Il vero rischio quando si usa l’AI in azienda non è solo lo strumento: è l’uso invisibile e non governato. Se non esiste una strada aziendale sicura e comoda, le persone tendono comunque a usare tool personali e a caricare documenti fuori controllo.
La verità operativa, senza girarci troppo intorno
L’AI non è magia: è uno strumento. Se inserisci dati dei clienti, strategie riservate o trattative in corso in un sistema che non controlli, stai creando un rischio. Punto.
Il problema nasce quando l’azienda reagisce solo con il blocco: “Chiudiamo ChatGPT e abbiamo risolto”. In molti casi non hai eliminato il bisogno. Hai solo reso più difficile vedere dove viene soddisfatto.
Perché i divieti non eliminano il bisogno
Cosa succede spesso nella pratica?
- le persone usano il telefono personale;
- accedono a tool non autorizzati;
- caricano documenti su account privati.
A quel punto perdi visibilità e controllo. Non è una legge fisica universale, e non ogni divieto produce automaticamente leakage. È però un pattern operativo ricorrente: quando lo strumento ufficiale manca o è troppo scomodo, cresce la tentazione di aggirarlo.
La guida UK NCSC sullo Shadow IT descrive dinamiche simili: processi lenti o strumenti inadatti spingono gli utenti verso soluzioni non governate.
Cosa significa Shadow AI, in pratica
Shadow AI è l’uso di strumenti di intelligenza artificiale fuori dai canali aziendali approvati e monitorati.
Il Verizon DBIR 2026 riporta che la quota di dipendenti considerati utenti regolari di AI su dispositivi aziendali è salita al 45%, dal 15% dell’anno precedente. Nello stesso perimetro, il 67% degli utenti accede ai servizi AI tramite account non aziendali. Lo Shadow AI risulta inoltre tra le azioni insider non malevole più frequenti nei dataset DLP analizzati, con un aumento rilevante rispetto all’anno precedente.
Questi numeri non dicono che “vietare è sempre sbagliato”. Dicono che l’uso è ormai mainstream e che una parte rilevante avviene fuori dal controllo diretto dell’organizzazione.
Cosa richiede una via aziendale davvero usabile
L’approccio che funziona è diverso dal solo proibizionismo: dai alle persone una strada sicura.
Una via aziendale utile di solito include:
- uno strumento che funzioni bene e sia comodo;
- account e autenticazione aziendali;
- logging e tracciabilità degli usi rilevanti;
- controlli di accesso ai documenti;
- misure di prevenzione della perdita di dati (DLP) dove serve;
- regole chiare su retention e destinazione dei dati;
- formazione sul perché delle regole, non solo sul divieto.
Poi spiega il perché. Non stai limitando le persone per burocrazia: stai proteggendo l’azienda, i clienti e anche loro stessi. Quando il messaggio è chiaro e la soluzione è pratica, la collaborazione cresce. La chiarezza favorisce l’adozione; il solo divieto favorisce l’aggiramento.
Cosa dicono davvero AI Act e GDPR (senza fare consulenza legale)
Il Regolamento (UE) 2024/1689 (AI Act) e il GDPR non equivalgono a un divieto generale dell’AI. Introducono responsabilità, obblighi differenziati e principi di protezione dei dati che vanno applicati al caso concreto.
L’EDPB ha inoltre chiarito aspetti rilevanti su modelli AI e protezione dei dati. Queste indicazioni vanno trattate come informazione generale: non sostituiscono una valutazione legale sul vostro specifico uso.
In sintesi operativa: regolamentare e rendere sicuro l’uso è spesso più efficace che fingere che l’uso non esista.
FAQ
Bloccare ChatGPT è illegale?
No. Può però essere inefficace se non accompagnato da un’alternativa usabile e da regole chiare.
Come si rileva lo Shadow AI?
Con monitoraggio di rete, CASB, DLP, policy di browser e, soprattutto, dialogo con le persone su bisogni reali.
Una PMI può permettersi una soluzione sicura?
Sì, se si parte da un perimetro concreto e da controlli proporzionati al rischio, senza copiare modelli da grandi enterprise.
Qual è il rischio concreto dello Shadow AI?
Trasferimento di dati sensibili verso infrastrutture non controllate, minore visibilità e maggiore difficoltà a dimostrare accountability.
Fonti
- Verizon: findings DBIR 2026: adozione AI su device aziendali, account non corporate, Shadow AI nei dataset DLP.
- UK NCSC: Shadow IT guidance: ragioni operative dell’aggiramento degli strumenti ufficiali.
- EUR-Lex: Regolamento (UE) 2024/1689, AI Act: testo normativo primario.
- EDPB: Opinion 28/2024 su AI e protezione dati: principi GDPR applicati ai modelli AI.
Approfondisci nella serie
- Quando l’AI sbaglia: il problema è spesso il contesto
- AI e lavoro: come cambiano task, ruoli e competenze
- Da dove partire con l’AI in azienda
Se vuoi mappare gli usi reali di AI e progettare una via aziendale governata, usabile, tracciabile e proporzionata al rischio, organizziamo un workshop operativo con IT, sicurezza e business. Scrivici a info@zendata.it o visita zendata.it.
Pietro Ciattaglia, CEO di Zendata AI, Roma