Il problema non è l'AI. Sono le persone che la usano senza sapere cosa stanno pubblicando.
Nelle aziende italiane medie e grandi succede questo ogni singolo giorno: un dipendente dell'ufficio commerciale copia un intero contratto su ChatGPT per farlo riassumere velocemente; un tecnico incolla stringhe di dati di produzione in un tool di intelligenza artificiale esterno per generare un'email di report; un collaboratore installa un'estensione browser "AI-powered" per correggere le bozze.
Tutti operano in totale buona fede. Tutti cercano l'efficienza. E tutti, inconsapevolmente, stanno facendo uscire dati aziendali riservati al di fuori del perimetro controllato della rete. Nota tecnica che spesso si ignora: inserire un dato sensibile in un sistema di intelligenza artificiale non protetto equivale a eseguirne una pubblicazione. Il dato abbandona la tua infrastruttura, viene trasmesso a server terzi e, potenzialmente, riutilizzato per l'addestramento dei modelli futuri. Una volta fuori, non controlli più nulla.
L'analogia: È lo stesso identico danno irreversibile che subisci in fotografia quando esponi male un negativo o non controlli la diffusione di una luce intensa: se la luce brucia il file o se distribuisci uno scatto non autorizzato fuori dal perimetro dello studio, non esiste alcun software o intervento in post-produzione capace di recuperare le informazioni originarie. Il danno è strutturale.
Mappare lo Shadow IT dell'AI Generativa
Il rischio non si risolve vietando la tecnologia con barriere anacronistiche. Bloccare i domini dei principali LLM a livello di firewall serve solo a spingere gli utenti a usare i propri smartphone personali, alimentando il fenomeno dello Shadow IT. La soluzione che ho scelto di adottare parte da un approccio analitico inverso: mappare le esigenze operative per governare il flusso del dato.
Insieme ai dipartimenti Legal, HR e al DPO, abbiamo strutturato una Direttiva AI cross-funzionale basata sulle linee guida internazionali e adattata al nostro contesto. Non un blocco di divieti calato dall'alto, ma un framework logico chiaro che spiega alle persone *dove* si trova il confine digitale dell'azienda e *quali* strumenti sono considerati sicuri (ovvero quelli dotati di protezione aziendale del dato commerciale, in cui i prompt non vengono salvati né usati per il training esterno).
Progettare la sicurezza collaborativa
Il coinvolgimento delle altre funzioni è stato l'anello di svolta:
- Il dipartimento Legal ha definito le responsabilità in termini di tutela del segreto industriale e proprietà intellettuale.
- Il DPO ha tracciato il perimetro del GDPR: quali dati personali possono essere processati e quali richiedono tassativamente una pseudonimizzazione preventiva.
- Le Risorse Umane ci hanno aiutato a tarare la comunicazione, trasformando la policy da documento burocratico a un percorso di consapevolezza condivisa.
L'AI non indebolisce l'infrastruttura digitale di un'azienda. Lo fa l'assenza di regole e la mancanza di trasparenza su dove risiedono i dati. Governare l'innovazione significa dare alle persone gli strumenti per essere veloci, ma all'interno di un set sicuro.
E nel tuo perimetro?
La tua azienda ha già definito una AI Policy chiara, condivisa ed espressa in italiano comprensibile, oppure ti trovi ancora nella fase del "vediamo come va" sperando che nessun dato sensibile abbandoni l'infrastruttura?