L’intelligenza artificiale è già entrata nelle aziende. Il problema è che spesso è entrata senza essere stata autorizzata, mappata o regolamentata.
C’è un rischio legato all’AI Act di cui si parla ancora troppo poco: non riguarda necessariamente l’intelligenza artificiale che l’azienda ha acquistato e inserito ufficialmente nei propri processi.
Riguarda soprattutto quella che i dipendenti utilizzano autonomamente ogni giorno.
È la cosiddetta Shadow AI: strumenti di intelligenza artificiale utilizzati senza una procedura aziendale, senza un registro interno e, spesso, senza che il management sappia esattamente quali dati vengono inseriti.
Il caso è molto più comune di quanto si possa pensare.
Un dipendente dell’amministrazione può utilizzare una piattaforma AI gratuita per analizzare un documento. Un addetto al customer care può farsi aiutare dall’intelligenza artificiale a preparare le risposte ai clienti. Un commerciale può utilizzarla per tradurre o sintetizzare informazioni. Un responsabile può caricare una presentazione, un contratto o un documento aziendale per ottenere una sintesi.
Lo fanno perché l’AI funziona, fa risparmiare tempo e aumenta la produttività.
E spesso non c’è alcuna cattiva intenzione.
Il problema nasce quando nessuno ha stabilito cosa si può fare, con quale strumento, con quali dati e sotto quale responsabilità.
AI Act: non è più il momento di aspettare
L’EU AI Act è il regolamento europeo che disciplina l’intelligenza artificiale secondo un approccio basato sul livello di rischio.
La sua applicazione è progressiva e nel 2026 entra in una fase particolarmente importante per le imprese.
Questo significa che non basta più chiedersi:
“La mia azienda utilizza l’intelligenza artificiale?”
La domanda corretta è:
“So esattamente quale intelligenza artificiale viene utilizzata nella mia azienda, da chi, per quali attività e con quali dati?”
È una differenza enorme.
Perché la compliance non riguarda soltanto l’acquisto di un software AI.
Riguarda anche il modo in cui l’organizzazione utilizza questi strumenti.
Il vero problema è ciò che non è stato mappato
Immaginiamo un’azienda con 30 dipendenti.
Il management dichiara di non utilizzare sistemi di AI particolarmente rilevanti.
Poi si scopre che:
- tre persone utilizzano chatbot generativi;
- il marketing crea immagini e testi con strumenti AI;
- il customer service utilizza l’AI per preparare risposte;
- l’ufficio commerciale carica documenti per ottenere analisi;
- qualcuno utilizza strumenti di traduzione automatica;
- un responsabile utilizza l’AI per analizzare CV o selezionare candidati.
A quel punto il problema non è più se l’azienda utilizza l’AI.
Il problema è che non sa di utilizzarla in modo strutturato.
Ed è qui che entra in gioco la Shadow AI.
La prima misura non è comprare un altro software
Di fronte alla nuova normativa, la reazione naturale di molte imprese potrebbe essere quella di acquistare una nuova piattaforma di gestione dell’intelligenza artificiale.
Non necessariamente è questo il primo passo.
Il primo passo è molto più semplice:
mappare.
Un’azienda dovrebbe iniziare a costruire un inventario degli strumenti AI utilizzati internamente.
Per ogni strumento occorre capire almeno:
Chi lo utilizza?
Per quale attività?
Quali dati vengono inseriti?
Lo strumento è autorizzato dall’azienda?
Qual è il fornitore?
Quale versione del servizio viene utilizzata?
L’attività produce decisioni o contenuti che possono avere effetti su clienti, lavoratori o altre persone?
Questo semplice esercizio può far emergere una quantità sorprendente di utilizzi non formalizzati.
Dai dati aziendali ai dati personali: dove aumenta il rischio
La questione diventa ancora più delicata quando l’AI viene utilizzata con informazioni riservate o dati personali.
Inserire in un servizio AI esterno un documento contenente informazioni commerciali, dati di clienti, informazioni sui dipendenti, contratti o dati finanziari non è un’operazione neutra.
Occorre sapere dove finiscono quei dati, come vengono trattati e quali condizioni contrattuali si applicano al servizio.
