La guerra degli strumenti AI è già finita — ma che i vincitori vengano davvero adottati è un altro discorso — L’evoluzione dell’ingegneria del software nell’era dell’AI · Learn AI Slowly 175

Partiamo dalla conclusione. A metà 2026, guardandoci indietro, il “trono” degli strumenti AI non è ruotato tra quattro contendenti: è stato conquistato da Claude Code e Codex. Per essere precisi, si sono aggiudicati la fascia ad alta autonomia — quella che davvero comprime i tempi di consegna end-to-end. GitHub Copilot è ancora primo con il 29% di adozione sul posto di lavoro, ma è l’inerzia degli acquisti aziendali a sostenerlo; la curva di crescita è già piatta. Cursor è il re dell’esperienza utente della generazione precedente, ma il ritmo di crescita sta rallentando. Google Antigravity è la terza forza, spinta da Gemini più cloud più conformità aziendale, ma dopo due mesi è fermo al 6%: è ancora ai blocchi di partenza.

In Cina, chi riesce a coprire contemporaneamente i tre requisiti — capacità di agente autonomo, conformità normativa e deployment enterprise — sono al momento Trae di ByteDance e Qoder di Alibaba (ex Tongyi Lingma, rinominato a maggio 2026). Ma a essere onesti: nella fascia “agente autonomo”, questi due sono ancora indietro di una generazione rispetto a Claude Code e Codex.

Quindi questo articolo non risponde alla domanda “quale strumento è il più potente” — quello era un problema del 2025, e nel 2026 è già superato. Quest’anno, chi deve fare una scelta tecnologica dovrebbe porsi altre tre domande, in ordine crescente di probabilità di essere trascurate:

Quanta autonomia la tua organizzazione è in grado di gestire? Più alta è l’autonomia, più codice e più profondo lo strumento produce, e maggiori sono le competenze di review richieste. Adottare agenti autonomi senza un sistema di salvaguardia equivale a montare un motore potente su un’auto senza freni.
Il tuo codice può varcare i confini nazionali? Nel settore finanziario, telecomunicazioni, pubblica amministrazione e difesa, questo è un vincolo assoluto. Determina direttamente se puoi utilizzare strumenti cloud come Claude Code o Codex, che trasferiscono il codice all’estero.
Pensi che acquistare uno strumento accelererà la delivery? Molto probabilmente no. L’AI comprime la fase di coding, ma nel delivery end-to-end di settori fortemente regolamentati, il coding è spesso solo la parte più economica e marginale.

Rispondere a queste tre domande è dieci volte più importante che fissarsi su “Cursor o Claude Code?”. Analizziamole una per una.

1. Il trono ha due contendenti, non quattro

Guardiamo innanzitutto l’indagine di JetBrains del gennaio 2026 — attualmente la più recente e con il campione più ampio (oltre diecimila sviluppatori professionisti, otto lingue) nel settore. I dati sono questi:

Strumento	Notorietà	Adozione sul posto di lavoro	Andamento su base annua
GitHub Copilot	76%	29%	Stagnante (sostenuto dall’inerzia degli acquisti; 56% nelle aziende con oltre 10.000 dipendenti)
Cursor	69%	18%	Crescita in rallentamento
Claude Code	57%	18%	Dal 3% al 18% in 9 mesi (×6); 24% in Nord America; CSAT 91, NPS 54 (il più alto della categoria)
OpenAI Codex	27%	3%	In accelerazione (al momento dell’indagine la versione desktop non era ancora uscita; in seguito ha superato i 5 milioni di utenti attivi settimanali)
Google Antigravity	—	6%	Nuovo arrivato (entrato a novembre 2025, al 6% in due mesi)
JetBrains Junie CLI	—	5%	Neutrale rispetto all’LLM, modello incluso

Fonte: JetBrains AI Pulse Survey, gennaio 2026, oltre 10.000 sviluppatori.

Guardando solo i tassi di adozione, sembrerebbe che Copilot sia ancora il re. Ma l’adozione è un indicatore ritardato: misura “quanti seggi sono già stati venduti”, non “dove sarà lo slancio nei prossimi 12 mesi”. Se sovrapponiamo le curve di crescita, il quadro cambia: Claude Code è passato dal 3% al 18% in 9 mesi, la crescita più rapida di questa ricerca; Codex era solo al 3% al momento dell’indagine, ma nei quattro mesi successivi gli utenti attivi settimanali sono passati da 3 a oltre 5 milioni (dichiarazione pubblica di Sam Altman / OpenAI), e i download mensili di Codex CLI su npm sono saliti da 82.000 nell’aprile 2025 (mese di lancio) a 41,8 milioni nel maggio 2026 — una crescita di 510× (dati dettagliati di gradually.ai). Il fatturato annualizzato di Claude Code è passato da 0 a 2,5 miliardi di dollari in 9 mesi (divulgazione del round G di Anthropic, febbraio 2026). Queste due curve rappresentano una pendenza quasi senza precedenti nella storia degli strumenti per sviluppatori.

Copilot e Cursor disegnano curve di forma diversa. Il 29% di Copilot è sostenuto dalle grandi aziende che hanno già completato i processi di compliance e firmato contratti pluriennali: i nuovi seggi sono bloccati dalle procedure di procurement, e se uno sviluppatore vuole passare a Claude Code deve ottenere un budget separato. Per questo Copilot resta al primo posto, ma la crescita è quasi piatta. Cursor, al 18%, è in parità con Claude Code, ma mentre Cursor sta rallentando da una posizione già alta, Claude Code sta decollando da una base bassa: sono due traiettorie completamente diverse. Il fatturato annualizzato di Cursor ha già superato i 2 miliardi di dollari all’inizio del 2026 — con un team di poco più di 50 persone, il che significa un ARR pro capite nell’ordine dei 40 milioni di dollari, il SaaS applicativo più veloce di sempre a raggiungere 100 milioni di ARR. Resta l’esperienza più fluida, la preferita di chi viene da Internet e delle startup, ma il suo tetto è ormai visibile.

Antigravity è l’unico strumento che non compare in prima linea nella tabella, ma che non dovresti ignorare. È lo strumento di programmazione “agent-first” lanciato da Google a novembre 2025, progettato specificamente per Gemini 3; nel 2026, in occasione del Google I/O, è stato aggiornato alla versione 2.0, trasformandosi in una piattaforma di sviluppo agentica completa con client desktop, CLI e SDK. Si appoggia su tre elementi che nessun altro ha: i modelli Gemini, la base di conformità aziendale di Google Cloud e la ricerca in tempo reale di Google Search. Il fatto che abbia raggiunto il 6% di penetrazione in due mesi dimostra che sta crescendo in fretta, ma il 6% resta il 6%: è ancora alla fase di partenza, non ha conquistato il trono. Quando sceglierai gli strumenti nel 2026, non devi aspettarlo, ma devi annotare nel tuo giudizio di lungo periodo il fatto che “Google sta entrando con la sua forza aziendale”: alla fine, i protagonisti di questa fascia potrebbero non essere quattro, ma “due grandi + un inseguitore ben finanziato”.

