C'è qualcosa che sta succedendo nella tua azienda. Probabilmente in questo momento. E tu non lo sai.
Un tuo collaboratore ha appena inserito un contratto con un cliente all'interno di ChatGPT per farlo riassumere. Un altro ha incollato il listino prezzi aggiornato in un tool AI per riformattarlo meglio. Il responsabile commerciale usa Copilot dal suo account personale per preparare le offerte.
Nessuno di loro sta facendo nulla di sbagliato — almeno così credono. Stanno solo cercando di lavorare meglio, più velocemente e con gli strumenti ritenuti più comodi.
Il problema è che quei dati hanno appena lasciato la tua azienda. Silenziosamente. Senza che nessuno se ne accorga.
Si chiama Shadow AI. Ed è probabilmente il rischio digitale più sottovalutato del 2026.
Cos'è la Shadow AI — e perché è diversa da tutto quello che hai visto prima
La Shadow AI è l'uso di strumenti di intelligenza artificiale da parte dei dipendenti senza l'approvazione o la governance dell'azienda. Non è nuova come concetto ed esiste da quando esiste la Shadow IT, ovvero l'uso di software non autorizzati in azienda. Ma la Shadow AI è molto più pericolosa.
Perché?
Perché con la Shadow IT il dipendente usava Dropbox invece del server aziendale. Era molto fastidioso, ma tutto sommato gestibile.
Con la Shadow AI, invece, il dipendente inserisce dati riservati — contratti, offerte, dati clienti, informazioni finanziarie, proprietà intellettuale — in sistemi gestiti da aziende straniere, addestrati su quei dati, e potenzialmente accessibili a terzi.
La differenza non è di grado. È di natura.
I numeri che potrebbero tenerti sveglio la notte
Non sto parlando di scenari ipotetici, ma assolutamente di dati reali, recenti e verificabili:
- Il 90% dell'uso di AI in azienda avviene da account personali — fuori da qualsiasi controllo IT (Shadow AI Report 2025, JumpCloud)
- Solo il 19% delle imprese ha implementato una policy attiva sull'uso dell'AI generativa (Gartner, 2023)
- Il 58% dei dipendenti usa strumenti AI quotidianamente e quasi la metà ammette di caricare informazioni sensibili su piattaforme non autorizzate (KPMG)
- Il costo medio globale di un data breach ha raggiunto 4,88 milioni di dollari nel 2024 (IBM Cost of a Data Breach 2024)
Ora pensa alla tua azienda. Quanti dipendenti hai? Quanti di loro usano ChatGPT, Gemini, Copilot o altri strumenti AI dal loro account personale? Quante volte hanno incollato un documento, un'offerta, un database clienti in uno strumento AI non aziendale?
Se non lo sai, il problema è già lì.
Cosa rischia concretamente una PMI italiana
Lascia che ti faccia qualche esempio concreto — non scenari da film, ma situazioni che accadono ogni giorno.
Il tuo responsabile commerciale usa ChatGPT per migliorare le email ai clienti. Per farlo, incolla il testo con nomi, prezzi, condizioni contrattuali. Quei dati vengono elaborati su server americani, potenzialmente usati per addestrare il modello. Hai appena violato il GDPR — senza saperlo.
Un tuo tecnico usa uno strumento AI per ottimizzare del codice. Incolla il codice sorgente — che è proprietà intellettuale della tua azienda — in un sistema pubblico. Quel codice potrebbe non essere più solo tuo.
Il responsabile HR genera descrizioni di lavoro e valutazioni dei candidati con un chatbot AI. I dati dei candidati, protetti dal GDPR, finiscono su server di un'azienda americana soggetta al Cloud Act USA.
In tutti e tre i casi, nessuno aveva cattive intenzioni. Eppure le conseguenze legali, reputazionali ed economiche possono essere devastanti.
Il nodo normativo: GDPR, AI Act e Cloud Act
Qui la situazione si complica ulteriormente — e diventa il territorio in cui mi muovo ogni giorno.
La Shadow AI non è solo un problema di sicurezza informatica. È un problema di conformità normativa che le PMI italiane stanno quasi completamente ignorando.
Ogni volta che un dipendente inserisce dati personali in uno strumento AI non autorizzato, l'azienda potrebbe essere in violazione. La responsabilità ricade sul titolare del trattamento — che sei tu. Le sanzioni arrivano fino al 4% del fatturato mondiale annuo.
In vigore dall'agosto 2024 e pienamente applicabile dal 2026, si applica anche a chi usa sistemi AI — non solo a chi li sviluppa. Se i tuoi dipendenti usano strumenti AI, sei già un "deployer" soggetto agli obblighi del regolamento. Quanti lo sanno?
Se i tuoi dati finiscono su strumenti gestiti da aziende americane (OpenAI, Google, Microsoft), quei dati sono potenzialmente accessibili alle autorità americane, indipendentemente dal GDPR europeo. È la legge degli Stati Uniti. Non si discute.
Tre normative. Tre livelli di rischio. Una PMI italiana media non ha presidio su nessuno dei tre.
La buona notizia: non devi vietare l'AI
Vietare l'AI (a patto che si possa davvero fare) sarebbe inutile e controproducente.
L'AI è uno strumento potente che i tuoi collaboratori vogliono e useranno comunque, con o senza la tua approvazione. Vietarla non elimina il rischio, lo nasconde.
La risposta intelligente non è il divieto. È la governance.
Significa capire quali strumenti AI sono già in uso nella tua azienda, quali dati vengono condivisi, sotto quale giurisdizione operano i provider, e costruire una policy interna che permetta di usare l'AI in modo produttivo — ma sicuro, tracciabile e conforme alle normative.
Non è un'operazione tecnica. È una scelta strategica.
Da dove iniziare
Se hai letto fin qui, probabilmente ti stai chiedendo: "Ma nella mia azienda, come siamo messi?"
È la domanda giusta. E la risposta richiede un'analisi — non un'opinione.
Il mio metodo parte sempre da qui: raccogliere i dati, misurarli, e costruire una strategia su misura. Non un documento da cassetto — una roadmap concreta, con priorità chiare e azioni misurabili.
Se vuoi capire il livello di esposizione alla Shadow AI della tua azienda, possiamo farlo insieme in 30 minuti.
Nella tua azienda, come siete messi?
30 minuti, senza impegno. Analizziamo insieme la tua situazione e definiamo i primi passi concreti.
