I tre colli di bottiglia che azzerano i guadagni in fase di codifica

Il report identifica uno schema chiaro: gli strumenti di IA accelerano la scrittura del codice, ma quella velocità crea punti di pressione ovunque. Nove team su dieci hanno segnalato problemi con il codice generato dall'IA in qualche punto del loro flusso di lavoro . Questi problemi non si distribuiscono casualmente. Si concentrano in tre attività a valle che, insieme, assorbono il tempo risparmiato a monte:

• Code review manuale (52%) — chi revisiona si trova ora a elaborare un volume maggiore di codice generato dall'IA rispetto a quello scritto da umani, e questo volume è in crescita
• Security testing (51%) — il codice generato dall'IA introduce nuove classi di vulnerabilità che non erano presenti nell'equivalente scritto a mano, in particolare per quanto riguarda l'iniezione di dipendenze, segreti hardcoded e raccomandazioni di librerie obsolete
• Rielaborazione del codice generato (48%) — quasi la metà dei team dichiara di dedicare molto tempo a correggere, rifattorizzare o riscrivere l'output dell'IA prima che possa essere rilasciato

Questo fenomeno ha ora un nome: "toil shift", ovvero lo spostamento del lavoro ripetitivo. Invece di eliminare il lavoro, l'IA lo sta semplicemente trasferendo dalla fase di creazione a quelle di verifica, test e bonifica . L'analisi di Black Duck è schietta: "la maggior parte delle organizzazioni produce codice generato dall'IA più velocemente di quanto riesca a revisionarlo, metterlo in sicurezza o governarlo" .

Governance: il vero moltiplicatore del ROI

Se c'è un risultato del report su cui i leader dell'ingegneria dovrebbero agire immediatamente, è questo: la governance è il moltiplicatore del ROI . La differenza tra i team che governano l'uso dell'IA e quelli che non lo fanno non è marginale: è la differenza tra capitalizzare i guadagni di efficienza e vederli svanire.

Black Duck ha scoperto che le organizzazioni con framework di governance completi hanno registrato importanti guadagni di efficienza nel 90% dei casi. Per i team senza una supervisione strutturata, la percentuale scende al 44% .

Governance, in questo contesto, non significa burocrazia. Significa avere politiche definite su quali strumenti vengono utilizzati, come viene revisionato il codice generato dall'IA, quali controlli di sicurezza devono essere superati e chi è il responsabile dell'output. È la differenza tra "gli sviluppatori usano quello che vogliono" e "gli sviluppatori usano strumenti approvati all'interno di una pipeline strutturata e verificabile".

Il problema dello Shadow AI

A complicare la governance c'è l'ascesa della Shadow AI — sviluppatori che utilizzano strumenti di IA contro o al di fuori delle politiche aziendali. Black Duck ha rilevato che il 18% delle organizzazioni segnala la Shadow AI come un rischio significativo non gestito . Quando strumenti come Cursor, Windsurf o Claude Code vengono adottati a livello di singolo sviluppatore senza passare attraverso i processi di procurement o di revisione della sicurezza, l'organizzazione perde visibilità sulla propria superficie di attacco .

Rischi della supply chain: i pericoli nascosti nel codice IA

Le implicazioni per la supply chain sono il punto in cui le lacune di governance si trasformano in vulnerabilità concrete. Il lavoro di Black Duck – incluso il suo correlato rapporto 2026 OSSRA – fa emergere tre rischi interconnessi, specifici degli assistenti di codifica IA:

Riciclaggio di licenze (license laundering). Gli assistenti IA addestrati su repository open source possono generare frammenti di codice da fonti copyleft senza conservare le informazioni sulla licenza originale . Il rapporto OSSRA 2026 ha rilevato che due terzi delle codebase sottoposte a audit contengono conflitti di licenza — il tasso più alto nella storia del rapporto . Le organizzazioni potrebbero distribuire codice che non hanno il diritto di utilizzare, senza nemmeno saperlo.

