In sintesi
Lo shadow AI è l'uso dell'intelligenza artificiale che il team fa per conto suo, con account personali e fuori da ogni regola. Il rischio principale non è la qualità degli output: è che listini, offerte, progetti e dati dei clienti escono dall'azienda. Se perdi la proprietà intellettuale perdi il cuore dell'azienda, e quel rischio è del titolare, non del dipendente.
Punti chiave
- Lo shadow AI non è un'eccezione: è quello che succede in ogni azienda dove l'AI non ha regole, strumenti approvati e permessi.
- Il dato che esce non è solo quello personale: sono listini, margini, offerte, disegni tecnici, codice. Cioè la proprietà intellettuale.
- Nel 2023 Samsung ha vietato ChatGPT dopo che alcuni ingegneri vi avevano incollato codice sorgente riservato.
- Il dipendente cerca di lavorare meglio. Il rischio lo porta l'azienda, e quindi chi la guida.
- La soluzione non è vietare: è dare strumenti controllati, permessi per ruolo e un modo per far emergere l'uso che già esiste.
In quasi tutte le aziende che incontriamo, l’AI è già entrata. Non dalla porta principale, con un progetto e un budget. Da quella di servizio: il commerciale che si fa scrivere le offerte da ChatGPT con il suo account personale, l’ufficio tecnico che incolla una specifica per avere un riassunto, l’amministrazione che carica un estratto dei margini per “farsi fare due conti”.
Nessuno lo fa con cattive intenzioni. Lo fanno per lavorare meglio. Ed è proprio questo il problema: siccome funziona, si allarga. E nessuno sa dove.
Questo si chiama shadow AI: l’intelligenza artificiale che il team usa per conto suo, fuori da ogni sistema.
Cosa succede davvero quando ognuno usa l’AI a modo suo
Il primo pensiero va di solito alla qualità: output diversi, errori, rework. È vero, ma non è il rischio principale.
Il rischio principale è cosa entra in quegli strumenti.
- Il listino con le condizioni riservate ai clienti migliori.
- L’offerta tecnica su cui l’ufficio ha lavorato tre settimane.
- Il disegno o la specifica di un prodotto.
- Il codice di un gestionale sviluppato in casa.
- L’elenco dei clienti con volumi e scadenze.
Quando questi dati finiscono in un account personale di un servizio AI, l’azienda perde il controllo su dove stanno, chi li vede e per quanto restano lì. Non serve un attacco informatico. Basta un copia-incolla.
Non è un’ipotesi: il caso Samsung
Nel 2023 Samsung ha scoperto che alcuni suoi ingegneri avevano incollato codice sorgente riservato in ChatGPT per farsi aiutare nel debug. La risposta dell’azienda è stata vietare l’uso degli strumenti di AI generativa ai dipendenti.
Se è successo in una delle aziende tecnologiche più strutturate al mondo, succede anche in una PMI da 40 persone. Con una differenza: la PMI di solito non se ne accorge.
Perché il rischio è del titolare, non del dipendente
Il dipendente che incolla l’offerta in ChatGPT sta cercando di risparmiare un’ora. Non sta pensando alla proprietà intellettuale. E non è il suo compito.
Il know-how di una PMI (come fa i prezzi, come progetta, come risolve i problemi dei clienti) è spesso l’unica cosa che la distingue dal concorrente. Se perdi la proprietà intellettuale, perdi il cuore della tua azienda. E quel cuore appartiene all’impresa, cioè a chi la guida.
C’è anche un lato di responsabilità. Se i dati di un cliente finiscono dove non dovevano, il cliente non chiede conto al dipendente. Chiede conto all’azienda. E dal 30 settembre 2026, in alcuni casi specifici (deepfake, sistemi AI ad alto rischio come quelli usati per selezionare il personale), l’uso dell’AI entra anche nella responsabilità 231 dell’ente: ne parliamo in D.Lgs. 160/2026: l’AI entra nel Modello 231.
Vietare non funziona
La reazione istintiva è quella di Samsung: vietiamo tutto. Per una PMI è quasi sempre la scelta sbagliata.
Il divieto non ferma l’uso. Lo sposta sul telefono personale, dove è ancora meno visibile. E toglie all’azienda un vantaggio reale: il team che usa bene l’AI lavora davvero più veloce.
La domanda giusta non è “l’AI sì o no”. È chi usa quale AI, con quali dati, con quali permessi, e chi controlla.
Come portare l’AI individuale dentro un sistema
1. Far emergere l’uso che esiste già
Prima di scrivere regole, chiedi. Senza punizioni. Quali strumenti usate, per fare cosa, con quali documenti. In genere la mappa che esce sorprende chi guida l’azienda.
2. Dare strumenti controllati al posto di quelli personali
Se il team usa l’AI perché gli serve, dagli uno strumento aziendale, con un contratto che garantisce che i dati non vengono usati per addestrare i modelli e con accessi gestiti dall’azienda. L’uso esce dall’ombra perché conviene, non perché è imposto.
3. Permessi per ruolo
Non tutti devono poter caricare tutto. Una regola semplice:
- dati pubblici o neutri: liberi
- documenti interni: solo negli strumenti aziendali
- listini, progetti, dati di clienti e dipendenti: solo in ambienti controllati, e solo per chi ne ha bisogno
4. Qualcuno che controlla
Ogni output che esce dall’azienda passa da una persona che lo verifica. È la regola più semplice e quella che evita più guai.
Le regole minime le abbiamo raccolte nella checklist operativa per la policy AI in PMI.
Il test dei 10 minuti
Se domani ti chiedessero quali strumenti AI usa il tuo team, con quali dati e chi controlla, sapresti rispondere in 10 minuti?
Se la risposta è no, lo shadow AI c’è già. Non è un problema dei tuoi collaboratori. È un sistema che manca.
Il modo più rapido per vedere dove sei è il diagnostico PMI: in pochi minuti capisci quanta AI c’è già in azienda e quanta di questa sta governando qualcuno.
Fonti e riferimenti
Domande frequenti
Cos'è lo shadow AI in una PMI?
È l'uso di strumenti di intelligenza artificiale fatto dai collaboratori per conto proprio, spesso con account personali gratuiti, senza che l'azienda sappia quali strumenti, su quali dati e con quali risultati.
Perché lo shadow AI è un rischio per il titolare e non solo per il dipendente?
Perché i dati che escono sono dell'azienda: offerte, listini, progetti, codice, informazioni sui clienti. Se la proprietà intellettuale finisce in strumenti non controllati, il danno competitivo e l'eventuale responsabilità verso clienti e partner ricadono sull'impresa.
Come si porta l'AI individuale dentro un sistema tracciato?
In tre passi: far emergere senza punizioni quali strumenti il team usa già, sostituirli con strumenti aziendali controllati, e assegnare permessi per ruolo su quali dati possono entrare nell'AI e chi valida gli output.
Fonti
Ultimo aggiornamento: