Prologo: La notizia che conferma le paure
Rosalynn Cat sta bevendo il caffè quando vede l'email. Oggetto: "AI Strategy Meeting - All PMs Required".
Ha quarantacinque anni, venti dei quali passati in BioClinical Systems, azienda che sviluppa software per clinical trials. Ambienti regolamentati: FDA, EMA, GxP compliance. Ogni riga di codice è documentata, validata, tracciata. Come deve essere.
Apre l'allegato alla convocazione. Slide del CTO, Thomas Mkdir: "AI-First Development: The Future is Now".
Rosalynn sente il nodo allo stomaco. Eccoci, pensa. L'ennesima moda tecnologica.
Nella sala riunioni sono già tutti. Riconosce gli sguardi: alcuni eccitati (i giovani), altri ansiosi (quelli della sua età), alcuni annoiati (hanno già visto tre "rivoluzioni" fallire).
Mkdir parte aggressivo: "Siamo lenti. Troppo lenti. I nostri competitor rilasciano in sei mesi, noi in diciotto. Il board mi ha dato mandato: dobbiamo accelerare. L'AI è la risposta."
Rosalynn alza la mano prima ancora che finisca.
"Thomas, noi non siamo lenti per incompetenza. Siamo in un ambiente GxP. Ogni decisione deve essere validata, documentata, tracciabile. Come pensi di—"
"Rosalynn," l'interrompe Mkdir con un sorriso paziente, "ho previsto questa obiezione. Guarda qui."
Slide: "AI in Regulated Environments - Success Stories". Lista di aziende farmaceutiche che hanno adottato AI. Alcune Rosalynn le conosce.
"Loro ci sono riusciti," dice Mkdir. "Perché noi no?"
Rosalynn non risponde subito. Poi: "Perché loro probabilmente hanno fatto risk assessment di sei mesi prima di scrivere una riga di codice. Noi stiamo decidendo in una riunione di un'ora."
Silenzio imbarazzato.
"Rosalynn," dice Mkdir abbassando il tono, "capisco le tue preoccupazioni. Ma il mercato non aspetta. Cercheremo volontari per un pilota. Se non ti senti a tuo agio, nessun problema. Altri PM si faranno avanti."
È una sfida velata. Rosalynn la riconosce. Se non lo fai tu, sembri quella che blocca l'innovazione.
"Io lo faccio," dice. "Ma a modo mio. Con le tutele necessarie."
Mkdir sorride. "Perfetto. Questo è lo spirito."
Uscendo, Rosalynn incrocia James Ping, uno dei PM più giovani. Lui è eccitato.
"Grande opportunità, eh?"
"O grande modo di farci causa dalla FDA," risponde Rosalynn.
James ride. "Sempre pessimista, Rosalynn. Vedrai che funziona."
Atto I: La costruzione del bunker
Due settimane dopo - Ufficio di Rosalynn
La scrivania è coperta di documenti. Rosalynn ha passato dieci giorni a fare quello che sa fare meglio: analisi del rischio.
Ha creato una matrice 5x5 (likelihood vs impact) con 47 rischi potenziali:
- R001: AI genera codice non-compliant con 21 CFR Part 11
- R002: Impossibilità di validare training set del modello
- R003: Mancanza di chain of custody nelle decisioni algoritmiche
- R004: Output non deterministico in sistemi che richiedono riproducibilità
- ...
- R047: Rischi legali non ancora identificati dalla giurisprudenza
Per ogni rischio: mitigazione, owner, validation criteria.
Chiama il suo team. Cinque developer (tutti senior, tutti con almeno 8 anni in ambienti regolamentati), due QA specialist, un compliance officer.
"Questo," dice mostrando il documento, "è il framework che useremo. Si chiama 'AI Governance Protocol for GxP Environments'. Quarantasette pagine."
Vede le facce. Nessuno è entusiasta.
George Tar, uno dei developer senior, chiede: "Rosalynn, tutto questo... non è un po' eccessivo? Voglio dire, altri team stanno già usando AI e—"
"Altri team," l'interrompe Rosalynn gelida, "non rischiano sanzioni FDA. Noi sì. Una singola violazione di compliance può costarci la certificazione. E senza certificazione, chiudiamo."
