Nel 2023 alcuni ingegneri di Samsung stavano cercando di risolvere un problema nel codice di un chip. Per velocizzare il lavoro hanno fatto qualcosa che oggi milioni di professionisti fanno ogni giorno: hanno copiato il codice dentro ChatGPT chiedendo al sistema di individuare l’errore.

La risposta è arrivata in pochi secondi. Il problema è arrivato subito dopo.

Quel codice era proprietario e riservato. Nel giro di poche settimane l’azienda ha scoperto che, in tre episodi diversi, dipendenti avevano inserito nel chatbot codice sorgente e informazioni tecniche interne. L’episodio è diventato uno dei casi più citati nei report internazionali sulla sicurezza dell’intelligenza artificiale e ha portato Samsung a limitare l’uso di strumenti di AI generativa sui dispositivi aziendali per evitare ulteriori fughe di dati. (TechRadar 2023).

Non si tratta però di un caso isolato. Negli stessi mesi diverse grandi organizzazioni – tra cui JPMorgan, Amazon, Verizon e Accenture – hanno introdotto restrizioni temporanee sull’uso di ChatGPT e di altri sistemi di AI generativa per ridurre il rischio di esposizione dei dati aziendali. Anche nel settore pubblico il problema è emerso rapidamente: nel 2026 un dirigente della Cybersecurity and Infrastructure Security Agency (CISA) negli Stati Uniti ha caricato documenti governativi sensibili in una versione pubblica di ChatGPT, provocando una revisione dei protocolli di sicurezza.

Questi episodi rivelano un fenomeno sempre più diffuso nelle organizzazioni di tutto il mondo. Sempre più dipendenti utilizzano strumenti di intelligenza artificiale senza che l’azienda lo abbia deciso o regolato: per scrivere e-mail, sintetizzare documenti, generare codice o preparare presentazioni.

Gli esperti hanno iniziato a chiamarlo Shadow AI.

 

Quando l’innovazione entra dal basso

Per anni l’adozione di nuove tecnologie nelle imprese ha seguito un percorso prevedibile: prima la strategia, poi i progetti pilota, infine la diffusione operativa.

Con l’intelligenza artificiale sta accadendo l’opposto. Molti lavoratori scoprono questi strumenti autonomamente e iniziano a usarli per migliorare la propria produttività quotidiana. Non aspettano un progetto aziendale o una policy: li utilizzano semplicemente perché funzionano.

Diverse ricerche internazionali indicano che oltre la metà dei dipendenti utilizza strumenti di AI non approvati dall’azienda, spesso inserendo anche dati interni o documenti di lavoro. Poiché queste interazioni avvengono tramite browser o account personali, risultano spesso invisibili ai sistemi aziendali.

In molte organizzazioni l’intelligenza artificiale è quindi già entrata nelle attività quotidiane di lavoro, anche in assenza di regole o strategie formalizzate.

 

I rischi per le organizzazioni

Il fenomeno pone diverse questioni per il management.

Esposizione dei dati. Inserire documenti, codice o analisi in sistemi AI esterni può comportare la perdita di controllo su informazioni sensibili o proprietà intellettuale.

Processi invisibili. Se l’AI viene utilizzata informalmente, parte del lavoro aziendale può essere influenzata da strumenti non integrati nei sistemi ufficiali e difficili da monitorare.

Governance tecnologica in ritardo. La diffusione spontanea dell’AI evidenzia spesso un ritardo delle organizzazioni nel definire regole chiare, policy e modelli di utilizzo.

 

Il paradosso dello Shadow AI

Sarebbe però riduttivo considerare lo Shadow AI solo come un problema di sicurezza. In molti casi i dipendenti utilizzano l’intelligenza artificiale per lavorare meglio: ridurre attività ripetitive, accelerare analisi o migliorare la qualità dei documenti.

Lo Shadow AI è quindi anche un segnale di innovazione dal basso. Le persone stanno sperimentando nuovi modi di lavorare prima ancora che le organizzazioni abbiano deciso come farlo. Ne nasce un paradosso: mentre molte aziende discutono strategie di trasformazione digitale basate sull’AI, quella trasformazione è spesso già iniziata in modo informale e diffuso.

 

Dallo Shadow AI alla strategia e alla formazione

La vera sfida per i manager non è impedire l’ingresso dell’AI nelle aziende, ma governare una tecnologia che è già presente nei processi quotidiani di lavoro.

Questo significa sviluppare strategie chiare sull’uso dell’intelligenza artificiale, definire regole di sicurezza e responsabilità e soprattutto investire nella formazione delle persone.

La questione non è solo tecnologica: è organizzativa e culturale. Le aziende che riusciranno a trasformare lo Shadow AI da fenomeno nascosto a pratica consapevole potranno ottenere un vantaggio competitivo importante, integrando strategia, competenze e nuovi modi di lavorare in un sistema coerente.