Un dipendente incolla un contratto riservato in ChatGPT per farsi scrivere un riassunto. Un altro carica l'elenco clienti su uno strumento di generazione testi per preparare una mail commerciale. Nessuno dei due pensa di fare qualcosa di sbagliato, eppure entrambi hanno appena fatto uscire dati aziendali da ogni perimetro di controllo. Questo fenomeno si chiama Shadow AI ed è diventato, secondo i dati più recenti, una delle prime cause di fuga di informazioni nelle aziende.
Che cos'è la Shadow AI e perché riguarda anche le piccole imprese
Con Shadow AI si intende l'uso di strumenti di intelligenza artificiale generativa (chatbot, assistenti di scrittura, generatori di immagini, plugin di IA integrati nel browser) senza che l'azienda li abbia autorizzati, configurati o anche solo censiti. A differenza della tradizionale Shadow IT, qui il problema è più subdolo: i dati inseriti in questi strumenti possono essere conservati dal fornitore, usati per addestrare modelli futuri o semplicemente finire su server fuori dal controllo dell'azienda, senza possibilità reale di recuperarli o cancellarli in un secondo momento.
Il fenomeno non riguarda solo le grandi multinazionali. Anzi, nelle PMI italiane è spesso più diffuso proprio perché mancano policy scritte, strumenti aziendali alternativi e un responsabile IT che se ne occupi a tempo pieno. Secondo diverse analisi italiane pubblicate negli ultimi mesi, la maggior parte dei dipendenti che usa IA non approvata lo fa in buona fede, per lavorare più velocemente, non per aggirare le regole: proprio per questo i divieti generici si sono rivelati storicamente inefficaci.
I numeri che preoccupano: cosa dice il report 2026 sui data breach
L'edizione 2026 del Cost of a Data Breach Report di IBM, uno dei riferimenti più citati a livello mondiale sul tema, riporta che gli incidenti legati alla Shadow AI sono saliti al 43% del totale delle violazioni di dati analizzate, contro il 20% rilevato appena un anno prima. Il costo medio di una violazione collegata a uso improprio dell'IA ha raggiunto i 5,39 milioni di dollari, con un sovrapprezzo medio di circa 670.000 dollari rispetto alle aziende che non presentano questo problema.
Ancora più significativo per chi si occupa di sicurezza nelle PMI è un altro dato: il 68% delle organizzazioni colpite da un incidente di questo tipo non aveva alcuna policy sull'uso dell'intelligenza artificiale, e il 92% non disponeva di controlli d'accesso adeguati agli strumenti di IA utilizzati dal personale. Non è quindi un problema di tecnologia esotica o di attacchi sofisticati: è un problema di governance che manca quasi del tutto, anche in realtà strutturate.
I rischi concreti per una PMI italiana
Per un'impresa di produzione, un commercialista, uno studio tecnico o un'azienda di servizi, i rischi legati alla Shadow AI si traducono in problemi molto pratici:
- Fuga di dati riservati: contratti, listini, progetti, dati di clienti e fornitori caricati su piattaforme esterne senza alcuna garanzia su dove finiscano o per quanto tempo restino accessibili.
- Violazioni normative concrete: oltre al GDPR, entra in gioco l'AI Act europeo, il cui articolo 4 impone a ogni organizzazione, indipendentemente dalle dimensioni, di garantire un livello adeguato di alfabetizzazione sull'IA al personale che utilizza questi strumenti, con controlli delle autorità nazionali già avviati da agosto 2026. Per le imprese soggette a NIS2 si aggiunge anche il tema della gestione del rischio della catena di fornitura software.
- Contaminazione del codice e dei documenti: contenuti generati da IA pubblica possono introdurre errori, licenze non conformi o vulnerabilità che nessuno ha verificato prima di essere usati in produzione.
- Superficie d'attacco più ampia: dati aziendali finiti in ambienti non controllati possono poi essere sfruttati per campagne di phishing mirato o contenuti deepfake più credibili, perché costruiti su informazioni reali dell'azienda.
Vietare non funziona: come costruire una governance efficace
L'esperienza di questi ultimi mesi conferma che bloccare genericamente l'accesso a ChatGPT e strumenti simili non riduce il fenomeno, lo sposta solo su smartphone personali e connessioni non aziendali, rendendolo ancora più difficile da monitorare. Le misure che stanno dando risultati migliori sono altre:
- Mappare gli strumenti realmente in uso, parlando con i reparti e osservando il traffico di rete verso i servizi di IA più diffusi, prima di scrivere qualsiasi regola.
- Definire una policy scritta e semplice, che indichi quali strumenti sono ammessi, quali dati non possono mai essere inseriti e chi risponde in caso di violazione, in coerenza con gli obblighi di formazione dell'AI Act.
- Offrire alternative aziendali approvate, con licenze che garantiscano che i dati non vengano riutilizzati per addestrare modelli di terzi: è il modo più efficace per ridurre l'incentivo a usare strumenti non controllati.
- Introdurre controlli tecnici mirati, come il monitoraggio del traffico verso i principali servizi di IA generativa e soluzioni di data loss prevention pensate per questo tipo di traffico.
- Formare periodicamente il personale, non con un corso una tantum ma con richiami regolari, documentando la formazione erogata come richiesto dalla normativa.
Per una PMI che non ha una struttura IT interna dedicata, mappare gli strumenti in uso, scrivere una policy sensata e scegliere soluzioni di IA aziendali realmente sicure è un lavoro che richiede competenze specifiche e tempo che spesso manca. Hi-Keep segue le aziende proprio in questo percorso: dall'analisi di quali strumenti di intelligenza artificiale vengono già usati in azienda, alla definizione di una policy chiara e sostenibile, fino all'individuazione di soluzioni IA professionali che offrano le stesse comodità degli strumenti pubblici senza esporre i dati aziendali a rischi incontrollati.