Far revisionare codice AI da esperti: come scegliere

Hai sviluppato un'app con assistenti AI e vuoi farla revisionare prima del go-live. Bene. Ora la domanda è: a chi affidarla? Il mercato è pieno di offerte che vanno dall'audit serio allo "scan automatico travestito da consulenza" a "lo guarda mio cugino developer".

In questa guida vediamo come riconoscere chi sa davvero fare il lavoro e cosa pretendere prima, durante e dopo.

Cosa deve sapere chi revisiona

L'audit di codice AI-generated richiede competenze specifiche, non solo "saper programmare":

Sicurezza applicativa: conoscere le classi di vulnerabilità (OWASP Top 10), i pattern ricorrenti negli LLM, le tecniche di analisi statica e dinamica.

Compliance normativa: GDPR, cookie law, requisiti specifici di settore (sanità, fintech, pagamenti). Senza questa competenza si trovano vulnerabilità tecniche ma si manca la conformità.

Architettura software: capire se il codice "regge" non solo nell'esecuzione attuale, ma sotto crescita di traffico e dati.

Cloud e infrastruttura: l'app non vive in vacuum. Configurazione del cloud, gestione dei secret, costi: tutto fa parte dell'audit.

Conoscenza degli LLM: capire cosa producono e dove tendono a sbagliare. Non si può auditare codice AI senza conoscere il dominio.

Domande da fare prima di iniziare

Prima di firmare un contratto, chiedi:

1. "Posso vedere un esempio di report che producete?" — un audit serio ha un format consolidato, riconoscibile. Se non ti possono mostrare neanche un sample anonimizzato, è un campanello.

2. "Quale è il vostro processo passo-passo?" — dovrebbe rispondere con una sequenza chiara: kickoff, accesso, analisi automatica, analisi manuale, report, call. Se la risposta è vaga, il processo è vago.

3. "Quanto tempo dedicate effettivamente al codice?" — se la risposta è "alcune ore" per un'app non triviale, lo scan è automatico. Per un'app di media complessità servono 30-50 ore di lavoro reale.

4. "Cosa fate se non trovate nulla?" — l'auditor onesto ti dice "consegniamo un report che attesta lo stato attuale, eventualmente con raccomandazioni preventive". Chi cerca a tutti i costi di trovare problemi inventati è da evitare.

5. "Avete esperienza con il nostro stack tecnologico?" — l'audit di un'app Python richiede competenze diverse da un'app Node.js o Ruby. Esperienza specifica conta.

Cosa dovresti ricevere alla fine

Il deliverable di un audit serio include sempre:

1. Report scritto strutturato

Tipico formato (15-30 pagine):

• Executive summary (1-2 pagine): rischi principali in linguaggio non tecnico
• Metodologia: cosa è stato testato, con quali strumenti
• Findings: lista delle vulnerabilità con criticità, riproducibilità, impact
• Raccomandazioni: cosa correggere, in che ordine
• Appendici: dettaglio tecnico, riferimenti a standard, output strumenti

2. Tassonomia priorità

Le vulnerabilità non sono tutte uguali. Un buon report le classifica:

3. Call esplicativa

60 minuti dove l'auditor spiega i punti più rilevanti, risponde a domande, indica i passi successivi. Senza questa fase il report rischia di restare lettera morta.

4. Codice di esempio (opzionale ma utile)

Per le vulnerabilità più rilevanti, snippet di codice corretto a confronto. Aiuta lo sviluppatore a fare il fix senza ripartire da zero.

Bandiere rosse che indicano un audit superficiale

• Prezzo molto basso (sotto soglia accessibile alle PMI per progetti non triviali)
• Tempo di consegna stretto (24-48 ore per audit di un'app non micro)
• Report di sole 3-5 pagine
• Nessun NDA prima dell'accesso al codice
• "Lo scan trova tutto" come unica metodologia
• Nessuna call di spiegazione inclusa
• Nessuna esperienza specifica nel tuo stack tecnologico

Come procediamo noi

Per trasparenza, ecco il nostro processo:

1. Call di scoperta gratuita (20-30 min): capire scope, urgenza, contesto
2. NDA + preventivo dettagliato entro 24-48 ore
3. Accesso in lettura al repo una volta firmato
4. Audit (5-7 giorni lavorativi): analisi automatica + manuale + test funzionali
5. Report scritto consegnato come PDF
6. Call di spiegazione (60 min) per chiarire findings e priorità
7. Disponibilità per follow-up nelle 2 settimane successive

Tutto a costo concordato, senza estensioni a sorpresa.

Conclusione

Trovare chi sa fare un audit serio non è banale, ma i segnali ci sono: metodo strutturato, deliverable chiaro, competenze specifiche, processo trasparente. Se vedi questi quattro elementi, sei in mani sicure. Se ne mancano due o più, cerca altrove.

Il prezzo è importante, ma viene secondo. Un audit fatto male costa più di uno fatto bene: perché ti dà falsa sicurezza, e quando il problema arriva ti accorgi che il primo audit non l'aveva visto.

Investire nella revisione giusta è la differenza tra un go-live sereno e un susseguirsi di patch d'emergenza.