C’è una scena che si ripete in quasi tutte le aziende in cui entriamo. Durante la ricognizione iniziale chiediamo quali strumenti AI usano le persone. Le risposte arrivano, e sono molte più di quante la direzione si aspettasse.
Poi mostriamo il quadro complessivo a chi ha commissionato il percorso, e la reazione è quasi sempre la stessa: non lo sapevo.
Si chiama shadow AI, e non è un problema di disciplina. È un problema di informazione che l’azienda non ha.
Perché succede
Non per leggerezza. Succede perché queste persone hanno un lavoro da fare e hanno trovato uno strumento che le aiuta.
Nella maggior parte dei casi l’hanno scoperto fuori dal lavoro, hanno provato a usarlo su qualcosa di professionale, ha funzionato, e hanno continuato. Nessuno ha mai detto loro che non si poteva, perché nessuno ha mai detto niente.
Questo è il punto: il vuoto di regole non produce astensione, produce uso non tracciato.
I tre rischi veri
Le informazioni che escono. Un account personale gratuito è un servizio per consumatori: i contenuti possono essere usati per migliorare i modelli, e non c’è nessun accordo fra l’azienda e il fornitore. Se qualcuno ci incolla un contratto, un listino o una posizione di un cliente, quell’informazione è uscita e l’azienda non lo sa.
Le decisioni prese su risposte non verificate. Chi non ha mai ricevuto una spiegazione su come funzionano questi strumenti tende a fidarsi. Il numero inventato, il riferimento normativo che non esiste, il dato plausibile e sbagliato: succede a chi usa lo strumento senza sapere che può succedere.
La dipendenza invisibile. Processi che ormai passano per uno strumento che l’azienda non conosce, non paga e non controlla. Se quel servizio cambia prezzo, condizioni o sparisce, qualcuno si blocca e nessuno aveva previsto il rischio.
Cosa funziona
- Chiedere dentro una ricognizione sul lavoro
- Dare uno strumento aziendale utilizzabile
- Spiegare la differenza fra account personale e aziendale
- Scrivere la regola in tre righe
- Mettere al centro chi era già avanti
Cosa peggiora le cose
- Vietare: sposta l'uso fuori dai radar
- Aprire un'indagine disciplinare
- Fare i conti col passato
Cosa non fare
Vietare.
È la reazione istintiva e produce l’effetto opposto a quello voluto. Il lavoro va fatto comunque, quindi le persone continuano con il telefono personale o da casa. L’uso non diminuisce, diventa solo invisibile, e l’azienda perde l’unica cosa che le serviva davvero.
Aprire un’indagine. Se la domanda “cosa state usando” arriva come controllo disciplinare, la risposta sarà che non usa niente nessuno. E a quel punto hai chiuso l’unico canale che avevi.
Fare i conti col passato. Fino a quando l’azienda non ha dato uno strumento e una regola, quelle persone stavano cercando di lavorare meglio senza indicazioni. Il punto di partenza sono le regole da oggi.
Cosa funziona
Chiedere nel contesto giusto. La domanda va dentro una ricognizione sul lavoro, non dentro un’ispezione. Formulata come “quali strumenti ti aiutano e su cosa”, ottiene risposte vere, perché le persone sono orgogliose di quello che hanno risolto e vogliono raccontarlo.
Dare uno strumento aziendale utilizzabile. È la mossa che risolve più di tutte le altre messe insieme. Se esiste un account aziendale, con l’addestramento escluso e un contratto in ordine, le persone ci passano da sole: è più comodo, non devono nascondersi e funziona uguale.
Se invece lo strumento aziendale è più scomodo di quello personale, torneranno al personale. Vale la pena spendere qualcosa in più perché sia buono.
Spiegare la differenza. Quasi nessuno sa che fra un account gratuito e un piano aziendale cambia cosa succede ai contenuti. Non è una nozione difficile e cambia il comportamento più di qualsiasi divieto, perché le persone capiscono il perché.
Scrivere la regola in tre righe. Quali strumenti si usano, cosa non esce mai, chi autorizza le eccezioni. Una policy di venti pagine non la legge nessuno.
Mettere al centro chi era già avanti. Le persone che usavano gli strumenti di nascosto sono le stesse che porteranno avanti la cosa. Trattarle come un problema è uno spreco: sono la risorsa più utile che hai in quel momento.
L’incastro con gli obblighi
Fare questa operazione non serve solo a dormire tranquilli. È anche il primo dei cinque passi previsti dall’AI Act per una PMI: senza sapere cosa si usa davvero, non si può classificare niente e la valutazione dei rischi resta teoria.
E l’obbligo di formazione dell’articolo 4, in vigore dal 2 febbraio 2025, è esattamente la risposta al secondo dei tre rischi: le persone devono essere messe in condizione di capire lo strumento che hanno in mano.
I cinque passi in ordine stanno nella guida su cosa deve fare una PMI, e il semaforo su cosa può uscire è nella guida su AI e GDPR.
Il passo dopo le regole è far usare gli strumenti aziendali a tutti: ne parliamo nella guida sull’AI adoption in azienda.