Shadow AI in azienda: il 64% del team la usa senza dirlo (2026)
Il 64% dei dipendenti PMI usa già AI non autorizzata dall'azienda (WatchGuard 2026). Cosa rischi davvero e come dare governance a quello che il team usa già.
Il 64% dei dipendenti delle piccole e medie imprese usa già strumenti di intelligenza artificiale che l'azienda non ha mai autorizzato (WatchGuard, 2026). Il problema non è se useranno l'AI, ma chi la controlla.
La survey, condotta ad aprile 2026 su 684 dipendenti di aziende con 50-500 persone in otto paesi tra Europa, Americhe e Australia, fotografa una situazione che molti titolari di PMI non vedono: mentre l'azienda discute "se" adottare l'AI, una parte del team la usa già — su documenti, dati clienti, comunicazioni interne — con account personali, fuori da qualsiasi controllo. Non è un'eccezione isolata: è la norma statistica. In questa guida vediamo cos'è davvero la shadow AI, quali rischi concreti comporta per una PMI italiana e come impostare una governance che funzioni, senza illudersi che un divieto la faccia sparire.
Punti chiave
- Il 64% dei dipendenti PMI usa AI non autorizzata dall'azienda — WatchGuard, 2026
- Il 44% dei manager usa l'AI senza dirlo ai colleghi — Sharp Europe, 2026
- In Italia, il 27% dei dipendenti acquista di tasca propria strumenti AI senza chiedere il via libera — Bitmat, 2026
- Il rischio reale non è "l'AI non autorizzata" in sé, ma dove finiscono i dati che le vengono dati in pasto
- Vietare l'uso non elimina il fenomeno: lo sposta semplicemente fuori dalla vista di chi dovrebbe gestirlo
Cos'è la shadow AI e perché sta succedendo proprio ora
"Shadow AI" è il termine che descrive l'uso di strumenti di intelligenza artificiale sul lavoro senza che l'azienda li abbia approvati, li conosca o li monitori — esattamente come la "shadow IT" di un decennio fa, quando i dipendenti installavano app cloud non autorizzate per lavorare più in fretta. La differenza è la velocità: uno strumento AI generalista è gratuito, si apre in un browser, non richiede installazione né permesso IT. Chiunque in azienda può iniziare a usarlo nel tempo che impiega a digitare l'indirizzo.
Secondo lo studio Sharp Europe, condotto su 2.500 manager di PMI in dieci paesi europei, il 44% dei responsabili usa già l'AI senza dirlo ai colleghi — un dato che smonta l'idea che la shadow AI sia un problema solo dei livelli junior. Chi dovrebbe dare l'esempio sulla policy aziendale è spesso la prima persona a non seguirla, semplicemente perché l'alternativa autorizzata non esiste o è più lenta del tool che trova da solo in due minuti.
In Italia il fenomeno ha una sua intensità specifica: il 27% dei dipendenti acquista di tasca propria un abbonamento AI professionale senza chiedere il via libera all'azienda (Bitmat, 2026) — segno che la domanda di AI nel lavoro quotidiano è già alta, indipendentemente da cosa decide la direzione. Nel frattempo, solo una minoranza delle grandi imprese italiane ha una governance AI strutturata: l'84% ha licenze di AI generativa e il 20% la usa in modo pervasivo nei processi, ma appena il 9% ha regole chiare su come va usata (Il Sole 24 Ore – Econopoly, 2026). Se succede nelle grandi imprese con reparti IT dedicati, in una PMI di 10-30 persone il divario tra uso reale e controllo è quasi sempre più ampio, non più piccolo.
Non è disciplina: è un gap di alternative
Quello che osserviamo nei nostri Step 1
Nei Context Pack che costruiamo con i nostri clienti, quasi ogni PMI arriva già con qualcuno in squadra che usa ChatGPT, Claude o un altro assistente di sua iniziativa — prima ancora che l'azienda parli di "progetto AI". Il problema non è mai la mancanza di adozione: è che quell'uso resta privato, sconnesso dal resto dei dati aziendali, e nessuno sa esattamente cosa ci è passato dentro.
