L’intelligenza artificiale è già entrata in azienda senza un progetto: come governare strumenti, dati e responsabilità

L’intelligenza artificiale entra spesso in azienda prima che la direzione abbia deciso come utilizzarla. I dipendenti sperimentano assistenti, funzioni integrate e automazioni, mentre dati e responsabilità restano poco chiari. Prima di investire in nuove soluzioni bisogna ricostruire gli utilizzi reali, valutarne rischi e benefici e trasformarli in un metodo governabile.

In molte aziende l’intelligenza artificiale non è arrivata attraverso un progetto approvato dalla direzione. È entrata gradualmente, seguendo le abitudini delle persone e l’evoluzione dei software già utilizzati.

Qualcuno usa un assistente generativo per riscrivere un’email delicata. Il commerciale gli affida la sintesi di un capitolato. Il marketing genera immagini, testi e presentazioni. Un responsabile attiva le funzionalità AI presenti nella suite aziendale. Un altro reparto acquista autonomamente uno strumento specializzato. Nel CRM, nel gestionale o nella piattaforma di analytics compaiono nuove funzioni che promettono analisi, previsioni e automazioni.

Poi, durante una riunione, nasce la domanda ufficiale:

“Dovremmo iniziare a usare l’intelligenza artificiale in azienda?”

La domanda arriva quando l’adozione è già cominciata.

Prima di valutare nuovi strumenti bisognerebbe ricostruire ciò che sta realmente succedendo: quali sistemi vengono usati, per quali attività, attraverso quali account, con quali informazioni e con quale livello di controllo.

Nelle conversazioni commerciali capita spesso che un imprenditore chieda quale soluzione AI dovrebbe acquistare. Approfondendo la situazione, emerge che diversi collaboratori la stanno già utilizzando, ma nessuno ha ancora una visione completa dei processi coinvolti.

Quando l’AI entra attraverso le abitudini personali prima che attraverso una decisione aziendale, l’impresa utilizza già una tecnologia che crede di non avere ancora adottato.

Intelligenza artificiale in azienda: il problema comincia prima della scelta dello strumento

La sperimentazione spontanea non è necessariamente negativa. Spesso permette di individuare velocemente attività ripetitive, difficoltà informative e passaggi nei quali l’AI può far risparmiare tempo.

Il problema nasce quando gli esperimenti rimangono invisibili.

Un dipendente può usare l’intelligenza artificiale per:

• preparare una proposta commerciale;
• analizzare un foglio di calcolo;
• generare o correggere codice;
• riassumere una call con un cliente;
• confrontare documenti;
• valutare candidature;
• produrre contenuti;
• interpretare dati;
• rispondere a richieste dell’assistenza.

Queste attività non hanno lo stesso livello di rischio e non richiedono le stesse verifiche.

Generare alcune idee partendo da informazioni pubbliche è diverso dall’analizzare un contratto. Correggere una bozza interna è diverso dal produrre una risposta destinata a un cliente. Riordinare dati aggregati è diverso dal caricare informazioni personali provenienti dal CRM.

L’interfaccia, però, può essere identica. La facilità di utilizzo tende così ad appiattire differenze importanti.

Se un’attività che richiedeva un’ora viene svolta in venti minuti, l’esperimento sembra riuscito. Non sappiamo ancora se il risultato sia corretto, ripetibile, sicuro e integrabile nel processo.

L’azienda deve guardare oltre il singolo output e capire quale decisione o attività verrà influenzata, quali conseguenze può produrre un errore e chi ne mantiene la responsabilità.

Che cos’è la Shadow AI?

La Shadow AI è l’uso di sistemi di intelligenza artificiale senza una conoscenza, autorizzazione o supervisione adeguata da parte dell’organizzazione.

Può comprendere:

• assistenti utilizzati attraverso account personali;
• software AI acquistati autonomamente dai reparti;
• funzioni intelligenti attivate in piattaforme già presenti;
• estensioni del browser e servizi online non approvati;
• automazioni costruite senza un responsabile;
• strumenti collegati ai dati aziendali senza una valutazione preventiva.

Non presuppone necessariamente un comportamento scorretto. Nella maggior parte dei casi nasce dal tentativo di lavorare meglio, ridurre un’attività ripetitiva o ottenere velocemente un risultato.

