Shadow AI in azienda: perché vietarla non basta e come governarla

In molte aziende l'intelligenza artificiale è già usata ogni giorno, solo che nessuno l'ha deciso. Dipendenti che incollano email, contratti o tabelle in assistenti gratuiti, account personali usati per lavoro, estensioni del browser installate senza chiedere: è la shadow AI, l'uso di strumenti di IA fuori dal controllo dell'azienda. In questo articolo spiego perché è un rischio concreto, perché vietarla raramente funziona e come governarla con un programma in sei passi.

Cos'è la shadow AI

La shadow AI è la versione del vecchio shadow IT applicata all'intelligenza artificiale: strumenti, account e servizi di IA usati per lavoro senza autorizzazione, senza un contratto aziendale e senza regole su quali dati si possono inserire. Le forme più comuni sono:

• assistenti di IA generativa usati con account personali gratuiti;
• estensioni del browser e plugin che leggono il contenuto delle pagine;
• funzioni di IA attivate dentro software già in uso senza una valutazione;
• servizi di trascrizione e sintesi delle riunioni collegati al calendario.

Perché è un tema del 2026

L'uso dell'IA in azienda cresce rapidamente. Secondo l'indagine Istat Imprese e ICT 2025, la quota di imprese con almeno 10 addetti che usano almeno una tecnologia di IA è passata dall'8,2% del 2024 al 16,4% del 2025. È un dato sull'adozione dichiarata dalle imprese; l'uso individuale e non autorizzato, per definizione, sfugge alle statistiche ed è spesso più ampio.

Nel frattempo gli obblighi sono già in vigore. L'articolo 4 dell'AI Act chiede dal 2 febbraio 2025 a chi usa sistemi di IA di garantire un livello sufficiente di alfabetizzazione del personale. Difficile dimostrarlo se l'azienda non sa nemmeno quali strumenti vengono usati.

I rischi concreti

Perché vietarla non basta

Il primo istinto è bloccare tutto. Nella mia esperienza di responsabile della sicurezza il divieto generalizzato produce quasi sempre l'effetto opposto: l'uso non sparisce, si sposta sul telefono personale e sul computer di casa, dove l'azienda non vede nulla. Le persone usano l'IA perché fa risparmiare tempo; se l'azienda non offre un'alternativa, se la procurano da sole.

La strada efficace è un'altra: dare strumenti approvati, regole chiare su cosa si può fare e controlli proporzionati sul resto.

Un programma in sei passi per la shadow AI

1. Fotografa l'uso reale. Un questionario anonimo e breve, insieme ai dati dei sistemi di rete, dice quali strumenti vengono usati e per cosa. Senza giudicare: serve a capire i bisogni.
2. Offri strumenti approvati. Uno o due servizi con contratto aziendale, condizioni sul trattamento dei dati verificate e account gestiti.
3. Classifica i dati. Tre livelli bastano: pubblico, interno, riservato. Per ciascuno, cosa si può inserire e in quali strumenti.
4. Scrivi una policy di una pagina. Regole semplici, esempi pratici, chi contattare. Ho proposto una struttura in policy aziendale sull'IA: modello e regole essenziali.
5. Forma le persone. Una formazione breve e pratica, che serve anche a rispettare l'obbligo di alfabetizzazione: la imposto come descritto in formazione obbligatoria sull'IA.
6. Controlla con misura. Blocco delle estensioni non approvate, gestione centralizzata degli account, verifica periodica dei nuovi strumenti richiesti.

Un esempio di regole per livello di dati

Esempio ipotetico di come una PMI può tradurre la classificazione in regole pratiche:

• Dati pubblici (testi del sito, schede prodotto già pubblicate): si possono usare negli strumenti approvati e, con attenzione, anche in quelli generici.
• Dati interni (procedure, verbali, bozze di offerte senza nomi dei clienti): solo negli strumenti approvati con account aziendale.
• Dati riservati (dati personali di clienti e dipendenti, contratti, prezzi, codice sorgente, dati finanziari non pubblicati): solo in strumenti approvati per quel tipo di dato, o mai.

Tre righe così, appese mentalmente accanto allo schermo, risolvono la maggior parte dei dubbi quotidiani. Il resto lo fanno la formazione e un referente a cui chiedere quando un caso non è chiaro.

Le domande da fare prima di approvare uno strumento

• Dove vengono conservati i dati e per quanto tempo?
• I contenuti inseriti vengono usati per addestrare i modelli?
• Esiste un contratto aziendale con impegni sul trattamento dei dati personali?
• È possibile gestire gli account in modo centralizzato e revocarli?
• Quali registri di attività sono disponibili?

Cosa fare adesso

Dedica una settimana alla fotografia dell'uso reale: è il passo che cambia la conversazione da «vietiamo» a «governiamo». Poi scegli gli strumenti approvati e pubblica una policy breve. Per capire a che punto è la tua azienda sugli obblighi già in vigore, puoi usare l'autovalutazione AI Act; se ti serve un supporto per impostare inventario, regole e formazione, trovi il mio approccio nella pagina sulla consulenza AI Act.