45% — e cresce
I dipendenti che usano regolarmente l'IA su dispositivi di lavoro sono passati dal 15% al 45% in un anno (Verizon DBIR 2026). Il fenomeno cresce più in fretta della capacità delle aziende di governarlo.
Per le aziende
Vietare l'IA non ha funzionato.
Governarla sì.
Il 45% dei dipendenti usa regolarmente l'IA al lavoro — e due su tre lo fanno con account personali, invisibili all'azienda (Verizon DBIR 2026). Progetti, contratti e dati di clienti e dipendenti escono dal perimetro un prompt alla volta. PrivActa è la misura tecnica che rende praticabile la policy: maschera i dati identificativi sul dispositivo, prima che il testo raggiunga ChatGPT, Claude o Gemini.
Il problema, in numeri
La Shadow AI è già nella tua organizzazione
2 su 3 con account personali
Il 67% di chi usa l'IA al lavoro lo fa con account non aziendali: nessuna visibilità, nessun controllo, nessun presidio contrattuale applicabile. La Shadow AI è la terza azione insider non malevola per fuoriuscita di dati.
+670.000 $ a violazione
I data breach che coinvolgono shadow AI costano in media 670mila dollari in più di un breach ordinario (IBM Cost of a Data Breach 2025) — e nel 65% dei casi espongono dati personali di clienti.
223 tentativi al mese
È la media, per organizzazione, dei tentativi di inserire dati sensibili nei prompt di IA generativa (Netskope). Non serve un attaccante: basta un collaboratore che vuole finire prima.
Cosa serve: policy + misura tecnica + tracciabilità
La risposta non è il divieto (i numeri sopra dimostrano che non regge): è una regola semplice — i dati aziendali non si incollano in chiaro nei servizi di IA — resa praticabile da uno strumento che non rallenta le persone. PrivActa maschera nomi, codici fiscali, IBAN, contatti e importi sul dispositivo dell'utente; l'IA riceve solo segnaposto; i dati reali tornano al loro posto in locale. Il registro delle attività documenta le operazioni di mascheramento — utile per DPIA e accountability ( Art. 5(2) GDPR ).
Oggi e domani, senza promesse gonfiate
- Oggi: licenze per postazione e per team — Solo (1 persona), Studio (3), Studio 10 (10 postazioni, attivazione assistita). Regole di mascheramento condivise a livello di team. Ideale per uffici HR, legale interno, amministrazione, direzione.
- In sviluppo: distribuzione e gestione centralizzata per l'intera organizzazione, opzioni on-premise per requisiti di sovranità del dato. Stiamo costruendo questa fase con organizzazioni selezionate: se il tuo scenario è questo, parliamone.
Un buon punto di partenza è spesso un reparto: le risorse umane — dove i documenti concentrano i dati più delicati — o l'ufficio legale interno.
Domande frequenti
Le domande delle aziende
Come si ferma la Shadow AI senza vietare l'IA?
I divieti non hanno funzionato: l'uso dell'IA al lavoro è triplicato in un anno (dal 15% al 45% dei dipendenti, Verizon DBIR 2026) e si è solo spostato sugli account personali. L'alternativa è governare: una policy chiara (i dati aziendali non si incollano in chiaro) più una misura tecnica che la renda praticabile senza rallentare le persone.
I dati aziendali passano dai server PrivActa?
No. Il riconoscimento e il mascheramento dei dati avvengono interamente sul dispositivo dell'utente: non esiste un server PrivActa che riceva i documenti. Le uniche connessioni dell'app (verifica licenza e aggiornamenti) non trasportano i contenuti.
PrivActa si gestisce centralmente (MDM, policy aziendali)?
Oggi PrivActa è un'app per postazione con piani fino a 10 utenti, e regole condivise a livello di team. La gestione centralizzata su larga scala (distribuzione, policy comuni, opzioni on-premise) è in sviluppo con organizzazioni selezionate: se è il tuo scenario, parliamone.
Il contratto col fornitore AI ("non usiamo i vostri dati") non basta?
Le garanzie contrattuali sono revocabili e difficili da verificare, e non proteggono da violazioni o errori del fornitore. Una misura tecnica opera a monte: i dati identificativi mascherati sul dispositivo non raggiungono il fornitore — ciò che non arriva non ha bisogno di promesse.