L'AI è già dentro.
E ora?

Il problema dello shadow AI

Chiedi a un CISO quanti tool AI sono in uso nella sua azienda. Ti darà un numero. Fai la stessa domanda al marketing, all'HR e agli sviluppatori: la somma vera è 3-5 volte quella dichiarata dal CISO.

È il fenomeno dello shadow AI: l'adozione non governata di strumenti di intelligenza artificiale da parte dei dipendenti. Non è malizia — è gente che cerca di lavorare meglio. Ma le conseguenze sono reali:

• Dati aziendali che finiscono nei prompt di modelli pubblici (e nei dataset di training)
• Codice proprietario incollato in chatbot per debug
• Informazioni su clienti usate per generare email o report
• Documenti legali caricati per "sintetizzarli"
• Credenziali dimenticate in conversazioni storiche

I quattro rischi concreti

1. Data leakage

Dati sensibili che lasciano il perimetro aziendale. Un dipendente chiede a ChatGPT di migliorare una presentazione che contiene numeri non pubblici. Quei dati ora esistono in un log che non controlli.

2. Hallucination e decisioni sbagliate

L'AI inventa con sicurezza. Se usata per decisioni operative senza verifica (report finanziari, analisi legali, risposte a clienti), produce errori che scalano molto velocemente.

3. Violazione GDPR

Caricare dati personali in un modello non conforme è un trattamento illecito. Il Garante italiano ha già sanzionato aziende per uso improprio. E l'AI Act aggiunge ulteriori obblighi.

4. Dipendenza strategica

Processi chiave costruiti attorno a un provider AI esterno. Cambio di pricing, TOS, disponibilità: e il tuo business si ferma.

L'AI Act europeo in sintesi

Il Regolamento UE 2024/1689 (AI Act) è in vigore. Classifica i sistemi AI per rischio:

• Rischio inaccettabile — vietati (es. social scoring, manipolazione subliminale)
• Alto rischio — obblighi stringenti (es. AI in HR, scoring creditizio, sanità, giustizia)
• Rischio limitato — obblighi di trasparenza (es. chatbot, deepfake)
• Rischio minimo — nessun obbligo specifico

Le scadenze sono scaglionate tra 2025 e 2027. Se sviluppi o fornisci sistemi AI, o anche solo li usi in contesti ad alto rischio, hai già obblighi attivi.

Come costruire una AI Policy che funziona

Una policy AI utile non è un PDF di 40 pagine scritto dal legale. È un documento di 2 pagine che tutti capiscono, più un sistema per far rispettare le regole. Gli elementi minimi:

1. Classificazione dei dati: cosa si può usare con AI pubblica, cosa solo con AI enterprise, cosa mai
2. Tool approvati: lista chiara di strumenti autorizzati per ruolo/team
3. Use case validati: a cosa sì, a cosa no, con esempi pratici
4. Processo di approvazione per nuovi tool o use case
5. Monitoring: come si misura il rispetto della policy
6. Formazione: onboarding e refresh annuale

Tecnologia: DLP + CASB + AI-specific gateway

La policy da sola non basta. Servono controlli tecnici:

• DLP (Data Loss Prevention) configurato sui prompt AI — intercetta pattern di dati sensibili prima che escano
• CASB (Cloud Access Security Broker) con categoria AI attiva — visibilità su tutti i servizi AI usati
• AI gateway dedicati (es. Microsoft Purview for Copilot, o soluzioni come CalypsoAI, Prompt Security) — proxy che ispezionano prompt e risposte
• Enterprise versions di ChatGPT/Claude/Gemini con retention disabilitata

Il nostro approccio in tre mosse

1. AI Discovery (1-2 settimane): scopriamo cosa si usa davvero nella tua azienda, anche ciò che nessuno dichiara. Network analysis, interviste, survey anonime
2. Risk mapping + policy: classifichiamo dati, use case e rischi. Ne esce una policy sintetica e un piano di rollout
3. Rollout & training: implementazione tecnica dei controlli + formazione mirata per team