C’è un esercizio che chi fa formazione nelle aziende ripete spesso, all’inizio dei percorsi sull’intelligenza artificiale: una rilevazione anonima, carta o modulo digitale, con una sola domanda vera. Quali strumenti di AI usate per lavorare, inclusi quelli che l’azienda non vi ha dato? Il risultato è costante al punto da essere prevedibile: l’uso non dichiarato supera quello autorizzato. Account personali gratuiti aperti sul telefono, testi aziendali riscritti dal chatbot la sera, traduzioni di documenti riservati fatte passare per lavoro proprio, riassunti di verbali generati e mai dichiarati.
Il fenomeno ha un nome, shadow AI, ricalcato sullo shadow IT che i responsabili dei sistemi informativi conoscono da vent’anni. Ma con una differenza che ne cambia la natura: lo shadow IT classico era fatto di software installati e chiavette, oggetti che un presidio tecnico poteva vedere e bloccare.
Lo shadow AI passa dal browser e dal telefono personale, non lascia tracce sui sistemi aziendali, e trasporta fuori dall’azienda la cosa che l’azienda dovrebbe proteggere di più: i suoi dati, dentro le finestre di chat di servizi consumer, con account privati, su server di cui nessuno ha letto le condizioni.
Indice degli argomenti
Perché la shadow AI si diffonde nelle PMI
La reazione istintiva delle direzioni è leggere lo shadow AI come indisciplina. È una lettura consolante e sbagliata. Il dipendente che usa di nascosto uno strumento generativo sta rispondendo razionalmente a tre condizioni che l’azienda ha creato o tollerato.
La prima: gli strumenti funzionano, e il beneficio è immediato e individuale. Chi scopre di poter dimezzare il tempo di stesura di un report non torna indietro perché una circolare glielo chiede. La seconda: l’azienda non ha fornito alternative. Dove non esiste uno strumento autorizzato, con un account aziendale e regole chiare, l’unica AI disponibile è quella gratuita e personale. La terza: nessuno ha mai spiegato quali rischi corrono i dati, e quindi, agli occhi di chi lo fa, il comportamento non è una violazione: è iniziativa.
Dati, qualità e obblighi di alfabetizzazione AI
Il rischio, intanto, è concreto e a doppio strato. C’è lo strato della protezione dei dati: anagrafiche clienti, condizioni commerciali, informazioni coperte da accordi di riservatezza che finiscono in servizi esterni senza alcuna base giuridica, un problema che il GDPR presidia da anni e che non ha bisogno dell’AI Act per esistere.
E c’è lo strato della qualità: output non verificati che entrano in documenti ufficiali, numeri inventati dallo strumento e mai controllati, testi con errori che nessuno rilegge perché “l’ha fatto l’AI”. Il primo strato può costare una violazione, il secondo costa reputazione a rate.
Dal febbraio 2025, peraltro, il quadro normativo ha messo il tema nero su bianco: l’articolo 4 del regolamento europeo chiede alle imprese di garantire un livello adeguato di alfabetizzazione all’AI nel personale che usa questi sistemi. Un’azienda con uso diffuso e sommerso di strumenti generativi e zero formazione erogata è, oltre che esposta sui dati, scoperta anche su questo fronte.
Il divieto aziendale spinge la shadow AI nel sommerso
Davanti alla scoperta del fenomeno, la prima tentazione è il divieto: circolare interna, blocco dei siti dai sistemi aziendali, richiamo generale. È la mossa che l’esperienza sconsiglia, per una ragione semplice: il divieto non ferma l’uso, lo sposta. Dal computer aziendale al telefono personale, dall’orario d’ufficio alla sera, dalla luce del sole al sommerso definitivo. L’azienda non guadagna sicurezza: perde visibilità, che è l’unica cosa peggiore del rischio, perché è il rischio senza la possibilità di gestirlo.
Il divieto ha anche un costo nascosto: comunica alle persone più intraprendenti, quelle che hanno cercato da sole un modo di lavorare meglio, che l’iniziativa è un problema. È il messaggio esattamente opposto a quello che serve a un’organizzazione che dovrà comunque, prima o poi, adottare questi strumenti.
Tre mosse per governare l’uso dell’AI nelle PMI
Cosa funziona, allora? Il percorso che dà risultati nelle aziende medie e piccole si articola in tre mosse, in quest’ordine, perché ognuna prepara la successiva.
Far emergere gli usi non dichiarati
La prima è l’emersione senza sanzione. Si dichiara apertamente una finestra di censimento: vogliamo sapere cosa usate, non per punire ma per decidere, e nessuno risponderà di ciò che dichiara. La rilevazione anonima in un contesto formativo è il veicolo ideale, perché colloca la domanda dentro un percorso di crescita e non dentro un’indagine. L’esito tipico sorprende le direzioni due volte: per l’estensione dell’uso, e per la qualità di alcune pratiche nate dal basso, che meritano di essere promosse a standard invece che represse.
Scrivere regole d’uso condivise
La seconda mossa è la regola d’uso, scritta con le persone e non contro di loro. Due pagine, non un tomo: quali dati non escono mai dall’azienda, personali, riservati, di clienti; quali usi sono incoraggiati e quali vietati; chi verifica gli output prima che entrino in documenti ufficiali; come si dichiara un contenuto generato.
La versione più solida di questo documento, nell’esperienza di chi scrive, nasce in aula: ogni blocco di lavoro sui casi reali si chiude con una regola formulata dai partecipanti, e a fine percorso le regole raccolte diventano la bozza della policy. Le persone rispettano ciò che hanno scritto.
Offrire un’alternativa AI autorizzata
La terza mossa è l’alternativa autorizzata. Nessuna regola regge se l’unico strumento disponibile resta l’account personale gratuito: serve almeno uno strumento approvato, con account aziendali, impostazioni verificate sul trattamento dei dati e un perimetro chiaro di casi d’uso. Non è necessario partire con piattaforme costose: è necessario partire, perché l’alternativa autorizzata è ciò che rende esigibile la regola e misurabile l’uso.
Tre mosse, un ordine preciso. Emersione prima delle regole, perché non si regola ciò che non si vede. Regole prima degli strumenti, perché lo strumento senza regole riproduce il problema con un logo aziendale sopra. E formazione come filo che tiene insieme tutto, perché è il luogo dove l’emersione avviene, le regole si scrivono e gli strumenti si imparano.
Dalla shadow AI a una risorsa per le PMI
Resta il rovesciamento finale, che è anche il più utile alle direzioni: lo shadow AI, governato, è una mappa gratuita del fabbisogno. Dice quali funzioni hanno più fame di automazione, quali persone sono già oltre la soglia dell’adozione, quali casi d’uso hanno superato la prova del lavoro vero. Sono informazioni che una consulenza farebbe pagare, e che l’azienda ha già in casa, sommerse solo perché nessuno ha mai garantito che dichiararle fosse sicuro.
Il compito della direzione non è spegnere questa energia. È darle un perimetro dentro cui diventare un vantaggio.
Partecipa alla community