Shadow AI: cosa fare quando i dipendenti usano l'AI senza chiedere?
In breve
La shadow AI è l'uso di strumenti di AI che la direzione non conosce o non ha approvato: di solito ChatGPT gratuito o altre app sull'account personale del dipendente. Il rischio è che dati personali e informazioni riservate finiscano in un servizio senza nomina a responsabile del trattamento (DPA), magari usati per l'addestramento. I divieti funzionano di rado. Funziona invece una buona alternativa: strumenti approvati, una policy breve, un corso e un modo semplice per registrare i nuovi usi.
Perché succede?
Perché l'AI aiuta. I dipendenti che hanno visto quanto tempo fa risparmiare la usano, anche quando l'azienda non ha deciso nulla. Il problema non è l'uso, ma che i dati finiscono dove non dovrebbero.
Cosa puoi fare da domani
Scegli uno strumento approvato con un piano business, scrivi una breve policy aziendale sull'AI e fai fare a tutti un corso breve. Con GoalCube i dipendenti possono usare l'AI su dati reali senza che i nomi lascino l'UE, così non c'è più motivo di aggirare le regole.
Come fare
- Chiedi senza punire.Un sondaggio anonimo dà un quadro sincero.
- Offri una buona alternativa.Un piano business con DPA, più comodo dell'app gratuita.
- Proteggi i dati in automatico.Con GoalCube l'AI vede solo codici, quindi puoi usare l'AI su dati reali con tranquillità.
- Rendi facile la registrazione.Un nuovo uso deve potersi registrare in un minuto.
- Fai i controlli.GoalCube registra nel log quando un set di dati viene usato senza registrazione e lo mostra in cima alla pagina di stato.
Cosa dice la legge
- Artt. 28 e 32 GDPR
- I dati personali si possono affidare solo a fornitori con DPA e sicurezza adeguata.
- Art. 4 dell'AI Act
- L'alfabetizzazione in materia di IA riguarda ogni uso dell'AI nel lavoro, anche quello che la direzione non conosce.
Domande e risposte
Dobbiamo vietare ChatGPT?
Di solito un divieto sposta l'uso sui telefoni personali. Un'alternativa approvata che protegge i dati funziona meglio.
È un data breach se un dipendente ha inserito dati personali in ChatGPT gratuito?
Può esserlo. Valutalo come possibile violazione dei dati personali e notificalo al Garante privacy entro 72 ore, se è probabile che comporti un rischio per le persone.
Come scopre GoalCube la shadow AI?
Se l'AI usa un set di dati senza una registrazione confermata, viene annotato nel log e la pagina di stato lo segnala in cima.
Fonti
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.