GPT, Generazione Pericolosa di Testo

Pubblicato il 2 Settembre 2025

Oggigiorno strumenti AI, LLM (large language model) e transformer sono utilizzati da chiunque, sia con versioni gratuite sia con piani a pagamento. Peccato che manchi una cosa fondamentale: l’AI literacy, l’alfabetizzazione sull’intelligenza artificiale, cioè la capacità di usare questi strumenti in modo competente, efficace e responsabile.

È uscito un recente sondaggio di WalkMe^1 che rivela che oltre l’80 % dei dipendenti ammette di utilizzare software AI non approvati dalle policy aziendali, esponendo i dati sensibili a diversi rischi. Il campione è ristretto, ma per esperienza personale ritengo queste percentuali realistiche.

Cos’è lo Shadow AI?

Immagina di essere a lavoro, aprire il tuo laptop, andare su ChatGPT e cominciare a usarlo per scrivere email, analizzare dati o creare contenuti. Lo fai perché è veloce e comodo, ma senza chiedere il permesso al reparto IT né rispettare le policy aziendali. Questo è lo Shadow AI: l’uso di applicazioni o modelli di intelligenza artificiale al di fuori del controllo ufficiale dell’organizzazione. ^2 ^3

Perché è un problema?

Dati sensibili – Quando i dipendenti caricano documenti, email o altri contenuti su servizi AI esterni, spesso questi dati viaggiano senza crittografia. Le informazioni finiscono sui server del provider, fuori dal controllo dell’azienda, creando una vulnerabilità sfruttabile da concorrenti o attori malevoli.

Violazione del GDPR – Il regolamento richiede che i dati personali siano trattati solo con una base legale valida e, quando necessario, rimangano all’interno dell’UE. Lo Shadow AI può trasferire dati a server extra‑UE o elaborarli senza consenso, esponendo l’impresa a multe proporzionali al fatturato e a danni reputazionali.

Mancanza di audit – Nessuno sa chi ha attivato quale modello, quando e con quali dati. Senza tracciabilità è impossibile ricostruire incidenti o dimostrare conformità durante un audit interno o esterno.

Rischio Copyright – Molti modelli sono addestrati su dati non licenziati. Usarli per produrre contenuti aziendali può esporre l’organizzazione a cause per violazione di diritti di proprietà intellettuale.

Bias – Modelli non verificati possono incorporare pregiudizi presenti nei dati di addestramento, portando a decisioni di business errate o discriminazioni involontarie.

Il quadro normativo

Leggi nazionali – Il Codice della privacy italiano prevede sanzioni severe per il trattamento illecito di dati sanitari, bancari o giudiziari. (Garante Privacy)
GDPR (Art. 32) – Richiede misure tecniche e organizzative adeguate per proteggere i dati personali. Inviare informazioni a servizi AI non certificati è una violazione diretta. (Garante GDPR)
AI Act dell’UE – Entrerà in vigore entro il 2026, fornendo il primo quadro giuridico completo sull’intelligenza artificiale e imponendo requisiti di trasparenza, robustezza e governance. (EU Digital Strategy)

Come ridurre il rischio

Definisci una policy chiara – Stabilisci quali tool AI sono consentiti, dove devono essere ospitati e quali tipologie di dati possono essere elaborati. ^4)
Adotta soluzioni “trusted AI” – Scegli piattaforme AI interne o versioni enterprise (es. ChatGPT Enterprise) che trattano i dati in modo conforme alle policy aziendali.
Formazione degli utenti – Corsi su AI literacy, GDPR, data leakage e conseguenze legali dell’uso non controllato.
Monitora i flussi di dati – Implementa logging e monitoraggio delle chiamate API verso servizi esterni; registra chi, cosa e quando invia informazioni a piattaforme AI.

Altri punti

Esempi tipici di utilizzo non autorizzato

Chatbot integrati in Slack o Teams per rispondere a richieste dei clienti senza passare per l’help‑desk aziendale.
Tool di trascrizione per sintetizzare meeting registrati.
Tool di traduzione automatica inseriti in workflow di documentazione o email, con dati sensibili che attraversano reti esterne senza crittografia end‑to‑end.

Settori più colpiti

Consulenza – Produzione rapida di presentazioni e report con dati sensibili dei clienti.
Pubblica amministrazione – Automazione di pratiche burocratiche e traduzione di documenti ufficiali.
Media – Bozza di articoli con dati personali di fonti o metadati sensibili.
Ricerca e sviluppo – Scrittura di paper scientifici che potrebbero divulgare dati non ancora pubblici.