Se mettiamo questi cinque strumenti su un unico sistema di coordinate, scopriamo che non sono affatto sulla stessa traiettoria:

La figura si riassume in una frase: questi strumenti si distribuiscono lungo una diagonale — più si sale a destra, maggiore è la capacità, ma più alte sono anche le esigenze di governance e controllo. Quindi, nella scelta, non guardare prima i benchmark dei modelli: guarda a quale livello si colloca la capacità di governance della tua organizzazione. Claude Code e Codex occupano l’estremità superiore destra in termini di capacità, ma sono anche quelli che richiedono il sistema frenante più robusto; Copilot sta in basso a sinistra — soglia d’ingresso più bassa, rischio minimo, e anche il meno capace di darti un salto di produttività “generazionale”.

2. Hai comprato le licenze, ma la delivery non è accelerata — il collo di bottiglia è nella verifica, non nella codifica

Questo è il punto che la maggior parte degli articoli sulla selezione degli strumenti non affronta, ed è anche dove i settori fortemente regolamentati spendono di più.

Ho tenuto formazioni interne sull’AI per operatori di telecomunicazioni e seguo da tempo i team di digitalizzazione del settore. Un caso che ricordo bene è quello di un operatore regionale. L’anno scorso ha distribuito Copilot ai team di sviluppo; dopo sei mesi, il tempo di consegna end-to-end era rimasto praticamente invariato. Gli sviluppatori, in effetti, erano più veloci — il tempo di scrittura del codice si era ridotto di oltre un terzo — ma un cambio di pacchetto o una modifica alle regole di tariffazione richiedevano comunque più di un mese dalla richiesta al rilascio. Il responsabile non era ingenuo: aveva già capito che il collo di bottiglia non era nella codifica. Ma capirlo non basta: il budget era stato approvato in base al numero di licenze, perché le metriche presentate alla direzione erano “quanti sviluppatori coperti” e “quanti seat acquistati”. È il classico caso, nelle grandi aziende, di “sappiamo qual è il problema ma non possiamo intervenire”: il blocco non è nella consapevolezza, ma nella metrica.

Ciò che ha davvero consumato quel mese è stata l’intera catena di verifiche, e queste fasi non c’entrano quasi nulla con il codice in sé. Per una funzionalità che tocca il modulo di fatturazione, la scrittura del codice può richiedere due giorni, ma dietro si allineano: l’approvazione del Change Advisory Board (CAB), la registrazione dell’algoritmo (se coinvolge modelli), la valutazione di conformità alla classificazione di protezione (等保测评), la valutazione di esportazione dei dati (se si usano modelli o cloud esteri, bisogna scegliere una delle tre strade: valutazione di sicurezza, contratto standard o certificazione di protezione delle informazioni personali), e infine la riconciliazione e la revisione di audit prima del rilascio. Ognuna di queste fasi richiede da qualche giorno a qualche settimana; sommate, fanno un mese. L’AI ha compresso del 30% la sola fase di scrittura del codice, ma quella fase rappresenta già solo una frazione minima dell’intero processo end-to-end.

Qui va segnalato un pregiudizio tipico del mondo internet. Molti articoli sullo sviluppo software assistito da AI danno per scontato che la “verifica” significhi test automatizzati in CI/CD, unit test e lint. Quello è il mondo delle aziende internet. Nel settore telecom e finanziario, “verifica” significa registrazione dell’algoritmo, valutazione di conformità alla classificazione di protezione, valutazione di esportazione dei dati, approvazione delle modifiche CAB, riconciliazione e audit — cose che non hanno nulla a che fare con il codice, ma che richiedono settimane ciascuna. Se le liquidi come semplici “fasi di test”, i lettori del settore finanziario e telecom si sentiranno subito estranei: il loro costo più pesante sta proprio lì, e tu non ne hai parlato affatto.

Questa conclusione è decisiva per chi prende decisioni: nei settori fortemente regolamentati, l’unica parte della catena di consegna che gli strumenti AI riescono a comprimere è quella meno costosa. Se vuoi accelerare l’intero processo end-to-end, devi o ripensare la fase di verifica (ridisegnando i ritmi del Change Advisory Board, le procedure di registrazione, le tempistiche di valutazione), oppure cambiare le metriche con cui riporti i risultati ai vertici. Comprare semplicemente più strumenti non cambia nulla.

A questo punto, vale la pena ribaltare l’intuizione secondo cui “più strumenti si usano, meglio è” — il dato più controintuitivo della prima metà del 2026 è questo: più strumenti usano gli sviluppatori, meno si fidano di loro.

La ricerca di JetBrains di gennaio 2026 mostra che il 90% degli sviluppatori usa almeno uno strumento AI — un tasso di adozione che ha ormai raggiunto il tetto massimo. Eppure, nello stesso periodo, diverse indagini rilevano che la fiducia degli sviluppatori nella capacità dell’AI di produrre “PR pronte per la produzione” è in realtà calata rispetto al 2024 — una delle rilevazioni indica un calo dal 40% del 2024 al 29% del 2026. I dati dell’assistenza enterprise di Cursor, Anthropic e OpenAI puntano tutti nella stessa direzione: più strumenti si usano, meno gli sviluppatori sono disposti a lasciarli lavorare in autonomia. È un cambiamento nei rapporti di produzione: lo sviluppatore passa da “chi scrive codice” a “chi revisiona codice”, e il carico cognitivo della revisione è più alto di quello della scrittura.

Implicazioni pratiche: nei prossimi 24 mesi, chi vincerà lo deciderà la capacità di “chiudere il divario di fiducia”, non la velocità dei token. Cursor punta sul flusso interattivo, Anthropic sul sistema Skills, OpenAI sugli sub-agent paralleli — tutti e tre stanno raddoppiando su “più spiegabile, più interrompibile, più ripristinabile”, nessuno punta ossessivamente su “più veloce”. Se non capisci questa direzione, non capirai cosa si sta davvero giocando nella competizione sugli strumenti nel 2026.

3. Conformità e deployment aziendale: il “rito di passaggio” degli strumenti

Per quanto forti siano i due leader, c’è una soglia che devono superare per entrare nella tua azienda: conformità e deployment aziendale. Questa sezione affronta alcune trappole che i non addetti ai lavori tendono a evitare, ma che gli esperti sanno anticipare. ⚠ In questa sezione, i paragrafi su data residency UE e posizione sulla governance dei fornitori riflettono una prospettiva europea/globale — se sei un lettore in Cina e ti interessa solo “come faccio se il codice non può uscire dal paese”, puoi saltare direttamente alla sezione 4 (Trae/Qoder nazionali) o all’ultimo punto delle conclusioni.

