Shadow AI: cos'è, esempi e rischi per l'azienda

Lo shadow AI è l'uso di strumenti di intelligenza artificiale, soprattutto generativa, per lavoro senza che l'azienda lo abbia autorizzato o lo sappia: assistenti conversazionali con account personali, estensioni del browser, trascrittori delle riunioni, funzioni di IA attivate dentro software già in uso. Il rischio principale è che dati aziendali e personali finiscano presso fornitori mai valutati, e che l'azienda resti responsabile di usi che non conosce.

Non è un problema di cattiva volontà. Chi incolla un contratto in un assistente generativo vuole finire prima. Il punto è che l'azienda, ai fini dell'AI Act e del GDPR, risponde di quell'uso anche se non lo ha scelto.

Cos'è lo shadow AI, con esempi concreti

IBM, nel Cost of a Data Breach 2025, lo descrive come l'uso non regolato e non autorizzato dell'IA dentro l'organizzazione. In pratica, i casi più frequenti sono questi:

• Assistenti generativi con account personali, usati per riassumere documenti interni, scrivere offerte, tradurre contratti o analizzare un export del gestionale.
• Trascrittori e assistenti per le riunioni collegati al calendario di una persona, che entrano nelle call con clienti e fornitori e ne salvano audio e verbali fuori dai sistemi aziendali.
• Estensioni del browser con funzioni di IA che leggono il contenuto delle pagine aperte, comprese quelle del CRM o della posta.
• Assistenti di programmazione usati con account propri, a cui si passa codice sorgente, chiavi di configurazione o log di produzione.
• Funzioni di IA accese dentro un SaaS già approvato: il software è autorizzato, ma la nuova funzione tratta i dati in modo diverso da quello valutato al momento dell'acquisto.

Lo shadow AI è una forma di shadow IT, cioè di strumenti usati fuori dal controllo dell'IT. Ha però due tratti suoi: i dati non vengono solo archiviati altrove, vengono elaborati e a volte usati dal fornitore; e l'output rientra nei processi aziendali, con errori che nessuno ha messo in conto.

Perché succede

Le cause sono quasi sempre organizzative, non tecniche:

• lo strumento personale è gratuito, immediato e utile, mentre quello aziendale non esiste o richiede settimane di approvazione;
• nessuno ha detto con chiarezza quali dati si possono inserire e quali no;
• le funzioni di IA arrivano con gli aggiornamenti dei software già in uso, senza un passaggio di acquisto che le faccia notare.

Per questo vietare e basta funziona poco: sposta l'uso su dispositivi e account personali, dove è ancora meno visibile.

I rischi concreti

Dati personali presso fornitori mai valutati

Se nell'assistente finiscono dati di clienti o dipendenti, il trattamento avviene presso un fornitore con cui l'azienda non ha un contratto. L'articolo 28 del GDPR, il regolamento (UE) 2016/679, chiede al titolare di ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, e di disciplinare il rapporto con un contratto o altro atto giuridico. Un account personale non passa da nessuna di queste verifiche. Se poi i dati vengono esposti, scatta l'articolo 33: il titolare del trattamento deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche. Le misure tecniche collegate sono nella scheda sull'articolo 32 del GDPR.

Segreti aziendali e codice

Offerte, listini, progetti, codice sorgente: informazioni che non sono dati personali ma che valgono. Senza un contratto aziendale non si sa con certezza per quanto tempo il fornitore le conserva, chi le può vedere e se le usa per addestrare i propri modelli. Sono le condizioni del servizio a dirlo, e con un account personale le ha accettate la singola persona, non l'azienda.

Output usati senza verifica

Un testo generato può contenere fatti inventati con un tono del tutto plausibile. Le FAQ della Commissione europea sull'alfabetizzazione in materia di IA, aggiornate il 27 luglio 2026, citano proprio le allucinazioni come rischio di cui informare chi usa un assistente generativo per scrivere o tradurre. Se un'offerta, una relazione tecnica o una risposta a un cliente esce senza controllo, l'errore è dell'azienda, non dello strumento.

