Shadow AI: governare l’uso non ufficiale dell’AI in azienda

Di cosa parla questa guida

Un addetto al servizio clienti incolla la mail di un cliente in un assistente gratuito per farsi scrivere una risposta più cortese. Un commerciale carica il listino riservato per generare una tabella comparativa. Nessuno dei due pensa di fare qualcosa di sbagliato, e tutti e due stanno praticando shadow AI: l’uso di strumenti di intelligenza artificiale fuori dal perimetro deciso e controllato dall’azienda.

È il seguito della vecchia shadow IT, con tre differenze che la rendono più difficile. La barriera d’ingresso è azzerata, basta una scheda del browser. Il confine è ambiguo, perché chiedere di sistemare una frase somiglia troppo a usare un correttore. E il dato non viene solo archiviato altrove: viene elaborato da un modello che, in certe configurazioni, lo conserva o lo usa per migliorarsi.

La guida ricostruisce le ragioni reali del fenomeno, che quasi mai sono l’indisciplina: pressione sui tempi, assenza di alternative ufficiali, mancanza di consapevolezza, esempio che arriva dall’alto. Poi misura i rischi su dati, riservatezza, conformità, sicurezza e qualità, e mostra perché il divieto generalizzato li peggiora invece di ridurli.

La risposta che funziona è opposta: far emergere l’uso reale senza colpevolizzare le persone, classificare i dati, offrire strumenti approvati almeno comodi quanto quelli clandestini, scrivere una policy breve e formare chi lavora.

Tre idee dalla guida

Le due domande che risolvono quasi ogni dubbio

Nessuno memorizza una tabella di classificazione mentre lavora sotto scadenza. La guida riduce la decisione a due domande in sequenza. La prima: se questo testo finisse pubblicato online o nelle mani di un concorrente, sarebbe un problema? Se la risposta è sì, quel contenuto non va su uno strumento non approvato. La seconda: userei questo risultato così com’è, senza che nessuno lo controlli, per una decisione che conta? Se la risposta è sì, serve una verifica umana prima di procedere. La prima governa il rischio sui dati in entrata, la seconda quello sulla qualità in uscita.

Il giorno dopo la circolare

Lunedì la direzione vieta l’uso dell’AI con i dati aziendali. Martedì i siti più noti vengono bloccati sulla rete dell’ufficio. Mercoledì le stesse persone usano gli stessi strumenti dal telefono personale, dove l’azienda non ha alcun titolo per guardare. Il bilancio a una settimana è il peggiore possibile: l’uso non è diminuito, la visibilità è crollata, la fiducia si è incrinata e i dati continuano a uscire senza che nessuno lo veda. Non è un argomento contro le regole, è un argomento contro le regole senza alternative: si vieta l’uso pericoloso, non l’uso.

Quando i numeri che peggiorano sono una buona notizia

Misurare la governance non significa contare quante volte si usa l’assistente, ma capire se l’uso si sta spostando dall’ombra alla luce. Quando funziona, alcuni indicatori salgono: più segnalazioni spontanee, più incidenti registrati, più usi dichiarati. Non è un peggioramento, è emersione. Il vero allarme è opposto: un’azienda con zero segnalazioni e nessun incidente registrato quasi sempre non è sicura, semplicemente non vede. Bastano quattro misure lette insieme ogni trimestre, mai trasformate in una pagella per colpire le persone, altrimenti smettono di essere attendibili.