Qui l’AI Act non deve essere considerato isolatamente.
La gestione dell’intelligenza artificiale si intreccia con la disciplina sulla protezione dei dati personali, con la sicurezza informatica, con la riservatezza aziendale e con le procedure interne.
Per questo l’AI governance non è soltanto una questione dell’IT.
È una questione organizzativa.
Trasparenza, documentazione e formazione
Uno degli elementi centrali della normativa europea è la trasparenza nell’utilizzo dell’intelligenza artificiale.
In determinati casi, le persone devono essere informate quando interagiscono con un sistema AI o quando vengono esposte a contenuti generati o manipolati dall’AI.
Per i sistemi ad alto rischio gli obblighi sono ancora più articolati e comprendono, tra l’altro, requisiti di gestione del rischio, documentazione, registrazione, supervisione umana e qualità dei dati.
Non tutte le aziende sono automaticamente soggette agli stessi obblighi.
Ed è proprio questo uno dei motivi per cui la prima attività da fare è capire quali sistemi vengono utilizzati e in quale categoria rientrano.
Non si può gestire ciò che non si conosce.
E poi c’è la formazione
C’è un altro elemento spesso sottovalutato: le persone.
L’AI Act prevede specifici obblighi in materia di AI literacy, cioè di competenze e consapevolezza nell’utilizzo dell’intelligenza artificiale.
Non basta quindi scrivere una policy e archiviarla in una cartella.
Se un dipendente utilizza quotidianamente l’AI, deve sapere almeno:
- quali strumenti può utilizzare;
- quali informazioni può inserire;
- quali informazioni non deve inserire;
- quando è necessaria una verifica umana;
- quali utilizzi sono vietati o soggetti a particolari condizioni;
- chi deve essere coinvolto in caso di dubbio.
In altre parole, la governance dell’AI deve arrivare fino alla scrivania del lavoratore.
Il rischio non è soltanto la sanzione
Quando si parla di AI Act, il pensiero corre immediatamente alle sanzioni.
Ma per un’impresa il rischio potrebbe essere anche un altro.
Il contenzioso.
Un cliente potrebbe contestare l’utilizzo di un sistema di AI.
Un lavoratore potrebbe sollevare questioni relative all’utilizzo dell’intelligenza artificiale nei processi aziendali.
Un concorrente potrebbe contestare una pratica o una comunicazione.
Un’autorità potrebbe chiedere documentazione.
E in tutti questi casi la domanda potrebbe diventare molto semplice:
“Mi dimostri come viene utilizzata l’intelligenza artificiale nella sua azienda?”
A quel punto non è sufficiente rispondere:
“Non lo sappiamo, probabilmente la utilizza qualcuno.”
La checklist per ripartire dopo l’estate
Settembre può essere quindi il momento giusto per fare un vero AI check aziendale.
Non serve partire da un progetto gigantesco.
È possibile iniziare con cinque domande:
1. Quali strumenti AI vengono utilizzati oggi in azienda?
2. Chi li utilizza e per quali attività?
3. Quali dati vengono inseriti nei sistemi?
4. Quali utilizzi sono autorizzati e quali no?
5. Quali procedure e quali competenze servono per utilizzare l’AI in sicurezza?
Da queste risposte può nascere un vero sistema di governance: registro degli strumenti, classificazione dei rischi, policy aziendale, procedure operative, formazione del personale e verifica periodica.
L’AI non va fermata. Va governata.
Il punto non è vietare l’intelligenza artificiale.
Sarebbe probabilmente impossibile e, soprattutto, controproducente.
L’AI può aumentare produttività, efficienza e capacità competitiva delle imprese.
Ma proprio perché è diventata così semplice da utilizzare, non può più essere considerata un fenomeno esterno all’organizzazione.
L’errore più grande sarebbe pensare che la compliance inizi quando l’azienda compra un sistema AI.
In realtà, potrebbe essere già iniziata nel momento in cui un dipendente apre una chat AI e inserisce il primo documento aziendale.
La vera domanda, quindi, non è se nella vostra azienda esista la Shadow AI.
È molto probabile che esista già.
La domanda è:
sapete dove si trova?