La criticità emerge quando l’azienda non sa che cosa stia accadendo. Non può distinguere gli esperimenti a basso rischio dagli utilizzi che coinvolgono clienti, dati personali, proprietà intellettuale, decisioni commerciali o documenti riservati.

La Shadow AI non è quindi soltanto un problema informatico. Riguarda la qualità del lavoro, la gestione dei dati, la responsabilità delle decisioni e il modo in cui l’innovazione viene introdotta nei processi.

Perché vietare uno strumento non elimina l’AI non controllata

Una delle reazioni più comuni consiste nel vietare ChatGPT o un’altra piattaforma specifica. Può essere una precauzione necessaria in determinati contesti, ma non risolve il problema generale.

L’intelligenza artificiale non vive più dentro un’unica applicazione. È presente nei motori di ricerca, nelle suite da ufficio, nei CRM, nei software di grafica, nelle piattaforme pubblicitarie, negli strumenti di videoconferenza, nei servizi di analytics e nei gestionali.

Bloccare un sito non significa quindi bloccare l’uso dell’AI.

Se le persone percepiscono un vantaggio concreto, alcune potrebbero continuare attraverso account personali, smartphone, estensioni o servizi alternativi. L’azienda avrà formalmente vietato uno strumento, ma disporrà di ancora meno informazioni sull’utilizzo effettivo.

Anche la scelta opposta presenta dei limiti: acquistare velocemente una piattaforma aziendale e considerare conclusa la questione.

Un ambiente amministrato può offrire controlli migliori, ma non stabilisce automaticamente:

• quali dati possano essere utilizzati;
• quali attività siano appropriate;
• chi debba verificare i risultati;
• quali decisioni non possano essere delegate;
• come gestire errori ed eccezioni;
• come misurare il valore prodotto.

Divieto generalizzato e acquisto indiscriminato partono spesso dalla stessa lacuna: l’azienda decide senza conoscere il proprio utilizzo reale dell’intelligenza artificiale.

 

Quando questi segnali si presentano insieme, acquistare un’altra piattaforma può rendere l’adozione più costosa senza renderla realmente più governabile.

Quali dati non dovrebbero essere inseriti negli strumenti AI?

Un dipendente non dovrebbe inserire in un sistema AI informazioni che non sarebbe autorizzato a condividere con un fornitore esterno, a meno che l’azienda non abbia valutato quello specifico servizio e disciplinato chiaramente il trattamento.

Fra le informazioni da esaminare con particolare cautela rientrano:

• dati personali di clienti e dipendenti;
• contratti e accordi riservati;
• listini e condizioni commerciali non pubbliche;
• credenziali e informazioni di sicurezza;
• codice e documentazione tecnica proprietaria;
• dati finanziari;
• informazioni provenienti dal CRM;
• contenuti soggetti ad accordi di riservatezza;
• documentazione relativa a candidature o valutazioni del personale.

La valutazione non dipende soltanto dal nome dello strumento. Bisogna considerare il tipo di account, le condizioni contrattuali, le impostazioni disponibili, le modalità di trattamento dei dati, le integrazioni attive e il processo coinvolto.

Anche una piattaforma aziendale può essere usata nel modo sbagliato. Allo stesso tempo, un utilizzo limitato a informazioni pubbliche può presentare rischi molto differenti.

Per gli aspetti relativi a dati personali, proprietà intellettuale e obblighi contrattuali devono essere coinvolte le competenze legali, il DPO quando presente e i responsabili della sicurezza. La governance strategica organizza le decisioni, ma non sostituisce la valutazione giuridica del singolo caso.

Una policy AI aziendale serve davvero?

Una policy AI è utile quando traduce rischi e obiettivi in regole applicabili al lavoro quotidiano.

Dovrebbe chiarire:

• quali strumenti sono autorizzati;
• quali informazioni possono essere utilizzate;
• quali attività richiedono un’approvazione;
• quali output devono essere verificati;
• chi può introdurre un nuovo caso d’uso;
• come segnalare errori, dubbi o incidenti;
• quali decisioni devono restare umane.

Una frase generica come “non inserire dati sensibili” lascia troppo spazio all’interpretazione.

Per un commerciale, il nome di un prospect potrebbe sembrare un’informazione innocua. Per chi si occupa di privacy è un dato personale. Per il responsabile delle vendite, la conversazione completa potrebbe contenere elementi strategici sulla trattativa. Per il cliente, la condivisione potrebbe violare un’aspettativa di riservatezza.