Silenzio.
"Continuo," dice Rosalynn. "Ogni output dell'AI deve passare attraverso questo workflow."
Proietta un diagramma che sembra più complesso del codice stesso:
- Pre-validation: developer scrive prompt, lo sottopone a review
- Generation: AI genera codice
- First review: developer verifica output
- Senior review: senior developer valida correttezza tecnica
- Compliance check: compliance officer verifica aderenza a standard
- QA validation: test manuali + automatici
- Documentation: ogni passaggio tracciato in validation report
- Sign-off: almeno due firme prima di merge
"Questo," dice Nancy Sort, una delle QA, "per ogni singola funzione generata da AI?"
"Esatto."
"Rosalynn, ci metteremo una settimana per validare quello che l'AI scrive in dieci minuti."
"Meglio una settimana che una causa legale," risponde Rosalynn senza esitazione.
Sprint Planning - Marzo 2024
Il backlog ha una user story: "Implementare modulo di data validation per trial results".
Normalmente: 3 settimane di lavoro, 21 story points.
"Con l'AI," dice George speranzoso, "magari lo facciamo in una settimana?"
Rosalynn scuote la testa. "Con il nostro framework, stimerei 5 settimane."
"Aspetta," dice George incredulo. "L'AI ci fa andare più lenti?"
"L'AI genera più veloce. Ma la validazione richiede tempo. E non posso ridurla: è compliance."
Nancy interviene: "Rosalynn, il CTO ci ha chiesto di accelerare. Se andiamo più lenti di prima..."
"Preferisco andare lento che andare in tribunale," taglia corto Rosalynn.
Atto II: Il teatro della governance
Prima settimana di sviluppo
George inizia con ottimismo. Scrive il prompt per l'AI:
Generate a Python class for clinical trial data validation.
Requirements:
- Check for missing values in mandatory fields
- Validate data types according to CDISC standards
- Ensure temporal consistency in longitudinal data
- Generate audit trail for all validation steps
L'AI (Claude) genera 200 righe di codice in 30 secondi. Pulito, ben strutturato, con commenti.
George lo legge. Sembra corretto. Inizia il processo di review.
Step 1 - First review (George stesso): 2 ore
Controlla riga per riga. Tutto sembra sensato. Compila checklist di 15 punti.
Step 2 - Senior review (Hillary Diff, senior developer): 4 ore
Hillary trova tre problemi minori:
- Un edge case non gestito
- Nomenclatura non conforme allo standard interno
- Mancanza di logging in un punto critico
George corregge. Ri-sottomette.
Step 3 - Compliance check (Dott.ssa Martha Awk, compliance officer): 6 ore
La Dott.ssa Awk fa quello che sa fare: legge tutto con lente d'ingrandimento.
Trova: "Manca documentazione esplicita sul perché questo algoritmo di validazione è stato scelto rispetto ad alternative. FDA può chiedere rationale."
George deve scrivere un documento di 3 pagine che spiega perché l'approccio dell'AI è quello corretto. Basandosi su... cosa? L'AI non spiega le sue scelte.
Passa mezza giornata a razionalizzare a posteriori decisioni che non ha preso lui.
Step 4 - QA validation (Nancy): 8 ore
Nancy deve scrivere test manuali che verifichino non solo che il codice funzioni, ma che sia compliant.
Problema: i test generati dall'AI sono troppo "ottimisti". Non testano casi patologici che in clinical trials sono cruciali (dati mancanti, inconsistenze temporali, valori fuori range).
Nancy riscrive tutti i test. Manualmente.
Step 5 - Documentation (George + Nancy): 6 ore
Ogni decisione va documentata. Il template di "AI-Generated Code Validation Report" che Rosalynn ha creato richiede:
- Prompt originale e versioni iterate
- Modello AI usato (versione, temperatura, parametri)
- Timestamp di ogni generazione
- Diff tra output AI e codice finale
- Rationale per ogni modifica
- Sign-off di ogni reviewer
George compila il documento. Ventidue pagine per validare 200 righe di codice.
