L’intelligenza artificiale entra nelle aziende anche al di fuori degli strumenti e dei processi ufficialmente adottati. Account personali, chatbot gratuiti e applicazioni utilizzate senza linee guida alimentano il fenomeno della Shadow AI, mentre le imprese cercano di definire modalità di utilizzo più sicure e consapevoli.
Secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano, solo un lavoratore su cinque utilizza esclusivamente strumenti AI approvati dalla propria azienda. Un dato che evidenzia quanto l’adozione dell’intelligenza artificiale stia procedendo anche al di fuori dei perimetri definiti dalle organizzazioni.
Di questo scenario e delle sfide legate alla AI Governance abbiamo parlato con Silvia Soldani, co founder e responsabile AI di Scroller, data intelligence company che lavora con brand ed e-commerce, e che ha aperto un'area dedicata all'AI Governance.
Silvia Soldani
Il dibattito sull'AI nelle aziende sta cambiando. In che direzione?
Dopo la fase in cui tutti volevano provare tutto, stiamo vivendo una fase di maturazione. Le aziende si stanno accorgendo che l'AI è come si suol dire “entra dal basso”, spesso senza passare attraverso canali di sicurezza informatica o da una decisione condivisa. Oggi la questione non è più se usare l’Ai in azienda o meno. È come farlo senza perdere il controllo dei propri dati e del proprio lavoro.
Che cos'è la Shadow AI, senza usare troppi tecnicismi?
È l'AI che entra in azienda dalla porta di servizio. Nessuno all’interno l'ha scelta, nessuno ha stabilito come usarla e ha dettato delle regole. Una persona la usa per finire prima un compito, funziona, e la settimana dopo la utilizza tutto l’ufficio. Niente di fondamentalmente sbagliato, ma siamo di fronte a una tecnologia che arriva in azienda prima di essere regolamentata.
Come viene utilizzata la Shadow Ai in azienda?
La si può vedere nei dettagli operativi di ogni giorno. Chi seleziona il personale e chiede a una chat di fare una prima scrematura dei curriculum, oppure chi in amministrazione incolla i numeri di bilancio per avere un riassunto al volo, chi prepara una proposta e ci mette dentro il listino prezzi. Sono azioni compiute tutti i giorni, fatti per lavorare meglio. Ma se nessuno in azienda sa dire quali strumenti si usano e con quali account, la Shadow AI c'è già.
Cosa trovi quando guardi da vicino come lavora un'azienda?
Quasi sempre le stesse cose. La prima: l'AI la usano tutti, molto più di quanto il vertice immagini. La seconda: in quelle chat finiscono informazioni che non dovrebbero uscire. Dati di clienti, prezzi, contratti, progetti non ancora annunciati. Senza malizia, per fretta. La terza è la più rivelatrice: se chiedi alle persone se esistono regole, le risposte non coincidono. Qualcuno pensa di sì, qualcuno di no, molti non lo sanno. Quando le regole sono vaghe, ognuno si costruisce le proprie.
E oltre ai dati?
C'è un rischio che quasi nessuno vede. Due persone seguono lo stesso cliente, ognuna con il suo strumento e la sua cronologia. Il lavoro c'è, ma è sparpagliato. Se una delle due si assenta, l'altra riparte da zero. Se una di queste cambia lavoro, o viene spostata su un altro progetto quelle conversazioni se ne vanno con il suo account personale. L'azienda perde
memoria e non se ne accorge. È un problema di continuità e di qualità e alla fine di relazione con il cliente.
Perché l’AI viene utilizzata in modo “selvaggio” pur conoscendone i rischi?
Perché senza dubbio ce n’è bisogno. Carichi pesanti, scadenze strette, strumenti aziendali lenti o assenti. La Shadow AI è un sintomo, e indica con precisione dove l'azienda non sta dando risposte. La buona notizia è che molte persone controllano già con cura quello che l'AI produce, e sono le prime a chiedere linee guida chiare. La richiesta di ordine nasce dal basso. Va solo raccolta e regolata.
