Shadow AI: il 64% dei tuoi dipendenti usa già IA non autorizzata

Il dato: adozione massiccia, visibilità quasi nulla

• Il 64% dei dipendenti ammette di usare strumenti di IA non autorizzati per lavoro.
• Il 73% delle aziende ha già integrato tecnologie di IA nelle proprie operazioni.
• Ma il 40% non dispone di policy interne per controllare l'uso di applicazioni di IA al di fuori dei processi autorizzati.
• Lo Shadow AI colpisce già il 65% delle aziende europee.
• Il 98% delle organizzazioni ha dipendenti che usano applicazioni di IA senza alcuna supervisione.
• Le fughe di dati legate allo Shadow AI costano in media 4,88 milioni di dollari per incidente.

È lo stesso schema già visto con gli agenti IA senza governance, ma un passo prima: qui non esiste nemmeno un agente implementato da governare — ci sono singoli dipendenti che prendono decisioni sugli strumenti per conto proprio, senza che l'azienda lo scopra mai.

Cos'è esattamente lo Shadow AI (e in cosa si differenzia da un agente senza governance)

Lo Shadow AI è l'uso di strumenti di intelligenza artificiale — chatbot, estensioni del browser, app mobili, assistenti di codice — da parte dei dipendenti, senza che IT o sicurezza ne siano a conoscenza o lo abbiano approvato. Non è un progetto di IA mal gestito: è nessun progetto affatto. Un commerciale che incolla i dati di un cliente in ChatGPT per redigere una proposta, o uno sviluppatore che incolla codice proprietario in un assistente IA gratuito per il debug, non sta usando un "agente aziendale" — sta usando il suo account personale, con le condizioni di un prodotto consumer, non quelle di un contratto aziendale.

La differenza rispetto allo Shadow IT di un decennio fa è la velocità e l'attrito: installare software non autorizzato richiedeva permessi da amministratore o quantomeno una certa conoscenza tecnica. Usare lo Shadow AI richiede solo un browser e un account email personale.

I rischi concreti

• Dati sensibili fuori dal tuo controllo. Dati dei clienti, cifre finanziarie o codice proprietario incollati in strumenti consumer possono essere archiviati o usati per addestrare modelli di terze parti, secondo termini di servizio che nessuno ha letto.
• Attrito normativo. Se quei dati includono informazioni personali, l'uso di uno strumento non verificato può diventare un problema di GDPR o di AI Act, non solo di sicurezza — senza che esista nemmeno una traccia di quanto accaduto.
• Rischio composto da cattive abitudini associate. Lo stesso profilo di dipendente che usa Shadow AI riutilizza le password nel 76% dei casi, usa wifi pubblico per lavorare nel 70% dei casi, e accede a risorse aziendali senza VPN nel 50% dei casi — lo Shadow AI raramente arriva da solo.
• Decisioni basate su output non verificati. Se nessuno sa quale strumento ha generato un'analisi o una risposta a un cliente, non c'è nemmeno modo di verificare se quella risposta fosse corretta.

Checklist per rilevare e controllare lo Shadow AI

1. Verifica cosa si sta già usando. Controlla il traffico di rete verso domini IA noti e la spesa sulle carte aziendali per abbonamenti non approvati — la maggior parte delle aziende si sorprende di quanto trova.
2. Pubblica una policy d'uso dell'IA chiara e breve. Quali strumenti sono consentiti, quale tipo di dati non deve mai essere inserito in essi, e a chi chiedere in caso di dubbio.
3. Offri alternative approvate. Se l'azienda non fornisce uno strumento di IA con garanzie, il dipendente userà quello gratuito. Approvare una o due opzioni con contratto aziendale cambia il comportamento senza dover inseguire nessuno.
4. Forma il personale su quali informazioni sono sensibili e perché non devono uscire dagli strumenti aziendali — la maggior parte degli usi a rischio dipende da ignoranza, non da malafede.
5. Dai priorità ai team più esposti (commerciale, assistenza clienti, sviluppo) per il monitoraggio e la formazione, invece di cercare di coprire tutta l'azienda in una volta.

Conclusione

Lo Shadow AI non è un rischio futuro — è una realtà presente nel 98% delle organizzazioni, la maggior parte delle quali non ne è consapevole. La differenza tra un'azienda esposta e un'azienda protetta non sta nel vietare l'IA, ma nel dare ai dipendenti una via approvata prima che ne trovino una senza supervisione da soli.

In Dataverse Solutions aiutiamo a verificare quali strumenti di IA circolano già nella tua azienda e a progettare la policy e le alternative approvate che rendono superfluo lo Shadow AI.

Domande frequenti