Shadow AI: i tuoi dipendenti usano già l’intelligenza artificiale (e tu non lo sai)

C’è un’assemblea che nella tua azienda non si è mai tenuta, eppure ha già preso una decisione importante: quella in cui si è stabilito che l’intelligenza artificiale entra nei processi. Non l’ha convocata la direzione. L’hanno fatta, uno alla volta e senza dirselo, i collaboratori che incollano un contratto dentro un chatbot per farselo riassumere, che chiedono a un assistente di riscrivere una mail al cliente, che caricano un elenco di anagrafiche per farlo ripulire. Si chiama shadow AI: l’uso di strumenti di intelligenza artificiale dentro l’azienda, senza che l’azienda lo sappia.

Che cos’è la shadow AI (e perché non è sabotaggio)

Il termine ricalca la vecchia “shadow IT”, il software installato dalle persone per conto proprio. La differenza è che qui non serve installare niente: basta un browser e un account personale gratuito. Ed è proprio questa assenza di attrito a rendere il fenomeno molto più diffuso di quanto le direzioni immaginino.

Il punto da capire subito è che la shadow AI non nasce da cattive intenzioni. Nasce da persone che vogliono lavorare meglio e più in fretta, e che di fronte a uno strumento che funziona non aspettano una circolare. Chi la tratta come un atto di indisciplina sbaglia diagnosi: è un sintomo di domanda interna non gestita.

I tre rischi concreti per una PMI

1. I dati escono e non tornano indietro

È il rischio più serio. Un preventivo, un listino, un elenco di clienti, il testo di un contratto: quando finiscono in un servizio consumer gratuito, escono dal perimetro aziendale e finiscono su server che non controlli, spesso fuori dall’Unione Europea. Se contengono dati personali — nomi, email, informazioni su clienti o dipendenti — sei di fronte a un trattamento che nessuno ha valutato e nessuna informativa copre. Per lavorare su documenti riservati esistono soluzioni pensate apposta, dai sistemi documentali con assistenti che leggono solo i tuoi file fino all’inferenza in locale, dove il dato non lascia mai l’azienda.

2. Nessuno controlla la qualità di quello che esce

Un testo generato senza verifica può contenere un dato sbagliato, una promessa commerciale che non puoi mantenere, una condizione contrattuale inventata di sana pianta. Se quel testo arriva a un cliente con la tua firma, il problema è tuo — non dello strumento. E la responsabilità di quanto pubblichi o dichiari resta interamente aziendale.

3. La conformità non guarda in faccia le dimensioni

Gli obblighi europei sull’intelligenza artificiale non hanno soglie dimensionali: valgono anche per l’impresa con cinque dipendenti. Fra questi c’è l’obbligo di garantire al personale un livello adeguato di alfabetizzazione sull’AI, cioè di far sapere alle persone che cosa stanno usando e con quali limiti. Se poi pubblichi contenuti generati o usi un assistente che parla con i clienti, entrano in gioco anche gli obblighi di trasparenza dell’AI Act. Difficile rispettarli su strumenti di cui ignori l’esistenza.

Perché vietare non funziona

La reazione istintiva è la circolare che proibisce tutto. Non funziona, per un motivo semplice: non è verificabile. L’AI usata da un account personale su un telefono personale è invisibile a qualsiasi controllo aziendale. Il divieto non elimina la shadow AI, la rende soltanto più silenziosa — e ti toglie l’unica cosa che ti serviva davvero, cioè sapere che cosa succede.

Il paradosso è che il divieto punisce esattamente le persone più motivate: quelle che cercavano un modo per fare meglio il proprio lavoro.

La via praticabile: emergere, non vietare

• Chiedi, senza processi. Una domanda diretta al team — “quali strumenti di AI usi e per cosa?” — con la garanzia esplicita che non è un’indagine disciplinare. È l’unico modo per avere la mappa reale.
• Scrivi una pagina, non un regolamento. Una pagina sola: quali strumenti sono ammessi, quali dati non escono mai dall’azienda (dati personali, contratti, listini, credenziali), che cosa va sempre riletto da una persona prima di uscire.
• Dai un’alternativa migliore. La shadow AI sparisce quando lo strumento aziendale è più comodo di quello personale. Un assistente configurato sui tuoi documenti batte un chatbot generico su ogni domanda che riguarda la tua azienda.
• Forma davvero le persone. Due ore ben spese valgono più di dieci pagine di policy: riconoscere quando lo strumento sta inventando, capire quali informazioni non si incollano mai, sapere chi validare cosa.
• Rivedi ogni tre mesi. Gli strumenti cambiano in fretta; una policy scritta una volta e archiviata invecchia in un trimestre.

Il vantaggio nascosto

C’è un lato positivo che quasi nessuno vede. La shadow AI è, di fatto, una ricerca di mercato gratuita fatta dai tuoi collaboratori: dice esattamente dove il lavoro è ripetitivo, dove le persone perdono tempo, quali processi meritano di essere automatizzati per primi. Chi la porta alla luce non scopre solo un rischio: scopre la lista delle priorità per il proprio progetto di AI aziendale, già validata sul campo da chi quel lavoro lo fa ogni giorno.

In Le Due G Creators affianchiamo le PMI in questo passaggio: mappiamo l’uso reale degli strumenti, definiamo regole comprensibili e sostituiamo le scorciatoie rischiose con agenti AI e automazioni costruiti sui dati dell’azienda, sotto controllo e conformi alle norme.

Vuoi sapere che cosa sta già succedendo nella tua azienda e metterlo in sicurezza? Prenota una consulenza gratuita e facciamo insieme la mappa.