// Shadow AI
ChatGPT, Copilot e simili sono già in uso in azienda, con o senza il tuo controllo. Quanto è governato questo rischio?
L'AI generativa si è diffusa in azienda più velocemente di qualsiasi policy IT riesca a inseguire: dipendenti che incollano documenti riservati in ChatGPT per riassumerli, o codice proprietario in Copilot per farlo rivedere, spesso senza pensare alle implicazioni.
Questa checklist misura il livello di governance sull'uso di AI generativa in azienda — policy, strumenti approvati, formazione, visibilità — per capire quanto rischio di esposizione dati esiste oggi, spesso senza che nessuno se ne sia accorto.
L'AI generativa è ormai in uso in quasi ogni azienda, spesso senza governance. Spunta ciò che è già in essere nella tua.
Esiste una policy scritta sull'uso di AI generativa (ChatGPT, Copilot, Gemini) in azienda?
I dipendenti usano solo strumenti AI approvati con piano business/enterprise (non account gratuiti personali)?
È chiaro ai dipendenti quali dati NON vanno mai incollati in un tool AI pubblico?
Per i tool AI in uso esiste un accordo sul trattamento dati (DPA) con il fornitore?
È stata fatta formazione specifica sui rischi dell'uso di AI generativa?
Hai visibilità su quali tool AI vengono effettivamente usati in azienda (es. via CASB o log di rete)?
Il codice generato da AI viene rivisto prima di andare in produzione?
Sai se i tuoi fornitori/partner usano AI generativa sui dati che condividi con loro?
// Livello di governance AI
—
Spunta i controlli attivi per vedere il tuo livello.
Questo è un calcolatore indicativo
Utile per orientarsi rapidamente. Per una valutazione precisa sulla tua infrastruttura, parliamone.
// Domande frequenti
Con account gratuiti o non enterprise, i dati inseriti possono essere utilizzati per addestrare i modelli o comunque non sono coperti da un accordo sul trattamento dati (DPA) con l'azienda. Un documento riservato incollato lì è, di fatto, uscito dal perimetro di controllo aziendale.
Raramente funziona: se il vietato è comunque utile, i dipendenti tendono a usarlo comunque in modo ancora meno controllato. Una policy chiara con strumenti approvati e formazione è generalmente più efficace di un divieto totale.