Il problema dello shadow IT non è mai uscito di scena, ma oggi si parla soprattutto di shadow AI. Perché sono innanzitutto gli strumenti e servizi di intelligenza artificiale, usati dai dipendenti anche se non previsti dalle policy, a sfuggire al controllo dell’IT aziendale creando maggiore fonte di rischio. Il vero rischio però non è solo l'adozione di uno strumento non approvato, ma la totale perdita di visibilità sui sulle attività dei dipendenti, sui processi IT e sui percorsi compiuti dai dati.
Sul tema dell’attrito digitale e sulle sue conseguenze fa luce un recente report di TeamViewer, che spiega l’origine del fenomeno e suggerisce come poterlo gestire. Ce lo racconta Patricia Leppert, team manager customer trust & security di TeamViewer.
Patricia Leppert, team manager customer trust & security di TeamViewer
"La sicurezza delle informazioni è un pilastro fondamentale per la stabilità e la reputazione aziendale. Tuttavia, quando i protocolli diventano troppo rigidi o farraginosi, si innesca un meccanismo controproducente: i dipendenti cercano scorciatoie per aggirare l'ostacolo, riducendo l’efficacia delle difese stesse.
Per molti lavoratori, le procedure di sicurezza sono ancora percepite come un freno burocratico che interrompe il flusso delle attività quotidiane. Che si tratti di un reset della password nel momento meno opportuno o di un processo di approvazione che rallenta un progetto, la frustrazione è la medesima. Sebbene queste misure siano supportate da valide motivazioni tecniche, se non si allineano al flusso di lavoro reale rischiano di produrre l'effetto opposto: spingere il personale a bypassare le regole, adottando proprio quei comportamenti a rischio che si vorrebbero prevenire.
Attrito digitale e “scorciatoie” sistematiche
Il fenomeno della shadow AI è la manifestazione più evidente di questo attrito digitale (digital friction) tra sicurezza e produttività. Si verifica quando i dipendenti utilizzano strumenti o piattaforme di intelligenza artificiale all'insaputa del dipartimento IT o dei responsabili della sicurezza, senza alcuna autorizzazione ufficiale. Oggi la forza lavoro si trova sotto una pressione costante per produrre risultati rapidi e gestire volumi di informazioni senza precedenti. Di conseguenza, se gli strumenti aziendali autorizzati risultano di difficile accesso o poco intuitivi, le persone cercano soluzioni immediate, ricorrendo a dispositivi personali, a piattaforme di AI generative pubbliche o ad applicazioni di terze parti non verificate.
Nella stragrande maggioranza dei casi, non c’è alcuna intenzione dolosa. I dipendenti cercano semplicemente di risolvere un problema pratico: rispettare una scadenza imminente, rispondere rapidamente a un cliente o sbloccare un progetto arenato nella burocrazia interna. È questo a rendere complessa la gestione della shadow AI: lo stesso istinto che spinge il lavoratore verso l'efficienza genera, paradossalmente, un rischio informatico invisibile per l'intera infrastruttura aziendale.
I dati statistici confermano che non si tratta di eccezioni isolate: le scorciatoie tecnologiche stanno diventando una componente strutturale del lavoro quotidiano. Il report "Digital Friction" di TeamViewer delinea un quadro chiaro: a livello mondiale, il 40% dei dipendenti usa dispositivi personali o app non autorizzate quando la tecnologia aziendale fallisce o rallenta i processi. La percentuale sale al 51%negli Stati Uniti, mercato fortemente orientato alla velocità dei flussi operativi, e raggiunge il picco massimo del 66% in India, dove la necessità di produrre risultati supera il rispetto dei protocolli.
Un disallineamento profondo
Il vero rischio non è solo l'adozione di uno strumento non approvato, ma la totale perdita di visibilità. I dipartimenti di sicurezza non possono governare ciò che non vedono, né garantire la conformità di attività che si sviluppano fuori dai canali ufficiali. Si genera così un circolo vizioso: un eccesso di rigidità spinge il lavoro verso ambienti digitali non gestiti, diminuendo il livello di protezione complessivo dell'azienda invece di aumentarlo.
La proliferazione della shadow AI segnala un disallineamento profondo tra strategie di sicurezza, modelli di governance ed esperienza d'uso dei dipendenti. Certamente il rischio tecnico è reale: informazioni riservate o segreti industriali possono transitare su server esterni non monitorati, e i team possono prendere decisioni basandosi su output algoritmici privi di validazione ufficiale. Tuttavia, concentrarsi solo sulla tecnologia fa perdere di vista la radice del problema: la shadow AI si espande quando i percorsi autorizzati sono percepiti come lenti, obsoleti o distanti dalle reali esigenze sul campo. Spesso le persone agiscono in uno stato di confusione, non sapendo con certezza quali strumenti siano consentiti, né quali dati possano essere inseriti in sicurezza nelle piattaforme di intelligenza artificiale.
