Le dimissioni di Jensen Huang da CEO di NVIDIA, maturate tra le domande sui suoi rapporti personali e l’attenzione delle autorità statunitensi su Megaspeed, hanno aperto una falla che non riguarda soltanto la governance della società. Mettono in discussione il modo in cui un’azienda strategica per la filiera globale dei semiconduttori intercetta i rischi che nascono lontano dai firewall, dagli impianti produttivi e dalle procedure standard di compliance.
Il contesto è diventato ancora più delicato perché NVIDIA aveva appena cambiato il vertice della propria sicurezza. David Reber, chief security officer e responsabile della product security, aveva lasciato l’incarico ad agosto dopo sette anni nell’azienda, quattro dei quali come CSO. Nel comunicare la decisione aveva spiegato di voler dare priorità alla famiglia e alla salute, rendendo nota una diagnosi di Parkinson a esordio precoce ricevuta oltre due anni prima. Non ci sono elementi pubblici che colleghino la sua uscita all’indagine su Megaspeed o alle vicende personali di Huang.
Eppure la successione, avvenuta poco prima che il caso arrivasse all’attenzione generale, rende inevitabile un interrogativo: chi, dentro NVIDIA, era in condizione di mettere insieme segnali che appartenevano a funzioni diverse dell’impresa? La risposta non può essere ridotta al solo team di sicurezza. Ma è proprio questa frammentazione delle responsabilità a mostrare un problema ricorrente nelle grandi aziende tecnologiche.
Una vicenda che incrocia rapporti personali e controlli sulle esportazioni
Secondo quanto emerso dalle ricostruzioni giornalistiche, una delle relazioni di Huang riguardava una dirigente di Megaspeed, società di data center con sede a Singapore. Gli investigatori federali statunitensi sospettano che Megaspeed abbia contribuito a far arrivare chip NVIDIA in Cina, aggirando i vincoli imposti da Washington sulle esportazioni di componenti avanzati. L’azienda ha negato di avere commesso illeciti.
Per NVIDIA, il punto è particolarmente sensibile. I suoi acceleratori sono al centro della competizione industriale e geopolitica sull’intelligenza artificiale, e le restrizioni commerciali statunitensi rivolte alla Cina hanno reso essenziale la tracciabilità delle vendite, degli intermediari e degli utilizzatori finali. Un rapporto personale fra il CEO e una manager di una società sottoposta a scrutinio governativo non prova di per sé alcuna condotta impropria, né dimostra che informazioni riservate siano state condivise. Può però configurare un conflitto di interessi o un potenziale canale di pressione che un consiglio di amministrazione, i legali e i responsabili del rischio devono valutare con particolare rigore.
Le notizie hanno poi allargato il perimetro ad altre relazioni attribuite a Huang con dipendenti NVIDIA. Il codice di condotta dell’azienda non vieterebbe espressamente tutte le relazioni sul posto di lavoro, ma la gerarchia conta: quando è coinvolto il vertice massimo, specie con persone che riportano direttamente a lui, la questione investe potere, dipendenza professionale, trasparenza delle decisioni e tutela delle persone coinvolte. In questi casi entrano normalmente in campo risorse umane, ufficio legale e board. La sicurezza aziendale, però, può avere un ruolo complementare quando una situazione privata produce esposizioni esterne.
La minaccia non passa necessariamente da un attacco informatico
Nell’immaginario delle imprese tech, sicurezza significa spesso difesa da intrusioni, furto di credenziali, ransomware, spionaggio digitale e protezione delle infrastrutture fisiche. Sono ambiti indispensabili, ma non esauriscono il problema. Le attività di intelligence e le operazioni di influenza sfruttano anche relazioni, abitudini, vulnerabilità private, viaggi, contatti fiduciari e conversazioni apparentemente ordinarie.
Nicholas Eftimiades, ex alto funzionario dell’intelligence statunitense che ha formato oltre mille professionisti della sicurezza corporate, ha richiamato proprio questa difficoltà: una larga parte delle informazioni utili non viene raccolta con tecniche spettacolari o immediatamente riconoscibili. Può emergere gradualmente dai rapporti umani. Di conseguenza, un’azienda può disporre di strumenti avanzati per monitorare le reti e non avere una visione altrettanto solida dei rischi legati alle persone che prendono decisioni sensibili.