Esplosione delle dipendenze. I componenti open source per codebase sono aumentati del 30% su base annua e la media delle vulnerabilità per codebase è schizzata del 107% . Gli assistenti di codifica IA accelerano questa tendenza perché compongono soluzioni più velocemente e attingendo a corpora di addestramento più ampi — il che significa che ogni funzione generata dall'IA può includere dipendenze che lo sviluppatore non ha scelto esplicitamente.

Il gap di conformità. Solo il 24% delle organizzazioni esegue valutazioni complete di proprietà intellettuale (IP), licenze, sicurezza e qualità del codice generato dall'IA . Ciò significa che tre quarti delle organizzazioni non possono rispondere in modo affidabile alla domanda: "Quali obblighi legali e di sicurezza abbiamo appena contratto?"

Fiducia degli sviluppatori: l'adozione sale mentre la fiducia crolla

I risultati di Black Duck non esistono isolatamente. Molteplici sondaggi indipendenti pubblicati nello stesso periodo rafforzano e ampliano il quadro della fiducia con dati granulari:

• Il State of Code Developer Survey 2026 di Sonar (oltre 1.100 sviluppatori) ha rilevato che il 96% degli sviluppatori non si fida pienamente dell'accuratezza funzionale del codice generato dall'IA . Eppure, solo il 48% lo verifica sempre prima di farne il commit — il che significa che codice di cui gli sviluppatori stessi diffidano finisce regolarmente in produzione .
• Il Developer Survey 2025 di Stack Overflow (49.009 intervistati) ha mostrato che la fiducia nell'accuratezza dell'IA è scesa dal 40% al 29% in un solo anno. La sfiducia attiva è salita al 46%, mentre l'opinione positiva è diminuita dal 72% al 60% .
• Il report State of AI-Driven Software Releases 2026 di Harness (500 leader dell'ingegneria) ha rilevato che il 57% richiede ancora una revisione "human-in-the-loop" per ogni riga di codice generata dall'IA, e il 29% trascorre più tempo nella code review ora rispetto a prima di adottare gli assistenti IA .

Il consenso tra queste indagini è notevolmente coerente: gli sviluppatori non possono lavorare senza strumenti di IA, ma non possono nemmeno fidarsi completamente di loro. Il divario tra generazione e verifica è diventato il nuovo collo di bottiglia.

Diana Kelley, CISO di Noma Security, ha colto la tensione centrale: "Un codice più veloce non equivale a un codice più sicuro" .

Come si presenta concretamente la governance

La prescrizione di Black Duck non è astratta. Il rapporto indica una serie di misure concrete che distinguono il 30% con una governance completa dal resto:

1. Framework strutturati di governance dell'IA — non linee guida informali, ma politiche documentate e applicate che coprono l'approvazione degli strumenti, la revisione dell'output e la responsabilità
2. Cancelli di revisione integrati nella pipeline — abbandonare i passaggi manuali alla coda di security testing, che il 46% delle aziende utilizza ancora, a favore di controlli automatizzati di qualità e sicurezza eseguiti su ogni commit assistito dall'IA
3. Monitoraggio continuo post-implementazione — Black Duck osserva che "una strategia di solo shift-left non è più sufficiente" perché il rischio viene introdotto, scoperto e deve essere gestito durante l'intero ciclo di vita dello sviluppo software
4. Razionalizzazione della toolchain di sicurezza — oltre il 71% degli intervistati ha segnalato la proliferazione di strumenti come una delle principali fonti di attrito; il consolidamento su un numero minore di strumenti meglio integrati è un prerequisito per scalare l'IA in sicurezza

La conclusione

Il rapporto di Black Duck non è un argomento contro l'uso degli assistenti di codifica IA. Sostiene, piuttosto, che usarli senza una governance adeguata è controproducente. Quando il 97% dei team genera codice a una velocità senza precedenti, ma solo il 30% dispone dell'infrastruttura di supervisione per gestirlo, il settore sta collettivamente firmando assegni che non può incassare.

La correlazione tra governance e guadagni di efficienza — 90% contro 44% — rende il business case inequivocabile. Le organizzazioni che costruiranno prima i guardrail cattureranno la produttività che l'IA promette. Coloro che non lo faranno scopriranno, ripetutamente, che il tempo risparmiato sulla tastiera viene speso nella coda di revisione.

