Le più grandi violazioni di dati in molte aziende non sono derivate da un attacco informatico: sono state causate da un abbonamento mensile di 20 euro pagato con una carta di credito aziendale. Si chiama *intelligenza artificiale ombra*: strumenti di intelligenza artificiale acquistati e utilizzati da reparti senza che il responsabile della tecnologia, della sicurezza o della protezione dei dati ne abbia alcuna conoscenza.
Non si tratta di un problema di disciplina. È la prevedibile conseguenza del fatto che questi strumenti sono economici, immediatamente utilizzabili e non richiedono installazione.
Quando un report proveniva da un foglio di calcolo, qualcuno lo guardava con sospetto. Quando invece proviene da un sistema di intelligenza artificiale, se ne discute in una riunione.
Il report di IBM "Cost of a Data Breach 2025", giunto alla sua ventesima edizione e redatto in collaborazione con Ponemon su circa 600 organizzazioni, offre cifre che mettono fine a qualsiasi dibattito interno:
Quest'ultima informazione spiega le altre tre. Quando non esiste un modo autorizzato e ragionevole per farlo, le persone risolvono i loro problemi con qualsiasi mezzo a loro disposizione.
La reazione istintiva di molti comitati è quella di emanare una circolare che vieti l'uso di strumenti di intelligenza artificiale esterni. Ciò produce tre effetti, nessuno dei quali è quello desiderato:
L'utilizzo non scompare: si nasconde soltanto. Passa dal portatile aziendale al telefono personale, dove non c'è visibilità.
Si perdono informazioni utili. Conoscere gli strumenti utilizzati dalle persone permette di individuare i problemi reali e irrisolti all'interno dell'organizzazione.
Chi cerca di fare un lavoro migliore viene penalizzato. Il costo culturale è elevato e duraturo.
L'alternativa che funziona è scomoda perché richiede impegno: offrire un percorso autorizzato che sia almeno altrettanto conveniente. Se l'opzione approvata è più lenta rispetto all'opzione con carta aziendale, la polizza non è valida.
Rischio | Come si materializza | Controllo efficace |
Fuga di informazioni | Un contratto, un codice per la gestione delle buste paga o un codice proprietario vengono incollati in uno strumento pubblico. | Canale autorizzato con accordo sul trattamento dei dati |
decisione non rintracciabile | Qualcuno decide con una risposta che nessuno può ricostruire | Registrazione e obbligo di citazione della fonte |
Inadempienza normativa | Dati personali trattati al di fuori del quadro dichiarato | Inventario e classificazione per caso d'uso |
dipendenza invisibile | Un processo diventa quindi dipendente da uno strumento che nessuno ha approvato | Inventario e revisione periodica |
Il quarto caso è il meno discusso e quello che riserva più sorprese. Un reparto imposta un flusso di lavoro attorno a uno strumento, il prezzo dello strumento cambia o scompare, e improvvisamente un processo operativo si blocca senza che nessuno nel reparto IT si sia accorto di questa dipendenza.
Non è necessaria un'implementazione complessa. Quattro percorsi coprono la maggior parte delle esigenze:
Il risultato di questi quattro approcci è un inventario, che è il punto di partenza per qualsiasi politica di governance. Senza un inventario, la politica è semplicemente un documento su una realtà sconosciuta, come abbiamo spiegato quando abbiamo discusso Gli obblighi previsti dalla legge sull'IA e da dove iniziare
Un percorso autorizzato, valido e veloce. Uno o due strumenti approvati, con un accordo sul trattamento dei dati, facile accesso e nessuna complicazione burocratica per iniziare a utilizzarli.
Una regola sui dati comprensibile. Non si tratta di un documento di venti pagine. Tre righe: quali informazioni non escono mai dai sistemi interni, quali richiedono approvazione e quali sono accessibili a tutti. Se non ci sta su una scheda, non verrà rispettato.
Formazione breve e specifica. Dieci minuti per spiegare cosa succede realmente quando si incollano informazioni in uno strumento esterno. La maggior parte delle persone non lo fa per sbaglio, ma perché non ne comprende il funzionamento.
Un canale per richiedere strumenti. Con risposte in giorni, non in trimestri. La velocità di questo canale determina il livello di intelligenza artificiale ombra dell'organizzazione meglio di qualsiasi standard.
Revisione trimestrale dell'inventario. In breve. Cosa è stato aggiunto, cosa è stato eliminato, quali accessi devono essere revocati.
Questo problema si difende male quando viene presentato come una questione di sicurezza, perché entra in conflitto con altre priorità. Si difende bene, invece, quando vengono presentati due numeri.
Il primo è quello di IBM: sforamento medio dei costi pari a 670.000 dollari quando l'IA non autorizzata è coinvolta in una violazione. Il secondo caso riguarda un nostro problema: quanti abbonamenti all'IA compaiono nelle spese dell'ultimo trimestre di cui nessuno nel settore tecnologico era a conoscenza.
Quel secondo numero, ottenuto nel pomeriggio, di solito pone fine alla discussione.
Si riferisce all'utilizzo di strumenti di intelligenza artificiale, acquistati o utilizzati da reparti senza la conoscenza o l'approvazione del responsabile IT, della sicurezza o della protezione dei dati. In genere, ciò avviene tramite abbonamenti di basso valore pagati con una carta di credito aziendale.
Secondo il rapporto IBM "Cost of a Data Breach 2025", 20% delle violazioni analizzate hanno coinvolto l'intelligenza artificiale non autorizzata e tali incidenti hanno aggiunto in media 670.000 dollari al costo, oltre a un costo medio di violazione di 4,44 milioni di dollari.
Poiché l'utilizzo non scompare, si sposta semplicemente su dispositivi personali dove non è visibile; informazioni preziose su problemi organizzativi irrisolti vanno perse; e chi cerca di migliorare viene penalizzato. L'alternativa efficace è offrire un canale altrettanto comodo e autorizzato.
Attraverso quattro canali: revisione degli abbonamenti alle carte aziendali e delle note spese, analisi del traffico di rete e degli accessi con account aziendali, un sondaggio interno con esplicita possibilità di annullamento e revisione delle integrazioni con terze parti che consentono l'accesso a e-mail, archiviazione o CRM.
Una regola di gestione dei dati in tre punti (quali informazioni non escono mai dai sistemi stessi, quali richiedono approvazione e quali sono gratuite), uno o due strumenti autorizzati con un contratto di elaborazione dati, un canale per richiedere nuovi strumenti con una risposta entro pochi giorni e una revisione trimestrale dell'inventario.
Sì. Qualsiasi obbligo normativo deriva dalla conoscenza dei sistemi di intelligenza artificiale presenti all'interno dell'organizzazione, dei dati che contengono e di chi è responsabile di ciascuno di essi. I sistemi non inventariati sono esclusi dalla classificazione del rischio e, di conseguenza, da qualsiasi misura di conformità.
Sai quali strumenti di intelligenza artificiale vengono utilizzati oggi nella tua azienda? Abbiamo effettuato un inventario effettivo, classificato il rischio in base al caso d'uso e progettato il percorso autorizzato in modo che le persone non debbano evitarlo. Parliamone → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
