Il 19 ottobre 2026, in occasione dei Cybersecurity360 Awards 2026, Fortinet ha riportato al centro tre temi che oggi interessano direttamente le aziende italiane: sovranità digitale, architetture SASE e sicurezza dei progetti di intelligenza artificiale, inclusi LLM privati e sistemi di agentic AI. Per un’impresa il punto non è teorico: usare cloud e AI accelera il business, ma solo se dati, accessi e infrastrutture restano sotto controllo.
In pratica, la domanda non è più se adottare servizi cloud o strumenti di AI, ma come farlo senza perdere visibilità, governance e capacità di protezione. Ed è qui che sicurezza informatica e scelte architetturali diventano una decisione di gestione, non solo tecnica.
Perché si parla sempre più di sovranità digitale
La sovranità digitale è la capacità di un’organizzazione di mantenere controllo effettivo su dati, identità, configurazioni e servizi critici, anche quando questi sono ospitati o gestiti tramite piattaforme cloud. Non significa necessariamente rinunciare al cloud, né tornare a un modello tutto interno: significa sapere dove risiedono i dati, chi può accedervi, con quali regole e con quale possibilità di intervento in caso di incidente o contenzioso.
Il tema è diventato più urgente per almeno tre ragioni.
La prima è l’aumento della dipendenza da servizi esterni: collaboration, posta elettronica, ERP, backup, sicurezza perimetrale, accesso remoto e ora anche strumenti di AI vengono spesso erogati come servizio.
La seconda è l’evoluzione normativa e di compliance: per molte aziende, soprattutto quelle che trattano dati sensibili, proprietà intellettuale o informazioni di clienti e fornitori, non basta dire “i dati sono nel cloud”. Serve dimostrare come vengono protetti e governati.
La terza è l’espansione dell’intelligenza artificiale nei processi aziendali. Più documenti, conversazioni, dati operativi e know-how vengono dati in pasto a modelli e agenti software, più diventa importante capire chi controlla davvero quelle informazioni.
SASE: perché interessa anche alle PMI
Nel contributo ripreso da Cyber Security 360, uno dei concetti chiave è quello di SASE “sovrano”. SASE, in sintesi, è un modello che unisce connettività e sicurezza erogate in modo distribuito, spesso via cloud, per proteggere utenti, sedi, dispositivi e applicazioni ovunque si trovino.
Detto in modo semplice: non si protegge più solo l’ufficio centrale con un firewall all’ingresso. Oggi bisogna proteggere persone che lavorano da sedi diverse, da casa, in mobilità o direttamente su applicazioni cloud. Per questo molte aziende stanno spostando i controlli di sicurezza più vicino all’utente e più vicino al servizio usato.
Per una PMI italiana, il vantaggio è chiaro:
- accessi più sicuri alle applicazioni cloud;
- gestione più uniforme tra sede, smart working e filiali;
- maggiore visibilità su chi usa cosa e da dove;
- possibilità di applicare policy coerenti senza moltiplicare apparati e configurazioni.
Il punto critico, però, è proprio quello evocato dal tema della sovranità: se la sicurezza stessa viene erogata dal cloud, bisogna capire dove transitano log, metadati, autenticazioni e contenuti ispezionati. In altre parole, non basta scegliere una soluzione moderna: bisogna capire se il modello di erogazione è compatibile con le esigenze di riservatezza e controllo dell’azienda.
La nuova frontiera: proteggere LLM privati e agentic AI
L’altro messaggio forte emerso il 19 ottobre 2026 riguarda la AI security. Non si parla più solo di dipendenti che usano chatbot pubblici senza regole. Si parla di aziende che sviluppano o adottano LLM privati, on-premise o in cloud, e di sistemi di agentic AI in grado di eseguire azioni, consultare fonti, interagire con software aziendali e prendere decisioni operative entro limiti definiti.
Questo cambia radicalmente la superficie di rischio.
Un modello linguistico privato può contenere o trattare:
- documentazione interna;
- procedure riservate;
- contratti e offerte;
- dati di clienti e fornitori;
- know-how tecnico e commerciale.
Un sistema di agentic AI, inoltre, non si limita a “rispondere”: può recuperare file, interrogare database, creare ticket, inviare comunicazioni o innescare flussi automatici. Se è configurato male o troppo permissivo, l’impatto di un errore o di un abuso può essere molto più serio rispetto a un semplice assistente conversazionale.
Le priorità di sicurezza, in questi casi, sono quattro.
La prima è il controllo dei dati in ingresso e in uscita. Bisogna sapere quali informazioni alimentano il modello, quali vengono archiviate, quali possono essere richiamate e quali non devono mai uscire dal perimetro definito.
La seconda è il controllo degli accessi. Un LLM interno non deve diventare una scorciatoia per far vedere a tutti documenti che prima erano correttamente segregati.
