In molti studi legali e in molte direzioni affari legali con cui lavoriamo sta emergendo un tema ricorrente, sebbene ancora poco discusso: il crescente utilizzo di strumenti personali di intelligenza artificiale da parte di staff, associate o collaboratori, anche quando l’organizzazione mette già a disposizione sistemi approvati. Questa pratica è sempre più nota come shadow AI.
Pensiamo a un junior associate che redige un memo usando uno strumento di AI generativa scaricato su un laptop personale. A un paralegal che riassume documenti di discovery attraverso la versione gratuita di un chatbot esterno. A un dipendente che, da casa, chiede a un’app di assistenza virtuale di supportarlo nella preparazione di un briefing per un cliente, anche se lo studio mette già a disposizione una piattaforma interna con licenza.
In superficie, nulla sembra problematico. Tutti vogliono essere efficienti, curiosi e proattivi.
Sotto la superficie, però, i rischi si accumulano.
Perché è importante
Prima di procedere, suggeriamo di soffermarsi su tre ambiti di rischio chiave che emergono tipicamente quando la shadow AI entra a far parte del lavoro quotidiano.
- Esposizione a malware e phishing. Quando gli strumenti di AI vengono adottati al di fuori della governance IT standard, le protezioni su cui facciamo affidamento potrebbero non applicarsi. Aggiornamenti, patch di sicurezza, scansione anti-malware e segmentazione della rete non sono garantiti. Uno strumento personale può contenere codice non verificato, richiedere permessi molto ampi o conservare dati all’esterno e senza crittografia. Il prossimo tentativo di phishing o la prossima vulnerabilità zero-day potrebbero sfruttare proprio quel sistema non autorizzato.
- Problemi di anonimizzazione dei dati e riservatezza. Gli studi legali e le direzioni affari legali gestiscono informazioni coperte da segreto professionale, sensibili e spesso regolamentate. Se qualcuno carica documenti dei clienti in un servizio di AI esterno con condizioni d’uso dei dati poco chiare, potremmo violare inavvertitamente la riservatezza. Peggio ancora, potremmo affidarci allo strumento per anonimizzare i dati senza verificare il processo. Dovremmo sempre chiederci: chi conserva l’input? Chi controlla l’output? Il servizio si addestra su quei dati? Queste domande raramente emergono quando lo strumento viene usato sotto traccia.
- Mancato rispetto delle policy interne e lacune nell’audit trail. Le attività svolte al di fuori dei flussi di lavoro approvati tendono a sfuggire alla supervisione. Come tracciamo quali strumenti sono stati usati, come sono stati validati gli output o quali versioni dei documenti sono state generate? In una verifica di compliance, il percorso della shadow AI può non lasciare traccia. L’accountability si indebolisce e la gestione del rischio ne risente.
Cosa fare
Proponiamo un approccio in tre passi per affrontare il fenomeno senza soffocare l’innovazione.
- Passo 1. Mappare e riconoscere il fenomeno. Si parte da una domanda semplice: “I nostri collaboratori usano strumenti di AI al di fuori della struttura? E perché?”. In questa fase si tratta di far emergere i comportamenti, non di giudicarli. Un sondaggio anonimo può aiutare a mappare quali strumenti vengono usati, con quale frequenza e per quale scopo. La comprensione deve precedere qualsiasi forma di valutazione o decisione.
- Passo 2. Definire policy chiare e percorsi sicuri. Invece di vietare tutti gli strumenti di AI personali, conviene elaborare una policy che riconosca perché le persone li usano e ne riporti l’utilizzo dentro la governance. Ad esempio: un catalogo di servizi AI approvati; regole per il caricamento, l’anonimizzazione e la conservazione dei dati; formazione e certificazione per lo staff.
- Passo 3. Offrire alternative autorizzate e integrarle. Se l’obiettivo è scoraggiare gli strumenti personali, bisogna offrire qualcosa di meglio. Implementare una piattaforma di AI approvata dallo studio, integrarla con il sistema di document management e assicurarsi che rispetti i requisiti di riservatezza e audit. Promuoverne l’uso mostrando come si inserisce nel flusso di lavoro esistente, non come un componente aggiuntivo esterno.
La strada da percorrere
In una professione in cui fiducia, riservatezza e precisione sono essenziali, l’ascesa dell’AI generativa non può essere affrontata solo come un progetto tecnico. È un cambiamento comportamentale, organizzativo e culturale. La shadow AI è una delle espressioni di questo cambiamento: persone che prendono l’iniziativa e cercano efficienza, ma lo fanno al di fuori dei binari di sicurezza.
Suggeriamo di concentrarsi su comportamenti, motivazioni e governance, anziché limitarsi a inseguire la tecnologia.
Ignorare la shadow AI significa accettare che dati, reputazione e compliance possano spostarsi in spazi che non siamo in grado di monitorare pienamente.
Affrontarla, invece, trasforma il rischio in opportunità. Le persone si sentono supportate, i flussi di lavoro migliorano e l’organizzazione mantiene il controllo.
Volete che vi aiutiamo a sviluppare una policy sull’AI o ad affrontare la shadow AI nel vostro studio legale o nella vostra direzione affari legali? Scriveteci a talk@betteripsum.net