I rischi concreti, non teorici
Il rischio della shadow AI non è un'ipotesi astratta sulla sicurezza informatica. Una ricerca PagerDuty del giugno 2026 ha misurato cosa fanno davvero i dipendenti con gli strumenti AI non autorizzati: il 66% li ha usati pur ritenendo che le policy aziendali non lo consentissero, il 34% ha inserito dati o informazioni sui clienti in strumenti AI pubblici, e il 31% ha condiviso informazioni finanziarie, documenti riservati o strategie aziendali (Tom's Hardware, 2026).
Un commerciale incolla il contratto di un cliente in un chatbot pubblico per farsi riassumere le clausole
→ Dati del cliente fuori perimetro, nessun accordo di trattamento dati con quel fornitore
Il marketing genera un testo con un tool AI gratuito e lo pubblica senza nessuna revisione sulla provenienza dei dati di addestramento o sulla veridicità dei contenuti
→ Nessun controllo su cosa è stato effettivamente inserito nel prompt
Un responsabile adotta un assistente AI autorizzato dall'azienda, con accesso tracciato ai soli dati che gli competono
→ Uso visibile, perimetro definito, nessun dato che esce senza controllo
L'azienda censisce gli strumenti AI già in uso e li porta dentro un sistema unico (Context Pack) invece di vietarli
→ L'adozione resta, il rischio si riduce
Il nodo non è l'AI, è dove finiscono i dati
Un dipendente che incolla un contratto, un elenco clienti o un bilancio in un chatbot pubblico gratuito non sta solo "usando l'AI": sta facendo uscire quel dato dal perimetro dell'azienda verso un fornitore terzo con cui non esiste alcun accordo sul trattamento. Per una PMI che gestisce dati di clienti o fornitori, questo è un problema di GDPR prima ancora che di sicurezza informatica.
Un caso tipico: PMI servizi, 20 persone
Il profilo più comune non è quello di un'azienda che ignora l'AI, ma di una che ne ha già tre versioni scollegate in corso allo stesso tempo. In una PMI di servizi con circa 20 dipendenti, non è raro trovare: l'amministrazione che usa un assistente AI generalista per bozze di email, il commerciale che riassume contratti e proposte con un altro strumento scelto da solo, e un responsabile che — coerente col 44% rilevato da Sharp Europe — testa un terzo tool per i report interni senza dirlo al resto del team. Nessuno dei tre sa cosa fanno gli altri due, e nessuno dei tre strumenti condivide la minima informazione sul cliente, sulla scadenza o sulla storia pregressa. Il risultato non è "troppa AI": è AI frammentata, che ciascuno reinventa da zero ogni volta che serve, con il rischio concreto che qualcuno dei tre inserisca per sbaglio un dato che non dovrebbe lasciare l'azienda — perché nessuno gli ha mai detto dove sta il confine.
Perché vietare non funziona
La reazione istintiva di molti titolari, quando scoprono quanto sia diffusa la shadow AI, è bloccare l'accesso agli strumenti AI pubblici dalla rete aziendale. Il problema è che questa misura, da sola, non elimina la domanda: la sposta sul telefono personale, fuori dalla visibilità di chiunque. Il 27% dei dipendenti italiani che oggi paga di tasca propria un abbonamento AI lo farebbe comunque, solo con meno controllo di prima, non di più.
La differenza non è nella policy scritta, ma in cosa offre l'azienda al posto del divieto:
Come dare governance senza bloccare l'adozione
Mappa quali strumenti AI usa già il team, anche informalmente — una conversazione diretta vale più di una policy scritta che nessuno ha letto. L'obiettivo non è punire chi lo fa, ma sapere cosa succede davvero.
Stabilisci in modo semplice cosa può entrare in uno strumento AI esterno e cosa no — in particolare dati di clienti, contratti, informazioni finanziarie. Una regola chiara batte un divieto generico.
