Ogni settimana, in migliaia di aziende italiane, dipendenti incollano documenti riservati in ChatGPT per riassumerli, usano strumenti AI gratuiti per tradurre contratti o chiedono a un chatbot pubblico di scrivere il codice di un gestionale interno. Nessuno lo ha autorizzato, nessuno lo controlla, e spesso nemmeno l’IT ne è a conoscenza. È la Shadow AI: l’uso non governato di strumenti di intelligenza artificiale all’interno dell’azienda, al di fuori di qualsiasi policy o supervisione.
Non è un fenomeno marginale. È la naturale conseguenza della facilità con cui oggi si accede a un modello AI: basta un browser. E se da un lato dimostra che le persone in azienda vogliono lavorare meglio e più in fretta, dall’altro apre rischi concreti su dati, sicurezza e conformità che molte PMI non hanno ancora messo a fuoco.
Cos’è esattamente la Shadow AI
Il termine ricalca quello, più vecchio, di “Shadow IT”: software o servizi cloud usati dai dipendenti senza passare dall’approvazione dell’IT. La Shadow AI è la sua versione più insidiosa, perché gli strumenti coinvolti non si limitano a immagazzinare dati: li elaborano, li trasformano, e in molti casi li usano per addestrare modelli di terze parti.
Rientrano nella Shadow AI, tra gli altri:
- Chatbot pubblici usati per riassumere email, contratti o verbali riservati
- Estensioni browser “AI” installate senza revisione, che leggono il contenuto delle pagine visitate
- Strumenti di trascrizione automatica collegati a riunioni sensibili
- Generatori di codice o assistenti di sviluppo che ricevono frammenti di codice proprietario
- Piattaforme di generazione contenuti a cui vengono caricati loghi, brief di marketing o dati su clienti
Perché nasce (e perché non basta vietarla)
La Shadow AI cresce dove l’azienda non offre un’alternativa chiara. Se un dipendente ha bisogno di velocizzare un’attività e l’unico strumento disponibile è un tool pubblico gratuito, lo userà, con o senza permesso. Vietarlo con una policy scritta e nient’altro raramente funziona: sposta semplicemente l’uso fuori dalla vista, rendendolo ancora più difficile da individuare.
La soluzione più efficace non è la proibizione, ma la sostituzione: dare alle persone strumenti AI ufficiali, sicuri e altrettanto comodi di quelli che userebbero comunque. È lo stesso principio alla base di una buona adozione strutturata dell’AI in azienda: la tecnologia si diffonde bene quando accompagna le persone, non quando le costringe ad aggirare le regole.
I rischi concreti per dati e conformità
Il problema principale della Shadow AI non è l’uso dell’AI in sé, ma la perdita di controllo su dove finiscono i dati aziendali. Alcuni rischi ricorrenti:
Fuga di dati riservati
Testi, contratti, elenchi clienti o codice sorgente incollati in un servizio pubblico possono essere conservati sui server del fornitore, usati per migliorare i modelli, o semplicemente esposti in caso di incidente di sicurezza dal lato del provider. Una volta inviato il testo, l’azienda perde ogni controllo su quella copia.
Violazioni del GDPR
Se tra i dati incollati ci sono informazioni personali di dipendenti, clienti o fornitori, l’azienda può trovarsi in violazione del GDPR senza nemmeno saperlo: non esiste una base giuridica per quel trattamento, non c’è un accordo di trattamento dati con il fornitore AI, e spesso i dati escono anche dai confini UE. Chi vuole capire come muoversi correttamente dovrebbe partire da una mappatura chiara di privacy e GDPR quando si usa l’AI in azienda.
Obblighi normativi che si avvicinano
Con l’entrata in vigore progressiva dell’AI Act europeo, anche le PMI dovranno rendicontare in modo più preciso quali sistemi AI usano e per quali finalità. Se l’azienda non sa nemmeno quali strumenti stanno usando i propri dipendenti, diventa impossibile rispettare gli obblighi dell’AI Act per le PMI quando la normativa toccherà anche i casi d’uso più diffusi.
Come portare la Shadow AI alla luce
Un percorso realistico per una PMI parte da tre mosse, in ordine di priorità:
- Mappare, non punire. Un breve sondaggio interno o un’analisi del traffico verso i domini AI più comuni rivela in poche ore quali strumenti sono già in uso, senza mettere i dipendenti sulla difensiva.
- Offrire un’alternativa autorizzata. Un abbonamento aziendale a strumenti AI approvati, con impostazioni sulla privacy verificate, copre già gran parte dei casi d’uso quotidiani (riassunti, bozze, traduzioni).
- Portare l’AI dentro il perimetro aziendale. Per i casi con dati davvero sensibili, la soluzione più solida è ospitare un LLM open source self-hosted, dove nessun dato lascia mai l’infrastruttura dell’azienda.
A queste si aggiunge una policy scritta, breve e comprensibile, che spieghi cosa si può incollare in uno strumento AI e cosa no: distinguere tra “documento pubblico” e “dato riservato” è già una regola che riduce la maggior parte del rischio.
Un rischio da gestire, non da temere
La Shadow AI non è un segnale che l’azienda stia facendo qualcosa di sbagliato: è il segnale che le persone vedono valore nell’AI e vogliono usarla. Il compito di chi gestisce l’infrastruttura IT non è spegnere quell’iniziativa, ma incanalarla in strumenti sicuri, conformi e sotto il controllo dell’azienda.
Mi occupo proprio di questo: valuto dove i tuoi dati sono esposti, e costruisco soluzioni AI su misura, anche self-hosted, che permettono al tuo team di lavorare più velocemente senza far uscire informazioni riservate dal perimetro aziendale. Se vuoi capire dove si nasconde la Shadow AI nella tua azienda e come sostituirla con strumenti sicuri, contattami: ne parliamo insieme.