La data residency EU di Claude Code: il tranello di chi pensa di aver risolto, ma non ha risolto nulla. Partiamo dalla conclusione: se usi claude.ai o l’API Anthropic direttamente, i dati finiscono negli Stati Uniti per impostazione predefinita; Claude Enterprise, il piano SaaS aziendale, non include la data residency EU — anche in questo caso l’infrastruttura predefinita è negli USA. È la trappola più comune. Per mantenere il codice nell’Unione Europea c’è una sola strada: non comprare direttamente da Anthropic, ma passare dai data center europei dei cloud provider — EU profile su AWS Bedrock (Francoforte/ Irlanda/ Parigi) o regioni EU su Google Vertex AI, con il prefisso eu. obbligatorio sull’ID del modello per forzare la permanenza in Europa. Claude Code può girare su Bedrock, con i dati che restano nella tua AWS, senza mai uscire dalla tua infrastruttura: è questa la sua capacità chiave per l’adozione enterprise, ma solo se segui quel percorso. C’è anche un’altra insidia nascosta: a luglio 2026 Claude sarà disponibile in GA in Europa su Microsoft Foundry, ma la documentazione Anthropic limita l’impegno di data residency a Vertex/Bedrock — Foundry non è incluso, e la dicitura “Coming 2026” non riporta una data precisa. Quindi la frase “abbiamo comprato Claude Enterprise, siamo a posto con la compliance” è quasi certamente sbagliata — la domanda giusta è “quale percorso di residency stiamo seguendo?”, non “l’abbiamo comprato o no?”.

L’enterprise push di Codex è un’altra strada: te lo portano direttamente nel tuo data center. Il 18 maggio 2026, OpenAI e Dell hanno annunciato al Dell Technologies World Dell AI Factory with OpenAI Codex — portando Codex in ambienti on-premises o hybrid cloud, così che il codice resti “dove i dati già vivono”. Il CTO di Dell l’ha detta così: “diamo alle aziende un modo concreto e sicuro di scalare gli agent, portando l’AI dove i dati aziendali già esistono”. Aggiungici la data residency EU che ChatGPT Enterprise ha dal 2025 (sia storage che inferenza possono restare in Europa), e la postura di conformità enterprise di Codex è la più completa in questa fascia: cloud con residenza EU, on-prem con Dell. È anche per questo che gli utenti attivi settimanali di Codex sono passati da 3 milioni a oltre 5 milioni in quattro mesi: non è solo uno strumento che gli sviluppatori amano — è uno strumento che “entra dalla porta principale” nelle grandi aziende.

La posizione di governance dei vendor è ormai parte del rischio di supply chain — ed è la cosa più importante da leggere nella prima metà del 2026.

Anthropic ha rifiutato la richiesta del Pentagono di un “accesso illimitato” al suo modello Claude, e nella prima metà del 2026 è stata classificata dal Dipartimento della Difesa statunitense come “rischio per la catena di approvvigionamento”, con un’ingiunzione preliminare concessa da un giudice federale. I dettagli di questa vicenda pesano molto più del titolo: la richiesta del Pentagono era di poter usare Claude “for all lawful purposes“ (per tutti gli scopi legittimi, senza restrizioni); il CEO di Anthropic Dario Amodei ha tracciato il limite su due punti — niente sorveglianza di massa domestica, niente sistemi d’arma completamente autonomi. Dopo il fallimento dei negoziati, il 27 febbraio 2026 Trump ha ordinato su Truth Social a tutte le agenzie federali di “cessare immediatamente l’uso” della tecnologia Anthropic, il Segretario alla Difesa Hegseth ha annunciato che “qualsiasi appaltatore, fornitore o partner che faccia affari con l’esercito americano non potrà avere alcun rapporto commerciale con Anthropic”, e all’inizio di marzo l’azienda è stata formalmente classificata come rischio per la catena di approvvigionamento. Anthropic ha contrattaccato con una causa (presso la Corte Distrettuale Federale del Nord della California), e il 26 marzo la giudice Rita Lin ha concesso l’ingiunzione preliminare, scrivendo nella sentenza: “Gli atti indicano chiaramente che la classificazione di Anthropic come rischio per la catena di approvvigionamento è un pretesto (pretextual), e la vera motivazione del governo è una ritorsione illegittima.”

Il confronto più interessante è questo: proprio nello stesso giorno in cui Anthropic ha rifiutato, OpenAI ha annunciato un accordo sui termini d’uso con il Pentagono. Uno ha tracciato una linea, perdendo un contratto militare; l’altro ha firmato, ottenendo l’affare. Non giudico chi abbia ragione o torto. Scegliere tra Claude Code e Codex non significa scegliere solo un modello, ma anche se quell’azienda è disposta a pagare un prezzo commerciale per i propri valori. Nel 2026, con un ritmo incerto del disaccoppiamento tecnologico tra Cina e Stati Uniti, la posizione di governance del fornitore, le politiche sui dati e la resilienza della supply chain sono diventate criteri di selezione formali, al pari di funzionalità e prezzo.

Quattro: Sul mercato cinese, Trae e Qoder reggono il confronto — ma gli agenti autonomi sono ancora indietro di una generazione

Nel settore finanziario, nella pubblica amministrazione, nell’industria della difesa e in buona parte dei sistemi core delle telecomunicazioni, il codice non può uscire dai confini nazionali. Questa sezione è dedicata alle soluzioni locali. In Cina, chi sta davvero spingendo avanti contemporaneamente i tre fronti — “agenti autonomi + conformità + deployment enterprise” — sono, ad oggi, Trae di ByteDance e Qoder di Alibaba. Ti mostro apertamente le loro versioni enterprise.

Trae (ByteDance) — il più avanzato tra gli agenti autonomi made in China. La versione Enterprise di Trae CN è stata rilasciata ufficialmente a dicembre 2025. Internamente, oltre il 92% degli ingegneri di ByteDance la utilizza, e la versione personale ha già superato i 6 milioni di utenti registrati. L’approccio enterprise è serio: offre due modalità di deployment — “Enterprise Edition” e “Enterprise Dedicated Edition”. La prima è standardizzata e richiede zero manutenzione; la seconda garantisce un livello di isolamento di sicurezza più elevato, pensato per aziende con requisiti di conformità stringenti che necessitano di accesso esclusivamente via rete privata. Sul fronte sicurezza: crittografia end-to-end del codice, zero storage sul cloud, modelli non utilizzabili per training, nessuna conservazione di log. Sul fronte performance: indicizzazione di repository fino a 100.000 file e 150 milioni di righe di codice, risposta in millisecondi su cluster GPU enterprise. Si integra con knowledge base interne e protocollo MCP, permettendo di inserire generazione, review e testing del codice direttamente nelle pipeline CI/CD e nei flussi DevOps esistenti. Include SSO, dashboard di produttività (con metriche su tasso di generazione AI e volume di codice AI), limiti di spesa e monitoraggio dell’utilizzo. Ha poi una mossa molto “ByteDance”: la versione consumer è gratuita per sempre, un volano di crescita. La modalità SOLO — una workspace unificata che integra editor, terminale, browser e documenti, dove l’agente pianifica, scrive, esegue il debug e deploya in autonomia a partire dalle tue richieste — è offerta gratuitamente. È questa la sua arma chiave per competere con Claude Code e Cursor sul fronte dell’autonomia. Casi reali: Huifu (fintech cinese di pagamenti digitali) e Douyin Life Services (servizi locali di ByteDance) hanno già adottato la piattaforma. Huifu ha avviato il rollout da settembre 2025, estendendolo a oltre cento sviluppatori, con un picco di utilizzo superiore al 70%.

