Su 858.440 eventi di data loss prevention che riguardano caricamenti verso strumenti di intelligenza artificiale generativa, il contenuto più frequente non sono i dati dei clienti e nemmeno i documenti commerciali. È codice sorgente, primo con ampio distacco, seguito da immagini e dati strutturati. Il numero arriva dal Data Breach Investigations Report 2026 di Verizon, diciannovesima edizione, costruita su oltre ventiduemila violazioni confermate in 145 paesi.
Chi si aspettava una storia di dati personali e sanzioni GDPR si trova davanti a qualcosa di diverso: proprietà intellettuale che esce dall’azienda un incollaggio alla volta, senza che nessuno stia facendo niente di malevolo.
Indice degli argomenti:
Il 45% usa l’AI al lavoro, il 67% con account propri
I due numeri del rapporto Verizon vanno letti insieme. La quota di dipendenti che usano regolarmente strumenti AI sui dispositivi aziendali è passata dal 15% al 45% in dodici mesi, e di questi il 67% accede con account personali non censiti dall’IT. Nella classifica delle azioni non malevole rilevate dai sistemi di prevenzione della perdita dati, la shadow AI è salita al terzo posto con un incremento di quattro volte rispetto all’anno precedente.
C’è un dettaglio che passa spesso inosservato e che vale la pena mettere sul tavolo del comitato rischi: oltre il 15% degli utenti aziendali ha installato estensioni browser AI non autorizzate. Quelle estensioni leggono il contesto di navigazione, sessioni sui sistemi interni comprese, e fanno quello che farebbe un infostealer con la differenza che l’utente ha cliccato “installa” convinto di risparmiare tempo.
La velocità della curva conta più del valore assoluto. Passare da quindici a quarantacinque in un anno significa che qualunque mappatura fatta dodici mesi fa descrive un’azienda che non esiste più, e che il perimetro va ricostruito con una frequenza che i cicli annuali di audit non reggono.
Il codice sorgente esce prima dei dati dei clienti
La composizione di quello che viene caricato ribalta l’impostazione difensiva costruita finora. Le policy scritte negli ultimi due anni proteggono quasi sempre le categorie regolate, dati personali e dati sanitari, perché sono quelle che portano sanzioni immediate e obblighi di notifica. Il rischio si è spostato altrove.
Un repository proprietario incollato dentro un assistente per chiedere una spiegazione o un refactoring porta fuori dall’azienda logiche di business, architetture, chiavi lasciate nei file di configurazione, commenti che descrivono decisioni interne. Nel 3,2% delle violazioni rilevate finiscono in quei sistemi anche documentazione tecnica e materiali di ricerca. Nessuna di queste categorie produce una notifica al Garante, e per questo nessuna compare nei cruscotti di rischio, però sono esattamente le cose che un’azienda considera il proprio vantaggio competitivo.
Un esercizio utile prima di scrivere qualunque regola: chiedersi quale documento, uscendo dall’azienda domani mattina, farebbe più danno. Nella maggior parte dei casi non è un elenco di clienti.
Il divieto sposta l’uso sul telefono personale
La reazione istintiva a questi numeri è bloccare i domini degli assistenti sul perimetro di rete e mettere una riga nel regolamento aziendale. Funziona per qualche settimana, poi il traffico scompare dai log e ricompare sul telefono personale del dipendente, fotografando lo schermo o riscrivendo a mano il testo dentro l’applicazione.
Il risultato è peggiore della situazione di partenza, perché prima c’era un rischio visibile e adesso c’è lo stesso rischio senza alcuna tracciabilità. Il paragone con il “bring your own device” di quindici anni fa regge quasi punto per punto: le organizzazioni che hanno provato a vietare i dispositivi personali hanno perso il controllo, quelle che hanno costruito un perimetro gestito con enrollment e separazione dei profili hanno recuperato governo.
