Il tuo collaboratore usa già l'IA.
Ora ci sono i numeri.

I numeri della "Shadow AI"

Gli analisti la chiamano Shadow AI: l'uso di strumenti di intelligenza artificiale non autorizzati dal datore di lavoro. I dati più recenti:

• 45% dei dipendenti usa regolarmente l'IA su dispositivi di lavoro — era il 15% l'anno precedente (Verizon DBIR 2026);
• 67% di chi la usa lo fa con account personali, non aziendali (Verizon DBIR 2026);
• la Shadow AI è la terza azione insider non malevola più comune tra quelle che causano fuoriuscita di dati — quadruplicata in un anno (Verizon DBIR 2026);
• i data breach che coinvolgono shadow AI costano in media 670.000 dollari in più di un breach ordinario (IBM Cost of a Data Breach 2025);
• le organizzazioni registrano in media 223 tentativi al mese di inserire dati sensibili nei prompt di IA generativa (Netskope Cloud & Threat Report).

Negli studi professionali il rischio è doppio

Per un'azienda, la Shadow AI significa perdita di know-how e sanzioni GDPR. Per uno studio legale, commercialista o notarile c'è un livello in più: il segreto professionale. Il praticante che incolla un atto in ChatGPT con il suo account personale sta rivelando a un terzo le notizie apprese nell'esercizio della professione ( Art. 622 c.p. per gli avvocati, il segreto d'ufficio per i commercialisti, l' Art. 56 L. 89/1913 per i notai). E la L. 132/2025 chiede al professionista di informare il cliente sull'uso dell'IA: difficile farlo se non sai nemmeno quali strumenti usa il tuo collaboratore.

C'è anche una differenza strutturale: l'azienda ha un CISO, policy DLP, strumenti di monitoraggio. Lo studio medio no. La "minaccia interna" non è un dipendente infedele: è un collega in buona fede che vuole solo finire prima una bozza.

Vietare non funziona (e i numeri lo dimostrano)

Il salto dal 15% al 45% in un anno è avvenuto nonostante i divieti aziendali. Il divieto non ferma l'uso: lo sposta sull'account personale e sul telefono, dove nessuno vede niente. Come nota lo stesso Sole 24 Ore, la soluzione «non è ovviamente vietare l'intelligenza artificiale», ma costruire regole per usarla in modo coerente con il valore delle informazioni trattate.

Cosa può fare uno studio, concretamente

• Una regola semplice e realistica: l'IA si usa, ma i dati dei clienti non si incollano in chiaro. Mai.
• Una misura tecnica che renda la regola praticabile: PrivActa è uno strumento di supporto all'anonimizzazione che maschera nomi, codici fiscali, IBAN e indirizzi sul dispositivo, prima che il testo raggiunga ChatGPT, Claude o Gemini. Il collaboratore continua a usare l'IA; i dati identificativi restano nello studio.
• Tracciabilità: il registro delle attività di PrivActa documenta in locale ogni operazione di mascheramento — utile per la DPIA e per dimostrare la diligenza dello studio.

Per il quadro normativo completo vedi la pagina Conformità; per il funzionamento, Come funziona. Non sei uno studio? La Shadow AI riguarda ogni organizzazione: vedi PrivActa per le aziende.