In molte piccole imprese l'AI è già entrata, solo che nessuno l'ha fatta entrare dalla porta. Un collega riassume un contratto con ChatGPT, un altro sistema un preventivo con Claude, tutti con il proprio account personale. Si chiama shadow AI, e la settimana scorsa due notizie hanno mostrato come la stanno affrontando aziende molto diverse.

Il 23 ottobre 2026 Userbot, società del gruppo smeup, ha presentato una piattaforma per governare l'AI nelle imprese. Il giorno prima OpenAI ha raccontato come Uber ha portato il suo agente ChatGPT Work a tutti i dipendenti.

In 30 secondi

  • Shadow AI: strumenti AI non autorizzati o account personali usati su dati aziendali. ImpresaCity, citando dati di settore, parla dell'81% dei lavoratori.
  • Userbot (23/10): piattaforma italiana con accessi, tetti di spesa per team, permessi e approvazione umana sulle azioni.
  • Uber (22/10): ChatGPT Work da un pilota di 1.000 persone a oltre 30.000 dipendenti, con integrazioni approvate e formazione.
  • Per una PMI il primo passo non è comprare una piattaforma: è sapere chi usa cosa.

Cos'è la shadow AI, in concreto

ImpresaCity la descrive come l'impiego non autorizzato di strumenti e account personali da parte dei dipendenti per gestire dati aziendali. In una PMI ha facce molto concrete: la lista clienti incollata in una chat gratuita, il bilancio caricato per "fare un riassunto", la mail al fornitore riscritta da un'app scaricata ieri.

Il rischio non è che le persone usino l'AI. È che l'azienda non sa quali dati escono, non può revocare l'accesso quando qualcuno se ne va e non ha traccia di cosa è stato fatto. Il dato dell'81% va letto con prudenza, perché l'articolo non indica la fonte precisa. Ma basta chiedere in ufficio per farsi un'idea.

Due modi di governarla

Il modello Userbot. Un ambiente centrale dove l'amministratore abilita i modelli (OpenAI, Anthropic, Google, Mistral o modelli privati), collega Drive, SharePoint, CRM ed ERP e decide accessi, limiti di spesa e permessi. L'azienda stabilisce quali attività l'AI può svolgere da sola e dove serve l'approvazione umana. Secondo l'articolo, i dati restano instradati nell'Unione Europea, l'accesso passa dall'identità aziendale e i dati del cliente non vengono usati per l'addestramento.

Il modello Uber. Un solo strumento aziendale, introdotto per gradi: prima 1.000 persone, poi tutti. OpenAI spiega che il rollout è sostenuto da una libreria interna di competenze AI, da integrazioni approvate e da formazione dedicata ai dipendenti.

Cambiano scala e budget, ma il principio è lo stesso: dare alle persone un'alternativa ufficiale migliore di quella che usano di nascosto, con regole chiare su dati e azioni.

Prima e dopo

Prima

  • Ognuno usa il proprio account gratuito, senza dirlo.
  • Nessuno sa quali dati aziendali finiscono nelle chat.
  • Se un dipendente se ne va, le conversazioni restano con lui.

Dopo

  • Uno strumento aziendale per i casi d'uso più comuni.
  • Regole scritte su quali dati si possono usare e quali no.
  • Accessi legati all'azienda, revocabili in qualsiasi momento.

Cosa può fare una PMI questa settimana

Passo per passo

  1. Chiedi, senza processi. Un messaggio al team: quali strumenti AI usate, per cosa, con quale account? L'obiettivo è la mappa, non la colpa.
  2. Separa i dati. Tre categorie bastano: dati liberi, dati interni, dati personali o riservati (clienti, dipendenti, contratti). Gli ultimi non vanno negli account personali.
  3. Offri un'alternativa aziendale. Per i due o tre usi più frequenti attiva un piano business, con account intestati all'azienda e senza addestramento sui dati.
  4. Scrivi una pagina di regole. Cosa si può fare, cosa no, chi approva i nuovi strumenti. Parti dalla nostra policy interna sull'uso dell'AI.
  5. Riparla tra un mese. Chi usa ancora l'account personale e perché? Spesso la risposta indica cosa manca allo strumento ufficiale.

E il decreto 179/2026?

Dal 23 ottobre 2026 è in vigore il decreto legislativo che adegua l'Italia all'AI Act. Come riassume PwC Italia, le decisioni sul personale non possono essere affidate solo all'AI e la decisione finale spetta a una persona. Se un responsabile valuta i collaboratori con un chatbot sul proprio telefono, l'azienda non può nemmeno sapere se quella regola è rispettata. Il dettaglio per le PMI è in Decreto IA 179/2026: cosa cambia dal 23 ottobre.

Segnali di shadow AI da non ignorare

  • Testi di clienti o fornitori che arrivano già "riscritti" senza che nessuno sappia con cosa.
  • Abbonamenti AI pagati con carte personali e chiesti a rimborso.
  • Estensioni del browser AI installate sui PC aziendali.
  • File con dati di clienti caricati per "fare un riassunto".
  • Nessuno sa rispondere alla domanda: chi può usare quale strumento?

Cosa resta aperto

  • Costo. Piattaforme come Userbot hanno senso quando gli utenti sono molti. Con cinque persone, un piano business e una pagina di regole spesso bastano.
  • Formazione. Uber l'ha messa nel piano di rollout. Senza formazione, le regole restano sulla carta.
  • Controllo reale. Nessuno strumento elimina l'account personale sul telefono. Funziona solo se l'alternativa ufficiale è più comoda.

Conclusione

La shadow AI non si risolve vietando, ma rendendo l'uso visibile. Una PMI può partire da una domanda al team, una classificazione dei dati e uno strumento aziendale per i casi più comuni. Prima di scegliere un fornitore, usa le 10 domande da fare a un vendor AI. Se vuoi un quadro completo, parti dalla guida pratica all'AI per PMI.