Shadow AI: i rischi dell’AI fuori controllo in azienda

Un commerciale incolla in un chatbot gratuito l’offerta per un cliente, per farsela riscrivere meglio. Un’impiegata dell’amministrazione carica un estratto conto per ottenere un riepilogo. Uno sviluppatore chiede a un assistente online di correggere una porzione di codice del gestionale.

Nessuno di loro ha cattive intenzioni: vogliono solo lavorare meglio e più in fretta. Ma in tutti e tre i casi dati aziendali, a volte riservati, sono usciti dal perimetro dell’azienda senza che nessuno se ne accorgesse. È la shadow AI: l’uso di strumenti di intelligenza artificiale al di fuori del controllo dell’IT.

Perché la shadow AI si diffonde così in fretta

Gli strumenti di AI generativa sono facili da usare, spesso gratuiti e disponibili dal browser in pochi secondi. Non servono installazioni né competenze tecniche. Quando l’azienda non offre un’alternativa ufficiale, le persone se la procurano da sole.

Il fenomeno ricorda quello della shadow IT di qualche anno fa, quando i file di lavoro finivano su servizi di condivisione personali. Con una differenza importante: l’AI non si limita a conservare i dati, li elabora, e in alcuni casi può usarli per migliorare i propri modelli.

I rischi concreti per l’azienda

• Perdita di riservatezza: contratti, listini, dati di clienti e dipendenti, codice sorgente e strategie possono finire su server di terzi, in paesi e con regole che l’azienda non conosce.
• Violazioni del GDPR: inserire dati personali in un servizio esterno senza una base giuridica, senza un accordo sul trattamento e senza sapere dove vengono conservati espone a sanzioni e a obblighi di notifica.
• Nessuna tracciabilità: l’IT non sa quali strumenti vengono usati, da chi e con quali dati. In caso di incidente è impossibile ricostruire cosa è successo.
• Risultati non verificati: risposte inesatte o inventate possono entrare in documenti, offerte e decisioni senza un controllo.
• Requisiti normativi in crescita: con la direttiva NIS2 e il regolamento europeo sull’intelligenza artificiale (AI Act), la gestione del rischio legato ai sistemi digitali e all’AI diventa una responsabilità esplicita della direzione.

Vietare non funziona

La prima reazione è spesso bloccare tutto. Ma un divieto senza alternative ottiene di solito l’effetto opposto: le persone continuano a usare l’AI dal telefono personale o da casa, e il fenomeno diventa ancora meno visibile.

L’intelligenza artificiale porta benefici reali in termini di produttività. L’obiettivo non è rinunciarvi, ma portarla allo scoperto e offrirla in un ambiente che l’azienda controlla.

Come riportare l’AI sotto controllo, in cinque passi

1. Fare una fotografia della situazione

Chiedi ai reparti quali strumenti usano e per fare cosa, e analizza il traffico di rete verso i servizi di AI più diffusi. Senza giudicare: l’obiettivo è capire i bisogni reali, non cercare colpevoli.

2. Classificare i dati

Non tutte le informazioni hanno lo stesso valore. Stabilisci con chiarezza quali dati possono essere usati con strumenti esterni, quali solo in ambienti aziendali e quali mai. Una regola semplice e comprensibile vale più di un regolamento di trenta pagine.

3. Offrire un’alternativa ufficiale e comoda

È il passo decisivo. Se l’azienda mette a disposizione un assistente AI efficace, le persone non hanno motivo di cercarne altri. L’assistente può funzionare su un’infrastruttura privata, con modelli eseguiti su server dedicati e dati che restano nel perimetro aziendale.

4. Definire regole e responsabilità

Una policy sull’uso dell’AI deve dire cosa si può fare, con quali strumenti e con quali dati, chi approva i nuovi strumenti e come si segnalano i problemi. L’AI Act prevede inoltre che chi utilizza sistemi di AI assicuri un livello adeguato di alfabetizzazione del personale: la formazione non è più facoltativa.

5. Misurare e migliorare

Monitora l’uso degli strumenti ufficiali, raccogli i commenti degli utenti e aggiorna l’offerta. Se qualcuno torna agli strumenti esterni, di solito è il segnale che manca una funzione.

Il ruolo dell’infrastruttura: AI privata nel cloud aziendale

Molte aziende pensano che per avere un’AI “tutta loro” servano investimenti enormi in hardware. Oggi non è così. Con il calcolo GPU in cloud si possono eseguire modelli linguistici aperti, adattarli ai documenti aziendali e renderli disponibili ai dipendenti, pagando solo le risorse che servono.

Con 7dCloud GPU i modelli girano sulla stessa infrastruttura sovrana di 7dCloud Flexy:

• i dati restano nel data center che scegli, anche in Unione Europea;
• le GPU possono essere dedicate o frazionate, in base al carico;
• l’accesso è protetto da reti private, firewall e autenticazione a più fattori;
• l’infrastruttura ha uno SLA del 99,999%.

In questo modo la shadow AI diventa AI aziendale: le persone continuano a lavorare con gli strumenti che trovano utili, ma i dati restano sotto il controllo dell’azienda.

In sintesi

La shadow AI non nasce dalla cattiva volontà, ma da un bisogno reale che l’azienda non ha ancora soddisfatto. La risposta più efficace non è il divieto, ma un’alternativa sicura, comoda e governata, sostenuta da regole chiare e da un’infrastruttura che tiene i dati dove devono stare.