Qoder (Alibaba, ex-Tongyi Lingma) — la soluzione enterprise più matura per livelli e la più allineata allo stack di conformità locale.

A maggio 2026, Alibaba Cloud ha ufficialmente rinominato Tongyi Lingma in Qoder CN, trasformandolo da semplice plugin IDE a una suite completa che copre coding, produttività d’ufficio, terminale e mobile. La versione enterprise è strutturata su due livelli ben distinti: la Enterprise Standard Edition segue un modello di abbonamento per postazione (License), è pronta all’uso e include autenticazione unificata, report statistici e log operativi. La Enterprise Dedicated Edition (VPC) è pensata per chi ha requisiti di conformità stringenti: deployment privato in VPC, dati che non escono mai dalla rete aziendale, SSO, knowledge base dedicata all’organizzazione, fine-tuning personalizzato dei modelli, code review avanzato, SLA al 99,9%, consulente tecnico dedicato e supporto 7×24.

A livello di foundation model, supporta nativamente Qwen, GLM, DeepSeek, Kimi, MiniMax e altri modelli nazionali, con possibilità di switch senza attriti. I dati non lasciano il territorio, in linea con la Cybersecurity Law e la Data Security Law cinesi. Perché dico che funziona particolarmente bene nel tuo contesto telecom e finance? Perché la tua infrastruttura è quasi certamente già su Alibaba Cloud: il sistema di account Qoder, i permessi RAM e la gestione aziendale Yunxiao sono già integrati — il costo di migrazione è minimo.

Dopo aver parlato delle due soluzioni, una doccia fredda: i prodotti nazionali, nella fascia degli “agenti autonomi”, sono ancora indietro di una generazione rispetto agli Stati Uniti. Le versioni enterprise dei grandi vendor (privatizzazione + registrazione algoritmica + adattamento al sistema Xinchuang) hanno ormai superato quasi tutte le verifiche di conformità: non è lì che sta il divario generazionale. Il vero gap è nell’autonomia: Claude Code è in grado di modificare da solo una decina di file, eseguire script di shell, gestire Git e aprire pull request; Codex può far lavorare più sub-agent in parallelo su copie isolate e poi unire i risultati. Questa capacità di esecuzione su catene lunghe e con alto grado di autonomia, Trae e Qoder la stanno ancora inseguendo — Trae ci prova con la modalità SOLO, ma il distacco resta, soprattutto su ragionamento complesso ed esecuzione autonoma a catena lunga. Quindi, per il requisito di “team maturi in settori fortemente regolamentati che vogliono agenti autonomi + codice che non esce dai confini nazionali”, i prodotti nazionali oggi offrono una soluzione a metà: conformità ok, agent indietro di una generazione. Questo vuoto è di per sé un’opportunità — ed è anche il motivo per cui vale la pena dedicare tempo a progettare un percorso di implementazione su misura, invece di limitarsi a comprare uno strumento.

Anche Baidu Wenxin Kuaikuai Comate (Agent Hub + code graph, solido per grandi progetti e scenari ad alta conformità) e Zhipu CodeGeeX (ampia copertura linguistica, agente più debole) possono rientrare nella rosa dei candidati, da valutare in base allo scenario specifico: non li approfondisco qui.

Cinque: Come scegliere — Maturità × Confini di trasferimento dei dati

Comprimiamo le quattro sezioni precedenti in una logica di selezione operativa. Partiamo da due dimensioni, entrambe indispensabili.

Prima dimensione: la maturità organizzativa, che determina quanta autonomia puoi permetterti. Un’organizzazione alle prime armi (sviluppatori che non hanno ancora usato l’AI, nessuna prassi consolidata di code review o testing) dovrebbe partire da Copilot, con la sua modalità di completamento a bassa autonomia: è la soglia d’ingresso più bassa, il rischio minimo, e serve soprattutto a far abituare le persone alla collaborazione con l’AI. Un’organizzazione con già delle basi (sviluppatori che hanno usato strumenti AI, pratiche ingegneristiche di base) può passare a Cursor o ai tool cinesi Trae / Qoder, dove il salto di esperienza si traduce in un guadagno di produttività più marcato. Solo un’organizzazione matura (team engineering solido, con code review, test automatici, security scanning e deployment graduale ben consolidati) è pronta per agenti ad alta autonomia come Claude Code o Codex. Perché la maturità è il prerequisito: più alta è l’autonomia, maggiore è il volume di codice prodotto e più profonde sono le modifiche, e di conseguenza più elevate sono le capacità di revisione e verifica richieste. L’indagine di Pragmatic Engineer offre un dato molto concreto: nelle aziende sotto i 10.000 dipendenti, il 75% sceglie Claude Code; sopra i 10.000, il 56% resta su Copilot. Non è una preferenza: è una questione di capacità organizzativa.

Seconda dimensione: la linea di governance, che determina quale livello di strumenti può entrare in gioco. La prima barriera è se il codice possa o meno lasciare il Paese. I cloud di Claude Code, Codex, Cursor e Copilot inviano il codice all’estero, e per i sistemi core di finanza, pubblica amministrazione, industria militare e parte delle telecomunicazioni, il codice non può assolutamente uscire dai confini. Quindi, affermazioni come “distribuiamo a tutta l’azienda” in settori fortemente regolamentati sono sostanzialmente irrealistiche — non puoi semplicemente implementare ovunque: devi prima superare questa clearance di ammissione degli strumenti. Per le parti in cui il codice può uscire, Claude Code ha il tetto massimo di capacità più alto, mentre Codex ha la copertura di conformità aziendale più ampia; per i domini core in cui il codice non può uscire, si parte con le versioni enterprise di Trae e Qoder (VPC privato) come base, e poi si integrano 文心快码 o CodeGeeX a seconda dello scenario.