Una policy efficace deve quindi rispondere a domande concrete:

• posso caricare una proposta commerciale anonimizzata?
• posso riassumere un verbale che contiene nomi e decisioni?
• posso analizzare una trascrizione di una call?
• posso usare dati esportati dal CRM?
• posso affidare all’AI una prima valutazione delle candidature?
• posso pubblicare un testo generato senza controllarne le fonti?
• chi autorizza il collegamento fra un assistente AI e il gestionale?

Le regole diventano utili quando aiutano le persone a decidere mentre lavorano, senza costringerle a interpretare ogni volta concetti astratti.

Le cinque decisioni da prendere prima di investire ancora nell’AI

1. Ricostruire gli utilizzi già presenti

La mappatura dovrebbe iniziare senza un’impostazione punitiva. Se i dipendenti temono conseguenze, tenderanno a nascondere sia gli utilizzi più interessanti sia quelli più rischiosi.

Conviene rilevare:

• quali strumenti vengono utilizzati;
• per quali attività;
• con quale frequenza;
• attraverso quali account;
• quali informazioni ricevono;
• quali risultati producono;
• quanto controllo richiedono.

Questa analisi può far emergere casi d’uso che meritano di essere formalizzati e abitudini che devono essere corrette. Può anche mostrare che alcune esigenze sono già coperte dai software presenti o che determinati reparti non hanno bisogno di ulteriori licenze.

La mappatura costituisce il punto di partenza della roadmap per introdurre l’intelligenza artificiale in azienda: prima di scegliere uno strumento devono essere chiari problema, frequenza, impatto atteso e informazioni necessarie.

2. Classificare attività e informazioni

Una classificazione utile deve essere comprensibile anche a chi non si occupa di sicurezza o privacy.

L’azienda può distinguere, per esempio, fra:

• informazioni pubbliche;
• contenuti interni a basso rischio;
• dati personali o materiali riservati;
• informazioni critiche che richiedono un’autorizzazione specifica.

Questa classificazione va collegata alle attività.

Generare idee a partire da fonti pubbliche presenta un rischio diverso rispetto all’analisi di contratti, dati del CRM, curriculum, documentazione sanitaria o informazioni finanziarie.

Se i dati aziendali sono incoerenti, frammentati o privi di responsabilità chiare, l’AI tenderà ad amplificare un problema preesistente. La verifica della Data Readiness aziendale aiuta a capire quali informazioni siano realmente utilizzabili nei processi decisionali e nelle automazioni.

3. Scegliere gli strumenti partendo dai processi

Il confronto fra ChatGPT, Copilot, Gemini, Claude, agenti AI o soluzioni personalizzate acquista senso dopo aver chiarito il lavoro da sostenere.

Se l’esigenza principale riguarda documenti e processi già presenti in una determinata suite, l’integrazione può pesare più della qualità percepita di una singola risposta. Se occorre interrogare fonti interne o collegare più sistemi, entrano in gioco altri criteri. Se il caso d’uso è occasionale e a basso rischio, una distribuzione generalizzata può essere sproporzionata.

La scelta deve considerare:

• processi coinvolti;
• dati necessari;
• integrazioni;
• gestione degli accessi;
• controlli amministrativi;
• costi diretti e indiretti;
• dipendenza dal fornitore;
• capacità di monitorare utilizzo e risultati;
• competenze necessarie;
• possibilità di interrompere o sostituire la soluzione.

Lo strumento più noto non è automaticamente quello più adatto. Una funzione già disponibile nei software aziendali può essere sufficiente, mentre un processo specifico potrebbe richiedere una soluzione progettata su misura.

4. Stabilire controlli e responsabilità

La supervisione umana non può essere ridotta alla formula “controllare sempre gli output”. Bisogna chiarire che cosa significhi controllo nei diversi processi.

La revisione di una bozza interna richiede un livello di attenzione. Una proposta economica, un’analisi finanziaria, una valutazione su una persona o una comunicazione ufficiale ne richiedono uno differente.

Per ogni caso d’uso occorre stabilire:

• chi può usare il sistema;
• chi verifica l’output;
• quali fonti devono essere controllate;
• quali decisioni non possono essere delegate;
• quando bisogna segnalare un errore;
• chi può autorizzare un’estensione dell’utilizzo.

La responsabilità non passa all’algoritmo perché l’algoritmo ha prodotto la prima versione del lavoro. Rimane all’interno dell’organizzazione.

