambito sanitario.
Influisce sul modo in cui costruiamo, su ciò che distribuiamo e sul modo in cui governiamo.
L'IA informa ogni livello: decisioni architetturali, revisione del codice, test, definizione delle priorità del registro delle attività, risposta agli incidenti e revisione della sicurezza. Gestiamo inoltre agenti dedicati allo sviluppo, alla revisione del codice, alla distribuzione e ai cicli di feedback dei clienti.
Per esempio, quando un cliente segnala un problema di usabilità, questo confluisce direttamente in un agente che ci aiuta a individuare la soluzione e a implementarla più rapidamente. Il prodotto diventa più complesso, ma paradossalmente il team procede più velocemente perché gli agenti assorbono il carico aggiuntivo.
Tuttavia, l'IA funziona come una macchina altamente capace di produrre bozze, non come un decisore. Una persona esamina, approva o modifica e dà l'approvazione finale. Ogni volta.
Nel caso di RVer, non si tratta solo di una filosofia. È una realtà normativa. Infarmed — l'autorità portoghese per i prodotti sanitari — ci impone uno standard secondo il quale una virgola fuori posto nella documentazione può costarci la licenza. Le informazioni errate fornite da un frammento di codice e una risposta lenta agli incidenti hanno entrambe conseguenze per le quali nessun agente di IA può essere ritenuto responsabile. Perciò manteniamo le persone nel ciclo, non solo per la qualità, ma anche per la responsabilità. Qualcuno è sempre responsabile del risultato.
Detto questo, il confine non è sempre netto.
Come funziona un flusso di sviluppo basato sull'IA
Ecco come funziona il nostro flusso di sviluppo basato sull'IA.
Inizia con un'idea. A volte nasce dal team, a volte dai feedback dei clienti e sempre più spesso dall'IA, che suggerisce miglioramenti sulla base degli schemi individuati. Ogni idea passa prima dal nostro team medico. Se sulla carta non ha senso dal punto di vista clinico, si ferma lì. Non scriviamo codice.
Se supera questo filtro, realizziamo rapidamente un prototipo. L'IA può produrre un MVP funzionante in poche sessioni, quindi non discutiamo a lungo delle idee. Sono i prototipi a diventare il punto di partenza della discussione.
Li sviluppiamo, li testiamo internamente con il personale medico e tecnico e lasciamo che siano i risultati a decidere. Se il prototipo mostra del potenziale, passiamo alla produzione.
La produzione significa che il team e l'IA scrivono codice insieme: integriamo la registrazione degli errori fin dal primo giorno, inviando i dati al nostro ufficio amministrativo in tempo reale. Quando viene distribuita una nuova funzionalità, la osserviamo in diretta. Il team la esamina, la approva e non distribuisce nulla finché non è tutto a posto.
Perché Claude Code è fondamentale per lo sviluppo con l'IA
Claude Code è lo strumento più importante del nostro insieme di strumenti per lo sviluppo.
Non è solo un assistente alla programmazione: è la cosa più vicina a uno sviluppatore senior che ho a disposizione 24 ore su 24, 7 giorni su 7. Scrive, revisiona, suggerisce, individua gli errori e si integra con tutto attraverso il suo ecosistema di plugin.
La maggior parte degli strumenti di programmazione basati sull'IA svolge bene una sola attività. Claude Code gestisce l'intero ciclo, da «ecco una nuova idea per una funzionalità» a «ecco il codice, ecco i potenziali problemi, ecco a cosa presterei attenzione in produzione». Questo non è uno strumento. È un flusso di lavoro.
Se dovessi ricostruire tutto da zero avendo un solo strumento al mio fianco, sceglierei quello.
Come l'IA crea rischi per la sicurezza
L'IA accelera ogni cosa, comprese le persone che cercano di violare i tuoi sistemi.
Lo abbiamo imparato di recente, quando l'infrastruttura server di terze parti di un cliente è stata compromessa. Non gestivamo noi la sua sicurezza, ma le sue chiavi API risiedevano in un sistema basato sull'IA che avevamo realizzato. Le chiavi sono trapelate. Lo abbiamo aiutato a sostituire immediatamente le credenziali, abbiamo indicato al team responsabile dei suoi server cosa rendere più sicuro e poi abbiamo ricostruito da zero il livello di sicurezza del nostro sistema. Anche se la sua infrastruttura venisse nuovamente colpita, ora sarebbe molto più difficile raggiungere le chiavi presenti nel nostro sistema.
Questo mi ha insegnato a non fare affidamento su una sicurezza che non controlliamo. Bisogna gestire direttamente ogni livello possibile, indipendentemente da chi amministra ciò che si trova a valle.
