AI e lavoro
Chi è senza peccato… lanci il primo prompt
Cosa succede quando decidiamo in autonomia di usare i modelli LLM a supporto del nostro lavoro di tutti i giorni? Si chiama AI Shadow: l'utilizzo non autorizzato di strumenti AI all'interno delle aziende. E riguarda già la maggioranza delle organizzazioni.
Secondo una recente survey di Gartner, il 69% delle organizzazioni sospetta o ha evidenza diretta che i propri dipendenti stiano usando strumenti di GenAI pubblici non approvati. Il 38% dei dipendenti condivide dati riservati con piattaforme AI senza autorizzazione, secondo la Cloud Security Alliance. Ogni prompt inviato a un LLM esterno è una potenziale esposizione: dati di clienti, del personale, informazioni strategiche, proprietà intellettuale.
Gartner prevede che entro il 2030 oltre il 40% delle organizzazioni globali subirà incidenti di sicurezza o compliance a causa di strumenti AI non autorizzati.
Eppure vietare l'utilizzo non è la risposta. Chi vieta l'AI perde opportunità, allontana i talenti più giovani — abituati a usare questi strumenti ogni giorno — e non fa altro che nascondere la testa sotto la sabbia.
Il walled garden
Una possibile soluzione è costruire un walled garden: uno spazio definito, ampio quanto serve, all'interno del quale i dipendenti hanno piena libertà di usare gli strumenti AI. Un perimetro governato fatto di strumenti approvati, contesti sicuri, regole chiare. Se c'è un'alternativa ufficiale, il problema Shadow AI si ridimensiona in maniera naturale.
Governare concretamente significa fare tre cose. Definire quali strumenti sono approvati e per quali casi d'uso. Formare le persone sui rischi reali: fuga di dati, violazioni normative, responsabilità. Costruire una cultura in cui il dipendente sappia distinguere cosa può fare e cosa no, e si senta responsabile delle proprie scelte.
Quest'ultimo punto è anche il più sottovalutato dal punto di vista legale.
Il problema è anche legale
Senza una policy formale, documentata e comunicata, non ci sono basi per procedere disciplinarmente in caso di violazione. In caso di data breach, la responsabilità ricade interamente sull'azienda, senza possibilità di redistribuirla. Una policy ben strutturata, al contrario, può essere considerata uno strumento di risk management a tutti gli effetti: non solo un documento di compliance, ma una protezione concreta.
La domanda non è "usiamo gli LLM in azienda?". È "chi ne governa l'utilizzo?". Nella tua azienda esiste un walled garden per l'AI, o sei in modalità io, speriamo che me la cavo?