Comprimiamo le sezioni precedenti in un percorso decisionale — tre domande, quattro strade:

Come si percorre questo percorso: prima chiediti se il codice può uscire dal Paese (se no → base con soluzioni domestiche privatizzate, ma gli agenti autonomi sono ancora indietro di una generazione); poi valuta la maturità organizzativa (niente agenti autonomi se i freni non sono tutti installati); infine chiediti se vuoi agenti autonomi end-to-end (se sì → i due leader: Claude Code / Codex). Nota il “gap generazionale” al primo bivio — nei settori fortemente regolamentati, i team maturi che vogliono “capacità di agenti autonomi + codice che non lascia il Paese” rappresentano oggi un bisogno insoddisfatto, e questa lacuna è di per sé un’opportunità.

Prima di implementare un albero decisionale nella tua azienda, valuta il tuo livello di maturità con questi tre criteri (bastano 30 secondi, e rispondono direttamente alla Q2):

① Più del 50% degli sviluppatori usa l’AI almeno una volta a settimana? (La media di settore dice che il 90% ha provato l’AI, ma “almeno una volta a settimana” è l’indicatore affidabile di utilizzo reale)
② Hai una code review obbligatoria e una copertura di test automatici superiore al 60%? (Il “più” nella copertura significa che i test devono effettivamente intercettare il codice scritto dall’AI, non solo coprire le righe)
③ Il rilascio graduale (canary release) è operativo in modo continuativo? (Non “l’abbiamo fatto una volta”, ma “le nuove funzionalità passano di default dal canale di rilascio graduale”)

Se soddisfi tutti e tre i criteri = sei maturo, puoi puntare su Claude Code / Codex nella colonna di sinistra; se ne soddisfi solo uno o due = hai delle basi, sei nella fascia Cursor / Trae / Qoder; se non ne soddisfi nessuno = sei all’inizio, parti con Copilot o con una soluzione privata locale, e solo dopo aver messo in sicurezza i freni puoi pensare a un upgrade.

Un approccio pragmatico: per la parte che può uscire dai confini nazionali, usare Claude Code per i problemi complessi, Codex per l’elaborazione parallela su larga scala, e Copilot per il completamento a copertura ampia. Per il dominio critico che non può uscire, usare Trae o Qoder nella versione enterprise dedicata come base. Non puntare tutto su un unico strumento — il protocollo MCP sta rendendo possibile l’interoperabilità tra più strumenti, e una strategia multi-fornitore oggi è tecnicamente fattibile e normativamente necessaria. La “best practice per ingegneri senior” citata da Pragmatic Engineer è che il 70% degli sviluppatori usa contemporaneamente da 2 a 4 strumenti, scegliendo in base allo scenario.

A questo punto, il quadro è completo. Ma il mix concreto dipende dai tuoi confini di uscita dei dati, dal tuo livello di maturità e dal tuo settore — questo livello non può essere deciso da un articolo, ma dalla situazione reale della tua azienda. È anche per questo che ho lasciato i miei contatti in fondo al testo.

Sei: Più alta è l’autonomia, più pesante è la governance: non montare un motore potente su un’auto senza freni

Man mano che il tetto delle capacità sale, il prezzo da pagare è un carico di revisione più pesante. Il rapporto di CodeRabbit di fine 2025, che ha analizzato 470 PR open source su GitHub, conclude che il codice generato con l’aiuto dell’AI presenta 1,7 volte più difetti rispetto al codice puramente umano (in media 10,83 per PR contro 6,45), e che le vulnerabilità di sicurezza sono più alte da 1,82 a 2,74 volte a seconda della sottocategoria (XSS 2,74×, riferimenti diretti a oggetti non sicuri 1,91×, gestione impropria delle password 1,88×, deserializzazione non sicura 1,82×). I risultati della scansione di Apiiro di settembre 2025 nei repository di aziende Fortune 50 (dati coperti: dicembre 2024 – giugno 2025) sono ancora più concreti: il codice generato dall’AI ha fatto salire i rilevamenti di sicurezza mensili da circa 1.000 a oltre 10.000 (un aumento di 10 volte), con vulnerabilità di escalation dei privilegi in crescita del 322% e difetti di progettazione a livello architetturale in aumento del 153%; nello stesso periodo, gli errori di sintassi sono diminuiti del 76% e i bug logici del 60% (per questo gli sviluppatori “percepiscono” più velocità, ma le vulnerabilità pericolose crescono in silenzio). Questi dati non dicono che il codice scritto dall’AI sia da scartare; dicono che viene scritto di più e più in fretta, e che difetti e vulnerabilità crescono proporzionalmente. Quando la produzione degli strumenti aumenta di volume, il carico di revisione sale rapidamente — il codice cresce più in fretta della banda di review disponibile, e il livello intermedio si satura in fretta.

Questi due dati raccontano la stessa storia: la capacità produttiva degli strumenti è aumentata, ma la tua capacità di revisione non è rimasta al passo — stai accumulando debito più pericoloso a una velocità maggiore. Questo vale soprattutto per gli agenti autonomi. Strumenti come Claude Code possono modificare da soli una dozzina di file e aprire pull request: il tetto delle loro capacità è altissimo, ma altrettanto ampia è la superficie di rischio fuori controllo. Carlini ha documentato pubblicamente un caso ormai ampiamente citato tra gennaio e febbraio 2026: il ricercatore di Anthropic Nicholas Carlini ha fatto lavorare 16 agenti Claude Opus 4.6 in parallelo per 2 settimane, circa 2000 sessioni e circa 20.000 dollari di costi API, producendo da zero un compilatore C basato su Rust di 100.000 righe, in grado di compilare il kernel Linux 6.9 (x86/ARM/RISC-V), superare il 99% del GCC torture test e far girare FFmpeg, Redis, PostgreSQL, QEMU e Doom. Questa autonomia, in un’organizzazione senza code review, senza test automatici, senza security scanning e senza deployment graduale, prima o poi causa problemi.

Prima di introdurre agenti autonomi, servono quattro elementi fondamentali: code review manuale obbligatoria (le PR generate dall’AI non possono bypassare la revisione), test automatizzati (il codice modificato dall’AI deve poter essere eseguito), scansione di sicurezza (il codice AI va sottoposto agli stessi standard del codice scritto da umani) e deployment graduale (le modifiche dell’AI vengono rilasciate prima su una piccola percentuale). Questi quattro elementi sono i freni. Prima si montano i freni, poi si decide quanta potenza mettere sotto il cofano. È anche per questo che ho messo la maturità organizzativa come prima dimensione nella scelta della soluzione — la maturità, in fondo, è proprio quanto completi sono questi freni.

