Dopo i primi due approfondimenti, potete trovare il precedente cliccando QUI, continuiamo a spiegarvi pregi e difetti dell’AI con chi si occupa di quest’ultima quotidianamente per lavoro.
Usiamo l’IA ogni giorno per fare quello che fino a ieri ci rubava tempo: riassumere un documento lungo sessanta pagine, preparare un report, aggregare dati sparsi in dieci fogli diversi, tirare su una bozza in dieci minuti. Non giriamoci attorno, nel lavoro documentale l’intelligenza artificiale è uno strumento straordinario. Lo sa bene chiunque abbia provato a farle scrivere una prima bozza, cercare in mezzo a decine di documenti, aggregare un set di dati, e così via. Questo è uno dei vantaggi più comuni dell’IA oggi, e dobbiamo portarlo in modo strutturato nelle PMI, nella PA e negli studi professionali: ma l’efficienza deve arrivare insieme alla garanzia che i dati di clienti e cittadini siano gestiti nel modo migliore.
Le ombre della caverna moderna – Filosofi e storici mi perdoneranno se scomoderò Platone. Nel mito della caverna, i prigionieri osservano le ombre proiettate sul fondo, convinti che quelle siano tutta la realtà. È un concetto che si applica bene all’uso più diffuso dell’IA: i testi, le sintesi, i report che l’IA produce funzionano, sono utili, spesso sono eccellenti. Solo che siamo talmente concentrati a guardare questi risultati che non vediamo cosa succede dietro di noi: il livello invisibile di ciò che accade ai dati che ogni risposta consuma. Chi li conserva, dove e con quali garanzie. E a chi, se qualcosa va storto, va attribuita la responsabilità.
Che cos’è la Shadow AI – La shadow AI è l’uso di strumenti di intelligenza artificiale fuori da ogni visibilità, autorizzazione e controllo da parte dell’organizzazione in cui si lavora. Non è IA “non usata”: è IA usata eccome, ma senza policy, senza regole, senza garanzie contrattuali. È l’account personale usato al lavoro, quello con cui il dipendente utilizza i dati dell’azienda, a cui il professionista passa il materiale di un cliente, o nel quale il dipendente pubblico incolla una determina. È assolutamente normale, c’è qualcosa che funziona bene e quindi lo uso. Stime recenti indicano che la maggioranza dei lavoratori usa strumenti di IA generativa senza che l’azienda ne sia informata, con account personali a uso di lavoro (Osservatorio Artificial Intelligence del Politecnico di Milano); e uno studio recente fotografa la PA: il 55% dei dipendenti comunali che usa strumenti di IA non ha ricevuto alcuna formazione (Federprivacy, che riprende i risultati dell’indagine del progetto Aipact). L’IA corre molto più veloce della formazione e della regolamentazione che dovrebbe accompagnarla.
I rischi reali: non solo privacy, ma anche responsabilità – Il rischio concreto della shadow AI non è fantascienza. Sono differenze sistemiche tra uso personale e uso strutturato:
• Gli account consumer usano i dati per addestrare i modelli di default, salvo opt-out. Gli account business e enterprise invertono questa regola. Un documento riservato di un cliente passato per account personale può perdere i requisiti di segretezza che ne facevano un vantaggio competitivo.
• Nessuna copertura contrattuale. Con l’account personale il rapporto giuridico esiste tra il dipendente e il provider. L’azienda non può produrre alcuna prova di adeguate garanzie, né per la privacy (nessun accordo sul trattamento), né per le modalità di conservazione. Il “cancella” è visibile, non sostanziale, come dicevamo qualche mese fa (NOTA: mettere link interno).
• La responsabilità non si dissolve nel silenzio. Se un dipendente elabora dati personali su strumenti non autorizzati, l’azienda resta titolare del trattamento.
La shadow AI non è una zona franca: è l’ombra di una responsabilità che esiste anche quando nessuno la vede. E l’output documentale, che è il nostro vantaggio principale, è anche il luogo dove l’errore si nasconde meglio: sintesi plausibili, riferimenti convincenti, dati aggregati in modo scorrevole ma scorretto. Come detto all’inizio di questo viaggio (NOTA: mettere link interno), questi sistemi calcolano quale risposta abbia più probabilità di essere percepita come valida, non quale sia vera. Per questo tutte le norme concordano su un principio: la responsabilità resta in mano a chi produce il documento. La legge italiana sull’IA (l. 132/2025) lo ribadisce per la PA: la sorveglianza umana è effettiva o non è, e l’accountability non si delega a una macchina.
Non fermiamone l’uso, ma governiamolo – Non servono divieti né blocchi, servono soluzioni. Serve una governance consapevole e chiara, che si costruisce per gradi:
1. Formazione: per prima cosa sappiamo cosa usiamo, cosa può un modello, dove sbaglia e perché. Senza questo, ogni policy è carta storta.
2. Policy precise: cosa può transitare in una chat AI e cosa no. La decisione su cosa transitare viene prima della scelta dello strumento: un workspace aziendale non basta a proteggere un referto che non doveva mai transitare.
3. Strumenti approvati e account aziendali/business: il livello in cui la decisione diventa operativa: termini contrattuali, DPA, retention configurabile, console di amministrazione.
Vantaggi e garanzie per tutti – Nel mito, chi esce dalla caverna non resta fuori ma torna dentro, a liberare gli altri. Creare sempre maggiore consapevolezza sull’IA, il suo uso e i suoi impatti genera un circolo virtuoso. Per chi lavora significa strumenti con garanzie reali e la possibilità di dimostrarle. Per chi si appoggia a un professionista, a un’azienda o a un ente pubblico, significa potere chiedere e ottenere risposte su come i propri dati vengono trattati. La tutela di chi lavora e la privacy dei dati sono un affare di tutti.
A cura di Michele Mondelli