Usi vietati o ad alto rischio, fatti senza saperlo

Qui lo shadow AI tocca l'AI Act in modo diretto. Due casi da conoscere:

• l'articolo 5, paragrafo 1, lettera f), del regolamento (UE) 2024/1689 vieta l'uso di sistemi di IA per inferire le emozioni di una persona fisica sul luogo di lavoro, salvo motivi medici o di sicurezza. Il divieto si applica dal 2 febbraio 2025;
• l'articolo 25, paragrafo 1, lettera c), considera fornitore di un sistema ad alto rischio anche il deployer che modifica la finalità prevista di un sistema, compreso uno per finalità generali, in modo tale che diventi ad alto rischio a norma dell'articolo 6. Fra i casi ad alto rischio dell'allegato III, punto 4, ci sono i sistemi per l'assunzione e la selezione del personale, compresi quelli per filtrare le candidature e valutare i candidati.

Un responsabile delle risorse umane che, di sua iniziativa, usa un assistente generico per scremare i curriculum non sta solo usando uno strumento non approvato: sta facendo una scelta che l'azienda deve poter valutare con il regolamento alla mano. Per i sistemi dell'allegato III il capo III, sezioni 1, 2 e 3, si applica dal 2 dicembre 2027 (articolo 113, come modificato dal regolamento (UE) 2026/1744). Chi è fornitore e chi è deployer, sistema per sistema, è spiegato nella guida su fornitore e deployer nell'AI Act.

Cosa dicono i numeri

Il Cost of a Data Breach 2026 di IBM, condotto dal Ponemon Institute su 602 organizzazioni che hanno subito una violazione fra marzo 2025 e febbraio 2026, mostra quanto è cresciuto il fenomeno in un anno:

• la quota di incidenti di sicurezza che coinvolgono lo shadow AI dell'organizzazione è più che raddoppiata, dal 20% dell'edizione 2025 al 43%;
• il costo medio di queste violazioni è salito a 5,39 milioni di dollari, contro i 4,63 milioni dell'anno prima;
• le conseguenze più frequenti sono state la perdita o compromissione di dati (49%) e l'interruzione dell'operatività (42%), e in circa un incidente su cinque le organizzazioni hanno dichiarato di aver pagato una sanzione;
• il 68% delle organizzazioni colpite non aveva una governance per gestire l'IA o rilevare lo shadow AI, contro il 63% dell'anno prima.

L'edizione 2025, la prima a misurare lo shadow AI, aveva rilevato anche che dove era molto diffuso la violazione è costata in media 670.000 dollari in più rispetto alle organizzazioni con un livello basso o nullo, e che negli incidenti con shadow AI sono stati compromessi più spesso i dati personali identificabili (65% contro una media globale del 53%) e la proprietà intellettuale (40% contro 33%).

Per l'Italia, il comunicato IBM sull'edizione 2026 indica fra i fattori che pesano di più sul costo di una violazione la mancanza di visibilità sul numero e sull'ubicazione delle applicazioni (shadow IT), con 162.544 euro.

Shadow AI e AI Act: cosa riguarda l'azienda

Per l'AI Act è deployer chi utilizza un sistema di IA sotto la propria autorità, fuori da un'attività personale non professionale (articolo 3, punto 4). Un dipendente che usa un assistente generativo per lavoro lo usa, di fatto, per conto dell'azienda.

L'obbligo che ne discende per primo è quello dell'articolo 4, sostituito dall'Omnibus digitale sull'IA, il regolamento (UE) 2026/1744: fornitori e deployer "adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA" del personale e di chi usa i sistemi per loro conto. Le FAQ della Commissione rispondono in modo esplicito al caso più comune: un'azienda i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre rientra nell'obbligo, e le persone vanno informate sui rischi specifici. Non serve un certificato: si può tenere un registro interno delle formazioni. Il dettaglio è nella guida sull'articolo 4 dell'AI Act.