Se il tool shadow risolve un problema reale (velocità, bozze, riassunti), l'azienda deve offrire un'alternativa autorizzata altrettanto comoda — altrimenti il team torna al tool vietato. È qui che un sistema con Context Pack permanente, che già conosce i dati dell'azienda, sostituisce la ragione per cui qualcuno sceglieva uno strumento personale.
L'AI Act impone comunque, nei casi previsti, un inventario dei sistemi AI usati in azienda: tenerlo aggiornato non è solo compliance, è l'unico modo per sapere se la governance sta davvero funzionando o se la shadow AI si è solo spostata altrove. Ne parliamo più nel dettaglio nell'approfondimento sull'inventario dei sistemi AI per le PMI.
Dove entra un sistema di AI Operations gestite
La differenza tra un'azienda che subisce la shadow AI e una che la trasforma in un vantaggio non è la tecnologia disponibile — è identica per entrambe. È avere un posto unico dove l'uso dell'AI diventa visibile, collegato ai dati reali dell'azienda e sicuro, invece che sparso tra account personali che nessuno controlla. È esattamente il principio alla base delle AI Operations gestite: un Context Pack che conosce già il contesto dell'azienda, così il team non ha più bisogno di cercare altrove uno strumento che "capisca" cosa sta facendo.
Per capire quanto sia diffusa la shadow AI nel tuo team specifico — e da dove conviene iniziare a dare ordine senza bloccare nulla che funziona già — il modo più rapido è un audit gratuito: si censiscono gli strumenti AI realmente in uso, si stima il rischio concreto sui dati che toccano, e si indica il primo intervento con il rapporto rischio/beneficio più favorevole.
Domande frequenti
Vietare ChatGPT e altri tool AI in azienda risolve il problema della shadow AI?
No. I dati lo confermano: il 27% dei dipendenti italiani paga già di tasca propria un abbonamento AI personale. Un divieto sposta l'uso sul telefono personale, fuori da qualsiasi visibilità aziendale — il rischio sui dati resta identico, cambia solo che l'azienda non lo vede più.
La shadow AI è illegale?
Non di per sé. Diventa un problema concreto quando dati personali di clienti, dipendenti o fornitori finiscono in uno strumento AI pubblico senza un accordo sul trattamento dei dati: in quel caso il rischio è di natura GDPR, non solo di sicurezza informatica.
Da dove conviene iniziare a dare ordine alla situazione?
Dal censimento, non dal divieto: una conversazione diretta con il team su quali strumenti usano già, su cosa, e con quali dati. È il passo che quasi nessuna PMI fa prima di scrivere una policy — e senza quel dato, qualsiasi regola scritta a tavolino rischia di non intercettare l'uso reale.
Serve una policy scritta sull'uso dell'AI in azienda?
Sì, ma da sola non basta: deve accompagnarsi a un'alternativa autorizzata concreta. Una policy che dice solo "non usare strumenti AI non approvati" senza offrire nulla al posto di quello che il team usa già viene sistematicamente ignorata, come mostra il 44% dei manager che la usa comunque senza dirlo.
Cosa c'entra l'AI Act con la shadow AI?
L'AI Act prevede, nei casi applicabili, l'obbligo per le aziende di mantenere un inventario dei sistemi di intelligenza artificiale che utilizzano. Se la shadow AI non è censita, quell'inventario è per definizione incompleto — ed è un problema di compliance oltre che di controllo interno.
Quanto tempo richiede mettere ordine nella shadow AI di una PMI piccola?
Il censimento iniziale (Step 1) richiede tipicamente pochi giorni di conversazioni dirette col team. Dare un perimetro dati chiaro e un'alternativa autorizzata è un lavoro di 1-2 settimane. Il punto non è la velocità dell'intervento tecnico, ma la costanza nel tenerlo aggiornato: la shadow AI non si "risolve" una volta, si gestisce in continuo.
Quale agente AI potrebbe lavorare per te?
Compila l'audit gratuito: in 24 ore ricevi un'analisi personalizzata sulla tua azienda.
Inizia l'audit gratuito