Governance
Shadow AI: rischi per dati e compliance e come gestirla
Redazione Delphis · Pubblicato il · 6 min di lettura
Lo shadow AI è l'uso di strumenti di intelligenza artificiale da parte di dipendenti o team senza che l'azienda li abbia valutati, autorizzati o ne conosca l'esistenza. Il caso tipico è una persona che usa un assistente AI su un account personale per riassumere un documento, scrivere un testo o analizzare dei dati di lavoro.
Non è un fenomeno marginale né, nella grande maggioranza dei casi, un atto di malafede. È il risultato di un bisogno reale che i canali ufficiali non hanno ancora soddisfatto. Capirlo è il primo passo per gestirlo, e va fatto prima di scrivere qualsiasi divieto.
Perché nasce lo shadow AI
Lo shadow AI cresce dove la distanza tra ciò che le persone vogliono fare e ciò che l'azienda mette a disposizione è maggiore. Le cause ricorrenti sono quattro.
- Strumenti ufficiali assenti o in ritardo. I processi di acquisto e valutazione sono più lenti dell'evoluzione degli strumenti, e chi ha un compito urgente cerca da solo.
- Licenze distribuite a pochi. Quando i seat sono assegnati a una parte dell'organizzazione, chi resta fuori trova alternative gratuite.
- Regole poco chiare. Se non esiste una policy comprensibile, ciascuno decide da sé cosa è lecito.
- Facilità di accesso. Molti servizi si usano in pochi secondi, con un browser e una mail personale.
Il risultato è una parte dell'uso che avviene su account personali e che resta invisibile alle console di amministrazione dei fornitori aziendali. Qualsiasi stima dell'adozione basata solo sulle licenze ufficiali è quindi incompleta: per questo la misura dell'adozione deve sempre includere un questionario.
Quali rischi comporta su dati e compliance
I rischi dipendono da quali informazioni vengono inserite e da quale servizio le riceve. Il contenuto normativo che segue è informativo e non sostituisce un parere legale.
Riservatezza e proprietà intellettuale
Documenti interni, codice sorgente, condizioni commerciali o strategie possono essere inseriti in servizi di cui l'azienda non conosce le condizioni di utilizzo dei dati. Senza un contratto, non c'è garanzia su conservazione, riutilizzo o accesso alle informazioni inserite.
Protezione dei dati personali
Se tra le informazioni inserite compaiono dati personali di clienti, candidati o colleghi, entra in gioco il GDPR. Gli aspetti da considerare riguardano la base giuridica del trattamento (art. 6), i principi generali come minimizzazione e limitazione delle finalità (art. 5), l'informativa agli interessati (artt. 13 e 14), l'eventuale nomina del fornitore a responsabile del trattamento (art. 28) e i trasferimenti verso Paesi terzi (capo V). In caso di trattamenti ad alto rischio può servire una valutazione d'impatto (art. 35). Con lo shadow AI nessuno di questi passaggi viene presidiato, perché l'azienda non sa che il trattamento avviene. Approfondiamo il tema in GDPR e AI generativa in azienda.
Sicurezza e supply chain
Per i soggetti rientranti nella NIS2 (Direttiva (UE) 2022/2555, recepita in Italia dal D.lgs. 4 settembre 2024, n. 138), i fornitori di servizi digitali fanno parte della catena di fornitura da presidiare. Un servizio AI non censito è un fornitore non valutato, con condizioni contrattuali, misure di sicurezza e sedi di trattamento sconosciute. Il collegamento tra NIS2 e AI richiede una valutazione dedicata, che parte dal censimento degli strumenti realmente in uso.
AI Act e qualità dell'uso
L'AI Act (Regolamento (UE) 2024/1689) prevede l'obbligo di alfabetizzazione in materia di AI (art. 4), applicabile dal 02/02/2025, e obblighi per chi impiega sistemi ad alto rischio. Se un caso d'uso sfugge al censimento, l'azienda non può sapere se rientra in una di queste categorie né se chi lo usa ha ricevuto una formazione adeguata. Per il calendario degli altri obblighi conviene verificare gli aggiornamenti.
Qualità delle decisioni
C'è anche un rischio non normativo: output non verificati, usati senza controllo in documenti o decisioni, con responsabilità che nessuno ha assegnato. I modelli possono produrre risposte plausibili ma errate, e chi lavora fuori dai canali ufficiali non ha indicazioni su come verificarle, né un riferimento a cui segnalare un problema.
