Perché i tuoi dipendenti usano l’AI nel modo sbagliato

Come nasce la shadow AI

Prima causa: nessuno ha detto cosa si può fare. Nel dubbio le persone si dividono in due, chi si blocca e chi va avanti senza raccontarlo. Il silenzio non è una policy prudente, è un trasferimento di rischio verso il basso.

Seconda causa: il tool aziendale è peggio di quello personale. Modello vecchio di due generazioni, niente caricamento dei file, login dietro VPN. La persona confronta l’esperienza, non la conformità: se la versione ufficiale è più lenta e più stupida, perde.

Terza causa: la fretta. La scadenza è oggi, il percorso corretto prevede un ticket a IT che risponde giovedì. Nessuno sceglie la scorciatoia in astratto: la sceglie alle 18:40, con una proposta da mandare.

• Nei documenti interni compaiono struttura e tono che in azienda non ha mai usato nessuno.
• Le persone ti mostrano risultati ottimi ma non sanno ricostruire come ci sono arrivate.
• Sulla rete aziendale i tool consumer sono quasi a zero, e intanto il lavoro esce più in fretta dell’anno scorso.

Che fine fanno i dati incollati

Un account personale su un tool consumer è un contratto tra il fornitore e quella persona, non con la tua azienda. Nessun accordo sul trattamento dei dati, nessun impegno su conservazione e cancellazione, nessuno che risponda a te se qualcosa va storto.

Sul piano GDPR non ti alleggerisce. Se c’erano dati personali di clienti o colleghi, il titolare resta la tua azienda: servono una base giuridica, un’informativa coerente e la capacità di dire dove quei dati sono finiti. Che siano usciti dal browser personale di qualcuno non sposta la responsabilità, sposta solo la tua possibilità di ricostruire l’accaduto.

Poi c’è la parte che si vede meno: quello che torna indietro entra in preventivi, mail ai clienti, analisi su cui qualcuno deciderà, e se il passaggio è invisibile nessuno lo rivede. E se quell’uso tocca le persone — selezione di candidati, valutazioni, accesso a un servizio — l’AI Act ti carica obblighi da deployer, a partire dalla trasparenza. Obblighi che non puoi soddisfare per un sistema di cui ignori l’esistenza.

Vietare non funziona, questo sì

Il divieto non riduce l’uso: lo sposta. Blocchi i domini sulla rete aziendale e il lavoro passa sul telefono personale, dove non hai né log né perimetro. Hai scambiato un rischio visibile con uno invisibile.

Il secondo effetto è peggiore: dopo un divieto la gente smette di chiedere. Chi stava usando l’AI bene — e in ogni azienda c’è qualcuno che la usa bene — smette di raccontartelo. Perdi la mappa di quello che funziona esattamente quando ti servirebbe.

Un divieto regge solo se accanto c’è un’alternativa reale, e l’alternativa è una lista corta e noiosa. L’ultima voce è quella che salta sempre per prima ed è quella che vale di più: ogni domanda che ricevi è un caso d’uso che non conoscevi.

• Un tool ufficiale almeno buono quanto quello che usano già: modello aggiornato, caricamento dei file, accesso in pochi secondi senza ticket.
• Una policy di una pagina, in italiano leggibile, che dica cosa puoi incollare e cosa no con esempi al posto di categorie astratte come «dati sensibili».
• Esempi per ruolo: cinque casi reali per chi vende, cinque per l’amministrazione, cinque per chi scrive codice, invece di un corso generico per tutti.
• Un canale dove chiedere, con una persona che risponde in giornata e senza far sentire in colpa chi chiede.
• Una regola esplicita per i casi non previsti, così chi si trova in una situazione nuova non deve aspettare giovedì.

Come si misura l’adozione

Le licenze attive non sono adozione. Il primo numero onesto è quante persone usano il tool ufficiale almeno una volta a settimana, per funzione e non in totale: la media nasconde sempre il reparto in cui non lo usa nessuno.

Poi servono due numeri che parlano di lavoro, non di software. Quanti casi d’uso documentati esistono per ogni funzione, cioè attività precise che qualcuno saprebbe spiegare a un collega nuovo. E quante domande arrivano al canale: devono salire nelle prime settimane e poi stabilizzarsi, perché zero domande dal primo giorno non è chiarezza, è disinteresse.

L’indicatore più scomodo è quello in uscita: se l’uso dei tool personali non cala, il tuo strumento ufficiale non è abbastanza buono. È una risposta sul software, non sulle persone. Sistemarlo costa, mandare un’altra mail no, ed è per questo che quasi tutti mandano un’altra mail.

I quadri intermedi decidono davvero

La policy la firma la direzione, ma la applica il capo team. Il divieto che le persone rispettano non arriva da un documento: arriva da una frase in riunione, «io questa roba qui non la voglio vedere». Pesa più di qualunque intranet.

I quadri intermedi sono nella posizione peggiore: portano il numero, rispondono degli errori della squadra e sono gli ultimi a essere formati. Se nessuno ha spiegato loro cosa è permesso, vietare è la scelta razionale: il rischio è sulle loro spalle, il beneficio è di qualcun altro.

Quindi formali per primi, non per ultimi. Dai loro il potere di autorizzare casi d’uso nel proprio perimetro e la responsabilità di tenere aggiornata la lista del team. Un capo team che può dire di sì a qualcosa smette di dire di no a tutto.

Da dove partire lunedì

Non partire dal fornitore. Parti da quindici minuti a testa con dieci persone che il lavoro lo fanno davvero, e una domanda sola: cosa stai usando oggi e per fare cosa. Metti in chiaro che nessuno viene sanzionato per la risposta. I casi d’uso li hanno già trovati loro: a te resta il lavoro di sceglierne tre e renderli ufficiali.

In parallelo scrivi la pagina: cosa puoi incollare, cosa non puoi incollare mai, a chi chiedi nei casi dubbi. Mandala a tutti. Una pagina imperfetta che circola lunedì vale più di un regolamento perfetto che esce a novembre.

Solo dopo scegli lo strumento, con le prove in mano invece che con le slide di un fornitore. In quest’ordine la shadow AI non sparisce per decreto: smette di essere l’unico modo per lavorare in fretta.