Step 6 - Sign-off finale
Rosalynn e la Dott.ssa Awk firmano digitalmente.
Totale tempo: 26 ore di lavoro per 200 righe di codice.
George scrive a Rosalynn: "A questo ritmo, finiamo il modulo in 12 settimane. Prima dell'AI lo facevamo in 3."
Rosalynn risponde: "Ma prima dell'AI non avevamo la certezza di compliance al 100%."
George non replica, ma pensa: ne valeva davvero la pena?
Retrospettiva di metà sprint
Il team è frustrato. Si vede.
"Rosalynn," dice Hillary, "stiamo passando l'80% del tempo a documentare e il 20% a sviluppare. L'AI doveva aiutarci, invece..."
"Invece cosa?" chiede Rosalynn sulla difensiva.
"Invece stiamo facendo teatro della governance," dice George. "Compiliamo moduli, firmiamo documenti, giustifichiamo scelte che non abbiamo fatto. Ma non stiamo andando più veloci e, onestamente, non so se stiamo andando meglio."
Rosalynn sente la rabbia montare. "Preferisci fare come quel PM che ho saputo, Franklin Nmap? Quello che ha causato un disastro da mezzo milione eliminando i controlli?"
"No," risponde George pacato. "Ma tra eliminare tutti i controlli e paralizzarsi con burocrazia che non aggiunge valore... deve esserci una via di mezzo."
"In ambiente GxP non esiste 'via di mezzo'," ribatte Rosalynn. "O sei compliant o non lo sei."
Nancy prova a mediare: "Rosalynn, forse potremmo... semplificare alcuni step? Ad esempio, se il codice generato è semplice, magari non serve la doppia review..."
"E chi decide cos'è 'semplice'?" chiede Rosalynn. "Tu? Io? L'AI? No. Il framework è il framework. O lo seguiamo per tutto, o non ha senso."
Silenzio pesante.
Un developer junior, Andrew, mormora qualcosa.
"Cosa hai detto?" chiede Rosalynn.
"Ho detto... che forse in altri team stanno già usando AI senza tutti questi problemi."
"Altri team," dice Rosalynn alzandosi, "non hanno le nostre responsabilità. Noi lavoriamo con dati di pazienti. Se sbagliamo, qualcuno può morire. Quindi sì, siamo lenti. Ma siamo sicuri."
Esce dalla stanza prima che qualcuno possa rispondere.
Atto III: Il sorpasso
Tre mesi dopo - Aprile 2024
Il progetto di Rosalynn è a metà. Hanno completato tre moduli su otto. Ogni modulo richiede 6-8 settimane di lavoro + validazione.
Rosalynn riceve email dal CTO: "Retrospettiva progetto AI - obbligatoria".
Nella sala ci sono tutti i PM che hanno partecipato al pilota. Rosalynn nota che manca qualcuno. "Dov'è Franklin Nmap?" chiede.
"Franklin è stato... riassegnato," dice Mkdir diplomatico. "Dopo l'incidente del mese scorso."
Rosalynn annuisce. Ha sentito la storia: progetto collassato, bug in produzione, danni economici.
Visto? pensa. Avevo ragione io.
Mkdir presenta i risultati:
- Team A (quello di Franklin Nmap): disastro, progetto terminato
- Team B (James Ping, il giovane entusiasta): velocity +40%, qualità ok, in produzione
- Team C (Rosalynn Cat): velocity -60%, qualità ottima, ma... non hanno ancora rilasciato nulla
"Rosalynn," dice Mkdir, "il tuo team ha il miglior quality score. Zero bug. Documentazione perfetta. Ma siamo a metà del progetto con deadline già superata."
"Preferisci qualità o velocità?" chiede Rosalynn.
"Preferisco valore," risponde Mkdir. "E il valore si misura su ciò che arriva ai clienti. Tu non hai ancora rilasciato niente."
"Perché voglio essere sicura che—"
"Rosalynn," l'interrompe, "ho una notizia. MedCore Analytics ha lanciato un prodotto simile al nostro. Otto mesi prima del previsto."
