Shadow AI: il lato invisibile dell’innovazione aziendale

Quando si parla di Shadow AI, si tende spesso a ricondurre il concetto a una semplice evoluzione della Shadow IT, ma secondo Massimo Chiriatti, Chief Technology Officer di Lenovo in Italia, la differenza è più profonda. Se in passato il problema era legato all’uso di hardware o software non approvati dai reparti IT, oggi la questione riguarda i dati e il modo in cui vengono utilizzati. “Prima portavamo in azienda i nostri programmi, oggi portiamo i nostri dati”, osserva Chiriatti. “E la scala è completamente diversa. Un tempo le aziende si preoccupavano di fornire firewall e antivirus per proteggersi dai programmi malevoli, oggi devono difendersi dai dati malevoli”.

È qui che nasce la Shadow AI: l’uso di modelli e agenti non approvati dai processi ufficiali di governance, spesso per pura comodità o per velocizzare il lavoro quotidiano. Un comportamento che non parte dall’alto, ma dal basso — dai dipendenti che cercano scorciatoie per essere più produttivi e finiscono, spesso inconsapevolmente, per esporre dati sensibili a piattaforme esterne.

Dalla produttività individuale a quella aziendale

Il punto di partenza, spiega Chiriatti, è la ricerca di efficienza. “Quando un collaboratore usa un modello generativo per fare un report, risparmia tempo, e quindi aumenta la propria produttività individuale. Ma la vera sfida per l’azienda è trasformare questa produttività individuale in produttività collettiva”.

Secondo Chiriatti, per farlo servono due elementi: strumenti adeguati e metodologie chiare. È qui che entra in gioco l’idea delle sandbox sicure, ambienti controllati in cui i dipendenti possono sperimentare con l’IA senza rischiare di compromettere dati sensibili. “Sono concetti che conosciamo da tempo, ma oggi sono ancora più necessari, perché il problema non sono i programmi, ma l'uso dei dati”.

Da questo approccio nasce anche l’idea di creare agenti di IA interni: sistemi che lavorano all’interno delle infrastrutture aziendali e che, oltre a eseguire compiti operativi, possano monitorare la conformità, verificare l’applicazione delle policy e contribuire alla formazione dei dipendenti. “È impensabile che un CISO con pochi collaboratori possa controllare il comportamento digitale di centinaia o migliaia di colleghi”, osserva Chiriatti. “Servono strumenti che automatizzino parte di questa responsabilità, ma serve soprattutto una governance condivisa. Non è più possibile delegare la sicurezza ai soli C-level”.

Cultura e formazione: imparare dagli errori del passato

Per comprendere quanto sia importante la consapevolezza, Chiriatti ricorre a un paragone efficace: quello con l’introduzione della calcolatrice nell’insegnamento della matematica. “Quando eravamo ragazzi, l’uso della calcolatrice era vietato. Poi abbiamo capito che non era un errore usarla, ma vietarla. L’importante era sapere quando e perché premere il tasto radice quadrata, e come interpretare il risultato”.

La lezione vale anche per l’IA. Impedire l’uso di questi strumenti non è realistico, e rischia di essere controproducente. Come nel caso della calcolatrice, il punto non è proibire, ma insegnare a usarla nel modo giusto. “L’IA è necessaria, ma non possiamo danneggiare l’azienda usandola male. Tutti devono essere consapevoli del rischio, non solo i responsabili della sicurezza”.

Il fenomeno della Shadow AI, in questa prospettiva, diventa un’occasione per accrescere la cultura digitale interna. Serve formazione multidisciplinare, ma anche una nuova responsabilità distribuita: ogni dipendente è parte attiva della sicurezza dei dati e della correttezza dei processi.

L’IA privata come risposta strategica

Se vietare non funziona, la risposta deve essere infrastrutturale. “Una delle soluzioni più efficaci è fornire strumenti di IA privata on-premise ai clienti”, spiega Chiriatti. L’idea è quella di offrire prestazioni e funzionalità equivalenti a quelle dei servizi online, ma con un controllo totale su dati, costi e modelli. “In questo modo il traffico rimane interno all’azienda, e si riducono i rischi di esposizione. Inoltre, si ha un controllo dei costi perché non si paga più per token esterni. È una scelta che unisce sicurezza, personalizzazione e sostenibilità economica”.

La visione di Lenovo parte proprio da questo equilibrio tra innovazione e responsabilità. Il concetto di Smart Technology for All si traduce in un approccio end-to-end che combina dispositivi, infrastrutture edge, soluzioni mobile e piattaforme di IA, sempre con l’obiettivo di rendere l’uso dell’intelligenza artificiale sicuro, trasparente e accessibile. “Non si tratta di discriminare o limitare le persone, ma di dare loro strumenti adeguati”, sottolinea Chiriatti.

La collaborazione come chiave di ecosistema

Governare la Shadow AI non significa isolarsi, ma costruire alleanze. “Le partnership sono fondamentali”, afferma Chiriatti. “Ogni azienda, in base al settore e alle competenze interne, ha diverse esigenze. Il nostro compito è aiutarle a identificare il modello più adatto, che sia di piccole dimensioni ma di alta qualità, e a dimensionare l’infrastruttura in modo coerente. Un notaio non avrà le stesse esigenze di un farmacista o di un avvocato”.

Lenovo lavora quindi su più livelli: dall’ottimizzazione delle architetture GPU alla definizione di modelli verticali, in un’ottica di ecosistema aperto e inclusivo, dove anche le piccole e medie imprese possano accedere a risorse di IA privata senza dover investire in infrastrutture eccessive. “Sarebbe un errore lasciare che solo i grandi abbiano accesso a queste risorse”, conclude Chiriatti. “Per il sistema Paese, l’obiettivo deve essere quello di rendere l’IA utilizzabile da tutti, in modo sicuro, consapevole e sostenibile”.

Lenovo, attraverso la visione di Massimo Chiriatti, porta così la discussione sulla Shadow AI oltre l’emergenza tecnologica. Il fenomeno non va represso, ma governato con gli strumenti giusti e una maggiore consapevolezza di tutti gli attori coinvolti.