L'IA ombra nelle PMI.

Cos'è l'IA ombra

L'IA ombra è l'uso di strumenti di IA senza l'approvazione del proprio IT, di solito tramite accessi privati a servizi come ChatGPT, Gemini o Claude. I dipendenti si fanno scrivere testi, riassumere e-mail o preparare preventivi, spesso con dati aziendali reali. Il termine richiama la più datata informatica ombra, ossia software che gira in azienda senza che l'IT ne sia a conoscenza. La differenza: l'IA è entrata nel lavoro quotidiano in poche settimane, non in anni, e l'adozione è alta. Secondo Bitkom, per la prima volta un'impresa su due in Germania utilizzava l'IA (indagine 2024). L'uso da parte dei singoli precede così l'introduzione ufficiale.

Base dati e metodologia

Questa analisi si basa sull'indagine rappresentativa Bitkom Research «I dipendenti usano sempre più l'IA ombra», pubblicata il 21 ottobre 2025. Sono state intervistate 604 imprese in Germania con 20 o più dipendenti, per telefono, nel periodo dalla settimana 27 alla 32 del 2025. Come contesto di adozione usiamo i dati Bitkom sull'uso dell'IA nel 2024. Mettiamo insieme indagini pubbliche, non inventiamo dati e non interpoliamo valori tra due edizioni del rapporto.

Risultato 1: l'IA ombra è arrivata nelle PMI

Nel complesso, quattro imprese su dieci presumono che i propri dipendenti usino accessi IA privati in un contesto lavorativo. Nell'8 per cento delle imprese è, per loro stessa stima, molto diffuso, un valore raddoppiato rispetto al 2024 (4 per cento). Un altro 17 per cento riferisce casi isolati, un ulteriore 17 per cento lo sospetta senza saperlo con certezza. Il numero reale è probabilmente più alto, perché non ogni uso privato salta all'occhio del datore di lavoro.

Risultato 2: la lacuna di governance è il vero rischio

Solo il 23 per cento delle imprese ha stabilito una qualche regola per l'uso dell'IA. In altre parole: in più di tre imprese su quattro i dipendenti usano l'IA senza che sia chiaro cosa è consentito e cosa no. È proprio qui che nasce il rischio. Chi copia un preventivo, l'e-mail di un cliente o una bozza di contratto in un accesso IA privato consegna dati aziendali, e forse dati personali, a un servizio con cui l'impresa non ha alcun accordo sul trattamento dei dati e i cui server si trovano spesso fuori dall'UE. Non è un problema teorico, ma un gesto quotidiano privo di quadro giuridico.

Risultato 3: perché i divieti non funzionano

La reazione ovvia è un divieto. Diverse grandi aziende lo hanno fatto nel 2023; tra queste, Samsung, JPMorgan e Amazon hanno vietato l'uso di ChatGPT in azienda. Ma un divieto risolve il problema solo sulla carta. Finché i dipendenti lavorano più in fretta e meglio con l'IA senza però ricevere uno strumento approvato, ripiegano su accessi privati. Per questo l'IA ombra non è un problema di disciplina, ma un problema di offerta. Chi non mette a disposizione uno strumento autorizzato e conforme al GDPR ottiene la variante non autorizzata, solo che senza alcun controllo.

Cosa dicono i dati nel loro insieme

Tre strutture. Primo: l'IA ha raggiunto l'intera forza lavoro, più in fretta di quanto la maggior parte dei reparti IT sia riuscita a reagire. Secondo: la governance è in ritardo, tre imprese su quattro non hanno regole, e un divieto si limita a spingere il problema nell'ombra. Terzo: la leva sta nell'offerta. Uno strumento di IA approvato, ospitato in Europa e con accesso al proprio sapere aziendale toglie all'IA ombra la sua ragion d'essere, perché a quel punto la variante approvata è anche la più comoda.

Cosa significa questo per le imprese

La conseguenza pratica non è più controllo, ma un'offerta migliore. Un assistente IA interno che accede al sapere aziendale documentato, gira su infrastruttura europea e porta con sé un accordo sul trattamento dei dati copre esattamente i casi per cui altrimenti i dipendenti ricorrono ad accessi privati. È approvato, è conforme al GDPR e conosce i processi interni meglio di un servizio aperto al pubblico. Così non sparisce l'uso dell'IA, ma l'ombra che lo circonda.

Elenco delle fonti

• Bitkom, «I dipendenti usano sempre più l'IA ombra» (comunicato stampa, 21 ottobre 2025, rappresentativo, 604 imprese con 20 o più dipendenti)
• Bitkom, uso dell'IA nelle imprese tedesche (indagine 2024)