Rosalynn sente un brivido. MedCore Analytics è il competitor principale.
"Come hanno fatto?"
"AI. Ma con governance intelligente, non paralizzante. Hanno validato dove serviva, si sono fidati dove potevano. Risultato: prodotto in mercato, 200 clienti acquisiti in due mesi."
"Ma," dice Rosalynn cercando appigli, "sono compliant? Hanno fatto risk assessment? Perché se la FDA—"
"La FDA ha già approvato," dice Mkdir guardandola negli occhi. "Perché loro hanno lavorato con i regolatori, non control'innovazione."
Silenzio tombale.
"Il board," continua Mkdir, "ha deciso di riorganizzare i team. Rosalynn, apprezziamo il tuo rigore, ma il progetto passa a James. Tu supervisionerai la compliance, ma non avrai più autonomia decisionale."
È un declassamento. Gentile, ma pur sempre un declassamento.
Atto IV: La fortezza assediata
Due settimane dopo - Corridoio, incontro casuale
Rosalynn incrocia James Ping. Lui è imbarazzato.
"Rosalynn, volevo dirti... non ho chiesto io di prendere il progetto."
"Lo so," risponde lei. "Non è colpa tua."
"Posso chiederti una cosa?" dice James. "Perché... perché hai reso tutto così complicato? Voglio dire, capisco la compliance, ma il framework di 47 pagine..."
Rosalynn lo guarda. Vuole rispondere con sarcasmo, ma vede sincerità negli occhi di James.
"Hai mai visto un progetto fallire per mancata compliance?" chiede.
"No."
"Io sì. Tre volte. La prima, vent'anni fa: software per gestione farmaci. Bug nel dosaggio. Un paziente morto. Causa legale, azienda quasi fallita. La seconda: dati clinici corrotti, trial invalidato, 5 milioni di euro persi. La terza: violazione 21 CFR Part 11, certificazione revocata, 40 persone licenziate."
James è serio ora.
"Quindi," continua Rosalynn, "quando vedo una nuova tecnologia potente come l'AI, non vedo opportunità. Vedo rischio. Vedo tutto quello che può andare storto moltiplicato per mille."
"Ma Rosalynn," dice James gentile, "hai mai pensato che forse... stai combattendo la guerra precedente? I rischi che hai visto erano con tecnologie diverse, contesti diversi. L'AI è nuova. I rischi sono nuovi. Ma anche le opportunità."
"Le opportunità," risponde Rosalynn amara, "sono per chi può permettersi di sbagliare. Noi non possiamo."
"O forse," dice James, "non possiamo permetterci di non provare."
Un mese dopo - Il team di James rilascia
Il prodotto va in beta. James ha usato AI ma con governance selettiva:
- Codice critico: review umana completa
- Codice a basso rischio: review leggera
- Documentazione: AI-generated ma human-validated
- Test: mix di AI-generated e human-written per casi edge
Risultato: rilascio in 4 mesi invece di 12. Qualità: buona, non perfetta. Zero incidenti critici.
Rosalynn guarda da lontano. Parte di lei spera che fallisca - vedrai, prima o poi il castello di carte crolla.
Ma non crolla.
Anzi: i primi clienti sono entusiasti. Le review sono positive. La FDA non solleva obiezioni.
Meeting uno-a-uno con il CTO
"Rosalynn, dobbiamo parlare."
"Se è per licenziarmi, vai dritto al punto."
Mkdir sospira. "Non voglio licenziarti. Voglio che tu capisca cosa è andato storto."
"È andato storto che ho voluto fare le cose bene."
"No. È andato storto che hai confuso bene con perfetto. E perfetto con paralizzante."
Rosalynn non risponde.
"Il tuo framework di 47 pagine," continua Mkdir, "è nato da cosa? Da analisi del rischio o da paura?"
"Da responsabilità," risponde Rosalynn secca.
"Da paura," insiste Mkdir. "Paura di essere incolpata. Paura che succeda di nuovo quello che hai visto vent'anni fa. Quindi hai costruito un sistema dove ogni decisione è diluita, ogni responsabilità condivisa, ogni passo documentato. Non per proteggere i pazienti. Per proteggere te stessa."