Va aggiunta una considerazione che riguarda la responsabilità e non solo la sicurezza. L’articolo 4 dell’AI Act sull’alfabetizzazione impone a chi impiega sistemi di intelligenza artificiale di assicurare un livello adeguato di competenza al personale che li utilizza, ed è operativo dal febbraio 2025.
Un’azienda che vieta senza offrire alternative non sta adempiendo a quell’obbligo, sta soltanto spostando l’uso dove non lo vede, e in caso di contestazione dovrà spiegare perché sapeva e non ha agito.
Due assi bastano a decidere cosa è ammesso
La domanda operativa non è se consentire l’uso dell’AI, è quale combinazione di dato e processo richiede quale regime. Due assi bastano a costruire una matrice che le persone riescono a usare senza consultare un manuale.
Il primo asse misura la sensibilità dell’informazione trattata: dati pubblici o già divulgati, dati interni non riservati, dati riservati o proprietari, dati personali e categorie particolari. Il secondo misura la criticità della decisione a valle: supporto alla riflessione personale, produzione di materiale che verrà rivisto, output che entra in un processo verso l’esterno, output che determina una decisione su persone o contratti.
Dall’incrocio nascono quattro regimi:
- Libero per informazione a bassa sensibilità e decisione non critica, senza autorizzazione preventiva.
- Tracciato per uso quotidiano su dati interni, che richiede account aziendale e log, con strumenti forniti dall’organizzazione.
- Canalizzato per dati riservati o processi che toccano il cliente, ammesso solo su istanze con residenza dei dati definita, esclusione dall’addestramento e revisione umana documentata.
- Vietato con eccezione motivata per dati personali particolari o decisioni su persone, dove serve una valutazione d’impatto prima di qualsiasi impiego.
La matrice funziona a una condizione: che il quadrante libero sia davvero libero. Se ogni casella richiede un’autorizzazione, le persone smettono di leggerla entro la seconda settimana.
Novanta giorni per far emergere quello che già succede
Un programma di emersione realistico si articola su tre blocchi di trenta giorni, e parte dal presupposto che l’uso esista già e vada scoperto, non prevenuto.
Primo mese, misurare senza sanzionare. Analisi dei log di rete e di proxy per identificare i servizi contattati, censimento delle estensioni browser installate sul parco macchine, ricognizione delle spese su carte aziendali per abbonamenti individuali. In parallelo un’indagine interna anonima, dichiarata esplicitamente come non sanzionatoria, sul cosa si usa e per fare cosa. La qualità dei dati raccolti dipende interamente dalla credibilità di quella dichiarazione.
Secondo mese, dare un’alternativa migliore. L’attivazione di strumenti aziendali con esclusione dall’addestramento, log e controllo degli accessi va fatta prima della policy, non dopo. Chi ha usato per mesi una versione gratuita accetta di migrare solo se lo strumento aziendale è almeno altrettanto buono, e la migrazione riesce quando arriva accompagnata da esempi concreti sul lavoro di quella funzione.
Terzo mese, scrivere le regole e rendere visibile il perimetro. Pubblicazione della matrice, formazione differenziata per funzione, definizione di un punto di contatto per i casi non previsti e di una procedura di richiesta rapida per nuovi strumenti. Le regole scritte alla fine del percorso descrivono comportamenti osservati e alternative già disponibili, ed è per questo che vengono seguite.
Resta il tema della misura nel tempo. Un programma di questo tipo non produce un risultato stabile, produce una linea di base da confrontare ogni trimestre, e l’indicatore che conta davvero riguarda la quota di uso che avviene dentro il perimetro governato, molto più del numero di violazioni rilevate. Se sale, il programma funziona. Se resta ferma mentre l’uso complessivo cresce, significa che lo strumento aziendale non regge il confronto e la gente ha trovato un’altra strada.
Quanti board hanno già chiesto quel numero, e quanti stanno ancora aspettando che la mappatura dell’anno scorso torni utile?
Partecipa alla community