La terza è la tracciabilità. Se un agente AI consulta sistemi aziendali o compie azioni, occorre registrare chi ha autorizzato cosa, con quali privilegi e con quali risultati.
La quarta è la protezione del modello e delle integrazioni. Un sistema di AI collegato a CRM, file server, posta e gestionali eredita il rischio di tutti quei sistemi, ma può anche amplificarlo.
Innovazione e controllo non sono in contraddizione
Uno degli aspetti più importanti del dibattito del 2026 è proprio questo: innovare non significa per forza cedere controllo. Il problema nasce quando il cloud o l’AI vengono introdotti come strumenti isolati, magari su iniziativa di un reparto o di un singolo fornitore, senza una governance complessiva.
Molte aziende oggi hanno una situazione frammentata:
- file condivisi su piattaforme diverse;
- strumenti di AI usati senza policy chiare;
- accessi remoti attivati nel tempo senza revisione;
- backup presenti ma non sempre verificati;
- dispositivi aziendali non gestiti in modo uniforme.
In questo contesto, parlare di sovranità digitale non vuol dire fare filosofia. Vuol dire rimettere ordine. Significa definire quali dati sono critici, quali sistemi possono stare in cloud, quali devono avere protezioni aggiuntive, chi approva nuovi strumenti e come si verifica che tutto continui a funzionare in sicurezza.
Cosa significa per la tua azienda
Per una PMI, il modo corretto di affrontare questi temi non è comprare subito “la soluzione di moda”, ma partire da alcune decisioni pratiche.
Primo: mappa i dati davvero importanti. Elenchi clienti, documenti amministrativi, progetti, preventivi, credenziali, archivi HR e proprietà intellettuale non hanno tutti lo stesso livello di criticità. Senza questa mappa, parlare di sovranità digitale è impossibile.
Secondo: verifica dove passano oggi utenti e dati. Molte imprese scoprono troppo tardi che file, log o accessi transitano su servizi attivati nel tempo senza una regia unitaria. Una revisione dell’architettura di sicurezza informatica aiuta a capire dove sono i punti ciechi.
Terzo: definisci una policy sull’AI prima che l’uso si espanda. Anche se non state sviluppando un LLM privato, qualcuno in azienda sta probabilmente già usando strumenti generativi. Servono regole semplici ma vincolanti: quali dati si possono inserire, quali no, quali strumenti sono approvati, chi valida eventuali integrazioni con sistemi interni.
Quarto: proteggi gli endpoint e gli accessi, non solo il server. Se persone e applicazioni lavorano ovunque, la sicurezza deve seguire utente e dispositivo. Questo richiede gestione centralizzata, aggiornamenti regolari, controllo delle configurazioni e autenticazione robusta. Per molte realtà è utile rafforzare il governo del parco macchine con servizi di desktop IT management.
Quinto: assicurati che il backup sia coerente con il nuovo perimetro. Se dati e applicazioni sono distribuiti tra sede, cloud e strumenti SaaS, anche il ripristino deve esserlo. Un progetto di remote backup ben strutturato è parte della continuità operativa, non un accessorio.
Sesto: chiedi ai fornitori le domande giuste. Dove vengono trattati i dati? Dove sono conservati i log? Quali controlli esistono sugli accessi amministrativi? Come si esportano dati e configurazioni in caso di cambio fornitore? Senza queste risposte, il rischio di lock-in o di perdita di controllo aumenta.
Infine, non separare mai cyber security e organizzazione. Se un progetto cloud o AI non ha un responsabile interno, criteri di approvazione e verifiche periodiche, nel tempo diventa ingestibile anche se parte bene.
Il vero punto: governare la complessità prima che diventi rischio
Le tecnologie citate il 19 ottobre 2026 da Fortinet non sono scenari lontani riservati alle grandi imprese. Riguardano già oggi aziende che usano Microsoft 365, servizi SaaS, accesso remoto, piattaforme collaborative, chatbot aziendali e automazioni documentali.
La differenza tra un’adozione utile e un problema futuro sta nella capacità di impostare fin dall’inizio regole di controllo, protezione e responsabilità. Sovranità digitale, SASE e AI security non sono tre temi separati: sono tre modi diversi di affrontare la stessa domanda manageriale. Come innovare senza perdere il governo dell’azienda digitale.
Chi parte da questa domanda prende decisioni più solide, riduce i rischi e costruisce un’infrastruttura più adatta a crescere.
Domande frequenti
Sovranità digitale significa tenere tutto in casa?
No. Significa mantenere controllo su dati, accessi, policy e continuità operativa anche quando si usano servizi cloud o fornitori esterni.
SASE è utile solo per grandi aziende multisede?
No. Può essere utile anche a una PMI con personale in smart working, applicazioni cloud e necessità di gestire accessi in modo uniforme e sicuro.
Un LLM privato è automaticamente sicuro?
No. Anche un modello privato va protetto con regole su accessi, dati utilizzati, integrazioni, logging e monitoraggio delle attività.