Shadow AI: cos'è e perché riguarda il tuo studio o la tua azienda
Pubblicata il · Aggiornata il · Verificata il
«Shadow AI» è l’utilizzo di strumenti di intelligenza artificiale (AI) dentro uno studio o un’azienda senza che chi lo dirige lo sappia. Non è un termine giuridico: è un termine di gestione, preso dallo shadow IT, i programmi usati senza autorizzazione.
Perché ne parliamo? Perché non nasce da cattiva fede: questi strumenti sono gratuiti, si aprono in un browser e risolvono un problema reale in trenta secondi, senza chiedere permesso.
Guarda l’immagine in alto: attraverso una porta socchiusa, una persona lavora in una nicchia del corridoio con un portatile personale. Immaginiamo che usi uno strumento di AI. Il deployer di AI, cioè l’utilizzatore, è lo studio o l’azienda per cui lavora. Se il tuo studio o la tua azienda ha collaboratori che usano strumenti di AI per il lavoro, sei nel ruolo di deployer, anche se non lo sapevi.
Perché la shadow AI è un problema giuridico e non solo organizzativo?
Perché il deployer è chi usa un sistema di AI sotto la propria autorità (articolo 3, punto 4, del Regolamento (UE) 2024/1689, l’AI Act), e l’autorità non si sospende per ignoranza.
Se un dipendente utilizza uno strumento di intelligenza artificiale in azienda, anche se il titolare non ne è a conoscenza, ne è comunque responsabile. E questo è un bel problema, perché ci sono almeno tre questioni aperte:
Le misure di alfabetizzazione (articolo 4 dell’AI Act) riguardano chiunque usi sistemi di AI per conto dello studio o dell’azienda, compreso chi li ha introdotti di nascosto. L’uso nascosto da parte di un collaboratore non esonera quindi lo studio o l’azienda: l’articolo 4 chiede misure che sostengano l’alfabetizzazione di chi usa questi sistemi per suo conto, per esempio formazione e regole su quali strumenti usare e quando non farlo, e tenerne traccia permette di dimostrarle.
Sui dati personali dei clienti finiti in un servizio di AI mai valutato, non sapere non riduce la responsabilità del titolare: è un trattamento senza base giuridica né garanzie (GDPR, Regolamento UE 2016/679), e ne risponde lo studio o l’azienda. Aver formato il personale e dato regole scritte non cancella la violazione, ma pesa a favore nel calcolo della sanzione.
«Non lo sapevo» non è una difesa: è la descrizione del problema.
Come si riduce la shadow AI nello studio o nell’azienda?
Molti si sono prodigati a vietare direttamente l'utilizzo dell'AI in azienda. In realtà questo tipo di indicazioni produce solo shadow AI più nascosta e questo non fa altro che peggiorare il problema.
Servono invece due mosse: un inventario periodico, fatto chiedendo senza tono ispettivo, e una policy, cioè regole scritte, che dica cosa è permesso. Così chi vuole uno strumento nuovo sa a chi chiederlo.
Che cosa non è la shadow AI?
La shadow AI non è l’uso personale fuori dal lavoro, che non rientra nella definizione di deployer dell’AI Act. Ed è diversa dall’AI nascosta dentro software che già usi: quella è una funzione aggiunta dal fornitore, che va comunque censita, ma il problema lì è di informazione, non di controllo.
Domande frequenti
Come faccio a sapere quali strumenti di AI usano i miei collaboratori, cioè se nel mio studio c’è shadow AI?
Chiedendolo, quando la risposta non li mette nei guai: solo così l’inventario riflette quello che succede davvero.
Se vieto tutti gli strumenti di AI in studio, risolvo il problema della shadow AI?
No: la shadow AI resta, e la sposti fuori dalla tua visibilità.
L’AI dentro il gestionale che già uso conta come shadow AI?
No, perché è una funzione dichiarata dal fornitore e non nascosta, ma conta nell’inventario e va censita.