Vietare ChatGPT in azienda funziona? (spoiler: no)

No, vietare ChatGPT ai dipendenti quasi mai riduce i rischi: il divieto non ferma l’uso, lo sposta su smartphone e account personali, dove l’azienda perde ogni visibilità. Il pericolo non sparisce, diventa invisibile. La strada che funziona è governare l’uso dell’AI, non bloccarlo.

Questa guida è lo spoke operativo della pillar su cos’è la Shadow AI e come nasce. Qui rispondiamo a una domanda pratica che si pongono CEO, responsabili IT e HR: un divieto serve davvero?

Risposta rapida: perché il divieto non basta

• Non ferma l’uso: chi ha bisogno dell’AI la usa comunque, sul telefono personale.
• Crea Shadow AI: l’uso si sposta fuori dal perimetro aziendale, senza controllo.
• Perdi visibilità: non sai più quali dati escono, né dove finiscono.
• Rinunci al vantaggio: i concorrenti che l’AI la governano sono più veloci di chi la vieta.

Perché le aziende vietano ChatGPT

La reazione è comprensibile. Un dipendente incolla in un assistente AI il contratto di un cliente, l’anagrafica di un paziente o un elenco di dati bancari, e quei dati escono dal perimetro aziendale. Il timore è concreto: una volta inviato, il dato è già uscito, e non lo si può richiamare indietro.

A questo si aggiunge la spinta normativa. Il GDPR impone la minimizzazione dei dati (art. 5(1)(c)) e l’AI Act, con gli obblighi in vigore dal 2 agosto 2026, chiede alle aziende di garantire un livello adeguato di AI literacy ai dipendenti (art. 4). Di fronte a queste responsabilità, molte direzioni scelgono la via che sembra più semplice: bloccare AI in azienda con una circolare o un blocco di rete.

Il problema è che la via semplice non è la via efficace.

Perché il divieto fallisce

Un divieto di ChatGPT sul lavoro fallisce per tre ragioni pratiche, non teoriche.

1. È aggirabile in trenta secondi

Puoi bloccare chat.openai.com sul proxy aziendale. Ma il dipendente apre lo stesso strumento dallo smartphone in 4G, o usa l’hotspot personale sul portatile, o passa a Claude, Gemini o Copilot che magari non hai messo in blocklist. Il blocco tecnico copre una porta e ne lascia aperte dieci.

2. Genera Shadow AI

Ed è il vero danno. Vietando lo strumento aziendale, spingi l’uso su account personali e dispositivi non gestiti: è la cosiddetta Shadow AI. Prima del divieto, almeno, l’uso avveniva su strumenti che potevi provare a configurare e monitorare. Dopo, avviene di nascosto, senza log, senza policy, senza che tu sappia quali dati dei clienti stanno uscendo. Il divieto non elimina il rischio: lo rende invisibile.

3. Ti mette in svantaggio competitivo

L’AI generativa fa risparmiare ore su bozze, ricerche e sintesi. L’azienda che la vieta rinuncia a quel guadagno; il dipendente che la usa comunque lo ottiene, ma esponendo i dati. Perdi su entrambi i fronti: nessun vantaggio ufficiale e tutto il rischio sommerso.

L’alternativa: governare, non vietare

La direzione giusta è la stessa che raccontiamo su come gestire l’AI in azienda: vietare non ha funzionato, governarla sì. Governare significa dare ai dipendenti un modo sicuro di usare l’AI, invece di lasciarli scegliere tra rinunciare e nascondersi.

Governare l’AI non vuol dire “permettere tutto”. Vuol dire mettere tre livelli:

1. Regole chiare su cosa si può e non si può inserire in un assistente AI.
2. Formazione perché le regole siano capite e applicate.
3. Una misura tecnica che riduca l’esposizione anche quando qualcuno sbaglia.

Policy + misura tecnica: come si fa in pratica

Una governance credibile non è solo un documento. Sono due elementi che lavorano insieme.

La policy AI (il livello organizzativo)

Serve una policy AI aziendale che dica in modo operativo: quali strumenti sono ammessi, quali dati non vanno mai incollati (dati dei clienti, dati sanitari, segreti aziendali), e come comportarsi quando un documento contiene informazioni riservate ma serve comunque all’AI. La policy da sola, però, non basta: è un cartello, non un lucchetto. Un dipendente distratto o sotto pressione la aggira senza volerlo.

La misura tecnica (il livello che regge l’errore umano)

Qui entra la minimizzazione a monte. Invece di vietare l’AI, si maschera il dato identificativo prima che raggiunga l’assistente — che sia ChatGPT, Claude o Gemini. Il dipendente lavora, l’AI riceve un testo utile ma privo dei dati reali, e l’azienda riduce l’esposizione anche quando la policy non viene rispettata alla lettera.

Prepara una risposta al reclamo del sig. Mario Rossi
(CF RSSMRA80A01H501U), cliente n. 4471, che contesta
l'addebito di 890€ sul conto IT60X0542811101000000123456.

Prepara una risposta al reclamo del sig. [NOME_1]
(CF [CF_1]), cliente n. [ID_1], che contesta
l'addebito di 890€ sul conto [IBAN_1].

La versione a destra è ancora perfettamente lavorabile dall’AI, ma non contiene più chi è il cliente né i suoi dati bancari. Questo riduce l’esposizione: non è una garanzia assoluta né un timbro di conformità — quella resta responsabilità del titolare del trattamento — ma trasforma un errore potenzialmente grave in un rischio molto più basso.

In pratica con PrivActa

Chiedere ai dipendenti di mascherare a mano ogni nome, codice fiscale e IBAN prima di ogni richiesta è irrealistico: nella fretta salta sempre qualcosa. È qui che uno strumento di supporto aiuta la governance. PrivActa è uno strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN e indirizzi italiani, li sostituisce con segnaposto coerenti e lo fa sul dispositivo, prima che il testo raggiunga qualunque motore AI. Il documento originale non esce dal computer.

Nel quadro “governare invece di vietare”, è la misura tecnica che regge l’errore umano: rende una policy applicabile davvero, non solo scritta. Scopri come funziona PrivActa o vedi come si applica al lavoro degli uffici HR, dove passano dati di candidati e dipendenti ogni giorno.

Domande frequenti

Vietare ChatGPT ai dipendenti è efficace? Raramente. Il divieto sposta l’uso su dispositivi e account personali, dove non hai controllo né visibilità. Governare l’uso con regole chiare e una misura tecnica è più efficace di un blocco.

Come faccio a bloccare l’accesso a ChatGPT in azienda? Puoi bloccarlo a livello di rete, ma è aggirabile con lo smartphone in 4G o passando a Claude e Gemini. Un blocco è utile solo dentro una strategia più ampia di policy, formazione e minimizzazione dei dati.

Se non vieto ChatGPT, come proteggo i dati dei clienti? Con una governance a tre livelli: una policy AI, la formazione dei dipendenti (obbligo di AI literacy, art. 4 AI Act) e una misura tecnica che maschera i dati identificativi prima che escano dal dispositivo.

Cos’è la Shadow AI? È l’uso di strumenti di AI generativa fuori dal controllo dell’azienda, spesso con account personali. È la conseguenza tipica di un divieto: l’uso non si ferma, si nasconde.