Shadow AI: sai davvero quali strumenti di Intelligenza Artificiale vengono utilizzati nella tua azienda?

Chiediamo al responsabile IT di un'azienda: “Quali sistemi di Intelligenza Artificiale utilizzate?”

La risposta potrebbe essere: “Per ora nessuno.”

Poi chiediamo alle persone. Marketing utilizza ChatGPT. Commerciale ha installato un'estensione AI nel browser. HR prova uno strumento per analizzare candidature. Un manager registra una riunione e la fa sintetizzare automaticamente. Un collega ha caricato alcuni documenti aziendali all'interno di un chatbot per ottenere una sintesi. L'azienda utilizza quindi molta più Intelligenza Artificiale di quanto la Direzione immagini.

È il fenomeno comunemente definito Shadow AI.

Che cos'è la Shadow AI

Shadow AI non è una categoria giuridica definita dall'AI Act. È un'espressione utilizzata per descrivere l'uso di strumenti di Intelligenza Artificiale al di fuori di un quadro organizzativo consapevole e governato. Il problema non è necessariamente che qualcuno stia facendo qualcosa di illecito. Il problema è che l'organizzazione non possiede sufficiente visibilità. 

Se non sappiamo quale sistema viene utilizzato, non possiamo sapere quali dati riceve.

Se non sappiamo per quale processo viene utilizzato, non possiamo valutarne il rischio.

Se non sappiamo quanto un output influenza una decisione, non possiamo definire le responsabilità.

Per questo la mappatura degli utilizzi costituisce uno dei pilastri del servizio Fòrema. 

Perché la Shadow AI cresce così rapidamente

Per acquistare un nuovo ERP servono budget, procedure, preventivi e spesso mesi di lavoro. Per iniziare a utilizzare un chatbot servono pochi secondi. Questo elimina quasi completamente la barriera tra disponibilità della tecnologia e adozione individuale. Esiste poi una seconda causa. Molti strumenti utilizzati quotidianamente incorporano progressivamente funzionalità AI. L'utilizzatore può quindi iniziare a usare l'Intelligenza Artificiale senza percepire di avere introdotto un nuovo sistema. La governance tradizionale, basata sulla lista dei software acquistati dall'IT, rischia quindi di non essere sufficiente.

“Vietiamo ChatGPT” non è necessariamente la soluzione

Un divieto assoluto può sembrare il modo più semplice per ridurre il rischio. Può anche produrre l'effetto opposto. Le persone continueranno a utilizzare strumenti che ritengono utili, ma lo faranno attraverso account personali o dispositivi meno visibili all'organizzazione. La Shadow AI diventa così ancora più “shadow”.

Una strategia più matura consiste nel distinguere: strumenti autorizzati, strumenti utilizzabili con limitazioni e utilizzi non ammessi.

Per farlo bisogna però prima conoscere il fenomeno. 

Cosa dovrebbe contenere una mappatura

Non serve iniziare con una piattaforma complessa.

Per ogni caso d'uso è sufficiente raccogliere alcune informazioni fondamentali.

• Quale sistema viene utilizzato?
• Da quale funzione?
• Per quale attività?
• Quali dati vengono inseriti?
• Quali output genera?
• L'output è semplicemente informativo oppure influenza una decisione?
• Chi verifica il risultato?

È un esercizio apparentemente semplice, ma può cambiare completamente la percezione del rischio.

Il vero problema non è lo strumento, ma il caso d'uso

ChatGPT, ad esempio, non corrisponde a un unico livello di rischio. Utilizzarlo per trovare dieci alternative a un titolo è una cosa. Caricare un contratto riservato è un'altra.

Utilizzarlo per predisporre una valutazione su un dipendente è un'altra ancora. La governance dovrebbe quindi classificare use case, non soltanto vendor.

È il motivo per cui una lista del tipo: “ChatGPT sì / ChatGPT no” è molto meno utile rispetto a: “strumento X consentito per A e B, non consentito per C, soggetto ad autorizzazione per D”.

Un AI Register aziendale

Una soluzione utile può essere costruire un registro degli utilizzi AI. Non si tratta di affermare che ogni impresa abbia un obbligo generalizzato previsto dall'AI Act di creare un documento con questo nome.

È uno strumento organizzativo. Il registro può contenere sistema, funzione aziendale, responsabile, finalità, categoria di dati utilizzati, utenti autorizzati, livello di criticità, condizioni di utilizzo e data di revisione.

Con il tempo diventa una vera mappa dell'adozione AI.

Una scoperta interessante: la Shadow AI può anche rivelare opportunità

Mappare non significa soltanto trovare rischi. Può significare scoprire innovazione spontanea. Se cinque commerciali utilizzano autonomamente strumenti AI per preparare offerte, forse esiste un processo che vale la pena standardizzare.

Se più persone utilizzano AI per sintetizzare report, forse l'impresa può acquistare uno strumento enterprise più sicuro. Se alcuni team hanno ottenuto risultati misurabili, il caso d'uso può diventare una buona pratica da diffondere.

Il Check AI non dovrebbe quindi essere una caccia al colpevole. Dovrebbe essere una ricognizione del capitale di sperimentazione già presente nell'organizzazione.

Dalla mappa alla roadmap

La mappatura ha valore solo se produce decisioni.

Dopo aver individuato gli utilizzi è possibile classificarli in quattro grandi gruppi:

• continuare, perché utili e con rischio gestibile;
• regolare, introducendo condizioni precise;
• approfondire, perché l'impatto è sensibile;
• interrompere, quando l'utilizzo non è compatibile con regole o rischio accettabile.

A quel punto la governance smette di essere astratta.

Diventa gestione operativa dell'innovazione.

Il Check AI di Fòrema parte dalla mappatura concreta degli strumenti e dei casi d'uso già presenti nell'organizzazione, per identificare rischi, opportunità e priorità e costruire una roadmap di adozione governata dell'Intelligenza Artificiale.

Vuoi conoscere il servizio di supporto AI Act di Fòrema? Scarica la brochure in allegato e scrivi per maggiori informazioni a francesca.rossetto@forema.it

FAQ

Cos'è la Shadow AI?
È l'utilizzo di sistemi AI fuori dalla piena visibilità o governance dell'organizzazione.

La Shadow AI è vietata dall'AI Act?
“Shadow AI” non è una categoria giuridica dell'AI Act. Può però generare situazioni nelle quali l'impresa non presidia adeguatamente obblighi e rischi connessi a specifici utilizzi.

Bisogna vietare ChatGPT in azienda?
Non necessariamente. È generalmente più efficace definire quali strumenti e utilizzi siano autorizzati e secondo quali condizioni.

Il registro AI è obbligatorio per tutte le imprese?
Non esiste un obbligo generalizzato di creare un documento chiamato “AI Register” per qualsiasi uso dell'AI. Può però essere uno strumento di governance molto efficace.

Quanto spesso va aggiornata la mappa?
Dipende dall'organizzazione, ma l'elevata velocità di evoluzione degli strumenti rende opportuno un aggiornamento periodico.