Con il passaggio dell'AI dalla sperimentazione alle attività operative quotidiane, le organizzazioni si trovano ad affrontare una crescente area cieca: l'intelligenza artificiale che agisce al di fuori dei controlli definiti.
I guadagni di produttività introdotti da Copilot possono rapidamente lasciare spazio ad agenti e workflow basati sull'AI che operano tra sistemi, dati e processi, spesso senza una chiara attribuzione delle responsabilità, adeguati meccanismi di governance o tracciabilità.
La Shadow AI, ovvero l'utilizzo e il funzionamento dell'AI senza una supervisione aziendale, introduce rischi in termini di sicurezza, conformità e costi che i modelli di governance tradizionali non sono stati progettati per gestire su larga scala.
La governance dell'AI può sembrare semplice a livello teorico, ma molto più complessa nella pratica. Policy e framework esistono, ma i team continuano ad affrontare incertezze quando l'intelligenza artificiale viene applicata a scenari concreti di business. Con l'accelerazione dell'adozione dell'AI e il passaggio degli agenti in produzione, le decisioni di governance non sono più astratte. Si manifestano in casi d'uso specifici che richiedono chiarezza, coerenza e controllo.
Per le organizzazioni che stanno scalando l'AI e gli agenti AI, controllare questo livello di esecuzione è fondamentale per ottenere risultati sicuri e sostenibili. Sebbene l'intelligenza artificiale stia guidando efficienza e innovazione in tutta l'azienda, i benefici rischiano di essere compromessi se il suo utilizzo non è visibile, sicuro e governato all'interno di confini chiari in termini di costi e conformità.
L'AI sta alimentando efficienza e innovazione in tutta l'organizzazione, ma solo quando il suo utilizzo è visibile, sicuro e governato all'interno di chiari limiti di costo e conformità. Anche i programmi AI più solidi possono essere rapidamente compromessi dalla Shadow AI, ovvero dall'utilizzo di strumenti e agenti AI al di fuori dei controlli approvati. Secondo IDC, meno di un dipendente su quattro utilizza esclusivamente strumenti AI approvati dall'organizzazione, mentre quasi quattro dipendenti su dieci ricorrono a soluzioni non autorizzate.
Quando dipendenti, sviluppatori o team aziendali utilizzano strumenti, modelli o agenti AI non approvati, oppure quando piattaforme SaaS introducono nuove funzionalità AI senza adeguata visibilità, l'organizzazione eredita rischi legati alla sicurezza, ai costi e alla conformità.
Rischi per il business
Nella pratica, la Shadow AI non si manifesta come un singolo problema. Compare sotto forme diverse all'interno dell'organizzazione, introducendo differenti livelli di esposizione al rischio.
Può assumere forme come:
- Dipendenti che inseriscono informazioni di lavoro, inclusi dati aziendali riservati, all'interno di chatbot pubblici.
- Sviluppatori che, magari desiderosi di sperimentare le proprie capacità con l'AI, si collegano ad API di intelligenza artificiale senza autorizzazione.
- Dipartimenti che costruiscono interi workflow su piattaforme non approvate.
- Funzionalità AI abilitate nei propri strumenti SaaS che introducono rischi senza essere adeguatamente monitorate.
CIO e CISO devono affrontare il rischio di perdita di dati e proprietà intellettuale. Devono inoltre gestire costi potenzialmente elevatissimi derivanti da violazioni dei dati. In caso di mancato rispetto dei requisiti normativi, come GDPR, AI Act europeo o normative di settore, l'assenza di adeguata tracciabilità può tradursi in sanzioni significative.
Le organizzazioni che vogliono trarre vantaggio dagli agenti AI devono comprendere come questi aumentino il livello di esposizione al rischio. Quando gli agenti iniziano ad agire autonomamente tra sistemi diversi, il rischio operativo cresce rapidamente in assenza di una governance progettata fin dall'inizio.
Per le organizzazioni che stanno già adottando AI e agenti su larga scala, la Shadow AI diventa rapidamente un problema di governance, costi e responsabilità. Questo richiede l'utilizzo di strumenti approvati, un rigoroso controllo degli agenti e la disponibilità di una traccia di audit difendibile, affinché la sicurezza sia integrata fin dall'origine.
Uscire dall'ombra
Anche se è improbabile che le organizzazioni riescano a eliminare completamente la Shadow AI, è possibile gestirla. Microsoft 365 E7 fornisce le basi necessarie in termini di governance, identità e controllo per scalare AI e agenti AI in ambito enterprise senza proliferazione incontrollata o esplosione dei costi.