Rosalynn sente le lacrime montare ma le trattiene.
"Il risultato," dice Mkdir più gentile, "è che hai trasformato un team di professionisti competenti in compilatori di moduli. Li hai demotivati. Tre senior hanno chiesto trasferimento ad altri progetti."
"Perché non capiscono l'importanza—"
"Capiscono benissimo," l'interrompe Mkdir. "Ma capiscono anche quando la governance è strumento di lavoro e quando è teatro per coprire paure di chi gestisce."
Silenzio lungo.
"Cosa vuoi da me?" chiede finalmente Rosalynn.
"Voglio che tu veda James lavorare. Che osservi come fa governance senza paralisi. E poi voglio che tu decida se vuoi imparare o se preferisci rimanere nella tua fortezza."
Atto V: L'assedio silenzioso
Due mesi dopo - Agosto 2024
Rosalynn è stata "riposizionata". Ufficialmente è "Senior Compliance Advisor" - ruolo di supervisione senza autorità diretta.
Passa le giornate a revisionare documentazione che altri producono. James e i nuovi team usano AI, rilasciano velocemente, e lei... controlla che siano compliant.
Lo sono. Non perfettamente quanto vorrebbe lei, ma abbastanza.
Meeting di team - Rosalynn osserva in silenzio
James presenta nuovo modulo sviluppato con AI.
"Ho usato Claude per generare il data parser. Review fatta da me e Hillary. Test scritti da Nancy. Tutto ok."
Rosalynn solleva una mano. "Posso vedere il validation report?"
James le passa un documento. Quattro pagine. Non ventidue.
"Questo," dice Rosalynn, "non copre tutti i requisiti del framework."
"Ho usato un framework semplificato," risponde James. "Risk-based. Codice a basso rischio, documentazione proporzionale."
"Ma se la FDA chiede—"
"Se la FDA chiede," l'interrompe James paziente, "abbiamo tutto quello che serve. Chain of custody, rationale, test results. Quello che non abbiamo è burocrazia che non aggiunge valore."
Rosalynn vorrebbe protestare ma... non ha argomenti. Tecnicamente James è compliant.
Semplicemente, non è esageratamente compliant.
Incontro casuale - Macchinetta del caffè
Hillary Diff, la senior developer, si avvicina.
"Come va, Rosalynn?"
"Bene," mente.
"Ti mancano i progetti?"
Rosalynn esita. "A volte."
"Sai," dice Hillary, "ho apprezzato il tuo rigore. Veramente. Mi hai insegnato cose importanti sulla compliance. Ma..."
"Ma?"
"Ma a un certo punto è diventato... oppressivo. Non mi fidavo più del mio giudizio. Ogni decisione doveva passare per tre livelli di approvazione. Mi sentivo... diminuita."
Rosalynn non risponde.
"Con James," continua Hillary, "sento di avere responsabilità. Lui si fida di me. Certo, controlla. Ma non soffoca."
Dopo che Hillary se ne va, Rosalynn resta sola con il caffè che si raffredda.
Mi sentivo diminuita.
È questa la chiave? Ha costruito un sistema talmente rigido che le persone competenti si sentivano inutili?
Epilogo: La fortezza vuota
Un anno dopo - Settembre 2025
Rosalynn è ancora in BioClinical Systems. "Senior Compliance Advisor" è diventato un ruolo consolidato. Supervisiona, controlla, garantisce che tutto sia a norma.
Ma non decide più niente.
I team usano AI quotidianamente. Rilasciano ogni due mesi. La qualità è buona - non perfetta, ma buona. Zero incidenti critici in un anno.
MedCore Analytics, il competitor, ha avuto un problema: un bug in produzione, corrotto alcuni dati. Ma l'hanno rilevato in 48 ore, fixato in una settimana, comunicato trasparentemente alla FDA.
Sanzione minore. Nessun dramma.
Rosalynn aveva sperato in un "te l'avevo detto". Ma il "te l'avevo detto" non è arrivato.
