Nei reparti di sicurezza informatica di tutto il mondo stanno suonando i campanelli d’allarme, e questa volta il responsabile non è un hacker né un malware sofisticato, bensì qualcosa di ben più preoccupante: l’intelligenza artificiale ombra.
Se avete già sentito parlare del termine “shadow IT” (), ovvero quando i dipendenti aggirano i canali ufficiali per utilizzare i propri dispositivi o software, allora probabilmente avete familiarità con il concetto di “shadow AI”. Il termine si riferisce all’uso non autorizzato e non consentito di strumenti di intelligenza artificiale generativa (GenAI) – quali ChatGPT, Gemini di Google e altri modelli linguistici di grandi dimensioni (LLM) – da parte dei dipendenti all’interno delle organizzazioni senza l’approvazione del reparto IT. E rappresenta una minaccia crescente per i dati aziendali.
Infatti, Gartner prevede che entro il 2027, il 75% dei dipendenti avrà acquisito, modificato o creato tecnologie al di fuori del campo di visione del reparto IT, in aumento rispetto al 41% registrato nel 2022. Nel frattempo, oltre la metà (55%) dei dipendenti di tutto il mondo intervistati nel 2023 da Salesforce ha ammesso di utilizzare strumenti GenAI non autorizzati sul posto di lavoro. Si tratta di una grande quantità di codice, documenti e presentazioni aziendali privati o sensibili che vengono sviluppati e inseriti in modelli al di fuori dei firewall aziendali.
Se ciò Le ricorda quei giorni esaltanti in cui i dipendenti hanno iniziato per la prima volta a ignorare le politiche aziendali e a utilizzare i propri dispositivi personali per connettersi alle reti aziendali, è proprio così. La tendenza a portare i propri dispositivi (BYOD) sul posto di lavoro ha sollevato interrogativi simili per il personale IT: è opportuno vietare del tutto questa tecnologia e fornire alternative approvate dall’azienda, oppure è meglio trovare il modo di gestirla in modo sicuro?
Sebbene la maggior parte delle aziende si sia resa conto ben presto di non poter fermare quel treno in corsa che è il BYOD, la storia tende a ripetersi. Secondo quanto riferito, aziende quali Accenture, Amazon, Apple, BofA, Calix, Citigroup, Goldman Sachs, Microsoft, Northrop Grumman, Samsung, Spotify, Verizon e Wells Fargo starebbero tutte cercando di vietare ai propri dipendenti l’uso di strumenti di intelligenza artificiale esterni come ChatGPT. Anche due terzi delle prime 20 aziende farmaceutiche presenti nella classifica “ ” e molte scuole pubbliche stanno adottando questa pratica.
Il problema sempre più grave dell’intelligenza artificiale “ombra”
Perché queste misure così severe? Infatti, mentre gli strumenti di intelligenza artificiale generativa (GenAI) conquistano lo spirito del tempo, i datori di lavoro temono che i propri dati riservati vengano condivisi con sistemi di intelligenza artificiale esterni che potrebbero essere compromessi o subire violazioni, generando rischi di natura competitiva, economica o legale.
". Non si tratta di un programma dannoso, ma è comunque pericoloso. E non si tratta di episodi isolati.”Bernard Marr, futurista tecnologico, autore e consulente
Immaginate, ad esempio, un team di marketing che utilizzi strumenti di analisi dei social media basati sull’intelligenza artificiale per interpretare il comportamento dei clienti, ottimizzare le campagne pubblicitarie e prevedere la prossima grande tendenza. È efficiente. Tuttavia, senza l’approvazione del reparto IT, tali strumenti potrebbero favorire l’ di dati sensibili dei clienti o di informazioni aziendali riservate, con il rischio di provocare violazioni dei dati e gravi violazioni di normative quali l’HIPAA o l’ GDPR.
«Recentemente ho assistito a diversi episodi allarmanti tra i miei clienti, in cui i dipendenti hanno inavvertitamente condiviso informazioni sensibili con sistemi di intelligenza artificiale di dominio pubblico, dalle roadmap dei prodotti ai dati finanziari», afferma Bernard Marr, futurista tecnologico, autore e consulente. «Non è un atto doloso, ma è pericoloso. «E non si tratta di casi isolati; si verificano con maggiore frequenza di quanto le aziende si rendano conto o vogliano ammettere.»
Tim Morris, consulente capo per la sicurezza di Tanium nelle Americhe, mette in guardia da un’altra tendenza “nell’ombra” meno nota nel campo dell’intelligenza artificiale, secondo cui i reparti che necessitano di strumenti di intelligenza artificiale generativa (GenAI) per gestire compiti specifici non riescono a ottenere ciò di cui hanno bisogno dagli strumenti esistenti e finiscono quindi per crearne di propri utilizzando modelli di linguaggio grandi (LLM) disponibili in commercio. Il problema di tale approccio è che il reparto IT non ha valutato i modelli per l’uso interno.