C’è anche una trappola nascosta che viene facilmente sottovalutata: l’AI ombra — gli strumenti di intelligenza artificiale che i dipendenti usano di propria iniziativa, senza l’approvazione dell’IT. Una ricerca di JetBrains del gennaio 2026 indica che il 90% degli sviluppatori utilizza già strumenti di AI; diverse indagini di settore convergono sulla stessa conclusione: la maggior parte degli sviluppatori ammette di aver usato strumenti di AI mai formalmente approvati dall’IT (UpGuard 2025 parla di una quota intorno all’80%). Mentre credi di essere ancora in fase di “selezione della soluzione”, i tuoi sviluppatori stanno già incollando codice in chissà quali strumenti esteri, mai passati da alcuna verifica di conformità. L’indagine di Pragmatic Engineer del febbraio 2026 contiene un dato ancora più allarmante: il 56% degli ingegneri senior dichiara che oltre il 70% del proprio lavoro di ingegneria dipende da strumenti di AI — non stiamo parlando di “usare l’AI per scrivere qualche riga di codice”, ma di “l’AI è già diventata la modalità di lavoro predefinita”. Se non fornisci strumenti conformi, i tuoi team useranno quelli non conformi. Il costo dell’AI ombra va ben oltre qualche licenza persa per il reparto IT — significa contemporaneamente perdita di conformità, perdita di controllo sulla proprietà intellettuale e rischio di fuga di codice.

Sette. Cosa dovrebbero fare i decision maker

Lezione 1: La scelta dello strumento è una decisione organizzativa, non tecnica. Non stai scegliendo solo un tool, stai scegliendo come lavorerà la tua organizzazione. Scegliere Copilot significa “l’umano guida, l’AI assiste”; scegliere Claude Code significa “l’AI agisce, l’umano supervisiona”. I due percorsi richiedono capacità organizzative completamente diverse. L’errore più costoso è che lo strumento ti costringa a lavorare in un modo che non puoi sostenere — l’abbonamento è il problema minore. Il primo passo è spostare la decisione dal CTO al livello CEO/COO, trasformandola in una scelta organizzativa.

Lezione 2: Più autonomia, più governance — installa i freni prima di partire. Prima di attivare agenti autonomi, non possono mancare: code review, test automatici, security scan e deploy graduale (canary release). I dati di CodeRabbit — 1,7× più difetti, 1,82–2,74× più vulnerabilità di sicurezza — sono l’avvertimento più diretto contro l’uso di agenti “senza rete di protezione”. La governance deve andare in produzione prima della capacità.

Lezione tre: nei settori fortemente regolamentati, prima si supera la “clearance” per l’adozione degli strumenti, poi si pensa a scalare; e nel frattempo, si cambiano le metriche.
Pensi che il collo di bottiglia nella delivery sia la scrittura del codice? Nella maggior parte dei casi no: sta nella fase di validazione (Change Advisory Board, registrazioni, test di conformità, audit). Ma le metriche che riporti ai piani alti — numero di seat, copertura, righe di codice — nascondono proprio questi veri colli di bottiglia, e così il budget finisce tutto sugli strumenti. Per curare la sindrome del “sappiamo ma non agiamo”, bisogna cambiare le metriche: niente più license count o righe di codice per misurare il ROI dell’AI. Si passa a lead time end-to-end, change failure rate, tempo di superamento delle verifiche, numero di incidenti in produzione. Quando le metriche cambiano, il budget si sposta dall’”acquistare più seat” all’”attaccare la fase di validazione”.

Lezione 4: la posizione di governance del fornitore è già parte del rischio di supply chain. Anthropic è stata classificata come rischio di supply chain per aver rifiutato l’“uso senza restrizioni” da parte dei militari; lo stesso giorno, OpenAI ha firmato un contratto con l’esercito. Quando scegli uno strumento, oltre a funzionalità e prezzo, devi valutare tre cose: la policy di trattamento dei dati (se il codice viene conservato e per quanto), la posizione di compliance (se il fornitore è disposto a conformarsi ai tuoi requisiti normativi e se è disposto a sacrificare affari per i propri valori) e la resilienza della supply chain (non affidare il tuo destino a un unico fornitore estero). La multi-fornitura non è un optional: è un requisito di risk management. (Nota per i decision maker di telecomunicazioni, finanza e pubblica amministrazione in Cina: il tuo vincolo principale è il trasferimento transfrontaliero dei dati, non la posizione di governance del fornitore — quest’ultima è più una prospettiva internazionale, non lasciare che ti distragga dall’essenziale.)

Lezione 5: il divario di fiducia è il vero campo di battaglia dei prossimi 24 mesi. I tuoi sviluppatori usano già l’AI, ma la loro fiducia nei suoi output è scesa rispetto a due anni fa (dal 40% al 29%). Questo significa che quando valuti uno strumento devi guardare anche a una cosa in più: se il codice che produce puoi permetterti di lasciarlo andare in produzione senza supervisione — deve essere spiegabile, interrompibile, ripristinabile e con chiara responsabilità.

Autocontrollo inverso (senza abbellimenti, rispondi con onestà): quando scegli uno strumento, parti da “quale livello di autonomia la mia organizzazione è in grado di gestire?” o da “cosa va di moda, compro quello”? Prima di introdurre agenti autonomi, il tuo processo di code review, testing, security scan e canary release è a posto? Quando presenti il ROI dell’AI coding al consiglio di amministrazione, usi il numero di seat o il time-to-delivery end-to-end? Il codice del tuo dominio core può uscire dai confini nazionali? Esiste una soluzione locale equivalente? Hai valutato la posizione di governance e le policy sui dati del fornitore? Il tuo team si fida sempre di più o sempre di meno dei risultati dell’AI? — Se a una qualsiasi di queste sei domande la risposta ti mette a disagio, il tuo framework di selezione va rivisto.

Prossimo passo

Nel prossimo articolo (il quinto), guardiamo l’altra metà dell’ecosistema degli strumenti — come gli app builder e gli AI IDE (Bolt, Lovable, Replit, v0) stanno ridefinendo il concetto stesso di “sviluppo software”. Abbassano la barriera d’ingresso quasi a zero, ma la soglia di sicurezza e conformità non può assolutamente scendere con loro — è un’altra crisi di shadow AI in corso, più silenziosa e subdola.

Vuoi applicare questo framework alla tua azienda?

Quando gli strumenti di AI coding entrano in un’organizzazione, i problemi concreti da risolvere sono di solito pochi e specifici: quali codice e quali dati possono entrare nel modello, quale livello di autonomia agentica è adatto al tuo team, quanto va rafforzato il processo di validazione esistente, e con quali metriche valutare il pilota.

Al momento offro tre modalità di collaborazione:

Formazione aziendale interna

Integrazione con progetti reali della vostra azienda: selezione degli strumenti, definizione dei confini d’uso, processi di validazione e progettazione dei meccanismi di governance.

Consulenza dedicata

Focus su una decisione specifica, ad esempio: se Claude Code sia adatto all’introduzione in azienda, come implementare Trae o Qoder in ambienti fortemente regolamentati, oppure come progettare un programma pilota di 90 giorni.

Sessioni per il management e interventi congressuali

Temi: AI coding, trasformazione dell’ingegneria del software, trasformazione AI aziendale e governance organizzativa.