Una volta resa visibile la Shadow AI, la priorità passa dalla scoperta al controllo. Le organizzazioni che riescono a gestire efficacemente questo rischio si concentrano su un insieme limitato di azioni pratiche di governance che introducono visibilità, responsabilità e coerenza nel modo in cui AI e agenti operano all'interno dell'azienda. Tra queste:
- Creare un inventario unico e aggiornato di tutti gli strumenti e gli agenti AI in uso. È possibile governare solo ciò che è visibile. Un repository centralizzato consente di sapere quali strumenti sono in esecuzione, chi ne è responsabile, a quali dati possono accedere e quando devono essere dismessi. In questo modo nulla opera nell'ombra e nulla rimane attivo oltre il necessario.
- Definire regole chiare su ciò a cui ogni strumento e agente AI può accedere. Così come non si concede a ogni dipendente accesso a tutti i dati aziendali, lo stesso principio deve valere per gli agenti AI. Limitando gli accessi a ciò che è realmente necessario, è possibile ridurre significativamente il rischio di errori o violazioni.
- Ottenere visibilità in tempo reale sul comportamento dell'AI.. Strumenti e agenti AI operano continuamente, spesso su più sistemi contemporaneamente. Monitorarne le attività consente di individuare comportamenti anomali in anticipo, investigare rapidamente e intervenire prima che un problema minore diventi un incidente rilevante..
- Applicare guardrail coerenti ovunque venga utilizzata l'AI.. Le organizzazioni moderne utilizzano piattaforme e applicazioni differenti. Le policy devono essere applicate in modo uniforme agli strumenti Microsoft, alle applicazioni AI di terze parti e agli eventuali connettori API. Le regole non devono scomparire quando l'AI attraversa i confini di un sistema.
- Proteggersi da minacce esterne ed errori interni. L'AI introduce rischi di diversa natura: prompt progettati per indurre un agente a compiere azioni errate, condivisione involontaria di dati sensibili o caricamento di informazioni inappropriate da parte degli utenti. Quando sono presenti meccanismi di protezione integrati e robusti, questi eventi risultano più semplici da individuare e correggere.
Focus su Microsoft Entra Internet Access
Microsoft Entra Internet Access, parte della suite Microsoft 365 E7, offre visibilità sugli strumenti AI utilizzati dagli utenti dell'organizzazione.
Monitora il traffico che attraversa la rete e rileva ogni connessione verso servizi di AI generativa, come ChatGPT, Claude, Gemini o qualsiasi altro strumento di intelligenza artificiale.
Entra classifica ogni strumento in base al livello di rischio e consente di identificare rapidamente quali soluzioni AI non approvate vengono utilizzate. È inoltre in grado di mostrare chi utilizza ciascun servizio e a quali dati questo ha accesso.
I team di sicurezza possono quindi approvare gli strumenti ritenuti adeguati, applicare i necessari guardrail a quelli che lo richiedono e bloccare quelli che presentano rischi per l'organizzazione.
Cosa dovrebbero fare ora le organizzazioni?
Anche se la Shadow AI non scomparirà completamente, è possibile riportarla sotto controllo. Per le organizzazioni che utilizzano già Microsoft 365 E5 e desiderano estendere l'AI all'intera azienda, il passo successivo più naturale è l'adozione di Microsoft 365 E7.
Microsoft ha creato una base secure by default per l'intelligenza artificiale in ambito enterprise. Gestione delle identità, protezione dei dati e governance degli agenti sono integrate come funzionalità native per contribuire a limitare i rischi associati alla Shadow AI.
Controllare l'utilizzo della Shadow AI e scalare l'AI in modo sicuro all'interno dell'organizzazione richiede una governance coordinata che coinvolga identità, dati e controllo del ciclo di vita degli agenti. È qui che la capacità di trasformare le caratteristiche della piattaforma in processi operativi concreti diventa fondamentale.
SoftwareOne è stata riconosciuta da Gartner e IDC come Leader nei servizi gestiti di Software Asset Management. Siamo il principale partner Microsoft a livello globale per Copilot e abbiamo raggiunto un tasso di adozione del 97% nella nostra implementazione interna di Copilot.
La nostra esperienza si basa su oltre 2.000 progetti Copilot realizzati per 1,8 milioni di utenti, un volume superiore a quello di qualsiasi altro partner.
Se desideri tenere sotto controllo la Shadow AI e scalare l'intelligenza artificiale in modo sicuro nella tua organizzazione, contatta SoftwareOne per valutare il livello di esposizione alla Shadow AI e definire il modello di governance necessario per adottare gli agenti AI in sicurezza.
Autore