Una crisi di fiducia
La ricerca mette in luce, con diversi indicatori, una vera e propria crisi di fiducia tra la forza lavoro e i dipartimenti tecnologici;
- il 57% dei lavoratori non si fida della capacità dell'IT di risolvere i problemi tecnici rapidamente;
- il 47% teme che i propri dati personali e professionali non siano protetti adeguatamente;
- il 62% non ha fiducia nel fatto che i responsabili IT forniscano le soluzioni di AI più aggiornate.
I dipendenti non sono disposti ad attendere i lunghi tempi della burocrazia interna affinché l’azienda colmi il divario tecnologico. Se gli strumenti necessari per competere mancano nei canali approvati, il personale se li procurerà da solo. La sicurezza deve agire come un abilitatore della produttività, mai in conflitto con essa. Questo cambio di paradigma richiede processi protetti, chiari e abbastanza pratici da integrarsi nei flussi quotidiani. Quando la sicurezza è intuitiva, i dipendenti tendono a utilizzarla correttamente.
L’autenticazione ne è l'esempio lampante: le password tradizionali sono da sempre fonte di frustrazione e vulnerabilità. L’adozione di approcci evoluti come lo Zero Trust e l’autenticazione biometrica rafforza la protezione migliorando l’esperienza d’uso. I controlli più efficaci sono proprio quelli che risultano quasi invisibili per chi li utilizza.
Governance e sicurezza by design
La governance dell’AI deve entrare nel modello operativo aziendale, non essere una policy astratta. Gli strumenti di intelligenza artificiale penetrano spesso in modo frammentato per esigenze di singoli reparti. Un semplice esperimento di produttività può rapidamente trasformarsi in un processo operativo centrale, senza che siano mai stati definiti i ruoli e le relative responsabilità.
In questo scenario, la supervisione umana resta insostituibile. L’AI elabora informazioni a velocità impressionante, ma non comprende i contesti aziendali, le sfumature etiche, né le implicazioni reputazionali di un output. Le persone rimangono indispensabili per valutare criticamente i risultati degli algoritmi e assumersi la responsabilità finale delle decisioni.
Per i dipendenti, questo deve tradursi in indicazioni chiare e operative su quali strumenti utilizzare e quali dati non condividere: le linee guida devono essere facilmente accessibili nel momento del bisogno, poiché una policy complessa o difficile da trovare non influenzerà mai i comportamenti reali. Costruire questo ecosistema richiede un approccio inclusivo, perché team con competenze multidisciplinari e prospettive diverse sviluppano sistemi realmente usabili e resilienti; la sicurezza non può più essere progettata pensando a un unico profilo di utente ideale.
Ridurre la shadow AI richiede una profonda comprensione dei motivi operativi che spingono i dipendenti a ricorrere a strumenti non autorizzati. I responsabili aziendali devono analizzare due scenari critici: quando i sistemi ufficiali non soddisfano le reali esigenze del business e quando la sicurezza viene introdotta troppo tardi. Troppo spesso, infatti, i controlli vengono implementati solo dopo che uno strumento è già stato adottato dalle persone, venendo così percepiti come un fastidioso ostacolo burocratico.
Sicurezza “by design”
Un approccio orientato alla security by design capovolge questa dinamica: integrando i controlli fin dalle primissime fasi di progettazione di qualsiasi processo o scelta tecnologica, diventa possibile gestire i rischi potenziali prima ancora che le abitudini degli utenti si consolidino, diventando poi complesse da modificare.
In questa partita, la trasparenza si rivela un ingrediente strategico. Oggi clienti, partner e gli stessi dipendenti esigono chiarezza su come le organizzazioni utilizzino l'AI e proteggano i dati. Di conseguenza, la sicurezza non può più operare come una "scatola nera" che emette divieti insindacabili. I dipendenti sono decisamente più motivati a seguire le linee guida quando ne comprendono le ragioni profonde. Un divieto sterile non è più sufficiente: le persone hanno bisogno di contesto e della certezza che il percorso ufficiale consenta loro di lavorare con la stessa efficienza e velocità che potrebbero trovare all'esterno.
In definitiva, sebbene il dibattito sulla cybersecurity si concentri sulle minacce esterne, le organizzazioni lungimiranti devono prestare un'attenzione identica ai rischi interni, che nella maggior parte dei casi non derivano affatto da intenzioni malevole. La shadow AI non indica semplicemente che i dipendenti violano le regole; è piuttosto il sintomo che i sistemi aziendali devono evolversi per restare al passo con i nuovi modelli di lavoro flessibili, integrando l'uso sicuro e responsabile dell'AI nel DNA stesso dell'organizzazione.
Mitigare questo rischio sarà possibile solo mettendo a disposizione del personale strumenti protetti che siano anche pratici, moderni e facili da adottare quotidianamente. In un contesto normativo sull'IA sempre più stringente, le aziende che integrano la sicurezza nei processi quotidiani si troveranno in una posizione di netto vantaggio strategico. Le organizzazioni di maggior successo non saranno quelle che introdurranno i controlli più rigidi, ma quelle capaci di rendere la sicurezza la scelta più semplice, fluida e naturale per i propri dipendenti".