Gli articoli offrono framework generali. L’implementazione concreta richiede comunque una riprogettazione basata sui confini dei dati aziendali, sui requisiti normativi, sul livello di maturità ingegneristica e sui processi di delivery esistenti. Per collaborazioni: coach@iaiuse.com.

Letture consigliate: Metodologia Insegna (v1.0) (Imparare l’AI Lentamente 187), che presenta sistematicamente il framework in 7 fasi per la trasformazione AI aziendale.

Informazioni su questa serie

“La trasformazione dell’ingegneria del software nell’era dell’AI” è una serie di ricerca rivolta a CIO, CDO, CTO e responsabili della trasformazione digitale nei settori telecomunicazioni, finanza, manifattura ed e-commerce. La serie analizza come gli strumenti di AI coding influenzano i processi di delivery del software, le strutture organizzative, i meccanismi di governance e le metriche di gestione.

La serie monitora costantemente paper accademici, materiali dei vendor e report di settore. Il database di ricerca comprende oltre 200 fonti, con livelli di evidenza indicati per le valutazioni chiave, distinguendo tra fatti verificati, affermazioni dei vendor, osservazioni di settore e deduzioni dell’autore.

Ho quasi 8 anni di esperienza nella consulenza per grandi aziende e nell’analisi di business, maturata presso IBM, dove ho partecipato a progetti nei settori telecomunicazioni, finanziario, assicurativo e manifatturiero. Successivamente, ho continuato a lavorare in prima linea nello sviluppo di prodotti per operatori, prodotti internet e applicazioni di intelligenza artificiale, occupandomi di analisi dei requisiti, progettazione di prodotto e implementazione cross-funzionale.

Le valutazioni presentate in questa serie su selezione degli strumenti, processi di validazione e governance organizzativa derivano da queste esperienze pratiche, integrate e incrociate con ricerca pubblica e casi di settore. I contenuti relativi a progetti specifici sono stati anonimizzati; alcuni scenari di settore rappresentano esercizi di ragionamento su problemi tipici, e i relativi riferimenti sono elencati nelle fonti alla fine del documento.

Fonti di riferimento (fonti dettagliate + livello di evidenza + dichiarazione di posizione)

