ChatGPT, Microsoft Copilot e gli agenti AI stanno entrando rapidamente nelle aziende. Ma cosa succede quando i dipendenti li utilizzano senza che l’IT ne sia a conoscenza?
Non è necessario che un’azienda abbia deciso ufficialmente di adottare l’intelligenza artificiale perché l’AI sia già presente nei suoi processi.
Un dipendente può utilizzare ChatGPT per scrivere una mail, Copilot per analizzare un documento, un tool AI per generare codice o un agente per automatizzare un’attività. Il problema nasce quando questi strumenti vengono utilizzati senza una policy aziendale, senza controlli e senza sapere quali dati vengono condivisi.
È questo il fenomeno della Shadow AI: un rischio spesso invisibile, ma sempre più concreto anche per le PMI.
Cos’è la Shadow AI
Con il termine Shadow AI si indica l’utilizzo di strumenti di intelligenza artificiale non autorizzati o non supervisionati dall’azienda o dal reparto IT.
Il fenomeno è simile alla più conosciuta Shadow IT: software, applicazioni e servizi vengono utilizzati dai dipendenti senza passare dai processi aziendali di approvazione.
La differenza è che con l’AI il rischio può essere maggiore, perché lo strumento può elaborare documenti, informazioni commerciali, dati personali, codice sorgente, contratti o informazioni riservate.
Un esempio è semplice: Un commerciale copia in ChatGPT una mail ricevuta da un cliente per farsi aiutare a preparare una risposta.
Oppure: Un dipendente carica un documento aziendale per ottenere un riassunto.
Dal punto di vista dell’utente è una semplice attività di produttività. Dal punto di vista dell’azienda, però, bisogna chiedersi: quali informazioni sono state condivise? Con quale strumento? Secondo quali condizioni?
Secondo IBM, il 38% dei dipendenti dichiara di aver condiviso informazioni di lavoro sensibili con strumenti AI senza autorizzazione.
E il fenomeno non riguarda soltanto i chatbot. Con la diffusione degli AI agent, capaci di eseguire autonomamente determinate attività, il tema diventa ancora più rilevante.
Microsoft rileva che il 46% dei leader intervistati a livello globale dichiara che la propria organizzazione sta già utilizzando soluzioni di AI agentica per automatizzare alcuni processi aziendali.
Perché l’IT spesso non se ne accorge
La Shadow AI nasce spesso da una buona intenzione: lavorare meglio e più velocemente.
Un dipendente trova uno strumento che gli permette di risparmiare mezz’ora su un’attività e inizia a utilizzarlo. Non necessariamente lo fa per aggirare le regole aziendali.
Il problema è che, se lo strumento non è stato approvato dall’IT, l’azienda può non avere visibilità su:
- quali strumenti AI vengono utilizzati;
- quali dipendenti li utilizzano;
- quali dati vengono inseriti;
- quali account vengono utilizzati;
- quali autorizzazioni sono state concesse;
- quali applicazioni sono collegate ai sistemi aziendali.
Questo rende la Shadow AI particolarmente difficile da individuare.
E vietare semplicemente ChatGPT o altri strumenti non è necessariamente la soluzione: se l’AI serve concretamente al lavoro, il rischio è che i dipendenti continuino a utilizzarla comunque, ma in modo meno trasparente.
I rischi reali per le PMI
Il rischio della Shadow AI non è l’intelligenza artificiale in sé. È l’utilizzo dell’AI senza governance.
Per una PMI i principali rischi sono almeno quattro.
1. Fuga di dati: Il dipendente potrebbe inserire in un sistema AI informazioni riservate, dati personali, listini, contratti o documenti interni.
2. Perdita di controllo: Se l’IT non sa quali strumenti vengono utilizzati, diventa difficile gestire accessi, autorizzazioni, account e applicazioni collegate ai dati aziendali.
3. Errori e informazioni non affidabili: Un output generato dall’AI può sembrare corretto senza esserlo. Se viene utilizzato direttamente per prendere decisioni o comunicare con clienti e fornitori, l’errore può trasformarsi in un problema operativo.
4. Compliance e responsabilità: La gestione dell’AI deve essere inserita all’interno dei processi di sicurezza, privacy e governance aziendale.
Non è un tema puramente teorico. Nel Cost of a Data Breach Report 2025, IBM rileva che in Italia soltanto il 31% delle organizzazioni dispone di politiche per gestire l’AI o rilevare la Shadow AI. Lo stesso report evidenzia inoltre che le organizzazioni con livelli elevati di Shadow AI hanno registrato costi di violazione mediamente più alti.
Anche il quadro normativo europeo rende sempre più importante avere un approccio strutturato all’intelligenza artificiale: dal 2 agosto 2026 sono applicabili diverse disposizioni dell’AI Act, comprese quelle relative a pratiche vietate, trasparenza e modelli di AI per finalità generali.
Come costruire una policy AI aziendale
Una policy AI aziendale non deve necessariamente essere un documento di decine di pagine.
Per una PMI può partire da regole semplici e comprensibili.
1. Mappa gli strumenti utilizzati
Chiedi ai dipendenti quali strumenti AI stanno già utilizzando e per quali attività.
2. Definisci cosa si può fare
Individua gli strumenti approvati dall’azienda e gli utilizzi consentiti.
3. Definisci cosa non si può fare
Ad esempio, stabilisci quali dati non devono essere inseriti in strumenti AI non autorizzati.
4. Crea livelli di accesso
Non tutti gli strumenti e non tutti i dati devono essere disponibili a tutti. Questo vale ancora di più quando si introducono AI agent capaci di interagire con sistemi e applicazioni aziendali.
5. Forma le persone
Una policy funziona soltanto se chi la deve applicare ne comprende il motivo.
L’obiettivo non dovrebbe essere “vietare l’AI”, ma creare un ambiente nel quale le persone possano utilizzarla in modo produttivo e sicuro.
Checklist finale per CEO e IT Manager
La tua azienda sa rispondere a queste domande?
- Sappiamo quali strumenti AI utilizzano i dipendenti?
- Abbiamo una policy per l’utilizzo dell’intelligenza artificiale?
- Abbiamo definito quali dati possono essere inseriti nei tool AI?
- Gli strumenti utilizzati sono stati valutati dall’IT?
- Sappiamo quali applicazioni AI sono collegate ai sistemi aziendali?
- Abbiamo definito chi può utilizzare AI agent e con quali autorizzazioni?
- I dipendenti hanno ricevuto indicazioni e formazione?
- Monitoriamo periodicamente l’utilizzo degli strumenti AI?
Se hai risposto “no” a diverse domande, probabilmente il problema non è che la tua azienda non utilizza l’AI.
È che potrebbe già utilizzarla senza averla ancora governata.
Conclusione
La Shadow AI non nasce necessariamente da un comportamento scorretto. Spesso nasce quando i dipendenti trovano autonomamente una tecnologia che permette loro di lavorare meglio.
Per questo, la risposta non può essere soltanto il divieto.
Le PMI hanno bisogno di visibilità, regole, formazione e strumenti adeguati per trasformare l’uso spontaneo dell’AI in un’adozione consapevole e sicura.
