Kennisbank

Lo strumento che nessuno ha approvato, ma che tutti usano

C'è un momento in cui un dipendente ha un problema e cerca una soluzione. Un testo che deve essere pronto più in fretta, un dataset che deve essere più chiaro, un cliente che vuole una risposta ancora oggi. Il servizio IT richiede troppo tempo, o non esiste nemmeno. Così viene creato un account, installata un'estensione, attivato un abbonamento su una carta di credito che nessuno controlla. Non per cattiva volontà. Per pressione lavorativa.

È così che nasce la shadow AI. Non come ribellione contro le regole, ma come risposta pratica a una lacuna nelle regole. E non scompare da sola, perché il motivo per cui è nata — un compito che con l'AI si svolge più velocemente che senza — continua a esistere finché le regole non offrono un'alternativa. Vietare non cambia il compito. Cambia solo se sapete che lo strumento viene usato.

Perché l'elenco IT non è accurato

Un elenco di software approvato dice qualcosa su ciò che è stato richiesto e concesso. Non dice nulla su ciò che viene effettivamente usato. Tra questi due elenchi c'è una differenza che cresce man mano che gli strumenti AI diventano più accessibili: nessuna installazione, nessun processo di acquisto, solo un browser e un account. Un'estensione del browser con accesso alla vostra posta resta fuori da ogni processo di acquisto e da ogni elenco, mentre l'accesso di cui dispone è altrettanto sensibile quanto quello di un sistema approvato. Chi guarda solo l'elenco IT guarda una parte della realtà e la chiama il tutto.

La domanda a cui non si ottiene risposta se si punisce prima

L'unico modo per sapere cosa viene effettivamente usato è chiederlo. Non come domanda di controllo con una sanzione alla fine, ma come inventario senza conseguenze per chi collabora. Non appena i dipendenti sospettano che una risposta onesta porti a un colloquio con un superiore, l'informazione non scompare — semplicemente va sottoterra. Lo stesso strumento continua a funzionare, solo meno visibile. Un'organizzazione che vuole conoscere la portata della shadow AI deve quindi prima definire la condizione in base alla quale otterrà la risposta. Non è una questione di perdere fiducia, è una questione di ordine: prima la visibilità, poi le regole.

Cosa succede realmente dopo

Una volta raccolto l'inventario, nasce qualcosa di utile: un elenco di strumenti per ruolo e livello di rischio, non per giusto o sbagliato. Uno strumento che riscrive testi per uso interno comporta un rischio diverso da uno strumento che elabora dati dei clienti o prepara decisioni. Alcuni di questi strumenti sono nati da un uso individuale che è cresciuto fino a diventare lo standard di un reparto — si veda un reparto con un abbonamento proprio — e meritano piuttosto una formalizzazione che un divieto. Altri sono stati impostati una tantum per un progetto ormai concluso, ma l'accesso resta ancora aperto; è lo schema descritto in una configurazione pilota mai disattivata. La classificazione determina cosa è necessario: a volte nulla, a volte un adeguamento, a volte l'integrazione nella struttura di governance esistente.

Nessuna caccia alle streghe, ma sì una struttura

L'obiettivo di questo approccio non è individuare tutti quelli che hanno avviato uno strumento senza autorizzazione. L'obiettivo è sapere cosa è in funzione, chi lo usa e quale rischio comporta — affinché un amministratore, un CIO o un General Counsel possa rispondere a questa domanda quando gli viene posta, internamente o esternamente. Ciò richiede un metodo fisso di inventario che non si fermi a un solo giro, perché continuano ad arrivare nuovi strumenti. Come costruire in pratica questo inventario, compresa la domanda su chi lo esegue e con quale frequenza, è descritto in come costruire un inventario AI.

La struttura di governance in sé — quali regole valgono per quale livello di rischio, quali scadenze e obblighi vi sono collegati — è un argomento separato con un proprio contenuto attuale, che non viene ripetuto qui. Ciò che conta in questa pagina è il meccanismo: ottenere visibilità senza bloccare il flusso di informazioni, e tradurre questa visibilità in una classificazione che si allinei a ciò che l'organizzazione ha già impostato in termini di gestione del rischio.

Dove finisce questo discorso e dove continua

L'inventario che porta alla luce la shadow AI spesso non riguarda solo strumenti isolati. Rivela anche che un fornitore ha aggiunto l'AI a un sistema già in uso, senza che ne sia stata fatta una discussione separata — lo schema alla base di un fornitore che ha integrato l'AI nel proprio prodotto — e che informazioni aziendali sensibili vengono a volte semplicemente incollate in una finestra di chat pubblica, come descritto in dati aziendali in una finestra di chat gratuita. Tutte queste forme condividono la stessa origine: un compito per cui l'AI funziona più velocemente del processo esistente.

Questa constatazione porta logicamente a un'altra domanda, indipendente da approvazione e rischio: quale parte del lavoro stesso è adatta a essere assunta dall'AI. La scansione del lavoro di FTE TO AI lo calcola per singolo compito, sulla base di ciò che il lavoro effettivamente comporta, e mostra dove l'automazione può assorbire una parte reale del tempo — come punto di partenza per una discussione su cosa pianificare in merito, non come sostituto della domanda di governance che è al centro di questa pagina.