Intelligenza artificiale
I tuoi dipendenti stanno già incollando dati aziendali nei chatbot pubblici.
I numeri: non è il dipendente distratto
88 per cento: ha condiviso informazioni di lavoro con chatbot pubblici (PagerDuty / Wakefield, 2026). 66 per cento: ha usato strumenti AI pur ritenendo che non fossero consentiti (stessa fonte). 47 per cento: le conversazioni AI aziendali che passano da account personali (LayerX, State of AI Usage 2026).
Fonti. PagerDuty / Wakefield Research, Shadow AI Survey 2026: 1.250 impiegati non IT di aziende con oltre 500 milioni di dollari di ricavi (USA, Regno Unito, Australia, Giappone), aprile 2026. LayerX, telemetria su ambienti aziendali. Campioni non italiani: indicano la tendenza, non la tua azienda.
Perché è invisibile
Telefono personale, account personale, carta personale. Il testo parte da uno smartphone non aziendale e finisce in un account intestato al dipendente. Se telefono e rete sono personali, il proxy aziendale non lo vede, il DLP non lo tocca, l'antivirus non c'è. Nessun log, nessun allarme: il dato è già uscito.
E controllare non è libero
«Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale [...]»
Art. 4, comma 1, legge 300/1970 (testo vigente, estratto).
Serve un accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato del lavoro. E ai lavoratori va data adeguata informativa, nel rispetto della privacy. L'account personale resta comunque fuori portata: la segretezza della corrispondenza (art. 15 Costituzione) vale anche con l'accordo.
Dove finisce ciò che esce
Su molti account personali, anche a pagamento, le conversazioni servono ad addestrare i modelli del fornitore, salvo opt-out. L'opzione c'è, ma sta nei menu e cambia da servizio a servizio. E la responsabilità non segue il telefono: se nel chatbot finisce il nome di un cliente o un disegno tecnico, a risponderne è l'azienda, perché il titolare del trattamento è lei, non il dipendente (GDPR, art. 4 n. 7 e art. 24).
Il rovescio: il dipendente non è il nemico
57 per cento dei lavoratori giudica la policy AI poco chiara, introvabile o inesistente (Okta, AI Agents at Work 2026). 89 per cento ha conosciuto l'AI nella vita privata prima di portarla al lavoro (PagerDuty / Wakefield). Un terzo di chi usa l'AI al lavoro dice che la nasconderebbe per evitare controlli. Di solito non è malafede: è comodità, e una regola che non si capisce.
La lettura del perito: governance, non sorveglianza
Non si mette il lucchetto su ciò che non si controlla, e il divieto senza alternativa spinge l'uso sotto traccia. Tre mosse, in ordine.
- Una policy chiara, che parli anche degli account personali.
- Formazione: il regolamento UE 2024/1689 sull'AI, all'articolo 4 come sostituito dal regolamento UE 2026/1744 in vigore dal 27 luglio 2026, chiede misure di alfabetizzazione sull'AI per chi utilizza sistemi di intelligenza artificiale.
- Un'alternativa vera: un account aziendale con contratto, dove i dati non possono uscire; e dove non possono proprio uscire, un modello locale che non chiede la carta di credito al dipendente.
In sintesi
Il dato esce dal telefono personale verso un servizio che non hai scelto tu, e a risponderne resta l'azienda. La risposta non è spiare: è rendere la strada legale più comoda di quella vietata.
Contenuto informativo, non consulenza legale. Le condizioni dei fornitori cambiano spesso: verifica sempre quelle vigenti per il tuo piano.