La Shadow AI è l’uso di strumenti di intelligenza artificiale da parte di dipendenti o collaboratori senza autorizzazione, supervisione o regole aziendali adeguate. Si verifica, per esempio, quando una persona utilizza autonomamente un chatbot generativo, un assistente per riunioni o un’applicazione AI per elaborare documenti di lavoro, senza che l’azienda sappia quali dati vengono condivisi e come vengono prodotti i risultati.
Il termine richiama il concetto di “shadow IT”, cioè l’impiego di tecnologie non approvate dall’organizzazione. La differenza è che gli strumenti AI non si limitano a conservare o trasferire informazioni: possono anche rielaborarle, generare nuovi contenuti e influenzare decisioni operative.
La Shadow AI non deriva necessariamente da comportamenti irresponsabili. Spesso nasce dal tentativo di lavorare più velocemente, ridurre attività ripetitive o sperimentare strumenti facilmente accessibili. Un responsabile commerciale potrebbe usare un chatbot per sintetizzare informazioni su un cliente; il marketing potrebbe affidargli bozze di campagne; un collaboratore potrebbe caricare una registrazione in un servizio di trascrizione automatica.
Il problema emerge quando queste attività avvengono senza verificare:
Vietare genericamente l’intelligenza artificiale raramente risolve il problema: può semplicemente rendere il suo utilizzo meno visibile. È più utile offrire alternative approvate e indicazioni comprensibili.
Il rischio più evidente riguarda la condivisione di dati personali, informazioni riservate, documenti contrattuali, listini, credenziali o conoscenze interne con servizi esterni non valutati. Anche un prompt apparentemente innocuo può contenere dettagli sufficienti per rivelare strategie, identità di clienti o procedure aziendali.
Esistono inoltre rischi legati alla qualità. Un sistema generativo può produrre risposte incomplete, inesatte o non coerenti con le fonti aziendali. Se l’output viene utilizzato senza controllo in un’offerta commerciale, in una comunicazione pubblica o in un’analisi, l’errore può propagarsi rapidamente.
Altri problemi possibili sono la duplicazione degli abbonamenti, la difficoltà di ricostruire come è stato creato un contenuto, l’uso di materiali protetti e la dipendenza da strumenti che l’azienda non ha selezionato. La Shadow AI riduce inoltre la capacità di assegnare responsabilità precise quando l’intelligenza artificiale interviene in un processo.
La gestione della Shadow AI fa parte dell’AI governance: l’insieme di responsabilità, procedure e controlli con cui un’organizzazione decide come adottare e monitorare i sistemi di intelligenza artificiale.
Il tema può intrecciarsi con la protezione dei dati, la sicurezza informatica, gli obblighi contrattuali e il quadro normativo europeo. L’applicabilità dei singoli obblighi previsti dall’AI Act dipende però dal sistema utilizzato, dal ruolo dell’organizzazione e dal contesto d’uso. Non ogni impiego non autorizzato ricade automaticamente nella stessa categoria di rischio, ma l’assenza di un inventario rende più difficile effettuare una valutazione corretta.
Per questo è utile considerare la Shadow AI non soltanto come un problema informatico, ma come una questione organizzativa che coinvolge direzione, IT, risorse umane, legale, privacy e responsabili dei processi.
Un’azienda può partire da una ricognizione concreta, evitando un controllo puramente punitivo. Interviste ai responsabili, questionari interni e analisi dei processi aiutano a capire quali strumenti vengono già utilizzati e per quali necessità.
Le domande più utili sono semplici: quale attività si vuole accelerare? Quali dati vengono inseriti? Il risultato viene controllato? L’output influenza clienti, dipendenti o decisioni importanti? Esiste uno strumento aziendale approvato che svolge la stessa funzione?
L’obiettivo non è soltanto compilare un elenco di software, ma collegare ogni strumento a un caso d’uso, a un proprietario interno e a un livello di rischio.
Una strategia proporzionata può includere:
Il riferimento operativo dovrebbe essere una policy AI aziendale breve, accessibile e coerente con le attività reali. La policy da sola, tuttavia, non basta: deve essere accompagnata da strumenti utilizzabili, responsabilità definite e un canale per chiedere chiarimenti.
La presenza di Shadow AI può indicare che le persone hanno già individuato attività in cui l’intelligenza artificiale genera valore. Questa domanda interna può diventare un punto di partenza per selezionare progetti ufficiali, integrare controlli e scegliere soluzioni più adatte ai dati aziendali.
Quando le informazioni sono particolarmente sensibili, può essere opportuno valutare architetture e modalità di utilizzo differenti. Il confronto tra AI online e AI in locale aiuta a comprendere alcune opzioni, senza presumere che una configurazione sia sempre migliore dell’altra.
Governare la Shadow AI significa quindi rendere visibile ciò che già accade, valutare i rischi caso per caso e trasformare sperimentazioni isolate in modalità di lavoro controllate. Il risultato atteso non è eliminare ogni iniziativa individuale, ma consentire un uso dell’AI compatibile con dati, responsabilità e obiettivi dell’azienda.