App fatta con l'AI: cosa controllare prima di metterci i dati dei clienti
Oggi un titolare con un po' di pazienza si fa da solo un'agenda prenotazioni o un piccolo gestionale, con uno strumento AI e un fine settimana. Funziona, e spesso funziona bene. Non lo diciamo per spaventare nessuno: l'AI la usiamo anche noi, ogni giorno.
Il problema non è la prima versione. È il giorno in cui dentro ci sono i dati veri dei clienti e l'app la usano tre persone invece di una.
Cosa dicono i numeri
Nel 2025 Veracode ha fatto scrivere codice a più di cento modelli di intelligenza artificiale: in circa il 45% dei casi il risultato non passava i controlli di sicurezza più comuni, quelli della lista OWASP Top 10.
Una scansione di 1.645 app costruite con Lovable ne ha trovate 170 che lasciavano leggere a chiunque nomi, email e altri dati personali, perché mancava il controllo su chi può leggere cosa nel database.
L'AI fa quello che le chiedete, e quasi nessuno le chiede di chiudere le porte.
Le cinque domande da farsi
- Chi vede cosa? Entrate con un utente qualsiasi e provate a leggere i dati di un altro. Se ci riuscite voi, ci riesce chiunque.
- Dove sono le chiavi? Le password dei servizi collegati (database, mail, pagamenti) non devono stare nel codice che gira nel browser.
- Avete un backup che avete provato a ripristinare? Se non l'avete mai provato, non sapete se funziona.
- Chi la sistema quando si rompe? Se l'ha fatta una persona sola, l'app dipende dal suo tempo libero e dalla sua memoria.
- Se qualcuno entra, ve ne accorgereste? Con i dati personali dei clienti il GDPR chiede di notificare una violazione al Garante, di norma entro 72 ore da quando la si scopre. Serve almeno sapere chi è entrato e quando.
Quando il fatto in casa non basta più
Un'app fatta in casa va benissimo per provare un'idea, per un uso personale o con dati che non sono di nessuno. Diventa un rischio quando entra nel lavoro di tutti i giorni: dati dei clienti, più persone che la usano, soldi che dipendono da lei.
A quel punto non serve rifare tutto da zero. Serve rimettere quello che c'è su una base solida.
Come lavoriamo noi su un'app fatta in casa
Quando un'azienda ci porta un'app che si è fatta da sola, non la buttiamo: è la specifica migliore che possiamo avere, perché dice già cosa serve. Partiamo da lì e la portiamo su una base con accessi per ruolo, backup automatici e chiavi al sicuro.
Alla consegna lasciamo il libretto del sistema: cosa c'è, dove stanno i dati, chi accede e cosa fare se qualcosa si ferma. Due pagine, non un manuale.
Se a due delle cinque domande la risposta è «non so», vale la pena far guardare l'app a qualcuno prima che succeda qualcosa.