Il problema dello shadow AI è che non si forma nessuno su uno strumento che non si sa di usare. L'inventario degli usi reali viene prima di tutto il resto.

In Italia la vigilanza sui sistemi di IA, comprese le attività ispettive e sanzionatorie, spetta all'ACN (legge 23 settembre 2025, n. 132, articolo 20), ferme le competenze di Banca d'Italia, CONSOB e IVASS. Il quadro nazionale è nella scheda sulla legge 132/2025.

E per NIS2 e ISO 27001?

Per un soggetto NIS2 lo shadow AI rende incompleti gli inventari. Fra le misure minime dell'articolo 24, comma 2, del D.Lgs. 138/2024 ci sono le pratiche di igiene di base e di formazione in materia di sicurezza informatica (lettera g) e la gestione dei beni e degli assetti (lettera i). Nella ISO/IEC 27001:2022 il tema emerge nei controlli 5.9 sull'inventario degli asset e 5.23 sull'uso dei servizi cloud. Un assistente generativo usato con dati aziendali è un servizio cloud a tutti gli effetti, e va trattato come tale.

Come far emergere lo shadow AI

Prima di scrivere regole serve sapere cosa si usa davvero. Cinque fonti, dalla più semplice:

1. Chiedere. Un questionario breve, dichiaratamente senza sanzioni, su quali strumenti di IA le persone usano e per cosa. Rende più di quanto ci si aspetti, perché chi li usa di solito pensa di fare bene.
2. Log di rete. DNS, proxy e firewall mostrano quali servizi di IA vengono raggiunti dalla rete aziendale e con che frequenza.
3. Autorizzazioni negli account aziendali. Le console di amministrazione della suite di produttività elencano le app di terze parti a cui gli utenti hanno dato accesso a posta, calendario e documenti: è lì che compaiono i trascrittori delle riunioni.
4. Estensioni del browser installate sui dispositivi gestiti.
5. Note spese e carte aziendali, dove compaiono gli abbonamenti attivati dai reparti.

A queste si aggiunge un controllo che spesso manca: rileggere le impostazioni dei SaaS già approvati per vedere quali funzioni di IA sono state attivate e se il contratto con il fornitore le copre.

Come gestirlo senza vietare tutto

1. Una policy d'uso breve e chiara. Quali strumenti sono approvati, quali dati non si inseriscono mai (dati personali di clienti e dipendenti, codice, informazioni riservate), chi verifica gli output prima che escano.
2. Un'alternativa approvata. Account aziendali su strumenti valutati, con un contratto che regoli conservazione e uso dei dati. Senza un'alternativa, la policy resta sulla carta.
3. Un canale rapido per chiedere strumenti nuovi. Una richiesta valutata in pochi giorni riduce la tentazione di fare da sé.
4. Formazione per ruolo e registro. È la misura dell'articolo 4, e può stare nello stesso ciclo del programma di security awareness.
5. Controllo periodico. Le fonti del paragrafo precedente si rileggono a intervalli fissi, perché gli strumenti cambiano ogni mese.

Chi vuole un impianto strutturato lo trova nella ISO/IEC 42001, la norma sul sistema di gestione dell'IA: il punto 5.2 chiede una politica, il 6.1.4 la valutazione dell'impatto dei sistemi di IA, i punti 7.2 e 7.3 competenze e consapevolezza. È lo stesso percorso descritto qui, reso verificabile da un terzo; come lo affrontiamo è nella pagina sulla ISO 42001.

In sintesi

Lo shadow AI è l'IA usata per lavoro senza che l'azienda lo sappia. I rischi sono dati presso fornitori mai valutati, output non verificati e, nei casi peggiori, usi vietati o ad alto rischio per l'AI Act. Si affronta in tre mosse: scoprire cosa si usa, offrire un'alternativa approvata con regole chiare, formare le persone e tenerne traccia.

Se volete capire quali sistemi di IA si usano davvero in azienda e cosa vi chiede l'AI Act, partite da una verifica con noi.