La velocità di ingresso dell’intelligenza artificiale nelle imprese è più veloce della velocità di evoluzione e aggiornamento della loro governance. Dipendenti e collaboratori utilizzano quotidianamente strumenti di AI generativa per analizzare documenti, elaborare dati, produrre contenuti e supportare decisioni. Spesso, però, lo fanno attraverso applicazioni e account personali, senza che l’azienda ne sia consapevole.
È il fenomeno della Shadow AI, ovvero l’utilizzo di strumenti di intelligenza artificiale al di fuori delle procedure di autorizzazione, supervisione e controllo aziendali. Un tema che non riguarda soltanto la cybersecurity e la sicurezza, ma coinvolge direttamente le tre dimensioni della sostenibilità ESG: Environmental, Social e Governance.
La Shadow AI introduce infatti nuovi rischi nella gestione delle informazioni, nella tutela delle persone e nella misurazione degli impatti ambientali. Allo stesso tempo, evidenzia un problema organizzativo: le imprese rischiano di perdere il controllo non soltanto dei dati, ma anche delle conoscenze e dei processi decisionali sviluppati attraverso l’intelligenza artificiale.
Shadow AI: il rischio di un’intelligenza artificiale fuori controllo
Secondo una ricerca internazionale realizzata da KPMG e University of Melbourne nel 2025, il 58% dei lavoratori utilizza intenzionalmente strumenti di intelligenza artificiale nello svolgimento delle proprie attività, mentre soltanto il 42% dichiara di utilizzare strumenti messi a disposizione dal datore di lavoro. Questi dati evidenziano una distanza significativa tra la diffusione effettiva dell’AI e la capacità delle organizzazioni di governarne l’utilizzo.
Il problema non è necessariamente legato a comportamenti scorretti. Spesso i dipendenti ricorrono a strumenti personali perché più accessibili, semplici da utilizzare o efficaci rispetto alle soluzioni aziendali. Tuttavia, questa autonomia può generare una progressiva perdita di controllo su informazioni riservate, procedure operative e conoscenze strategiche.
Come evidenzia un’analisi pubblicata su AgendaDigitale, attraverso l’utilizzo quotidiano dell’AI i dipendenti sviluppano un vero e proprio capitale cognitivo: prompt, istruzioni, metodi di analisi e criteri decisionali che incorporano conoscenze aziendali. Quando queste informazioni rimangono all’interno di account personali, l’impresa rischia di non poterle recuperare, condividere o proteggere adeguatamente.
Shadow AI e Governance: la nuova dimensione del rischio ESG
La relazione più immediata tra Shadow AI ed ESG riguarda la governance. La componente G della sostenibilità comprende infatti la qualità dei sistemi di controllo, la trasparenza dei processi decisionali, la gestione dei rischi, la responsabilità degli organi aziendali e la conformità normativa. L’utilizzo non autorizzato dell’intelligenza artificiale può però compromettere diversi aspetti di questo sistema.
Un dipendente potrebbe, per esempio, inserire dati finanziari riservati in un’applicazione AI esterna per ottenere un’analisi economica. Oppure utilizzare un modello generativo per valutare fornitori o candidati senza conoscere i criteri utilizzati dal sistema. In entrambi i casi, il problema non riguarda soltanto la protezione delle informazioni, ma anche la tracciabilità delle decisioni e l’attribuzione delle responsabilità.
La Shadow AI può quindi diventare un rischio di governance ESG quando introduce processi decisionali non documentati, controlli insufficienti e possibili violazioni delle regole aziendali.
AI Act e ISO 42001: verso una governance strutturata
Il quadro normativo europeo rafforza la necessità di governare l’intelligenza artificiale. L’AI Act introduce obblighi differenziati in funzione dei ruoli e dei rischi associati ai sistemi AI. L’articolo 4, applicabile dal febbraio 2025, prevede misure per garantire un adeguato livello di alfabetizzazione sull’intelligenza artificiale del personale coinvolto. Parallelamente, la norma ISO/IEC 42001 fornisce un riferimento per costruire sistemi di gestione dell’AI basati su responsabilità definite, valutazione dei rischi e miglioramento continuo.
Questi strumenti possono contribuire a integrare la governance dell’intelligenza artificiale nei sistemi di gestione del rischio e nei presidi ESG. Non significa che ogni utilizzo di Shadow AI costituisca automaticamente una violazione normativa. Significa piuttosto che un’azienda deve conoscere e valutare gli utilizzi dell’AI che possono incidere sui propri processi, dati e responsabilità.
Shadow AI e dimensione sociale: competenze, equità e responsabilità
La Shadow AI presenta implicazioni importanti anche per la componente Social dell’ESG. L’utilizzo individuale dell’intelligenza artificiale può creare nuove differenze tra lavoratori. Chi possiede maggiori competenze digitali riesce a sfruttare meglio questi strumenti, aumentando produttività e capacità di elaborazione. Chi non dispone delle stesse conoscenze rischia invece di rimanere escluso dai benefici dell’innovazione.