"Nessuno capisce da dove provenga il modello, cosa contenga, a cosa fosse destinato e quale sia il suo ruolo all’interno della vostra azienda", afferma. "È impossibile sapere quanto sia sicuro e se ciò esponga i Suoi dati – e la Sua organizzazione – a minacce e rischi esterni."
[Leggi anche: 4 priorità di leadership critiche per i CISO nell'era dell'IA]
Marr e Morris comprendono la tendenza delle aziende a risolvere tali problemi vietando l’uso di chatbot esterni. Marr sostiene che sviluppare e mettere a disposizione dei dipendenti alternative sicure possa rappresentare una soluzione praticabile, a condizione che tali strumenti si avvicinino alle funzionalità di ChatGPT, Bard e altri strumenti simili.
«Le soluzioni interne possono funzionare se sono sufficientemente solide», afferma Marr. "La chiave sta nel riuscire a eguagliare la potenza e la facilità d'uso dell'intelligenza artificiale destinata al grande pubblico."
Ma se le aziende non sono in grado di farlo, afferma, i dipendenti troveranno il modo di utilizzare strumenti pubblici, indipendentemente dalle politiche aziendali.
1 fatto sorprendente sull’intelligenza artificiale “ombra” – e 4 misure per contrastarla
Il motivo alla base di tali violazioni delle regole potrebbe sorprendere alcuni dirigenti aziendali.
«I Suoi dipendenti che utilizzano l’intelligenza artificiale (IA) in modo autonomo hanno davvero buone intenzioni: il più delle volte stanno semplicemente cercando di capire come svolgere il proprio lavoro in modo migliore e più rapido.»”Candy Alexander, CISO e responsabile della pratica cyber, NeuEon Inc.
«I Suoi dipendenti che utilizzano l’intelligenza artificiale “ombra” hanno davvero buone intenzioni: il più delle volte stanno semplicemente cercando di capire come svolgere il proprio lavoro in modo migliore e più rapido», ha affermato Candy Alexander, CISO e responsabile del settore cyber presso NeuEon Inc. Intervenendo in una recente puntata di “ ”, il podcast complementare a “Focal Point” di, “ ” “Let’s Converge”, , Alexander ha illustrato il desiderio di avventurarsi al di fuori dei confini del software approvato dalle grandi aziende. “Molti utenti ritengono che richiedere l’autorizzazione all’uso di un software possa rivelarsi un percorso lungo e complesso da affrontare nel mondo aziendale statunitense.” «Così escono e provano le versioni gratuite di “riempire gli spazi vuoti”».
In tal caso, cercare di controllare gli strumenti di intelligenza artificiale utilizzati dai dipendenti è come cercare di radunare un branco di gatti, poiché la tecnologia è troppo diffusa e utile per poterla tenere fuori dalla loro portata. Infatti, secondo quanto emerso dal sondaggio di Salesforce, il 40% dei lavoratori ammette di utilizzare strumenti di intelligenza artificiale generativa (GenAI) vietati sul posto di lavoro.
«Vietare del tutto ChatGPT rischia di sortire l’effetto contrario», afferma Marr. «I dipendenti troveranno soluzioni alternative e le aziende rischiano di rimanere indietro in termini di competenze fondamentali nel campo dell’intelligenza artificiale».
Pertanto, se le aziende riconoscono di non poter vietare per sempre le app di GenAI di terze parti, in che modo possono tenere sotto controllo la situazione e limitare l’intelligenza artificiale “ombra”? Ecco quattro strategie da prendere in considerazione:
1. Sensibilizzare i dipendenti sui rischi legati all’intelligenza artificiale nascosta
La prima linea di difesa è l'istruzione. Molti dipendenti non comprendono che gli strumenti di IA di dominio pubblico potrebbero rendere pubblici dati riservati; il 70% dei lavoratori a livello globale ha dichiarato a Salesforce di non aver mai ricevuto né completato una formazione sull’uso sicuro ed etico dell’IA generativa. Persino i professionisti – i team di sicurezza informatica – ammettono che si tratti di un territorio inesplorato per loro: il 65% dei professionisti intervistati in un recente sondaggio condotto da Splunk ha ammesso di non disporre di una formazione adeguata in materia di GenAI.
Esperti come Morris raccomandano alle aziende di sensibilizzare i propri team sui rischi legati alla divulgazione di informazioni aziendali riservate tramite modelli di linguaggio di grandi dimensioni (LLM) esterni e di fornire loro indicazioni su come evitare che ciò accada. Tali linee guida dovrebbero includere informazioni di base su come i chatbot basati sull’intelligenza artificiale archiviano ed elaborano i dati, su quali informazioni sia o non sia consentito condividere con tali strumenti, su quali strumenti l’organizzazione abbia autorizzato l’uso e su eventuali procedure per segnalare un utilizzo non autorizzato degli stessi.
