Un commerciale usa ChatGPT per preparare un’offerta. Le risorse umane utilizzano l’AI per lavorare su una job description o sintetizzare dei CV. Qualcuno in amministrazione carica un documento su uno strumento AI per farselo analizzare. Un tecnico inserisce informazioni su un prodotto per cercare più rapidamente una soluzione.
Nessuno ha necessariamente avviato un “progetto AI”. Eppure, di fatto, l’AI è già entrata in azienda, spesso prima che l’azienda abbia deciso come utilizzarla.
In una riunione presso un’azienda cliente ho scoperto, quasi incidentalmente, che il responsabile delle manutenzioni utilizzava l’AI per farsi suggerire un piano predittivo degli interventi sulle macchine e le operazioni basilari di controllo da effettuare nelle produzioni personalizzate. Un utilizzo interessante, nato direttamente da un’esigenza operativa, senza che fosse stato avviato un vero progetto AI.
Indice degli argomenti
Dalla Shadow IT alla Shadow AI: come cambia il rischio
Per chi lavora nell’IT da molti anni, la dinamica non è completamente nuova. Abbiamo già visto utenti e funzioni aziendali adottare direttamente software, servizi cloud, strumenti di file sharing e applicazioni senza coinvolgere l’IT. L’abbiamo chiamata Shadow IT.
Con l’AI c’è, a mio avviso, una differenza importante. Con la Shadow IT il problema riguardava principalmente il governo di strumenti, applicazioni e dati. Con la Shadow AI entra in gioco anche il modo in cui formuliamo valutazioni e prendiamo decisioni. È per questo che considero il fenomeno un tema organizzativo e manageriale, oltre che tecnologico.
In passato mi è capitato di censire, gestire e regolamentare molte applicazioni personalizzate nate autonomamente nei diversi dipartimenti, non integrate con l’ERP o con i gestionali aziendali. Spesso erano la risposta a esigenze che non avevano trovato ascolto oppure ai limiti di sistemi troppo poco flessibili.
Oggi si sta ripresentando una dinamica simile, ma l’adozione “fai da te” è molto più veloce e può portare, quasi senza accorgersene, a condividere con strumenti esterni anche dati e informazioni aziendali riservati.
Shadow AI in azienda: capire i bisogni prima di imporre divieti
Di fronte a utilizzi non governati è necessario definire delle regole. Partire esclusivamente dai divieti, però, rischia di farci perdere un’informazione importante: se le persone stanno sperimentando autonomamente questi strumenti, significa anche che stanno cercando di risolvere un problema, risparmiare tempo o lavorare meglio.
La Shadow AI racconta anche un bisogno. Prima di bloccare, cercherei quindi di capire dove e perché le persone stanno già utilizzando l’AI. Questa fotografia viene prima della scelta della piattaforma o della scrittura di una policy.
Quando l’AI influenza le decisioni aziendali
Preparare la prima bozza di una presentazione non è la stessa cosa che valutare un investimento. Sintetizzare un documento non equivale a formulare una valutazione su una persona. Analizzare dei dati commerciali non è la stessa cosa che decidere una strategia commerciale.
La governance dovrebbe quindi stabilire quali strumenti possono essere utilizzati, da chi e per quali attività. All’aumentare della rilevanza della decisione deve aumentare anche la consapevolezza con cui l’AI viene utilizzata.
Il rischio di delegare le scelte strategiche all’AI
Affidarle temi particolarmente rilevanti può diventare rischioso, anche per la possibilità concreta di bias o allucinazioni. Penso, ad esempio, a valutazioni su operazioni di M&A, su strategie di investimento o sulle potenzialità delle persone presenti in azienda.
In questi casi l’AI può supportare l’analisi, ma servono un forte controllo e la piena responsabilità del manager sulla valutazione finale. Il rischio, altrimenti, è che i C-level finiscano progressivamente per delegare proprio quella capacità decisionale e strategica che rappresenta uno dei principali contributi del loro ruolo.
Il punto di arrivo dovrebbe essere il “manager potenziato” dall’AI, non il manager sostituito dall’AI.
Governance della Shadow AI: le responsabilità di IT e management
L’IT ha naturalmente un ruolo importante: piattaforme, sicurezza, accessi, integrazione, protezione dei dati e relazione con i fornitori.
Ma non può decidere da solo se sia opportuno utilizzare l’AI per selezionare un candidato, valutare un cliente o supportare una scelta strategica. Queste decisioni appartengono ai processi aziendali.
La governance dell’AI deve quindi essere trasversale: IT, management e funzioni coinvolte devono definirne insieme il perimetro.
AI literacy: una formazione differenziata per ruoli e responsabilità
Governare l’AI senza formare le persone rischia di produrre molte regole e pochi comportamenti diversi.
Fare formazione significa capire quando utilizzare l’AI, quali informazioni affidarle, come verificarne le risposte e fino a dove fidarsi del risultato. Spiegare come funziona uno strumento o organizzare un corso sul prompting copre soltanto una parte di questo percorso.
Anche l’AI Act ha introdotto il tema dell’AI literacy, ma non partirei dalla normativa: la necessità di formare le persone esisterebbe comunque.
Come è già avvenuto con gli strumenti IT e gli ERP, IT e HR devono collaborare per definire un piano formativo differenziato per livelli di responsabilità, dipartimenti e figure professionali. Non può esserci una formazione AI uguale per tutti.
E, come in tutti i progetti articolati, change management e business adoption hanno lo stesso peso della soluzione tecnologica. Senza adozione consapevole, anche lo strumento migliore rischia di produrre poco valore.
Come governare la Shadow AI: partire dagli utilizzi esistenti
Non partirei da un grande progetto di “AI Governance” e nemmeno dalla ricerca della piattaforma perfetta. Entrando oggi in una PMI, partirei da una domanda molto semplice rivolta alle diverse funzioni: “Dove state già utilizzando l’AI nel vostro lavoro?”
Cinque elementi da analizzare nell’assessment aziendale
L’obiettivo iniziale sarebbe avere una fotografia degli utilizzi. Proverei quindi a mettere in fila cinque elementi:
- Chi utilizza l’AI.
- Per quali attività.
- Con quali dati.
- A supporto di quali decisioni.
- Chi mantiene la responsabilità del risultato.
Da qui si può iniziare a distinguere ciò che è utile e a basso rischio da ciò che richiede maggiore attenzione. Solo dopo arriverei a strumenti autorizzati, regole, livelli di accesso, formazione e controlli.
È questa la modalità con cui affronterei un assessment aziendale in ottica AI: partire dall’esistente per avere un quadro completo della situazione e costruire un percorso di consapevolezza e adozione.
Sono questi, a mio avviso, i due pilastri su cui basare eventuali progetti più articolati, che potranno poi prevedere l’introduzione di piattaforme dedicate e agenti AI.
Dall’uso individuale dell’AI a una capacità dell’organizzazione
Per molte PMI credo che la domanda non sia più soltanto: “Dobbiamo adottare l’intelligenza artificiale?”. In parte l’hanno già fatto, magari senza un progetto o senza averlo ancora deciso formalmente.
La domanda interessante oggi è un’altra: “Come trasformiamo tanti utilizzi individuali dell’AI in una capacità dell’organizzazione?”
Per farlo servono tecnologia, sicurezza, competenze, regole e responsabilità. La Shadow AI coinvolge direttamente il management e il modo in cui vengono prese le decisioni in azienda.
Partecipa alla community