Si può così determinare una nuova forma di disuguaglianza organizzativa, legata all’accesso agli strumenti e alle competenze necessarie per utilizzarli. Un secondo problema riguarda la trasparenza. Se l’AI viene impiegata per valutare prestazioni, selezionare candidati o supportare decisioni che coinvolgono i lavoratori, l’assenza di regole può aumentare il rischio di discriminazioni, errori e decisioni difficilmente spiegabili. La risposta organizzativa deve quindi comprendere programmi di formazione, strumenti accessibili e procedure che garantiscano supervisione umana e responsabilità.
Governare la Shadow AI significa anche evitare che l’innovazione tecnologica produca nuove disuguaglianze all’interno dell’impresa.
Shadow AI e ambiente: l’impatto energetico dell’intelligenza artificiale invisibile
La relazione tra Shadow AI e componente Environmental è meno immediata, ma altrettanto significativa. L’utilizzo dei sistemi di intelligenza artificiale comporta consumi energetici e impatti ambientali associati alle infrastrutture digitali, ai data center e alle risorse necessarie per elaborare le richieste. Quando l’adozione dell’AI avviene attraverso strumenti non censiti, l’impresa perde visibilità su una parte delle proprie attività digitali.
Questo rende più difficile stimare i consumi indiretti associati ai servizi AI utilizzati e valutare l’efficienza delle diverse soluzioni tecnologiche. La questione assume particolare importanza per le aziende che intendono misurare l’impronta ambientale delle proprie attività digitali e migliorare la qualità delle informazioni ESG.
Non tutti gli utilizzi dell’AI hanno lo stesso impatto. La complessità dei modelli, il numero delle elaborazioni e le caratteristiche delle infrastrutture possono determinare consumi differenti. Per questo motivo, una governance ambientale dell’intelligenza artificiale dovrebbe prevedere il censimento degli strumenti, la valutazione delle risorse utilizzate e, dove possibile, la selezione di servizi che offrano informazioni trasparenti sui consumi energetici. Occorre tuttavia distinguere tra la possibilità di stimare l’impatto dei servizi AI e gli obblighi di rendicontazione: non ogni utilizzo di uno strumento esterno genera automaticamente un’emissione da contabilizzare separatamente.
Come integrare la Shadow AI nella strategia ESG aziendale
Per affrontare il fenomeno, le imprese devono superare un approccio esclusivamente restrittivo. Vietare l’utilizzo di strumenti non autorizzati, senza offrire alternative adeguate, rischia di spingere ulteriormente il fenomeno fuori dal controllo aziendale.
Una strategia efficace dovrebbe partire da cinque interventi:
- Mappare gli strumenti AI utilizzati, individuando applicazioni, finalità e processi aziendali coinvolti.
- Valutare i rischi ESG, considerando sicurezza dei dati, impatti sulle persone, trasparenza decisionale e sostenibilità ambientale.
- Definire responsabilità e procedure, stabilendo quali utilizzi sono consentiti e quali richiedono controlli specifici.
- Investire nella formazione, garantendo a tutti i lavoratori competenze adeguate e accesso a strumenti affidabili.
- Integrare l’AI nei sistemi di controllo aziendali, introducendo indicatori, verifiche periodiche e procedure di aggiornamento.
In questo percorso è fondamentale la collaborazione tra IT, risorse umane, compliance, risk management e funzioni responsabili della sostenibilità. La governance dell’intelligenza artificiale non può essere affidata infatti esclusivamente alla funzione tecnologica, perché i suoi effetti coinvolgono l’intera organizzazione.
Dalla Shadow AI alla governance sostenibile dell’innovazione
La diffusione della Shadow AI dimostra che l’innovazione tecnologica può svilupparsi più rapidamente dei modelli organizzativi chiamati a governarla. Per le imprese, la sfida consiste nel trasformare un fenomeno spontaneo e poco visibile in un’opportunità di crescita strutturata. In questa prospettiva, la sostenibilità ESG offre una chiave di lettura particolarmente utile: permette di considerare l’intelligenza artificiale non soltanto in termini di produttività e riduzione dei costi, ma anche di responsabilità, trasparenza, tutela delle persone e impatto ambientale.
La governance dell’AI diventa così una componente della governance ESG, perché contribuisce a determinare come l’impresa gestisce i rischi, valorizza le competenze e utilizza responsabilmente le risorse tecnologiche. La vera questione non è impedire ai dipendenti di utilizzare l’intelligenza artificiale, ma costruire un’organizzazione capace di conoscerne gli utilizzi, valorizzarne i benefici e governarne le conseguenze.
È proprio in questo passaggio che la Shadow AI può trasformarsi da rischio nascosto a leva di innovazione sostenibile.
Partecipa alla community