Shadow AI: gli strumenti che nessuno ha dichiarato

Strumenti di AI adottati dai singoli senza passare da nessuna decisione. Come farli emergere, e perché il modo in cui li si cerca decide se li si trova.

Guida operativa5 minutiAggiornata il 25 settembre 2026Grace & Partners

Si chiama Shadow AI l'intelligenza artificiale che entra in azienda dalla porta di servizio: l'account gratuito aperto da un collaboratore, l'estensione installata nel browser, lo strumento che un reparto ha cominciato a usare perché funzionava e nessuno aveva vietato niente.

Non nasce da una disobbedienza. Nasce da una persona che aveva una scadenza e ha trovato qualcosa che l'aiutava. È utile ricordarlo prima di impostare la caccia: il modo in cui si cerca decide quanto si trova.

Il punto non è l'elenco in sé. È che i dati che ci passano dentro sono dati dell'azienda e dei suoi clienti, e finché quello strumento non è scritto da nessuna parte non esiste nessuno che possa rispondere di dove finiscono.

01
Dì apertamente che non è un'ispezione
La prima comunicazione decide l'esito. Se il messaggio è «stiamo verificando chi usa cosa», l'elenco tornerà corto. Se è «vogliamo sapere cosa vi serve per lavorare, perché quello che serve va reso sicuro invece che nascosto», tornerà lungo — e lungo è il risultato buono.
Cosa resta · Il testo della comunicazione interna, con la data.
02
Guarda dove i pagamenti sono personali
La Shadow AI raramente passa dall'ufficio acquisti. Passa da abbonamenti da venti euro su carte personali poi messe a nota spese, o da piani gratuiti che non lasciano traccia contabile. Le note spese dell'ultimo anno sono una fonte migliore di qualunque questionario.
Cosa resta · Le voci di nota spese riconducibili a software, con lo strumento identificato.
03
Chiedi ai reparti dove il lavoro è accelerato
Chi ha trovato uno strumento che funziona lo dice volentieri, se non teme di perderlo. La domanda che funziona è «cosa ti fa risparmiare più tempo in settimana?», non «usi l'AI?».
Cosa resta · Una riga per reparto, con lo strumento e l'attività.
04
Distingui subito il dato che ci passa dentro
Uno strumento che riscrive un testo pubblico e uno in cui si incolla l'anagrafica di un cliente non sono lo stesso problema, anche se sono lo stesso software. La colonna che conta non è il nome dello strumento: è cosa ci finisce dentro.
Cosa resta · Per ogni strumento, le categorie di dati trattate.
05
Decidi per ognuno: si adotta, si sostituisce, si ferma
Un censimento che non produce decisioni lascia le cose come stavano, con in più un elenco. Adottare significa dargli un responsabile e un contratto; sostituire significa offrire un'alternativa prima di togliere quella in uso; fermare significa spiegare perché.
Cosa resta · La decisione per ogni strumento, con la data e chi l'ha presa.

Le domande che arrivano

Non è più semplice vietare tutto?: Il divieto generalizzato sposta il problema invece di risolverlo: lo strumento continua a essere usato, solo che smette di essere dichiarabile. Il risultato è la stessa esposizione di prima, senza più la possibilità di vederla.
Come facciamo a essere sicuri di averli trovati tutti?: Non lo si è mai, ed è più onesto scriverlo che dichiarare un censimento completo. Quello che si può fare è ripetere il giro a intervalli fissi e tenere aperto un canale in cui dichiarare uno strumento nuovo costa trenta secondi.

Cosa dice la norma

Questa guida descrive un metodo di lavoro: non stabilisce quali obblighi riguardino la vostra azienda, che dipendono da cosa usate, con quali dati e per quali finalità. I riferimenti normativi stanno qui, riportati con le fonti ufficiali:

Con [H]AIdafare

Nel registro una scheda incompleta lo dichiara — «Manca ancora: chi ne risponde in azienda» — invece di sembrare finita.

Da leggere dopo