Il suo team usa l'IA di nascosto. E porta con sé i dati clienti

La fretta apre la porta all’IA ombra

La prima forma di IA ombra in azienda raramente nasce da una grande scelta strategica. Spesso è una scorciatoia tra un appuntamento e l’altro. Qualcuno chiede a un chatbot di rendere più cortese un’e-mail, riassume un documento lungo o si fa aiutare a preparare una prima risposta a un cliente. La giornata di lavoro diventa un po’ più semplice, ed è proprio così che lo strumento si diffonde.

In una piccola impresa può trattarsi di una singola chat aperta nel browser. In un’azienda più grande possono entrare in gioco diversi servizi, reparti e perfino applicazioni sviluppate internamente. Il problema di fondo è simile: la direzione non ha un quadro completo e fatica a capire dove finiscono le informazioni e se i risultati vengono riutilizzati senza controlli.

Il dato sulla Germania arriva da un’indagine citata da Heise a proposito di un rapporto SAP. Un’altra ricerca condotta da SAP e Oxford Economics ha rilevato che il 69% delle aziende intervistate dichiarava un uso occasionale o frequente di strumenti di IA non autorizzati. Le indagini sono diverse, ma entrambe suggeriscono che, per capire se in azienda esiste l’IA ombra, una conversazione sincera vale più di una rassicurante alzata di spalle. Cosa scopre quando lo chiede al suo team?

Vietarla sposta soltanto il problema

Vietare l’IA in blocco non significa che le persone smetteranno di usarla. Possono passare ad account personali o ad altri servizi, mentre il lavoro da svolgere resta lo stesso. Se una persona perde ogni giorno venti minuti su un’attività di scrittura ripetitiva, la tentazione di trovare una scorciatoia è comprensibile. Questo non rende l’uso automaticamente sicuro, ma spiega perché possa continuare anche dopo un divieto.

Perciò non chieda soltanto: «Chi ha violato la regola?». Si chieda anche: «Che cosa cercava di fare quella persona e perché non aveva a disposizione un modo autorizzato?». Forse un modello è superato, le responsabilità non sono chiare o la risposta a una domanda del cliente è sparsa in più cartelle. In questi casi, dietro l’IA ombra c’è anche un problema di processo.

Un’indagine di Okta e Apprize360 ha rilevato che il 52% dei lavoratori usa strumenti di IA non autorizzati. Nella stessa ricerca, il 58% dei responsabili ha riferito un incidente o un mancato incidente legato all’IA nell’anno precedente. Sono dati riferiti alle persone intervistate, non a tutte le aziende. Mostrano però perché informazione e alternative chiare debbano andare di pari passo. Come può offrire una soluzione che il team usi davvero anche nei momenti di maggiore pressione?

Il rischio spesso è nel prompt

Un prompt può contenere più informazioni riservate del testo che ne risulta. Chi incolla un’e-mail di un cliente per farla rivedere potrebbe condividere nomi, dettagli contrattuali o valutazioni interne. In un ufficio del personale, anche un curriculum può contenere dati sensibili. La liceità di un caso concreto dipende dalle circostanze. Per l’azienda, la prima domanda pratica è più semplice: quali informazioni si possono inserire in ciascuno strumento?

Per fare il punto non è necessario cominciare dalla sorveglianza. Chieda ai team di descrivere le attività tipiche e le applicazioni usate. Domandi esempi, senza pretendere di vedere le chat personali. Verifichi se vengono trattati dati dei clienti, documenti interni o candidature e se una persona controlla il risultato prima che venga condiviso.

Quando le decisioni riguardano le persone, la comodità di uno strumento non basta per autorizzarne l’uso. Un’indagine di Indeed condotta su 300 responsabili delle risorse umane in Germania ha rilevato che il 28% degli intervistati non disponeva di software per una preselezione assistita e, di conseguenza, talvolta ricorreva a strumenti gratuiti come ChatGPT, anche se non era consentito. Quali dati e decisioni avrebbero bisogno, per primi, di limiti chiari nella sua azienda?

Nelle candidature si rischia di perdere di vista le persone

Una candidatura inserita di nascosto in una chat di IA non è soltanto un tentativo di guadagnare tempo. Contiene informazioni su una persona concreta e può essere usata in una procedura che ne influenza le possibilità. Nella stessa indagine di Indeed, l’11% dei responsabili delle risorse umane ha dichiarato che le candidature scartate dall’IA non sarebbero state esaminate da una persona. Heise definisce questa pratica vietata ai sensi del GDPR.