L'IA ha portato la velocità di sviluppo a 11. Ha portato a 11 anche la velocità degli attacchi. La stessa gara di prima, solo molto più veloce.
Perché i leader tecnici devono capire che la sicurezza non è l'impostazione predefinita dell'IA
L'esempio precedente potrebbe essersi svolto diversamente se si fosse trattato di un sistema realizzato esclusivamente da esseri umani. Forse. Non lo sapremo mai. Ma lo vedo continuamente nei progetti sviluppati affidandosi all'intuito. E questo rafforza un concetto importante: l'IA accelera la produzione e, se gli esseri umani che la supervisionano non sono rigorosi, le lacune diventano più grandi, non più piccole.
In altre parole, quei problemi non sono stati causati dall'IA. Sono stati causati dall'assenza di un vero ingegnere dietro l'IA.
Perché oggi ogni CTO deve sapere che la sicurezza non è l'impostazione predefinita dell'IA.
Quando l'IA si rifiuta di aiutarti a violare il sito web di un governo, si tratta di una decisione basata sui valori, integrata nel modello. Non lo farà. Punto. Ma quello stesso modello genererà volentieri codice che espone chiavi API, salta l'MFA in un modulo di accesso o pubblica un file .env in un repository pubblico, perché nessuno gli ha detto di non farlo.
Onestamente, questa asimmetria mi preoccupa. Se l'IA dispone dell'architettura necessaria per applicare limiti etici, dispone anche dell'architettura necessaria per applicare le pratiche basilari di sicurezza. Non ci siamo ancora. Uno sviluppatore alle prime armi che chiede all'IA di creare la sua prima app non dovrebbe già sapere ciò che non sa sulla sicurezza. Il modello dovrebbe gestire automaticamente il livello di base: non eseguire mai il commit di segreti, implementare sempre l'MFA per l'autenticazione, non esporre mai configurazioni sensibili nell'output compilato e così via.
La stessa logica che impedisce all'IA di causare danni all'esterno dovrebbe impedirle di crearne all'interno. Non ci siamo ancora. E finché non ci arriveremo, uno sviluppatore junior con un assistente IA resterà uno sviluppatore junior, solo che distribuirà più velocemente il software e commetterà più velocemente errori costosi!
L’IA accelera la produzione e, se le persone che la supervisionano non sono rigorose, le lacune diventano più grandi, non più piccole. L’IA non ha causato quei problemi. Li ha causati l’assenza di un vero ingegnere dietro l’IA. Ogni CTO deve sapere che la sicurezza non è l’impostazione predefinita dell’IA.
Come l'IA cambia i tempi di sviluppo
I risultati dell'IA sono stati significativi. Ma lo sono state anche le lezioni apprese.
In positivo, i numeri parlano da soli. Nel lavoro per i clienti, in alcuni casi abbiamo ridotto fino all'85% il tempo dedicato alle attività amministrative e alcune attività sono ora completamente automatizzate, rendendo la domanda «quanto tempo abbiamo risparmiato?» quasi filosofica. Cicli di sviluppo che avrebbero richiesto sei mesi ora vengono completati in tre o quattro.
Internamente, la nostra produttività di sviluppo è circa 5 volte superiore a quella precedente all'IA — misurata in righe di codice per sessione, commit Git al giorno e funzionalità distribuite per sprint. Il ritmo è davvero difficile da spiegare a chi non l'ha visto con i propri occhi.
E nessuno è stato licenziato. Non siamo abbastanza grandi da parlare di riduzioni del personale, ma soprattutto non è mai stato quello l'obiettivo. Ciò che è cambiato è quello che fanno le persone. Il team, che prima trascorreva la maggior parte del tempo a scrivere codice, ora lo dedica a revisionare, prendere decisioni e migliorare. È un uso migliore delle persone senior.
Come l'IA sposta l'attenzione delle assunzioni verso l'esperienza senior
La vecchia domanda durante un'assunzione era: «Quali linguaggi conosci?». Ora è quasi irrilevante. L'IA gestisce la sintassi. Oggi assumiamo in base alla capacità di giudizio.
Riesci a individuare una falla di sicurezza nel codice generato dall'IA? Cosa fai se il tuo sistema di IA espone accidentalmente un file .env? Capisci perché è importante? Come revisioni un risultato che non hai scritto riga per riga?
In pratica, non assumiamo più sviluppatori junior. Non perché non apprezziamo le persone all'inizio della loro carriera, ma perché l'IA ha assorbito il lavoro dei junior. L'IA scrive il codice. Ci serve qualcuno abbastanza senior da sapere quando è sbagliato.