Questo non significa trasformare la sicurezza interna in sorveglianza della vita privata dei dipendenti, né attribuire a un security team poteri che spettano al board o alle funzioni HR. Significa piuttosto definire soglie chiare per la segnalazione di conflitti, relazioni con controparti commerciali delicate, pressioni potenziali e contatti che potrebbero esporre l’azienda o i suoi dirigenti al ricatto. La distinzione è decisiva: la vita personale merita rispetto, ma il dovere di disclosure aumenta quando le relazioni si sovrappongono a ruoli di potere, indagini governative o segreti industriali.
Informazioni disperse fra legali, HR e sicurezza
Da quanto riportato, il massimo responsabile legale di NVIDIA aveva già avuto interlocuzioni con il governo statunitense sull’inchiesta relativa a Megaspeed più di un anno fa. Separatamente, alcuni colleghi sarebbero stati a conoscenza di almeno una parte delle relazioni interne attribuite a Huang. Non è chiaro se queste informazioni siano mai state condivise con il team di sicurezza, né se tale team avesse ragione o strumenti per acquisirle autonomamente. NVIDIA, Reber e il suo successore Saša Zdjelar non hanno fornito chiarimenti pubblici sulle domande poste in merito alla transizione e alla gestione della vicenda.
La mancanza di un quadro pubblico completo impone cautela. Non è possibile affermare che un reparto abbia ignorato avvisi concreti o che un protocollo avrebbe evitato le dimissioni del CEO. Le funzioni aziendali possono infatti disporre di informazioni soggette a riservatezza, e un’indagine federale non equivale a un accertamento di responsabilità. Tuttavia, l’episodio evidenzia quanto possa essere vulnerabile un’organizzazione quando ciascun reparto osserva solo una porzione della stessa situazione.
Zdjelar, chiamato a sostituire Reber, arriva da un percorso che comprende diciassette anni in ExxonMobil, dove ha lasciato l’azienda come senior IT manager, un’esperienza annuale in Salesforce e diversi anni in ReversingLabs. Il suo incarico si apre quindi in una fase in cui la sicurezza di NVIDIA non può limitarsi alla protezione tecnica dei prodotti e dei sistemi. Dovrà confrontarsi anche con la continuità dei processi interni e con la fiducia di regolatori, clienti e investitori.
Perché i team di security faticano a vedere questi segnali
La sicurezza corporate viene spesso finanziata e valutata in base a metriche concrete: incidenti evitati, vulnerabilità corrette, tempi di risposta, conformità alle policy. I rischi relazionali sono più difficili da misurare, spesso dipendono da informazioni incomplete e richiedono collaborazione con reparti che hanno priorità diverse. Inoltre, i security leader possono avere budget limitati e un mandato ristretto, concentrato su edifici, personale in viaggio, incident response o cyberdifesa.
Un’impostazione del genere è comprensibile, ma appare insufficiente per gruppi che operano in settori strategici, trattano proprietà intellettuale critica e intrattengono rapporti con clienti, fornitori e governi di numerosi Paesi. I programmi di insider risk più maturi non cercano di indovinare la vita privata delle persone: stabiliscono processi proporzionati per identificare conflitti di interesse, anomalie nell’accesso alle informazioni, interazioni con soggetti ad alto rischio e possibili forme di coercizione.
Nel caso di NVIDIA, l’aspetto più rilevante non è stabilire retrospettivamente se qualcuno avrebbe dovuto scoprire una relazione. È capire se l’azienda disponesse di un canale capace di collegare i dossier: controlli sull’export, rapporti con soggetti sotto indagine, obblighi di comunicazione del management, protezione degli executive e valutazioni del board. Se questi elementi restano isolati, anche un’organizzazione dotata di eccellenti capacità tecniche può non cogliere una vulnerabilità prima che diventi una crisi pubblica.
Le prossime verifiche per NVIDIA
Le dimissioni di Huang non chiudono necessariamente il caso. Restano da chiarire la portata dell’indagine su Megaspeed, le eventuali conseguenze per la catena commerciale di NVIDIA e le valutazioni condotte dagli organi societari. Sul piano interno, l’attenzione si sposterà sulla capacità dell’azienda di rafforzare la gestione dei conflitti di interesse senza confondere la sicurezza con il controllo indiscriminato delle persone.
Per il settore, la lezione è più ampia. Le aziende che vendono tecnologie sottoposte a restrizioni internazionali devono considerare la sicurezza come una funzione trasversale, con un raccordo reale fra cyber, legale, HR, compliance, intelligence interna e consiglio di amministrazione. Quando i rischi coinvolgono il top management, affidarsi a compartimenti stagni può rivelarsi particolarmente costoso: non soltanto sul piano reputazionale, ma anche in termini di continuità operativa e credibilità davanti alle autorità.