I tre colli di bottiglia che azzerano i guadagni in fase di codifica

Il report identifica uno schema chiaro: gli strumenti di IA accelerano la scrittura del codice, ma quella velocità crea punti di pressione ovunque. Nove team su dieci hanno segnalato problemi con il codice generato dall'IA in qualche punto del loro flusso di lavoro . Questi problemi non si distribuiscono casualmente. Si concentrano in tre attività a valle che, insieme, assorbono il tempo risparmiato a monte:

• Code review manuale (52%) — chi revisiona si trova ora a elaborare un volume maggiore di codice generato dall'IA rispetto a quello scritto da umani, e questo volume è in crescita
• Security testing (51%) — il codice generato dall'IA introduce nuove classi di vulnerabilità che non erano presenti nell'equivalente scritto a mano, in particolare per quanto riguarda l'iniezione di dipendenze, segreti hardcoded e raccomandazioni di librerie obsolete
• Rielaborazione del codice generato (48%) — quasi la metà dei team dichiara di dedicare molto tempo a correggere, rifattorizzare o riscrivere l'output dell'IA prima che possa essere rilasciato

Questo fenomeno ha ora un nome: "toil shift", ovvero lo spostamento del lavoro ripetitivo. Invece di eliminare il lavoro, l'IA lo sta semplicemente trasferendo dalla fase di creazione a quelle di verifica, test e bonifica . L'analisi di Black Duck è schietta: "la maggior parte delle organizzazioni produce codice generato dall'IA più velocemente di quanto riesca a revisionarlo, metterlo in sicurezza o governarlo" .

Governance: il vero moltiplicatore del ROI

Se c'è un risultato del report su cui i leader dell'ingegneria dovrebbero agire immediatamente, è questo: la governance è il moltiplicatore del ROI . La differenza tra i team che governano l'uso dell'IA e quelli che non lo fanno non è marginale: è la differenza tra capitalizzare i guadagni di efficienza e vederli svanire.

Black Duck ha scoperto che le organizzazioni con framework di governance completi hanno registrato importanti guadagni di efficienza nel 90% dei casi. Per i team senza una supervisione strutturata, la percentuale scende al 44% .

Governance, in questo contesto, non significa burocrazia. Significa avere politiche definite su quali strumenti vengono utilizzati, come viene revisionato il codice generato dall'IA, quali controlli di sicurezza devono essere superati e chi è il responsabile dell'output. È la differenza tra "gli sviluppatori usano quello che vogliono" e "gli sviluppatori usano strumenti approvati all'interno di una pipeline strutturata e verificabile".

Il problema dello Shadow AI

A complicare la governance c'è l'ascesa della Shadow AI — sviluppatori che utilizzano strumenti di IA contro o al di fuori delle politiche aziendali. Black Duck ha rilevato che il 18% delle organizzazioni segnala la Shadow AI come un rischio significativo non gestito . Quando strumenti come Cursor, Windsurf o Claude Code vengono adottati a livello di singolo sviluppatore senza passare attraverso i processi di procurement o di revisione della sicurezza, l'organizzazione perde visibilità sulla propria superficie di attacco .

Rischi della supply chain: i pericoli nascosti nel codice IA

Le implicazioni per la supply chain sono il punto in cui le lacune di governance si trasformano in vulnerabilità concrete. Il lavoro di Black Duck – incluso il suo correlato rapporto 2026 OSSRA – fa emergere tre rischi interconnessi, specifici degli assistenti di codifica IA:

Riciclaggio di licenze (license laundering). Gli assistenti IA addestrati su repository open source possono generare frammenti di codice da fonti copyleft senza conservare le informazioni sulla licenza originale . Il rapporto OSSRA 2026 ha rilevato che due terzi delle codebase sottoposte a audit contengono conflitti di licenza — il tasso più alto nella storia del rapporto . Le organizzazioni potrebbero distribuire codice che non hanno il diritto di utilizzare, senza nemmeno saperlo.

