In questo articolo
L’intelligenza artificiale è già entrata nelle aziende. A volte attraverso una strategia precisa, molto più spesso attraverso una scorciatoia.
Un dipendente deve riassumere un contratto e lo incolla in ChatGPT.
Un commerciale vuole migliorare una proposta e carica una bozza riservata su Claude.
Un reparto amministrativo chiede all’AI di sistemare una mail con dati cliente.
Un tecnico copia nella chat una procedura interna per farsela spiegare meglio.
Nella maggior parte dei casi non c’è cattiva intenzione. C’è fretta, curiosità, voglia di lavorare meglio. Ma il risultato può essere lo stesso: informazioni sensibili escono dal perimetro aziendale senza che nessuno se ne accorga.
È la nuova forma di “shadow AI”: l’uso di strumenti di intelligenza artificiale non autorizzati, non governati o semplicemente non compresi dall’azienda.
Il problema non è l’AI, è il dato inserito
ChatGPT, Claude e gli altri strumenti AI possono essere estremamente utili. Possono aiutare a scrivere, tradurre, riassumere, analizzare documenti, generare idee e velocizzare attività quotidiane.
Il punto non è demonizzarli.
Il punto è capire cosa ci viene inserito dentro.
Un conto è chiedere supporto per scrivere un testo generico. Un altro è caricare un contratto cliente, una trattativa commerciale, una strategia interna, un listino non pubblico, un database esportato dal CRM o una conversazione riservata.
La domanda corretta non è solo: “Quale AI stiamo usando?”
La domanda vera è: “Quali dati aziendali stiamo consegnando a quello strumento?”
Perché spesso il rischio non nasce dall’AI in sé, ma dall’abitudine più semplice del mondo: copiare e incollare.
Account personali e strumenti aziendali non sono la stessa cosa
Uno degli equivoci più pericolosi è pensare che “usare ChatGPT” o “usare Claude” significhi sempre la stessa cosa.
Non è così.
Un conto è usare un account personale, magari senza impostazioni corrette, senza controllo dell’azienda e senza policy interne. Un altro è usare strumenti business o enterprise configurati con criteri più adatti al contesto aziendale.
OpenAI dichiara che, per impostazione predefinita, non usa input e output dei propri prodotti business, inclusi ChatGPT Business, ChatGPT Enterprise e API, per addestrare i modelli. Anthropic dichiara in modo analogo che, di default, non usa input e output dei propri prodotti commerciali, come Claude for Work, Anthropic API e Claude Gov, per il training dei modelli.
Questo però non significa che qualunque uso sia automaticamente sicuro.
Significa che esiste una differenza importante tra un utilizzo improvvisato e un utilizzo progettato. Account aziendali, permessi, impostazioni, retention dei dati, accessi, formazione e regole interne fanno la differenza.
La fuga di dati può sembrare lavoro normale
Il problema della shadow AI è particolarmente insidioso perché non assomiglia a un attacco informatico.
Non c’è necessariamente un malware.
Non c’è per forza un hacker.
Non c’è sempre un alert di sicurezza.
C’è una persona che sta lavorando e che, per fare prima, usa uno strumento esterno.
Secondo Reco AI, nelle aziende tra 11 e 50 dipendenti il 27% dei lavoratori usa strumenti AI non approvati, e proprio le piccole imprese risultano tra le più esposte al rischio di shadow AI. Zscaler descrive il rischio in modo molto chiaro: la shadow AI crea esposizione perché invia dati sensibili all’esterno attraverso comportamenti che sembrano normale lavoro quotidiano.
Ed è questo il punto: la perdita di controllo può avvenire senza rumore.
Un documento riservato viene caricato per essere riassunto. Una mail interna viene trasformata in una risposta più elegante. Un file commerciale viene analizzato per estrarre punti chiave. Tutto sembra produttività. Ma senza regole, può diventare esposizione.
Vietare tutto non funziona
La reazione più semplice sarebbe bloccare ogni strumento AI. Ma nella pratica, spesso non funziona.
Perché le persone useranno comunque ciò che le aiuta a lavorare meglio, soprattutto se l’azienda non offre alternative chiare. Se l’AI fa risparmiare tempo, qualcuno proverà a usarla. Magari dal telefono personale, da un account privato o da un servizio non autorizzato.
Il vero obiettivo non dovrebbe essere proibire l’AI. Dovrebbe essere renderla utilizzabile in modo sicuro.
Questo significa definire quali strumenti si possono usare, con quali account, per quali attività e con quali categorie di dati. Significa spiegare cosa può essere inserito in una chat AI e cosa invece deve restare fuori. Significa formare le persone, non solo installare software.
Una policy AI non deve essere un documento lungo e burocratico. Deve essere una guida chiara per evitare errori banali.
La sicurezza dell’AI è una questione di governance
Usare l’intelligenza artificiale in azienda richiede una nuova forma di responsabilità digitale.
Non basta scegliere il modello più potente. Serve capire dove vanno i dati, chi può accedere agli strumenti, quali informazioni possono essere elaborate, quali attività devono restare interne e quali controlli servono.
In molti casi la soluzione può includere account business, strumenti approvati, permessi centralizzati, formazione del personale, classificazione dei dati, procedure interne e, quando necessario, soluzioni AI integrate nei sistemi aziendali.
Il punto non è rallentare il lavoro. È evitare che la velocità diventi superficialità.
L’AI può aiutare moltissimo, ma solo se entra in azienda con metodo. Altrimenti rischia di trasformare il copia e incolla in una nuova superficie di rischio.
Conclusione
Le aziende non devono avere paura dell’intelligenza artificiale. Devono avere paura dell’uso casuale dell’intelligenza artificiale.
ChatGPT, Claude e strumenti simili possono migliorare il lavoro quotidiano, ridurre tempi morti e rendere più efficienti molte attività. Ma quando vengono usati senza regole, possono esporre informazioni che l’azienda avrebbe dovuto proteggere.
La nuova fuga di dati non passa sempre da un attacco sofisticato.
A volte passa da un gesto semplicissimo: seleziona, copia, incolla.
Ed è proprio per questo che serve una strategia. Perché l’AI non va bloccata. Va governata.
Sono laureato in Ingegneria Informatica al Politecnico di Torino, con una forte passione per fotografia, informatica e video editing. Nel 2021 ho fondato PRODHERO, specializzata in contenuti video e fotografici di alto livello per aziende, negozi e privati. Successivamente ho ampliato il mio percorso nel mondo tech, sviluppando web app, automazioni e soluzioni AI personalizzate tramite CLOUDYNAMICS. Con focus su storytelling e tecnologia, aiuto i clienti a crescere e scalare. La mia passione è unire visione creativa e precisione tecnica per ottenere risultati che contano davvero.