Quando l’IA diventa complice: la rapina pianificata con ChatGPT

Una rapina organizzata con l'aiuto dell'intelligenza artificiale e una condanna a oltre dieci anni di carcere riportano l'attenzione su un tema sempre più attuale: utilizzare un sistema di AI significa anche gestire informazioni, dati e tracce digitali che possono assumere un valore rilevante.

Il caso giudiziario statunitense diventa lo spunto per una riflessione che riguarda anche il mondo delle imprese. L'intelligenza artificiale sta entrando rapidamente nei processi aziendali e, insieme alle opportunità, porta con sé nuovi rischi legati alla sicurezza delle informazioni, alla protezione dei dati e alla governance dell'AI.

L'intelligenza artificiale è ormai parte della vita quotidiana. Viene utilizzata per scrivere testi, tradurre documenti, analizzare informazioni, programmare software e supportare numerose attività professionali.

Ma la stessa tecnologia può essere utilizzata anche in contesti decisamente più controversi.

È il caso di Deron Lewis-Payne, 23enne statunitense condannato il 13 agosto 2026 da un tribunale federale di Omaha, in Nebraska, a 121 mesi di carcere, seguiti da cinque anni di libertà vigilata.

La vicenda era iniziata il 10 febbraio 2026, quando l'uomo aveva fatto irruzione in una banca di Omaha, minacciando due dipendenti con una pistola e riuscendo a impossessarsi di circa 9.175 dollari. Le immagini delle telecamere di sorveglianza avevano consentito agli investigatori di ricostruire parte dei suoi movimenti.

A rendere la vicenda particolarmente singolare sono state però anche le tracce digitali lasciate durante la preparazione del reato.

Secondo il Dipartimento di Giustizia degli Stati Uniti, sullo smartphone di Lewis-Payne erano presenti conversazioni con ChatGPT utilizzate nella pianificazione della rapina, oltre a ricerche relative all'arma e ai tempi di intervento delle forze dell'ordine. Anche la cronologia di Google Maps aveva registrato una ricerca di indicazioni verso la banca presa di mira.

L'intelligenza artificiale, quindi, è stata utilizzata come strumento nella preparazione del crimine, ma le interazioni digitali sono diventate anche parte degli elementi analizzati dagli investigatori.

Ed è proprio questo aspetto a rendere la vicenda interessante anche al di fuori del contesto giudiziario.

Ricerche online, cronologie, conversazioni, file, accessi e interazioni con piattaforme digitali possono lasciare una quantità considerevole di informazioni.

Queste tracce possono contribuire a ricostruire attività, comportamenti e modalità di utilizzo degli strumenti tecnologici.

Lo stesso principio assume un'importanza ancora maggiore quando l'intelligenza artificiale entra nei processi aziendali.

Un dipendente può utilizzare un chatbot per elaborare un documento, analizzare un contratto, sintetizzare una relazione, tradurre un testo o trovare una soluzione a un problema tecnico.

Nel farlo potrebbe però inserire, consapevolmente o meno, informazioni relative a:

✓ Clienti e fornitori
✓ Dipendenti e collaboratori
✓ Documenti aziendali
✓ Progetti e dati tecnici
✓ Strategie commerciali
✓ Informazioni riservate
✓ Dati personali

L'efficienza dello strumento non elimina, quindi, la necessità di gestire con attenzione le informazioni affidate all'intelligenza artificiale.

L'introduzione dell'AI nelle aziende sta avvenendo molto rapidamente.

La semplicità di utilizzo e l'accessibilità di molti strumenti favoriscono una diffusione spontanea della tecnologia. Proprio questa facilità, però, può portare a un utilizzo non coordinato all'interno dell'organizzazione.

Un collaboratore può utilizzare un'applicazione AI autorizzata dall'azienda, mentre un altro può scegliere autonomamente uno strumento gratuito disponibile online.

In assenza di regole condivise, il confine tra innovazione e rischio può diventare molto sottile.

La governance dell'intelligenza artificiale non riguarda quindi soltanto la scelta della tecnologia. Comprende anche:

✓ Regole per l’utilizzo degli strumenti di AI
✓ Gestione e protezione dei dati
✓ Definizione di autorizzazioni e responsabilità
✓ Formazione del personale
✓ Valutazione dei rischi
✓ Monitoraggio degli strumenti di AI

L'obiettivo non è impedire l'utilizzo dell'intelligenza artificiale, ma creare un quadro nel quale l'innovazione possa svilupparsi in modo consapevole, sicuro e coerente con gli obiettivi aziendali.

L'utilizzo consapevole dell'AI passa inevitabilmente dalle competenze.

L'AI literacy, ovvero l'alfabetizzazione in materia di intelligenza artificiale, è entrata nel quadro normativo europeo con l'AI Act. L'articolo 4 richiede a fornitori e operatori di sistemi di AI di adottare misure per sostenere lo sviluppo delle competenze e della consapevolezza del personale e delle persone che utilizzano tali sistemi per loro conto.

L'articolo 4 è entrato in applicazione il 2 febbraio 2025 e nel 2026 è stato modificato nell'ambito del Digital Omnibus sull'AI. La disciplina mantiene l'obbligo di sostenere l'AI literacy, senza imporre un livello specifico di competenza individuale.

Per un'organizzazione questo significa che la formazione non dovrebbe limitarsi a spiegare come utilizzare un chatbot, ma dovrebbe aiutare le persone a comprendere anche:

✓ Quali informazioni possono essere condivise
✓ Quali dati devono essere protetti
✓ Quali strumenti sono autorizzati
✓ Quali verifiche effettuare sui risultati prodotti dall’AI
✓ Quali rischi possono derivare da un utilizzo scorretto
✓ Come comportarsi in caso di errore o incidente

La competenza diventa quindi una vera e propria misura di sicurezza.

La formazione, da sola, non è però sufficiente.

Un'organizzazione che utilizza l'intelligenza artificiale ha bisogno di un sistema nel quale responsabilità, procedure e controlli siano definiti in modo chiaro.

Una policy aziendale sull'utilizzo dell'AI può rappresentare uno dei primi strumenti per stabilire quali applicazioni sono autorizzate, quali dati possono essere elaborati e quali informazioni devono rimanere fuori dagli strumenti di intelligenza artificiale.

A questa possono affiancarsi:

✓ Procedure per la gestione degli accessi
✓ Controlli sulla sicurezza delle informazioni
✓ Valutazione dei rischi
✓ Monitoraggio degli strumenti di intelligenza artificiale
✓ Formazione periodica del personale
✓ Procedure per la gestione degli incidenti

In questo modo l'intelligenza artificiale viene inserita all'interno di un vero sistema di governance, anziché essere considerata semplicemente come un nuovo software da utilizzare.

La diffusione dell'intelligenza artificiale sta portando le aziende a integrare nuovi rischi all'interno dei propri sistemi di gestione.

La ISO/IEC 27001 rappresenta un riferimento internazionale per la gestione della sicurezza delle informazioni. Lo standard definisce i requisiti per un sistema di gestione della sicurezza delle informazioni e adotta un approccio basato sulla gestione dei rischi relativi ai dati e alle informazioni dell'organizzazione.

Accanto alla sicurezza delle informazioni assume particolare interesse la ISO/IEC 42001, lo standard internazionale dedicato ai sistemi di gestione dell'intelligenza artificiale.

La ISO/IEC 42001 specifica i requisiti per stabilire, implementare, mantenere e migliorare continuamente un Artificial Intelligence Management System (AIMS), offrendo alle organizzazioni un approccio strutturato alla gestione dei rischi e delle opportunità legati all'AI.

L'approccio permette di affrontare aspetti come governance, responsabilità, trasparenza, gestione del rischio e miglioramento continuo.

ISO 27001 e ISO 42001 possono quindi essere lette come strumenti complementari: la prima pone al centro la sicurezza delle informazioni, mentre la seconda affronta in modo specifico la gestione e la governance dell'intelligenza artificiale. La stessa ISO presenta infatti entrambe all'interno di un approccio integrato alla gestione di AI e sicurezza delle informazioni.

La storia di Deron Lewis-Payne presenta un elemento quasi paradossale: uno strumento utilizzato per cercare di organizzare un'attività criminale ha lasciato, insieme alle altre evidenze digitali, informazioni che hanno contribuito alla ricostruzione delle sue attività.

Al di là della vicenda giudiziaria, il caso offre una riflessione più ampia sul rapporto tra persone, tecnologia e informazioni.

Ogni nuovo strumento porta con sé nuove opportunità, ma anche nuove responsabilità.

Per le aziende questo principio assume un valore ancora maggiore.

L'intelligenza artificiale può migliorare i processi, ridurre i tempi, supportare le persone e favorire l'innovazione. Per ottenere questi vantaggi in modo sostenibile è però necessario accompagnare la tecnologia con competenze adeguate, regole chiare, sicurezza delle informazioni e sistemi di controllo.

L'evoluzione dell'intelligenza artificiale sta modificando rapidamente il modo in cui le organizzazioni lavorano.

La vera sfida non consiste soltanto nell'adottare strumenti sempre più potenti, ma nel creare un ambiente nel quale l'innovazione possa svilupparsi mantenendo sotto controllo dati, informazioni e rischi.

La vicenda della rapina di Omaha rappresenta, in una forma certamente estrema, un esempio di quanto le interazioni con l'intelligenza artificiale possano lasciare tracce e assumere un valore concreto.

Nel mondo delle imprese, la stessa consapevolezza deve tradursi in formazione, procedure, sicurezza delle informazioni e governance dell'AI.

Perché utilizzare l'intelligenza artificiale significa anche assumersi la responsabilità di governarla.

Ed è proprio questo il passaggio che trasforma una tecnologia innovativa in uno strumento realmente utile, sicuro e sostenibile per l'organizzazione.