Ora la fuga di dati aziendali passa (anche) dall’intelligenza artificiale usata in ufficio

L’utilizzo di strumenti AI personali da parte dei dipendenti espone le aziende a gravi fughe di informazioni riservate

Se il timore che gli hacker riescano ad accedere abusivamente ai sistemi informatici rubando tutti i dati è stato finora uno dei rischi che ha tenuto maggiormente in apprensione le aziende, adesso con l’intelligenza artificiale il pericolo arriva anche dal “fuoco amico” delle proprie risorse umane.

Infatti, due terzi dei dipendenti (67%) che si avvalgono di piattaforme di AI per svolgere le loro mansioni d’ufficio utilizzano account personali non autorizzati dal datore di lavoro, provocando la fuoriuscita incontrollata non solo di dati personali, ma anche di progetti, contratti, business plan, e molti altri documenti riservati che fanno parte del know-how aziendale.

A evidenziarlo, è il rapporto “Data Breach Investigations Report 2026” di Verizon, che colloca al terzo posto della classifica delle cause più diffuse di perdita di dati non malevola all’interno delle organizzazioni proprio la “Shadow AI”, ovvero l’utilizzo non autorizzato di strumenti di intelligenza artificiale in azienda.

La dinamica è relativamente semplice. Gli strumenti di AI vengono percepiti dai lavoratori come normali applicazioni di produttività: veloci, intuitive, e spesso gratuite. Purtroppo, il dipendente medio non avverte che, caricando documenti aziendali su una chatbot pubblica, sta effettuando un trasferimento potenzialmente critico di dati verso soggetti terzi, e che le informazioni possono spesso transitare attraverso infrastrutture collocate in giurisdizioni extraeuropee considerate non sicure per la protezione dei dati personali, e neanche c’è piena consapevolezza del rischio che tali informazioni possano essere elaborate, conservate o riutilizzate da qualcun altro al di fuori del controllo dell’impresa.

Nella maggior parte dei casi, non c’è ovviamente alcuna intenzione di sottrarre illecitamente dati al proprio datore di lavoro, ma fin troppo sbrigativamente i dipendenti trovano nelle piattaforme di AI disponibili online la soluzione più rapida e a portata di mano per produrre facilmente report, redigere offerte, ottenere sintesi, preparare presentazioni per riunioni di lavoro, ed elaborare altri documenti aziendali in modo molto più veloce rispetto al tempo che impiegherebbero normalmente.

Sta però di fatto che, inserendo indiscriminatamente documenti aziendali sulle chatbot di AI non autorizzate, il risultato finale può essere paradossalmente simile a quello di un attacco informatico proveniente dall’esterno, con la dispersione di una marea di informazioni strategiche al di fuori del perimetro organizzativo con i conseguenti rischi di sanzioni per violazioni del GDPR, utilizzi dei dati per scopi criminali da parte di hacker e malintenzionati, nonché il danneggiamento della reputazione aziendale, e la perdita di competitività sul mercato a causa di competitor senza scrupoli che possono sfruttare i segreti industriali trapelati attraverso gli strumenti pubblici di intelligenza artificiale generativa.

Nelle dinamiche dello spionaggio industriale, cambia così anche il concetto di “insider threat”, che fino a poco tempo fa evocava figure ostili come dipendenti infedeli, concorrenti, infiltrazioni organizzate. Oggi, invece, la minaccia può derivare da comportamenti perfettamente ordinari e apparentemente innocui dei propri collaboratori, che possono trasformarsi in un flusso incontrollato di dati aziendali verso ecosistemi tecnologici esterni.

Il fenomeno sta assumendo dimensioni tali da iniziare a preoccupare non solo i responsabili della cybersecurity, ma anche consigli di amministrazione, funzioni legali e organismi di compliance. Infatti, il gap non è solo tecnologico, ma culturale e organizzativo, e il problema riguarda sia i dipendenti che necessitano di maggiore consapevolezza, sia il management che deve essere pronto a individuare soluzioni organizzative efficaci per tutelare il patrimonio aziendale.

Come fa notare anche lo stesso rapporto di Verizon, l’intelligenza artificiale generativa sta infatti entrando nelle aziende molto più velocemente della capacità delle stesse imprese di governarla, con il 45% dei dipendenti che ormai la utilizza regolarmente, (contro il 15% dell’anno precedente), e le organizzazioni che non riescono a gestire in modo ordinato il rapido cambiamento tecnologico in atto, che amplifica esponenzialmente il rischio di perdita di controllo del perimetro dei dati aziendali.

Pur con tutti i notevoli vantaggi che possono derivare dall’adozione di sistemi di AI, le aziende si trovano quindi a dover affrontare un cambio di paradigma destinato a incidere profondamente sulla governance d’impresa.

Per anni le aziende hanno investito ingenti risorse per difendersi da attacchi esterni come phishing, ransomware e malware, mentre oggi una parte crescente delle esposizioni del know-how aziendale nasce invece dall’interno, da comportamenti quotidiani dei lavoratori. La potenziale minaccia non arriva più solo dal cybercriminale che forza il sistema, ma da un dipendente che, pensando di fare bene, utilizza una chatbot per accelerare una procedura, rielaborare un documento o automatizzare un’attività.

La soluzione non è ovviamente vietare l’intelligenza artificiale, ipotesi ormai irrealistica e probabilmente anche inopportuna visti gli indiscutibili vantaggi che offre e il suo avanzamento inarrestabile, ma sta nel costruire regole per utilizzarla in modo adeguato e coerente con il valore strategico delle informazioni trattate per massimizzarne i benefici e minimizzare i rischi.

È per tali motivi che negli ultimi mesi diverse multinazionali hanno iniziato a limitare o regolamentare severamente l’uso di piattaforme AI generative con policy stringenti, mentre un crescente numero di altre aziende che non vogliono perdere le opportunità dell’intelligenza artificiale sono alla ricerca di soluzioni proprietarie o cloud-based che garantiscano il pieno controllo dei propri dati.

In questo contesto, la governance dei dati smette di essere un tema confinato alla mera compliance e diventa un elemento strategico di competitività. Le imprese che nei prossimi anni riusciranno a integrare efficacemente intelligenza artificiale, privacy, cybersecurity e data governance potranno sfruttare i benefici dell’AI riducendo i rischi di dispersione informativa. Al contrario, le organizzazioni che continueranno a considerare questi aspetti come compartimenti separati rischiano di esporsi a vulnerabilità sempre più difficili da controllare.

Per affrontare questa sfida i management aziendali non possono più considerare la protezione dei dati come una questione esclusivamente tecnica o giuridica, ma dovranno gestirla a tutti gli effetti come una componente strutturale e strategica della governance d’impresa.

*Presidente di Federprivacy