Come rilevare lo shadow AI
Rilevare non significa sorvegliare. Con lo Statuto dei Lavoratori (Legge 20 maggio 1970, n. 300, art. 4) i controlli a distanza sono soggetti a limiti e condizioni, e per questo l'approccio preferibile è quello aggregato e dichiarativo. Il tema è sviluppato in monitorare l'uso dell'AI e Statuto dei Lavoratori.
Due fonti si integrano bene.
- Questionari. Brevi, anonimi o aggregati per reparto e ruolo, chiedono quali strumenti si usano, per quali attività, con quale frequenza e perché. Funzionano se è chiaro che non servono a sanzionare.
- Dati dei fornitori ufficiali. Le console di amministrazione espongono, in misura diversa, dati di utilizzo. Un reparto con bassa attività sugli strumenti ufficiali ma con risposte che dichiarano un uso intenso segnala un probabile ricorso ad alternative non autorizzate.
Il confronto tra le due fonti è il segnale più utile: la distanza tra uso dichiarato e uso ufficiale indica dove si concentra il fenomeno. Conviene anche leggere le risposte per caso d'uso, perché mostrano quali bisogni non trovano risposta.
Come gestirlo senza vietare tutto
Il divieto generalizzato è la reazione più comune e la meno efficace. Non elimina il bisogno, sposta l'uso su dispositivi personali e rende il fenomeno ancora meno visibile. Una gestione sostenibile procede per passi.
- Ascoltare. Lanciare il questionario e censire i casi d'uso emersi, senza conseguenze per chi risponde.
- Classificare. Distinguere gli usi a basso rischio (testi senza dati sensibili) da quelli che toccano dati personali, riservati o decisioni rilevanti.
- Offrire alternative ufficiali. Mettere a disposizione strumenti valutati, con contratti adeguati, per i bisogni più diffusi.
- Scrivere regole semplici. Una policy breve che dica cosa si può fare, cosa non si deve inserire e a chi chiedere. Vedi come scrivere una policy AI aziendale.
- Formare. Spiegare i rischi con esempi concreti, in linea con l'obbligo di alfabetizzazione dell'art. 4 dell'AI Act.
- Registrare i casi d'uso. Portare i casi emersi nel registro, assegnando un responsabile.
- Misurare di nuovo. Ripetere il questionario dopo qualche mese per verificare se la distanza tra uso dichiarato e uso ufficiale si riduce.
Il passaggio 3 pesa più di tutti: se lo strumento ufficiale è buono e accessibile, l'incentivo a cercarne altri cala. Vale la pena anche riconoscere chi ha sperimentato per primo: i casi d'uso emersi dallo shadow AI sono spesso i candidati migliori per un percorso ufficiale, perché nascono da un problema di lavoro concreto.
Limiti dell'approccio
Nessun metodo restituisce una fotografia completa. I questionari dipendono dalla fiducia delle persone e possono sottostimare. I dati dei fornitori vedono solo gli strumenti ufficiali. La stima dello shadow AI resta quindi un ordine di grandezza utile a decidere, non una misura esatta, e va presentata come tale.
Dove si colloca Delphis
Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Per lo shadow AI affianca ai dati di utilizzo dei fornitori questionari aggregati per reparto e ruolo, così da stimare l'uso non ufficiale senza valutare le persone una per una. La mappatura normativa aiuta a capire obblighi e gap, ma non è un parere legale. Vedi la pagina compliance.
Fonti
Domande frequenti
- Che cos'è lo shadow AI?
- È l'uso di strumenti di intelligenza artificiale da parte di dipendenti o team senza che l'azienda li abbia autorizzati o ne sia a conoscenza, tipicamente tramite account personali o servizi gratuiti.
- Perché vietare tutti gli strumenti AI non funziona?
- Il divieto non elimina il bisogno che spinge le persone a usare l'AI, sposta l'uso su dispositivi e account personali e rende il fenomeno ancora meno visibile. Funziona meglio offrire alternative ufficiali e regole chiare.
- Come si può rilevare lo shadow AI senza controllare i singoli dipendenti?
- Con questionari anonimi o aggregati per reparto e con l'analisi dei dati di utilizzo dei fornitori ufficiali, confrontata con ciò che le persone dichiarano. L'obiettivo è capire bisogni e rischi, non sorvegliare gli individui.
- Quali rischi comporta lo shadow AI per il GDPR?
- Dati personali possono essere inseriti in servizi senza una base giuridica valutata, senza accordi con il fornitore e senza informare gli interessati, con possibili trasferimenti verso Paesi terzi. È un rischio da valutare caso per caso.
Vuoi vederlo sui tuoi strumenti AI?
Una demo sui tuoi casi d'uso, con il nostro team e senza impegno.
Richiedi la mappa dei tuoi obblighi