Non serviva dare il permesso. È già successo.
In quasi tutte le aziende che seguiamo — moda, beauty, manifattura — la situazione è la stessa: qualcuno nel team ha già iniziato a usare strumenti di intelligenza artificiale. ChatGPT per le email, Copilot per i report, tool generativi per le immagini di prodotto. Nessuno lo ha chiesto, nessuno lo ha autorizzato, nessuno sa esattamente cosa viene condiviso con questi strumenti.
Questa è la realtà dell'adozione AI non governata. E il rischio non è ipotetico: è operativo, legale, reputazionale.
La shadow AI è già nella tua azienda
Il termine “shadow AI” descrive l'uso di strumenti di intelligenza artificiale da parte dei dipendenti senza che l'azienda ne sia consapevole o lo abbia regolamentato. È l'equivalente di quello che anni fa era lo “shadow IT” — fogli Excel condivisi su Dropbox personali, software installati senza approvazione — ma con conseguenze potenzialmente molto più gravi.
In un'azienda manifatturiera con circa 80 dipendenti, durante un audit interno abbiamo scoperto che almeno 12 persone utilizzavano regolarmente strumenti AI per attività lavorative. Nessuna di queste attività era stata comunicata alla direzione. Nessuna policy ne regolava l'uso.
Non si tratta di dipendenti negligenti. Si tratta di persone che cercano di lavorare meglio con gli strumenti che hanno a disposizione. Il problema non è la loro iniziativa — è l'assenza di un quadro aziendale che la governi.
I rischi concreti dell'adozione non governata
Quando l'AI viene adottata in modo spontaneo e non coordinato, i rischi si accumulano su più livelli:
- Rischio legale. L'AI Act è in vigore. Alcune applicazioni richiedono trasparenza, documentazione, valutazioni di rischio. Se nessuno in azienda sa quali strumenti vengono usati, la conformità è impossibile.
- Rischio operativo. Output generati dall'AI senza supervisione possono contenere errori, allucinazioni, dati inventati. Se finiscono in un'offerta commerciale, in una scheda tecnica, in una comunicazione al cliente, il danno è concreto.
- Rischio reputazionale. Un contenuto generato male, un'email con informazioni false, un'immagine di prodotto non conforme alla realtà: tutto ciò che esce dall'azienda costruisce (o distrugge) fiducia.
- Rischio di sicurezza. I dati inseriti nei prompt non restano “lì”. A seconda dello strumento e del piano utilizzato, possono essere usati per addestrare modelli, conservati su server terzi, accessibili in modi imprevisti.
Nessuno di questi rischi richiede scenari estremi per materializzarsi. Bastano le operazioni quotidiane.
Dati aziendali nei prompt: il problema silenzioso
Questo è il rischio più sottovalutato e più diffuso.
In un'azienda del settore beauty con circa 40 dipendenti, abbiamo riscontrato che il team marketing aveva inserito in ChatGPT: listini prezzi riservati, strategie di lancio prodotto non ancora pubbliche, dati di vendita per canale. Non per superficialità — semplicemente perché serviva contesto per ottenere output migliori.
Il problema è strutturale: più contesto dai all'AI, migliori sono i risultati. Ma più contesto dai, più dati sensibili esponi.
Senza una policy chiara su cosa si può e cosa non si può inserire nei prompt, ogni dipendente decide da solo dove sta il confine. E nella maggior parte dei casi, quel confine non viene nemmeno percepito come un problema.
A questo si aggiunge la questione dei dati personali: nomi di clienti, contatti, preferenze d'acquisto. Se finiscono in un prompt senza base giuridica adeguata, il GDPR entra in gioco con tutte le sue conseguenze.
Come passare dal caos alla governance
La buona notizia: non serve bloccare tutto. Serve governare.
Il percorso che proponiamo alle aziende che seguiamo parte da quattro passaggi concreti:
- Mappatura. Capire quali strumenti AI vengono già usati, da chi, per quali attività, su quali dati. Senza questa fotografia, ogni decisione successiva è cieca. L'AI Readiness Audit serve esattamente a questo: 670 €, due settimane, un report operativo con priorità chiare.
- Classificazione del rischio. Non tutti gli usi dell'AI hanno lo stesso impatto. Usare un chatbot per riassumere un articolo è diverso da usarlo per generare un'offerta commerciale con dati reali. Serve distinguere, e la classificazione deve essere pratica, non teorica.
- Definizione delle regole. Una policy di governance AI che dica chiaramente: quali strumenti sono approvati, quali dati non devono mai essere inseriti, chi approva nuovi utilizzi, come si documentano le decisioni.
- Attivazione delle persone. Le regole funzionano solo se le persone le capiscono e le condividono. Serve formazione, non un PDF da 40 pagine che nessuno legge.
Il ruolo dei referenti AI interni
Una delle leve più efficaci che vediamo funzionare nelle PMI è la nomina di referenti AI interni: persone all'interno dell'azienda che diventano il punto di contatto per tutto ciò che riguarda l'uso dell'intelligenza artificiale.
Non servono profili tecnici. Servono persone con tre caratteristiche:
- Curiosità verso gli strumenti digitali
- Comprensione dei processi aziendali
- Autorità (anche informale) sufficiente per influenzare i colleghi
Il referente AI non è un controllore. È un facilitatore: raccoglie le esigenze dei colleghi, propone strumenti adeguati, segnala usi rischiosi, diffonde buone pratiche.
In un'azienda del settore moda con circa 60 dipendenti, l'introduzione di due referenti AI (uno nell'area commerciale, uno nella produzione) ha ridotto drasticamente gli usi non autorizzati nel giro di tre mesi. Non perché li ha vietati — perché ha dato un'alternativa strutturata.
Formare queste figure è uno degli obiettivi centrali dei nostri percorsi di formazione AI.
Policy e formazione: la coppia che funziona
La policy senza formazione è un documento ignorato. La formazione senza policy è un'iniziativa senza direzione. Servono entrambe, insieme.
La policy deve essere:
- Breve (massimo 3-4 pagine)
- Scritta in linguaggio comprensibile, non legale
- Specifica sugli strumenti effettivamente in uso
- Aggiornata almeno ogni sei mesi, perché il panorama cambia velocemente
La formazione deve essere:
- Pratica, con esempi reali dall'operatività quotidiana
- Differenziata per ruolo (chi produce contenuti ha esigenze diverse da chi gestisce dati)
- Continua, non un evento una tantum
- Collegata direttamente alla policy, così che le persone sappiano perché esistono certe regole
L'obiettivo non è frenare l'adozione dell'AI. È renderla sostenibile, sicura, coerente con gli obiettivi aziendali. Le aziende che ci riescono non sono quelle che hanno più budget — sono quelle che hanno deciso di affrontare il tema prima che diventasse un'emergenza.
Da dove partire? Se non sai cosa succede con l'AI nella tua azienda, il primo passo è scoprirlo. L'AI Readiness Audit ti dà la mappa completa: strumenti in uso, rischi, priorità operative. Da lì costruisci la governance e attivi la formazione dove serve davvero.