Questa considerazione diventa ancora più importante con gli AI agent e i sistemi capaci di eseguire sequenze di attività. Maggiore è l’autonomia operativa, più devono essere chiari limiti, autorizzazioni e possibilità d’intervento.

5. Costruire competenze diverse per ruoli differenti

Un corso identico per tutti difficilmente risponde ai rischi reali.

Il marketing deve comprendere attendibilità, fonti, copyright, dati utilizzati e controllo dei contenuti. Il commerciale deve riconoscere i limiti nella gestione delle informazioni su clienti e trattative. Chi lavora con analytics deve sapere che una risposta plausibile può derivare da un’interpretazione errata. I manager devono imparare a valutare casi d’uso, benefici, costi e responsabilità.

L’AI literacy non coincide con la capacità di scrivere prompt sofisticati. Comprende conoscenze e comportamenti che permettono di usare l’intelligenza artificiale in modo informato, riconoscendone opportunità, limiti e possibili conseguenze.

AI Act e AI literacy: quali aziende sono coinvolte?

L’articolo 4 dell’AI Act richiede a fornitori e utilizzatori professionali di sistemi AI di adottare misure per garantire un livello adeguato di competenza delle persone che li utilizzano per loro conto.

Le FAQ ufficiali della Commissione europea sull’AI literacy citano anche il caso di dipendenti che usano ChatGPT per scrivere testi pubblicitari o realizzare traduzioni: devono essere informati sui rischi specifici, comprese le risposte inesatte o inventate.

Il principio riguarda quindi anche impieghi apparentemente semplici dell’AI generativa.

La Commissione chiarisce inoltre che:

• le misure devono essere adattate agli strumenti, ai rischi e alle persone coinvolte;
• non esiste un formato formativo identico per tutte le organizzazioni;
• non è richiesto uno specifico certificato;
• l’azienda può conservare registrazioni interne delle iniziative formative e delle indicazioni fornite;
• per l’articolo 4 non è obbligatorio creare una particolare struttura di governance o nominare un AI officer.

Le disposizioni sull’AI literacy sono applicabili dal 2 febbraio 2025 e le regole di supervisione ed enforcement entrano in applicazione all’inizio di agosto 2026, secondo le FAQ attualmente pubblicate. Il calendario ufficiale dell’AI Act rimane la fonte da consultare per gli aggiornamenti.

La formazione non dovrebbe quindi essere trattata come un adempimento isolato. Deve riflettere gli strumenti effettivamente utilizzati, i processi coinvolti e i rischi specifici dei diversi ruoli.

Conviene acquistare strumenti AI per tutti i dipendenti?

Una distribuzione generalizzata può avere senso quando esistono casi d’uso frequenti, competenze adeguate e un ambiente capace di governare accessi, dati e risultati.

Senza queste condizioni, una parte delle licenze rischia di rimanere inutilizzata mentre gli impieghi più delicati continuano a sfuggire al controllo.

Prima di estendere una soluzione conviene realizzare una sperimentazione circoscritta che coinvolga ruoli e attività differenti. Non basta misurare il numero di richieste inviate o il gradimento iniziale.

Bisogna osservare:

• tempo realmente risparmiato;
• qualità del risultato dopo la revisione;
• frequenza di errori e correzioni;
• informazioni necessarie per ottenere un output utile;
• integrazione nel flusso di lavoro;
• utilizzo dopo l’entusiasmo iniziale;
• costi di controllo;
• nuove attività generate dall’introduzione dell’AI.

Uno strumento può accelerare la preparazione di una prima bozza e richiedere verifiche aggiuntive. Può far risparmiare tempo a una persona e aumentare il lavoro di chi deve controllare. Può funzionare bene durante una dimostrazione e risultare scomodo nel processo quotidiano.

Il valore deve essere valutato sull’intero flusso di lavoro, non sul singolo output apparso sullo schermo.

Chi dovrebbe governare l’intelligenza artificiale in azienda?

La governance dell’AI dovrebbe avere un responsabile riconoscibile e coinvolgere le funzioni necessarie in base ai casi d’uso.

In una PMI non è indispensabile creare un nuovo reparto. Può esserci un owner operativo affiancato da direzione, IT, responsabili dei processi e competenze legali, privacy o sicurezza quando necessarie.

