Il 69 per cento delle aziende sa o sospetta che i propri collaboratori usino strumenti di IA non autorizzati.
Lo mostra un recente studio Gartner, realizzato intervistando 302 responsabili della sicurezza informatica. Quasi sette aziende su dieci lo sanno o lo sospettano, ma la maggior parte non riesce a ricostruire cosa accade.
Si chiama shadow AI: i collaboratori usano strumenti di IA fuori dall'infrastruttura IT ufficiale, in genere con account privati, senza che la direzione e l'IT lo sappiano. ChatGPT sullo smartphone. Claude nel browser personale. Copilot con un account Microsoft privato.
Il problema: nessuno sa quali dati finiscano dove. Nessuno può controllare cosa accade alle informazioni sensibili. E nessuno si assume la responsabilità, fino al primo incidente.
Il problema non è l'IA
I tuoi collaboratori non usano strumenti di IA per malizia. Vogliono fare meglio il proprio lavoro: scrivere testi più rapidamente, analizzare dati, riassumere e-mail, correggere codice.
Il problema è la mancanza di governance. E l'invisibilità che ne deriva.
Fuga di dati incontrollata: molti strumenti di IA salvano gli input su server fuori dall'UE. Cosa accade a quei dati dipende dalle condizioni d'uso. Informazioni riservate possono così finire fuori dal controllo dell'azienda.
Rischi GDPR: con gli account privati mancano di norma i contratti di nomina a responsabile del trattamento (art. 28 GDPR) e le misure di sicurezza documentate (art. 32 GDPR). Se vengono trattati dati personali, nasce un rischio GDPR.
Costi fuori controllo: i singoli account premium si sommano senza che nessuno se ne accorga. Team diversi usano strumenti diversi per gli stessi compiti, senza che nessuno conosca il totale della spesa.
Perdita di know-how: prompt, flussi di lavoro e buone pratiche restano negli account privati. Quando la persona lascia l'azienda, spariscono, invece di restare un patrimonio aziendale.
Perché i divieti non funzionano
La reazione istintiva di molti reparti IT: bloccare gli strumenti di IA.
Non funziona.
L'IA è troppo facilmente accessibile. Il collaboratore apre ChatGPT sullo smartphone personale mentre il portatile aziendale è lì accanto: i blocchi tecnici non servono a nulla. Un divieto non elimina l'uso, lo rende soltanto invisibile.
E distrugge un'altra cosa: la fiducia.
Le persone non usano l'IA per spirito di ribellione. La usano perché vogliono lavorare più velocemente, consegnare risultati migliori, o perché gli strumenti ufficiali sono troppo lenti o troppo complicati. Un divieto generalizzato ignora questi bisogni legittimi: al posto di un dialogo aperto nascono soluzioni improvvisate, al posto della trasparenza una cultura del silenzio.
Il paradosso: più duro è il divieto, più rischioso diventa l'uso. Le persone non parlano più degli strumenti che usano. Non chiedono più alternative sicure. Aggirano le regole, e con loro svaniscono anche le occasioni di governare il rischio. Il rischio sale, la trasparenza scende.
Il primo passo: la ricognizione
Prima di pensare alle soluzioni serve trasparenza sulla situazione attuale.
La domanda non è: «qualcuno usa l'IA?». La domanda è: «chi usa cosa, per quale scopo e con quali dati?».
Una ricognizione strutturata ti dà tre cose:
Chiarezza sui rischi: vedi dove i dati sensibili stanno già uscendo. Quali persone hanno accesso a informazioni critiche e usano contemporaneamente strumenti di IA privati? Dove rischiate violazioni del GDPR?
Comprensione dei casi d'uso: capisci perché i tuoi collaboratori usano quegli strumenti. Quali compiti risolvono? Quali guadagni di produttività vedono? Quali bisogni restano scoperti?
Una base per decidere: non puoi sviluppare una strategia IA sensata se non sai cosa sta già accadendo. La ricognizione è il punto di partenza per tutto il resto.
Come funziona la ricognizione in tre passi
1. Rilevare – l'inventario
Il primo passo è semplice: scopri cosa succede. Parla apertamente con il tuo team. Chiarisci che non si tratta di controllo, ma di costruire insieme un contesto sicuro.
Chiedi i fatti: quale strumento? Per quale compito? Quali dati? Con quale frequenza? Account privato o aziendale?
Annota ogni caso, senza giudicare. Alla fine avrai un elenco completo di tutti gli usi dell'IA nella tua azienda.
2. Categorizzare – dare struttura
Ora metti ordine nei dati grezzi. Raggruppa i compiti simili in casi d'uso: creazione di testi, analisi dati, revisione del codice. Classifica i dati: sono dati personali, segreti aziendali, dati interni di processo o informazioni pubbliche? Guarda i modelli d'uso: si lavora ogni giorno o solo occasionalmente? Individualmente o in tutto il team?
Inoltre: dove reparti diversi usano strumenti diversi per lo stesso compito? Lì c'è potenziale di standardizzazione.
Il risultato: un quadro strutturato invece di casi isolati e disordinati.
3. Valutare – prendere decisioni
Qui si diventa strategici. Valuta ogni caso d'uso per rischio e potenziale. Rischio elevato per dati critici in strumenti non sicuri? Serve agire subito. Potenziale elevato con guadagni di produttività misurabili? Vale un investimento in alternative sicure. Più team usano strumenti diversi per lo stesso compito? Occasione di standardizzazione.
Da questa valutazione derivi i passi concreti: cosa autorizziamo ufficialmente? Cosa sostituiamo? Cosa vietiamo, e perché?
Poi il passo più importante: condividi le conclusioni in modo trasparente. Non una circolare, ma un dialogo. Mostra ciò che hai visto. Spiega perché certe pratiche sono rischiose. Ma soprattutto: mostra soluzioni. «Ora creiamo alternative sicure per i casi d'uso di cui avete bisogno.» Questo genera accettazione invece di resistenza.
Il primo passo: dialogo invece di divieto
La domanda non è più se i tuoi collaboratori usano l'IA. Lo stanno già facendo. La domanda è: continua tutto nell'ombra, oppure costruisci un contesto sicuro?
Il primo passo è un dialogo aperto. Nessun divieto, nessun rimprovero. Solo chiarezza su cosa sta succedendo. Da questa chiarezza nasce una strategia che funziona, perché si basa sulla realtà e non su supposizioni.
Quando sai cosa succede, puoi agire.