Email da un vecchio collega
"Rosalynn, ho visto un'opening in RegTech Pharma per Senior QA Manager. Ambiente ultra-regolamentato, vogliono qualcuno con il tuo profilo. Interessata?"
Rosalynn guarda l'email per un lungo momento.
RegTech Pharma è famosa per essere... rigida. Processi lenti, controlli multipli, zero tolleranza per il rischio.
Il mio posto ideale, pensa Rosalynn.
Ma poi pensa: è davvero il mio posto? O è solo un altro bunker dove nascondermi?
Non risponde all'email.
Non ancora.
Riflessione finale
La storia di Rosalynn Cat è più sottile di quella di Franklin Nmap.
Franklin ha fallito in modo evidente: bug, soldi persi, clienti danneggiati. Il suo errore era chiaro: troppo veloce, troppo superficiale.
Rosalynn ha fallito in modo invisibile. Non ha causato disastri. Non ha perso soldi. Non ha danneggiato nessuno.
Ha semplicemente... smesso di essere rilevante.
Il suo framework di 47 pagine non era sbagliato tecnicamente. Era esaustivo, completo, copriva ogni possibile rischio. Il problema era un altro: era nato dalla paura, non dalla strategia.
Rosalynn aveva visto fallimenti nel passato. Veri, dolorosi, costosi. E aveva deciso: non succederà mai più a me. Questa decisione, comprensibile e umana, l'ha portata a costruire un sistema dove la responsabilità era talmente diluita che nessuno poteva essere incolpato.
Ma un sistema dove nessuno può essere incolpato è anche un sistema dove nessuno può decidere.
Il paradosso della governance difensiva è che più ti proteggi, più diventi vulnerabile. Rosalynn si era protetta da bug, errori, violazioni. Ma non si era protetta dall'irrilevanza.
James Ping, il giovane PM che l'ha sostituita, non era più bravo di lei tecnicamente. Non conosceva le normative meglio di lei. Ma aveva capito una cosa che Rosalynn non aveva capito: la governance è design, non burocrazia.
Governance significa: costruire sistemi che permettono di lavorare bene, non sistemi che impediscono di lavorare male.
La differenza è sottile ma cruciale.
Il framework di James (4 pagine vs 47) non era meno rigoroso. Era selettivo. Metteva controlli pesanti dove il rischio era alto, controlli leggeri dove il rischio era basso. Permetteva alle persone competenti di usare il giudizio, invece di costringerle a seguire checklist.
Rosalynn non aveva fiducia. Non nel team, non nell'AI, forse neanche in sé stessa. Quindi aveva costruito regole per ogni eventualità. E quelle regole erano diventate una prigione.
Il dramma di Rosalynn è che aveva ragione sui rischi. L'AI può generare codice buggy. I controlli sono necessari. La compliance non è optional.
Ma aveva torto sulla soluzione. Aveva confuso prudenza con paralisi. Aveva confuso responsabilità con paura.
E la cosa più triste è che probabilmente non lo capirà mai. Guarderà il successo di James e penserà: ha avuto fortuna. Prima o poi il castello di carte crolla.
Ma il castello non crolla. Perché non è fatto di carte. È fatto di giudizio umano, governance intelligente, e fiducia nelle persone competenti.
Rosalynn potrebbe ancora imparare questo. L'email di RegTech Pharma è lì, non risposta.
Può andare in un'altra azienda ultra-regolamentata, costruire un altro bunker, convincersi di essere l'unica responsabile in un mondo di sprovveduti.
Oppure può guardare James lavorare. Davvero guardare, non solo sorvegliare. E magari capire che velocità e sicurezza non sono opposti. Sono partner, quando la governance è ben disegnata.
Ma questo richiederebbe ammettere di aver sbagliato. E per Rosalynn, abituata a essere quella che ha sempre ragione sulla compliance, questa potrebbe essere la sfida più grande.
Più grande di qualsiasi AI.
Più grande di qualsiasi framework.
La sfida di dire: forse mi sbagliavo. Forse c'è un modo migliore.