Esplosione delle dipendenze. I componenti open source per codebase sono aumentati del 30% su base annua e la media delle vulnerabilità per codebase è schizzata del 107% . Gli assistenti di codifica IA accelerano questa tendenza perché compongono soluzioni più velocemente e attingendo a corpora di addestramento più ampi — il che significa che ogni funzione generata dall'IA può includere dipendenze che lo sviluppatore non ha scelto esplicitamente.

Il gap di conformità. Solo il 24% delle organizzazioni esegue valutazioni complete di proprietà intellettuale (IP), licenze, sicurezza e qualità del codice generato dall'IA . Ciò significa che tre quarti delle organizzazioni non possono rispondere in modo affidabile alla domanda: "Quali obblighi legali e di sicurezza abbiamo appena contratto?"

Fiducia degli sviluppatori: l'adozione sale mentre la fiducia crolla

I risultati di Black Duck non esistono isolatamente. Molteplici sondaggi indipendenti pubblicati nello stesso periodo rafforzano e ampliano il quadro della fiducia con dati granulari:

• Il State of Code Developer Survey 2026 di Sonar (oltre 1.100 sviluppatori) ha rilevato che il 96% degli sviluppatori non si fida pienamente dell'accuratezza funzionale del codice generato dall'IA . Eppure, solo il 48% lo verifica sempre prima di farne il commit — il che significa che codice di cui gli sviluppatori stessi diffidano finisce regolarmente in produzione .
• Il Developer Survey 2025 di Stack Overflow (49.009 intervistati) ha mostrato che la fiducia nell'accuratezza dell'IA è scesa dal 40% al 29% in un solo anno. La sfiducia attiva è salita al 46%, mentre l'opinione positiva è diminuita dal 72% al 60% .
• Il report State of AI-Driven Software Releases 2026 di Harness (500 leader dell'ingegneria) ha rilevato che il 57% richiede ancora una revisione "human-in-the-loop" per ogni riga di codice generata dall'IA, e il 29% trascorre più tempo nella code review ora rispetto a prima di adottare gli assistenti IA .

Il consenso tra queste indagini è notevolmente coerente: gli sviluppatori non possono lavorare senza strumenti di IA, ma non possono nemmeno fidarsi completamente di loro. Il divario tra generazione e verifica è diventato il nuovo collo di bottiglia.

Diana Kelley, CISO di Noma Security, ha colto la tensione centrale: "Un codice più veloce non equivale a un codice più sicuro" .

Come si presenta concretamente la governance

La prescrizione di Black Duck non è astratta. Il rapporto indica una serie di misure concrete che distinguono il 30% con una governance completa dal resto:

1. Framework strutturati di governance dell'IA — non linee guida informali, ma politiche documentate e applicate che coprono l'approvazione degli strumenti, la revisione dell'output e la responsabilità
2. Cancelli di revisione integrati nella pipeline — abbandonare i passaggi manuali alla coda di security testing, che il 46% delle aziende utilizza ancora, a favore di controlli automatizzati di qualità e sicurezza eseguiti su ogni commit assistito dall'IA
3. Monitoraggio continuo post-implementazione — Black Duck osserva che "una strategia di solo shift-left non è più sufficiente" perché il rischio viene introdotto, scoperto e deve essere gestito durante l'intero ciclo di vita dello sviluppo software
4. Razionalizzazione della toolchain di sicurezza — oltre il 71% degli intervistati ha segnalato la proliferazione di strumenti come una delle principali fonti di attrito; il consolidamento su un numero minore di strumenti meglio integrati è un prerequisito per scalare l'IA in sicurezza

La conclusione

Il rapporto di Black Duck non è un argomento contro l'uso degli assistenti di codifica IA. Sostiene, piuttosto, che usarli senza una governance adeguata è controproducente. Quando il 97% dei team genera codice a una velocità senza precedenti, ma solo il 30% dispone dell'infrastruttura di supervisione per gestirlo, il settore sta collettivamente firmando assegni che non può incassare.

La correlazione tra governance e guadagni di efficienza — 90% contro 44% — rende il business case inequivocabile. Le organizzazioni che costruiranno prima i guardrail cattureranno la produttività che l'IA promette. Coloro che non lo faranno scopriranno, ripetutamente, che il tempo risparmiato sulla tastiera viene speso nella coda di revisione.