INDICE
COS’É LA SHADOW AI
I RISCHI DELLA SHADOW AI
SANZIONI E RESPONSABILITA’
COSA BISOGNA FARE
COS’É LA SHADOW AI
La Shadow AI è l’utilizzo non autorizzato e non governato dall’azienda di strumenti di intelligenza artificiale generativa (ChatGPT, Gemini, Copilot o altri applicativi analoghi) per la creazione, rielaborazione o controlli di contenuti. In questo contesto, l’AI viene impiegata come prassi informale fuori da policy, controlli, tracciabilità aziendali.
I RISCHI DELLA SHADOW AI
Nella normale quotidianità operativa, è sufficiente un copia e incolla su un chatbot o chiedere la traduzione di un testo interno per far uscire dal perimetro aziendale – ingenuamente – dati personali, informazioni su clienti e fornitori, documenti riservati e know how.
Sono gesti divenuti ormai abituali, spesso compiuti in buona fede perché è riconosciuto che l’AI fa risparmiare tempo ed efficienta i processi. Tuttavia se tali comportamenti avvengono al di fuori di un contesto governato diventano un rischio operativo e di conformità.
Non è però solo una questione di riservatezza dei dati perché subentra un rischio diverso derivante da decisioni basate su risposte non verificate, contenuti non coerenti con le procedure interne adottate dall’azienda o dall’Ente, errori che assurgono a verità perché sembrano credibili.
Insomma, dati che escono, output che entrano. Tutto succede nell’ombra e quando il danno emerge è già troppo tardi.
SANZIONI E RESPONSABILITA’
La regolamentazione europea sull’intelligenza artificiale impone un utilizzo responsabile e adeguatamente governato dei sistemi di intelligenza artificiale adottati all’interno delle organizzazioni, chiedendo quindi un approccio consapevole circa i processi e gli strumenti che vi si inseriscono.
In caso di violazioni sono previste sanzioni definibili rilevanti. Per le infrazioni più gravi, l’AI Act – Regolamento UE 2024/1689 cioè il riferimento regolamentativo al quale fare riferimento ed entrato in vigore il 1° agosto 2024 per disciplinare lo sviluppo, l’immissione sul mercato, la messa in servizio e l’uso dei sistemi AI in Europa – individua sanzioni amministrative fino a 35 milioni di euro, mentre sul territorio nazionale la legge n. 132/2025 ha introdotto anche profili di responsabilità penale personale.
COSA BISOGNA FARE
Quando strumenti, regole e processi non sono ancora definiti in modo operativo, è naturale che nascano scorciatoie generando il fenomeno della Shadow AI. Non serve bloccare tutto., serve governare.
Attraverso regole chiare, informazione e un controllo proporzionato al rischio, i processi si mantengono innovativi ed efficaci.
Cosa si può fare per gestire correttamente l’AI?
FASE 1 – GOVERNANCE & USE POLICY
Definizione di regole interne e responsabilità per prevenire e governare l’utilizzo non autorizzato di strumenti di intelligenza artificiale generativa stabilendo divieti, eventuali eccezioni autorizzate e disposizioni vincolanti per gli utilizzatori (ad esempio ChatGPT, Copilot e Gemini o altri strumenti di generazione automatica di testi o immagini).
Definizione e adozione della AI policy aziendale
Predisposizione della policy aziendale per l’uso dell’intelligenza artificiale generativa.
Il documento disciplina ruoli e responsabilità, ambiti di utilizzo consentiti e vietati, misure minime di sicurezza nonché eventuali meccanismi di autorizzazione preventiva e controllo.
La policy viene redatta in coerenza con le policy già vigenti in materia di protezione dei dati personali e sicurezza informatica.
Predisposizione delle procedure e delle istruzioni operative
Traduzione della policy in procedure e istruzioni operative applicabili ai processi aziendali con indicazioni pratiche sulla gestione dei dati e delle informazioni aziendali, utilizzo consentito o vietato degli strumenti, modalità di controllo interno e validazione dei contenuti eventualmente generati.
L’obiettivo è rendere le regole immediatamente applicabili e verificabili, garantendo un presidio organizzativo efficace e coerente con le esigenze aziendali.
FASE 2 – MANTENIMENTO, AGGIORNAMENTO E ASSISTENZA SULLA REGOLAMENTAZIONE INTERNA AI
Mantenimento e aggiornamento della documentazione e delle regole interne adottate dall’azienda in materia di utilizzo di strumenti di intelligenza artificiale generativa, al fine di garantirne l’efficacia nel tempo e l’allineamento rispetto all’evoluzione normativa e organizzativa.
#lavoriamoci
#lavoriamoci è la rubrica di approfondimento per aiutare la Pubblica Amministrazione e le aziende private a gestire le complessità del lavoro quotidiano
NOI ci appassioniamo
VOI trovate una soluzione