JetBrains AI Pulse Survey 2026.1 (primo livello): oltre 10.000 sviluppatori professionisti, 8 lingue. GitHub Copilot: 76% di notorietà / 29% di adozione sul posto di lavoro / crescita stagnante (56% nelle aziende con oltre 10.000 dipendenti); Cursor: 69% / 18% / crescita in rallentamento; Claude Code: 57% / 18% / crescita 6× in 9 mesi, 24% in Nord America, CSAT 91 / NPS 54; Codex: 27% / 3% (pre-desktop); Antigravity: 6% (ingresso a novembre 2025); Junie CLI: 5%. Il 90% degli sviluppatori usa almeno uno strumento di AI; il 70% ne usa da 2 a 4. https://www.jetbrains.com/research/ai-coding-assistant-usage/
Pragmatic Engineer Newsletter (febbraio 2026, fonte primaria): sondaggio su 15.000 sviluppatori; Claude Code è il più amato con il 46% (contro il 19% di Cursor e il 9% di Copilot); nelle aziende sotto i 10.000 dipendenti, il 75% sceglie Claude Code, mentre sopra i 10.000 il 56% preferisce Copilot; il 70% utilizza contemporaneamente 2–4 strumenti. https://newsletter.pragmaticengineer.com/p/ai-tooling-2026
Annuncio del round G di Anthropic (febbraio 2026, fonte primaria, prospettiva del fornitore): Claude Code è passato da zero a 2,5 miliardi di dollari di ricavi annualizzati in 9 mesi. Reuters, Forbes, SaaStr e altri concordano.
Risultati FY26 Q1/Q2 di Microsoft (28.01.2026, fonte: pagina investitori Microsoft, prospettiva del vendor): GitHub Copilot ha raggiunto 4,7 milioni di abbonamenti a pagamento, +75% su base annua (dati del Q2 FY26); gli abbonamenti individuali Copilot Pro+ sono cresciuti del 77% su base trimestrale nel Q2. Circa 77.000 clienti aziendali è il dato comunicato per l’FY24, non aggiornato nell’FY26; lo riportiamo indicandone la fonte.
Cursor / Anysphere, round di serie D (novembre 2025, mercato primario): raccolti 2,3 miliardi di dollari, valutazione di 29,3 miliardi. L’ARR è passata da 100 milioni di dollari (gennaio 2025) a 2 miliardi (febbraio 2026), il SaaS applicativo più veloce di sempre a raggiungere 100 milioni di ARR. Fonti: CNBC, The Information.
Dichiarazioni pubbliche di Sam Altman / OpenAI (apr–giu 2026, fonti primarie, prospettiva del fornitore): Codex passa da 3 milioni di utenti attivi settimanali (inizio aprile) a 4 milioni (21 aprile), fino a 5+ milioni (2 giugno, di cui il 20% non sviluppatori); utilizzo dei token in crescita del 70%+ mese su mese; i download mensili di Codex CLI via npm passano da 82.000 nell’aprile 2025 (mese di lancio) a 41,8 milioni nel maggio 2026 — una crescita di 510 volte. Gradually.ai, Neowin e Constellation Research confermano tutti la stessa tendenza.
Partnership OpenAI × Dell (18 maggio 2026, fonti primarie, prospettiva del fornitore): annunciato al Dell Technologies World il lancio di Dell AI Factory with OpenAI Codex, che porta Codex negli ambienti enterprise on-premises e hybrid cloud; include Codex + ChatGPT Enterprise. https://openai.com/index/dell-codex-enterprise-partnership
Residenza dei dati in Europa per OpenAI (dal feb. 2025, fonte primaria, prospettiva del fornitore): residenza dei dati europea per ChatGPT Enterprise/Edu/API; da gen. 2026 estensione dell’inferenza GPU in-region (US/EU). https://openai.com/index/introducing-data-residency-in-europe/
Claude Code su AWS Bedrock + residenza dati UE (livello 1): Claude via claude.ai/API Anthropic utilizza di default infrastrutture statunitensi; Claude Enterprise (SaaS) non include la residenza dati UE; per la residenza UE è necessario utilizzare il profilo EU di AWS Bedrock (Francoforte eu-central-1 / Irlanda / Parigi) o Vertex AI EU, con prefisso eu. nell’ID del modello; Microsoft Foundry sarà disponibile in GA in Europa a luglio 2026, ma l’impegno sulla residenza dati non copre Foundry (“Coming 2026”). compound.law, InfoQ, bespinian. https://www.infoq.com/news/2026/07/claude-foundry-ga-europe
Disputa Anthropic–Dipartimento della Difesa USA (H1 2026, livello primario, fatti di cronaca + documenti legali): Il Pentagono ha richiesto che Claude sia utilizzabile “for all lawful purposes” senza restrizioni; la linea rossa di Dario Amodei è il non utilizzo per sorveglianza di massa domestica e per armi completamente autonome; il 27.02.2026 Trump ha ordinato alle agenzie federali di sospendere l’uso, Hegseth lo ha classificato come “rischio per la catena di approvvigionamento”; il 4.03 il DoD lo ha formalmente designato; il 9.03 Anthropic ha intentato causa (ND Cal, 3:26-cv-01996, Giudice Rita Lin); il 26.03 ordinanza preliminare (“le motivazioni sono probabilmente un pretesto, la motivazione è una ritorsione illegale”); il 8.04 la corte d’appello ha respinto la richiesta di stay di Anthropic; lo stesso giorno OpenAI ha annunciato un accordo con il Pentagono. Mayer Brown, Wikipedia, Arms Control Association, Breaking Defense, CNBC. https://www.mayerbrown.com/en/insights/publications/2026/03/pentagon-designates-anthropic-a-supply-chain-risk-what-government-contractors-need-to-know
Rilascio della versione Enterprise di TRAE CN (18/12/2025, livello 1, prospettiva del fornitore): l’92% degli ingegneri di ByteDance utilizza lo strumento; la versione personale ha superato i 6 milioni di registrazioni; doppia implementazione Enterprise + Enterprise Exclusive (quest’ultima con isolamento di rete privata); crittografia end-to-end + zero archiviazione cloud + modelli non addestrabili; indicizzazione di 100.000 file/150 milioni di righe; SSO, dashboard di produttività, MCP; implementazioni presso Huifu (fintech cinese) e Douyin Life Services (servizio di ByteDance). CSDN, Sina Tech, ZOL (citando il comunicato ufficiale). https://www.csdn.net/article/2025-12-18/156057918
Qoder CN (ex Tongyi Lingma) Enterprise Edition (maggio 2026, livello 1, posizione del vendor): a maggio 2026 Tongyi Lingma viene rinominato Qoder CN, ampliando la propria offerta in ambito coding, produttività d’ufficio, endpoint e mobile; include l’Enterprise Standard Edition (licenza per postazione) e l’Enterprise Dedicated Edition (VPC privato, dati che non escono dalla rete interna, SSO, fine-tuning dei modelli, SLA 99,9%, consulente dedicato, supporto 7×24); alla base, modelli nazionali multipli (Qwen/GLM/DeepSeek/Kimi/MiniMax). Documentazione ufficiale Alibaba Cloud. https://help.aliyun.com/zh/lingma/qoder-cn-account-and-subscription
Google Antigravity (novembre 2025 + I/O 2026, livello 1): a novembre 2025 viene lanciato lo strumento di programmazione agent-first (progettato per Gemini 3, The Verge); al Google I/O 2026 arriva l’upgrade alla 2.0 (piattaforma di sviluppo agentica completa con desktop + CLI + SDK); JetBrains 2026.1 riporta un tasso di adozione del 6%. Wikipedia, The Verge, documentazione ufficiale Google.
CodeRabbit (17.12.2025, dati di prima mano): 470 PR GitHub open source (AI vs umani). Difetti totali 1,7× (10,83 vs 6,45 per PR); vulnerabilità di sicurezza per sottocategoria 1,82–2,74× — XSS 2,74×, riferimenti diretti a oggetti non sicuri 1,91×, gestione impropria delle password 1,88×, deserializzazione non sicura 1,82×; problemi di leggibilità 3×. https://www.coderabbit.ai/whitepapers/state-of-AI-vs-human-code-generation-report
Apiiro (4.9.2025, posizione del vendor): scansione dei repository di un’azienda Fortune 50 (dati: dicembre 2024 – giugno 2025). I rilevamenti mensili di sicurezza nel codice generato da AI sono passati da circa 1.000 a oltre 10.000 (10×), vulnerabilità di escalation dei privilegi +322%, difetti di progettazione a livello architetturale +153%; gli errori di sintassi sono diminuiti del 76%, i bug logici del 60%. The Register, Cloud Security Alliance Labs.
Ricerca GitHub × Accenture (fonte primaria, prospettiva del fornitore, GitHub Blog 2024.4): 450+ sviluppatori Accenture, esperimento controllato della durata di 6 mesi. PR pro capite +8,69%, tasso di merge +15%, gli sviluppatori mantengono l’88% dei caratteri di codice generati da Copilot (dopo revisione). Nota: la cifra spesso citata del “55% più veloce” proviene da un altro esperimento GitHub su un task di servizio HTTP in JavaScript, con un campione ridotto, e non ha nulla a che fare con la ricerca Accenture — viene spesso attribuita erroneamente.
Working paper del MIT Economics Department (fonte primaria): esperimento Microsoft (1.663 persone) PR +12,9%–21,8%; esperimento Accenture (311 persone) PR +7,5%–8,7%. https://economics.mit.edu/sites/default/files/inline-files/draft_copilot_experiments.pdf
Stack Overflow Developer Survey 2025 (fonte primaria): l’84% degli sviluppatori utilizza strumenti AI; JetBrains 2026.1 sale al 90%.
UpGuard 2025 / Journal of Accountancy (fonte secondaria): circa l’80% degli sviluppatori ammette di utilizzare strumenti di intelligenza artificiale non approvati dall’IT (c.d. shadow AI).
Calo della fiducia degli sviluppatori (fonte secondaria, multi-fonte): nel 2026, solo il 29% circa degli sviluppatori dichiara di fidarsi dell’output di codice generato dall’AI, in calo rispetto al 40% del 2024; il code churn è salito dal 3,1% del 2020 al 5,7% del 2024. Dati secondo Uvik Software e altre fonti.
Carlini / Anthropic (gennaio–febbraio 2026, fonte primaria, ricerca originale): il ricercatore Anthropic Nicholas Carlini ha fatto lavorare 16 agenti Claude Opus 4.6 in parallelo per 2 settimane, per circa 2000 sessioni e un costo API di circa 20.000 dollari, scrivendo da zero un compilatore C basato su Rust di 100.000 righe, in grado di compilare Linux 6.9 (x86/ARM/RISC-V), superando il 99% del GCC torture test e facendo girare FFmpeg, Redis, PostgreSQL, QEMU e Doom. Fonte: InfoQ, blog Anthropic.
Nota sulla riservatezza dei casi: Gli scenari relativi agli operatori citati in questo articolo si basano sulla mia esperienza diretta in programmi di formazione interna sull’AI e nel monitoraggio dei team digitali nel settore delle telecomunicazioni; tutti i dati sono stati anonimizzati. I paragrafi su banche, manifattura ed e-commerce, utilizzati per illustrare che “la stessa logica si applica a tutti i settori”, rappresentano proiezioni tipiche di settore e non risultati di consulenze su clienti specifici. Qualsiasi citazione deve indicare che i dati sono stati anonimizzati.