«Le aziende devono creare programmi di formazione completi per informare tutti i propri dipendenti sui rischi legati all’intelligenza artificiale ombra, analogamente alla formazione sulla sicurezza informatica “ ” che hanno già ricevuto», afferma Morris.
2. Elaborare e Enforce le politiche in materia di intelligenza artificiale
Il 60% dei professionisti del settore della fiducia digitale di teme che soggetti malintenzionati possano sfruttare la GenAI. Tuttavia, secondo un sondaggio “Pulse” condotto dall’ISACA, solo il 15% delle organizzazioni dispone di politiche in materia di intelligenza artificiale per affrontare il problema.
«Ènecessario trovare un equilibrio tra innovazione e controllo, altrimenti i dipendenti aggireranno semplicemente le vostre restrizioni.»”Tim Morris, consulente capo per la sicurezza per le Americhe, Tanium
"È necessario trovare un equilibrio tra innovazione e controllo, altrimenti i dipendenti aggireranno semplicemente le vostre restrizioni, proprio come hanno fatto con il BYOD", afferma Morris.
Nello specifico, Morris raccomanda alle organizzazioni di definire quadri di governance dell’IA basati sull’approccio “ ” che stabiliscano standard chiari per l’utilizzo degli strumenti di IA. Ritardare tale misura potrebbe spingere i dipendenti a sviluppare progetti di intelligenza artificiale per conto proprio, aggirando i protocolli di sicurezza, afferma. La chiave sta nel trovare un equilibrio tra innovazione e controllo, garantendo flessibilità entro limiti sicuri.
Morris aggiunge tuttavia un avvertimento: ogni politica in materia di intelligenza artificiale deve prevedere una procedura per la gestione delle eccezioni. I dipendenti devono essere informati in merito alla politica, alle motivazioni alla base della stessa e alle modalità per richiedere deroghe o strumenti aggiuntivi. Egli sostiene che una comunicazione chiara prevenga la frustrazione e limiti la probabilità che i dipendenti ricorrano autonomamente a strumenti di intelligenza artificiale non autorizzati.
3. Monitorare l'utilizzo dell'IA con la sicurezza " endpoint "
Il monitoraggio dell’uso non autorizzato dell’IA non è più facoltativo: è essenziale, poiché, anche se un’azienda offre strumenti di GenAI adeguati, ci sarà sempre qualche malintenzionato insoddisfatto che ne creerà una propria variante.
Le soluzioni di sicurezza degli endpoint, quali , Tanium e (che pubblica questa rivista), offrono visibilità sull’utilizzo non autorizzato dell’intelligenza artificiale, rilevando i modelli di linguaggio di grandi dimensioni (LLM) e gli script correlati sui dispositivi dei dipendenti. Questi strumenti possono aiutare i reparti IT a monitorare i download non autorizzati, a segnalare attività sospette e a garantire il rispetto delle politiche aziendali. Anche i controlli a livello di rete, quali il blocco dei contenuti tramite il protocollo “ proxy ”, possono impedire l’accesso a strumenti di intelligenza artificiale non autorizzati.
4. Effettuare verifiche e revisioni periodiche
Il panorama dell’intelligenza artificiale si sta evolvendo troppo rapidamente per poter adottare un approccio del tipo “imposta e dimentica”. I dipartimenti IT devono verificare e riesaminare costantemente l'utilizzo dell'intelligenza artificiale in tutta l'organizzazione. Ciò comprende il monitoraggio della conformità alle politiche in materia di intelligenza artificiale, l’analisi delle minacce emergenti e l’aggiornamento dei protocolli di sicurezza man mano che compaiono nuovi strumenti e casi d’uso.
L'intelligenza artificiale sta evolvendo a un ritmo vertiginoso e i rischi per la sicurezza si stanno moltiplicando con la stessa rapidità. Gli audit e le valutazioni dei rischi continui sono fondamentali per prevenire potenziali violazioni.
La strada da seguire
L’“Shadow AI”, proprio come lo “Shadow IT” e il BYOD prima di essa, è una conseguenza naturale della rapida consumerizzazione della tecnologia. I dipendenti desiderano utilizzare l’intelligenza artificiale perché li rende più produttivi, e i reparti IT non possono ignorare tale aumento di produttività. Tuttavia, in assenza di adeguati meccanismi di governance, monitoraggio e controlli di sicurezza, l’intelligenza artificiale “ombra” potrebbe trasformarsi in una bomba a orologeria per le aziende di tutto il mondo.
«La soluzione non sta nel vietare questi strumenti, bensì nel definire politiche chiare, formare i dipendenti e implementare alternative sicure che soddisfino le esigenze aziendali», afferma Morris. «Come ogni tecnologia, l’intelligenza artificiale “ombra” rappresenta sia una sfida che un’opportunità. «Le aziende che riusciranno a trovare il giusto equilibrio tra innovazione e sicurezza prospereranno nel futuro guidato dall’intelligenza artificiale.»
