Shadow AI, con gli agenti serve trasparenza

Lo si considerava, fino a non molto tempo fa, un fenomeno confinato ai dipendenti più intraprendenti che sperimentano in autonomia i nuovi strumenti di intelligenza artificiale. Oggi, invece, la “shadow AI” coinvolge anche i vertici aziendali, rivelando un paradosso che va oltre la tecnologia: le organizzazioni investono sempre più nell’intelligenza artificiale ma faticano ancora a costruire un contesto organizzativo capace di gestirne a dovere l’utilizzo. È questa la fotografia che emerge da una ricerca di Sharp Europe condotta su 2.500 dirigenti di piccole e medie imprese in dieci Paesi europei, facendo luce su una problematica destinata a pesare ancora di più con la diffusione degli agenti AI che agiscono in autonomia su processi e dati aziendali. Guardando agli indicatori più significativi del rapporto.

Chi è responsabile?

Il 45% dei dipendenti utilizza modelli e chatbot senza dichiararlo al management mentre il 44% dei dirigenti ammette di ricorrere a questi strumenti senza informare i colleghi per apparire più competente. Le cause di questa mancanza di trasparenza? Spesso è il timore delle conseguenze, con un dirigente su tre che teme di essere percepito come poco corretto (in caso dichiarasse apertamente di utilizzare l’AI) e un’identica percentuale che riconosce il rischio a cui è sottoposta l’azienda con un uso non governato della tecnologia. Secondo Olivier Massonat, Ceo di Sharp DX France, Italy & Spain, la “shadow AI” non ha però un preciso e diretto responsabile. “Nella maggior parte dei casi – ha spiegato al Sole 24 Ore – i dipendenti non stanno cercando di aggirare la corporate governance in modo doloso ma reagiscono più velocemente rispetto a quanto le aziende riescono ad adattarsi. L’AI permette alle persone di essere più produttive, di analizzare dati in modo più rapido o di automatizzare task ripetitive, mentre policy di sicurezza e toolchain si muovono con tempi inevitabilmente più lunghi».

La ricerca individua in effetti una distanza crescente tra velocità dell’adozione dell’AI e la capacità delle imprese di accoglierla, con il 35% dei dirigenti che dichiara di non possedere ancora sufficienti competenze tecniche per utilizzare con sicurezza questi strumenti e una medesima percentuale di intervistati che continua a diffidare dell’affidabilità dei risultati prodotti dai modelli generativi.

Una governabilità pragmatica

Il tema è importante perché il fenomeno della “shadow AI” sta diventando strutturale, ricordandone altri già noti in ambito digitale come il Byod o lo “shadow IT”. Con una differenza però sostanziale: l’intelligenza artificiale non è solo un’applicazione installata senza autorizzazione, in quanto interpreta informazioni, genera contenuti, prende decisioni e interagisce con altri sistemi aziendali. «La completa trasparenza – sottolinea in proposito il Ceo di Sharp DX – è probabilmente irrealistica, specialmente se l’AI viene incorporata nei browser, nelle suite di produttività, nelle piattaforme SaaS e nei dispositivi personali. Il fine non dovrebbe essere il controllo assoluto, perché rallenterebbe l’uso e creerebbe ancora più comportamenti difficili da monitorare, ma una governabilità pragmatica: ambienti AI approvati, data policy chiare, controlli su identità e accessi, monitoraggio, audit e guide pratiche su cosa i dipendenti possono e non possono fare. In questo modo la shadow AI si può convertire in un valore visibile e scalabile».

La responsabilità degli agenti

Un obiettivo non semplice da raggiungere, per contro, perché richiede classificazione dei dati, verifica delle procedure di cybersecurity e nuovi modelli operativi, senza dimenticare ciò che comporterà la progressiva evoluzione dell’AI agentica. In futuro, il problema non riguarderà più soltanto chi utilizza una chatbot senza permesso, ma chi risponderà degli eventuali errori imputabili alla macchina. «Se un agente AI non autorizzato – spiega ancora Massonat – negozia con un cliente, scrive del codice, approva le spese o prende decisioni operative, la responsabilità ricade sull’azienda, sui responsabili dei processi e sul modello di governance che ne regola l’operatività. L’era agentica cambia il quadro di riferimento: ci stiamo muovendo dall’AI come assistente all’AI come attore». Lo scenario è chiaro e se l’AI Act fa in qualche modo da stimolo per costruire modelli di governance adeguati, molte aziende europee (italiane ovviamente comprese) sono ancora agli inizi e hanno bisogno di tempo per definire i flussi di approvazione, i controlli human-in-the-loop, il perimetro dei dati e la gestione degli incidenti. Ancora una volta, la sfida non è (solo) tecnica, ma culturale e organizzativa.