Shadow AI nelle PMI: i Dati Escono Senza Attacchi
Shadow AI PMI: l’uso di chatbot e assistenti AI non approvati dall’azienda può far uscire contratti, curriculum e conversazioni con i clienti senza alcun attacco informatico. Lo descrive Eliana Illiano su Agenda Digitale (3 novembre 2026), e il tema vale anche per le aziende di Bassano del Grappa, Vicenza e Treviso: basta un dipendente che incolla un documento nel chatbot sbagliato.
Secondo l’articolo, dipendenti e collaboratori usano l’AI per sintetizzare documenti e correggere codice, spesso senza strumenti approvati. Una ricerca di Cisco (azienda di reti e sicurezza) del 2025, citata dalla stessa fonte, rileva che in Europa il 69% dei team IT dichiarava di non avere visibilità sulle interazioni dei dipendenti con questi strumenti. Il dato riguarda l’Europa nel suo insieme: la fonte non fornisce cifre per l’Italia.
Perché Più Contesto Significa Più Dati Esposti
Un chatbot dà risposte più precise quando riceve più contesto, e per questo chi lo usa tende a caricare il documento vero. Agenda Digitale porta esempi concreti: un log con un token dentro, una mail con nomi e riferimenti interni, la cronologia di una trattativa con prezzi e condizioni concordate.
La fonte sottolinea anche che il tipo di account cambia il rischio. Per OpenAI, ricorda l’articolo, i dati dei prodotti Business, Enterprise ed Edu e della piattaforma API non vengono usati per l’addestramento per impostazione predefinita, mentre per i prodotti destinati ai singoli utenti esistono impostazioni diverse. Lo stesso servizio può quindi avere regole molto diverse a seconda che si usi un account aziendale o personale.
Shadow AI PMI in Veneto: Cosa Cambia per le Aziende
Ipotizziamo uno studio di progettazione di Vicenza che carica un contratto di fornitura per farselo riassumere, o un’azienda di Treviso che incolla nel chatbot lo storico di una trattativa: in casi simili i dati vanno a un fornitore che l’azienda potrebbe non aver valutato. Secondo Agenda Digitale, un dato può non servire ad addestrare alcun modello ed essere comunque stato inviato a chi non era autorizzato a riceverlo.
Il divieto, osserva la fonte, può rendere l’uso meno visibile invece di eliminarlo: il dipendente può passare al telefono o a un account personale. Un divieto, aggiunge, funziona molto meglio quando esiste un’alternativa. Nelle fonti consultate non ci sono indicazioni su quante PMI venete siano coinvolte.
| Situazione | Rischio (sintesi ikwaba) |
|---|---|
| Contratto caricato per un riassunto | contratto fuori dal perimetro aziendale |
| Log o codice incollato | token dentro il log incollato |
| Curriculum caricato | curriculum fuori dal perimetro aziendale |
| Account personale al posto di quello aziendale | conservazione e condizioni contrattuali diverse |
Come Governare l’AI Già Usata in Azienda
- Chiedi cosa si usa davvero: Agenda Digitale nota che molti usi sono nati senza un progetto, per abitudine. Suggerimento di ikwaba: un breve giro con ogni reparto (amministrazione, commerciale, ufficio tecnico) per elencare chatbot, trascrizioni di riunioni e assistenti nei programmi.
- Scrivi regole con esempi, non categorie: invece di “vietato inserire dati sensibili”, indica caso per caso cosa si può incollare (un testo generico), cosa va anonimizzato e cosa mai (password, documenti con vincoli di riservatezza). Secondo Agenda Digitale, l’obiettivo è dare un criterio abbastanza chiaro da applicare anche ai casi non descritti.
- Offri un’alternativa approvata: un account aziendale di un servizio già noto, con le impostazioni sui dati verificate. Consiglio di ikwaba: confronta le condizioni di conservazione dei dati prima di pagare le licenze, e forma il personale su cosa può caricare.
Per un quadro più ampio leggi anche governance AI nelle PMI. ikwaba affianca le aziende venete su sito, automazioni e intelligenza artificiale per le aziende.
Domande Frequenti
Vuoi sapere dove finiscono i dati della tua azienda quando si usa l’AI? Contattaci per una consulenza gratuita →