Molte direzioni IT in questi casi rispondono bloccando l'accesso. Funziona?
No. Si tratta di iniziative controproducenti. Se blocchi il computer dell'ufficio, si passerà allo smartphone personale, e l'AI diventerà ancora più invisibile. I divieti generalizzati non fermano l'innovazione, la spingono fuori dal proprio campo visivo. La strada da perseguire è un'altra: fornire alle persone strumenti ufficiali. Le versioni business dei principali servizi, di norma, escludono per contratto l'uso dei dati aziendali per addestrare i modelli. Ma i dati transitano comunque sui server del fornitore e le condizioni cambiano da uno strumento all'altro, quindi il contratto va letto, non dato per scontato. Un divieto ha senso solo se è motivato e se accanto c'è la disponibilità di un'alternativa migliore.
Come si costruisce una policy che non diventi solo burocrazia?
Partendo dall'ascolto, mai dall'interrogatorio. Prima di scrivere una regola bisogna capire cosa succede davvero e quali bisogni spingono le persone a cercare soluzioni alternative. È il senso dell'AI Policy Assessment, una fotografia onesta di quali strumenti si usano, di chi li usa e per cosa. Quello che emerge è un punteggio che dice a che punto si trova l’azienda e cosa sistemare in urgenza. Poi si scrivono poche regole chiare, costruite sul tipo di informazione. Cosa può passare attraverso l’utilizzo di uno strumento esterno e cosa deve restare solo all’interno di “ambienti” aziendali. Il primo beneficio è il più semplice: chi guida l'azienda smette di indovinare.
Le regole bastano?
Da sole purtroppo no. Una policy che nessuno capisce resta chiusa in un cassetto. Per questo c'è l'AI Literacy, l'alfabetizzazione all'AI. La sua funzione è aiutare le persone a capire cosa lo strumento fa bene, quando si inventa le risposte, cosa non dargli mai in pasto. L'AI Act la chiede alle aziende dal febbraio 2025, con l'articolo 4. Ma il motivo vero è un altro: un team consapevole lavora più veloce, sbaglia meno e smette di usare l'AI con il senso di colpa.
Come reagiscono i team quando vengono inserite le regole?
All'inizio con un po' di sospetto, poi quasi sempre con sollievo. Chi usa l'AI “nell’ombra” sa di muoversi in una zona grigia, e questo alle volte pesa. Sapere cosa si può fare, con quali strumenti toglie quel peso. Le persone si sentono finalmente autorizzate a sperimentare. Una regola spiegata bene non viene vissuta come un freno. Viene vissuta come un’opportunità.
E chi vende online?
Ha un tema in più, perché la sua AI parla direttamente con i clienti. Chatbot, consigli prodotto, schede generate in automatico. Con l'AI Check E-commerce verifichiamo che quella parte del negozio lavori bene, che sia chiara, trasparente, utile a chi compra. Veniamo da anni di lavoro su conversione ed esperienza d'acquisto, e lo vediamo spesso: la trasparenza, se è progettata con cura, non frena le vendite. Le protegge.
Dove finisce il vostro lavoro e comincia quello legale?
Il confine è chiaro. Quando un'azienda entra nel perimetro di una norma specifica, lavoriamo con partner legali che seguono quella parte. Ma gran parte della governance dell'AI non riguarda i tribunali. Riguarda come si lavora ogni mattina, ed è lì che ci muoviamo noi.
Un consiglio a chi guida un'azienda e sta ancora rimandando?
Ignorare il tema della regolamentazione dell’Ai non lo fa sparire, lo rimanda nel tempo. Governare l'AI alla luce del sole è il modo più solido per dare garanzie a soci, partner e clienti. E per cominciare bastano tre domande al proprio team: sapete quali strumenti AI usate, e con quale account? Sapete cosa ci è finito dentro nell'ultimo mese? Se domani una persona chiave se ne andasse, il suo lavoro con l'AI resterebbe in azienda? Se anche una sola risposta è "non lo so", la Shadow AI non è un tema del futuro, è già il presente.