L’articolo segnala anche un obbligo futuro: dal 2 dicembre 2027 le aziende dovranno documentare le candidature assistite dall’IA e garantire un controllo umano finale. Chi si occupa di selezione non dovrebbe rimandare la questione. Verifichi già da ora in quali fasi uno strumento ordina o valuta le candidature, o formula una raccomandazione, e chi prende davvero la decisione finale.

Anche una piccola impresa dovrebbe mettere per iscritto quali fasi sono supportate da processi automatizzati e chi controlla i risultati. In un’azienda più grande può servire un confronto tra risorse umane, privacy e IT. Non basta sapere se un sistema ha prodotto una valutazione. Chi può capire su cosa si basa e chi può fermarla se appare chiaramente errata?

Che cosa significa per la sua azienda

Non serve una strategia completa sull’IA prima di compiere il primo passo utile. Cominci con una ricognizione che non metta nessuno sotto accusa. Durante una riunione di team o con un breve questionario anonimo, chieda quali strumenti compaiono nel lavoro quotidiano, a quali attività servono e dove manca chiarezza. Spieghi esplicitamente che l’obiettivo è rendere i processi sicuri, non stilare una lista di persone colte in fallo.

Poi traduca le regole in poche decisioni concrete. Quali applicazioni sono approvate? Quali dati devono restare fuori? Quando una persona deve controllare i risultati prima che arrivino a clienti, candidati o partner commerciali? A chi ci si rivolge quando serve un nuovo strumento? In una piccola impresa le risposte possono stare in una pagina. In un’azienda più grande potrebbe essere necessario precisarle in base al reparto e ai dati accessibili.

Faccia in modo che le regole siano facili da trovare e applicare. Dire «niente dati riservati» serve a poco se nessuno sa se un listino interno sia da considerare riservato. Indichi esempi concreti, chiarisca come chiedere un’autorizzazione e individui una persona a cui rivolgere le domande. Se la soluzione sicura è più macchinosa del chatbot personale, la regola verrà messa alla prova alla prima giornata frenetica. Chi aiuterà il team in quel momento?

• Prepari un inventario: strumenti, attività e dati coinvolti.
• Esamini prima i casi più delicati: decisioni sul personale, informazioni dei clienti e documenti interni.
• Indichi il percorso di approvazione: metta per iscritto responsabilità, controlli e dati ammessi.

I controlli devono entrare nel lavoro quotidiano

Una policy pubblicata sulla intranet cambia poco se non si fa sentire nel flusso di lavoro. Le persone devono avere a disposizione uno strumento approvato per le attività che svolgono davvero. Servono anche limiti chiari su ciò che un sistema di IA può vedere e sui momenti in cui una persona deve controllarne il risultato. È particolarmente importante se l’applicazione accede a informazioni interne o svolge autonomamente alcune fasi del lavoro.

I dati sulla governance citati nel rapporto SAP mostrano quanto possa essere ampio il divario tra uso e controllo. Solo l’11% delle aziende ha giudicato del tutto adeguate le proprie capacità di governance dell’IA. Il 18% riteneva di avere già i processi e le condizioni necessarie. Questi numeri non dimostrano che ogni azienda lavori senza controlli. Suggeriscono però di non dare per scontato che la propria situazione sia sotto controllo.

Un test utile per la prossima settimana: chieda a una persona del servizio clienti dove trova una risposta affidabile a una domanda ricorrente. Se le informazioni sono sparse tra documenti, e-mail e sistemi diversi, Klarframe OS può riunire queste fonti, mostrare le prove a supporto delle risposte e rispettare i permessi di accesso. È una possibile modalità di lavoro, non un requisito per fare la ricognizione. Ciò che conta è che il team abbia un percorso autorizzato e verificabile. Quale attività ricorrente potrebbe rendere più sicura per prima?

Domande frequenti

Soluzioni correlate

• Klarframe OS →

  Riunisci la conoscenza, crea trasparenza e agisci invece di reagire. Collega documenti, email, Notion, Slack e CRM con fonti visibili e una mappa della conoscenza.

Altri articoli

• Casi d’usoLa trappola dei video IA: montaggio rapido, marca anonima
• Casi d’usoClienti in più lingue, un errore caro: la trappola dell'IA
• Casi d’usoL'IA porta visitatori. Il suo sito perde il contatto