Ora valutiamo ogni sviluppatore che assumiamo come se fosse una risorsa senior. Consapevolezza della sicurezza, revisione critica, giudizio professionale. L'asticella si è alzata perché l'IA ha innalzato il livello minimo.
Come l'IA elimina il vantaggio della complessità
I leader sottovalutano la velocità con cui l'IA consente ad altri di replicare ciò che ha richiesto anni per essere costruito.
Prendiamo come esempio i CRM SaaS. Per anni, il vantaggio competitivo è stato la complessità. Il tempo, i costi e le competenze necessarie per costruire qualcosa di comparabile facevano sì che la maggior parte delle aziende pagasse semplicemente l'abbonamento e andasse avanti. Questo calcolo è cambiato. Ho aiutato aziende a costruire il proprio CRM da zero, adattato esattamente alle loro esigenze, a una frazione del costo a lungo termine. Niente funzioni superflue. Nessuna funzionalità che non utilizzeranno mai. Nessuna fattura mensile che aumenta ogni anno.
Le aziende SaaS che hanno costruito il proprio business sull'idea «ci vorrebbero anni per replicarlo» stanno scoprendo che non è più vero. I titoli azionari lo riflettono.
Questo è il rischio che i CTO sottovalutano costantemente. Non che l'IA sconvolga il loro settore dall'esterno, ma che fornisca silenziosamente ai loro concorrenti, clienti e persino ai loro stessi utenti gli strumenti per costruire alternative intorno a loro.
Se la tua difendibilità si basa sulla complessità e sul tempo necessario per costruire, l'IA ha appena eliminato il tuo vantaggio competitivo. La domanda è se te ne sei accorto prima di qualcun altro.
Perché l'apocalisse dei posti di lavoro causata dall'IA è assurda
Ecco quattro consigli. E li intendo tutti.
Primo: l'IA è uno strumento, non un lavoratore. Anche quando si comporta come tale attraverso agenti, automazione o pipeline autonome, qualcuno è responsabile di ciò che fa. Un essere umano deve essere coinvolto. Non solo per motivi di responsabilità, ma perché il risultato è davvero migliore quando a guidarla c'è una persona capace di ragionare. Non dimenticarlo mai.
Secondo: gli esseri umani hanno costruito l'IA, quindi presenta bug di livello umano. Ha allucinazioni. Trascura la sicurezza. Commette errori con grande sicurezza. Trattala come un membro del team brillante ma alle prime armi: risultati incredibili, ma ha bisogno di supervisione. Nel momento in cui smetti di controllare il suo lavoro, è proprio allora che potrebbe distribuire in silenzio qualcosa di cui ti pentirai — o cancellare l'intero tuo database!
Terzo: se configurata correttamente, l'IA è un'autentica forza della natura, nel miglior senso possibile. Con i parametri giusti, il contesto giusto e le giuste misure di protezione, può gestire il tuo calendario, rispondere alle chiamate, automatizzare le attività amministrative, sistemare le foto di famiglia, riempire la tua pipeline e molto altro ancora. Se un processo coinvolge un computer, l'IA può occuparsene oppure ridurre drasticamente il tempo necessario. Da qui è davvero difficile vedere quale possa essere il limite.
Quarto: l'apocalisse dei posti di lavoro causata dall'IA è una sciocchezza diffusa da persone che non hanno mai studiato la storia. Ci siamo già passati. La Rivoluzione industriale. La catena di montaggio. La robotica industriale. Ogni volta, la previsione era quella di una disoccupazione di massa. Ogni volta, ciò che è successo è che gli esseri umani hanno smesso di svolgere il lavoro noioso, ripetitivo e alienante, dedicandosi ad attività più creative e di maggior valore. L'IA farà lo stesso, solo più velocemente.
Sì, alcuni ruoli scompariranno. L'ho già visto. Posizioni che un tempo richiedevano un'interpretazione specialistica dei dati ora vengono gestite da un modello in modo migliore e più rapido. Ma quelle persone non sono superflue. Sono state liberate.
Considerala in questo modo: quanti bambini di 10 anni oggi potrebbero creare un'app dalla loro cameretta? Ora poniti la stessa domanda in un mondo senza IA. Il bambino non è cambiato. Le sue idee non sono cambiate. L'IA ha semplicemente rimosso la barriera tra immaginazione e creazione. Non è una minaccia, è la migliore evoluzione possibile.
Dobbiamo solo cambiare mentalità. Accoglierla, esplorarla, costruire con essa e imparare a conviverci. Le macchine fanno il lavoro pesante. Noi le comandiamo.
Segui gli aggiornamenti
Puoi saperne di più sul lavoro di Pedro su LinkedIn. E dai un'occhiata ad Amplified Creations.
Presto arriveranno altre interviste con esperti su The CTO Club!