Affidare tutto all’IT sarebbe riduttivo, perché molte decisioni riguardano clienti, organizzazione e qualità del lavoro. Lasciare tutto ai singoli reparti produce frammentazione. Consegnare il tema esclusivamente al legale rischia invece di trasformare la governance in una raccolta di divieti.

Il responsabile deve poter:

• raccogliere nuovi casi d’uso;
• coinvolgere le competenze appropriate;
• autorizzare o sospendere sperimentazioni;
• mantenere aggiornate le regole;
• verificare utilizzo e risultati;
• riportare alla direzione problemi e opportunità.

Il tema si collega alla più ampia governance digitale aziendale. Se nessuno tiene insieme strumenti, dati, processi e obiettivi, l’AI aggiunge velocità a una frammentazione già presente.

Come costruire una governance AI che venga realmente utilizzata

Una governance operativa non nasce da un documento scritto una volta e archiviato. Deve diventare un processo accessibile.

L’azienda dovrebbe mantenere una mappa aggiornata degli strumenti autorizzati e dei casi d’uso approvati. Le persone devono sapere a chi rivolgersi quando vogliono provare qualcosa di nuovo. Le richieste devono ricevere risposte in tempi ragionevoli, altrimenti le regole verranno aggirate.

È utile prevedere revisioni periodiche. Gli strumenti cambiano, le funzionalità si moltiplicano e una piattaforma già presente può attivare nuovi componenti AI senza che l’organizzazione ne abbia valutato l’impatto.

Anche i risultati devono tornare nella governance. Se un’attività non produce più vantaggi, può essere interrotta. Se un esperimento funziona, può essere esteso ad altri reparti con regole e formazione coerenti.

Una buona governance non serve a rallentare l’intelligenza artificiale. Crea un percorso comprensibile per sperimentare, valutare e adottare senza affidare ogni decisione alla prudenza del singolo dipendente.

Come capire se l’uso dell’AI sta diventando più maturo

La maturità non si misura dal numero di piattaforme acquistate o di contenuti generati.

I segnali più affidabili sono organizzativi:

• diminuisce l’impiego di account personali per attività aziendali;
• i casi d’uso sono conosciuti e hanno un responsabile;
• le persone distinguono più chiaramente i dati utilizzabili;
• gli output importanti seguono procedure di verifica definite;
• errori e incidenti vengono segnalati;
• costi e strumenti duplicati diventano visibili;
• i risultati vengono valutati sul processo completo;
• la formazione cambia in funzione dei ruoli;
• i nuovi impieghi vengono valutati prima di essere estesi.

Un’azienda matura non è quella in cui tutti usano l’AI ogni giorno. È quella che sa dove l’AI sta creando valore, dove sta aprendo rischi e quali decisioni devono rimanere nelle mani delle persone.

Prima di investire ancora, rendi visibile ciò che sta già accadendo

L’intelligenza artificiale può migliorare concretamente molte attività aziendali. Può ridurre tempi, facilitare l’accesso alle informazioni, sostenere analisi e accelerare la preparazione di documenti, contenuti e risposte.

Questi vantaggi diventano solidi quando l’utilizzo smette di dipendere soltanto dall’iniziativa e dalla prudenza individuale.

Se l’azienda non conosce gli strumenti già presenti, i dati utilizzati e i processi coinvolti, il confronto fra nuove soluzioni parte troppo avanti. Prima occorre rendere visibile l’adozione spontanea, capire quali comportamenti preservare e stabilire dove servano limiti, controlli e competenze aggiuntive.

La decisione centrale non riguarda quale intelligenza artificiale acquistare. Riguarda il tipo di organizzazione che dovrà utilizzarla: un insieme di esperimenti individuali oppure un’azienda capace di imparare da quegli esperimenti e trasformarli in un metodo condiviso.

Se la tua azienda sta investendo nel digitale ma i risultati non sono quelli attesi, spesso il problema non è lo strumento utilizzato ma il modo in cui l’intero sistema di marketing è stato progettato.

In questi casi il primo passo non è cambiare piattaforma o attivare nuove campagne.

Il primo passo è fermarsi e rivedere la strategia.

Una lettura più chiara del mercato, del posizionamento e del processo commerciale può trasformare completamente l’efficacia degli investimenti digitali.

Ed è esattamente da qui che inizia qualsiasi percorso serio di trasformazione digitale.

Scopri come posso aiutarti →