INTELLIGENZA ARTIFICIALE IN AZIENDA: ATTENZIONE AI RISCHI PRIVACY, GLI OBBLIGHI NON SI POSSONO PIÙ RIMANDARE

L'intelligenza artificiale è ormai entrata nella quotidianità delle imprese italiane, spesso prima che venissero introdotte regole precise per governarne l'utilizzo. Dipendenti che caricano contratti nei chatbot, documenti contenenti dati dei clienti, buste paga, schermate del CRM o e-mail aziendali da sintetizzare sono diventati scenari sempre più frequenti. Tuttavia, ogni caricamento rappresenta un vero e proprio trattamento di dati personali, con tutte le conseguenze previste dalla normativa privacy. L'articolo allegato evidenzia che, dal 2 agosto 2026, con la piena operatività di nuovi obblighi previsti dall'AI Act, le imprese non possono più limitarsi a introdurre strumenti di intelligenza artificiale senza una governance adeguata. Secondo i dati richiamati dall'Osservatorio Artificial Intelligence del Politecnico di Milano, soltanto il 9% delle imprese dispone oggi di una governance strutturata dell'IA. Ogni utilizzo di strumenti AI richiede infatti una base giuridica ai sensi dell'art. 6 del GDPR, un accordo con il fornitore ex art. 28 GDPR, un'informativa aggiornata ex art. 13 GDPR e, nei casi previsti, ulteriori adempimenti documentali e organizzativi.

SHADOW AI: IL RISCHIO NASCOSTO NELLE AZIENDE

Uno dei fenomeni più preoccupanti descritti dall'approfondimento è la cosiddetta Shadow AI.

Con questa espressione si indica l'utilizzo, da parte dei dipendenti, di strumenti di intelligenza artificiale non autorizzati dall'azienda.

Può trattarsi di un chatbot utilizzato per riassumere un contratto, correggere una mail o elaborare una presentazione.

Secondo la fonte, ogni volta che vengono caricati dati aziendali o personali all'interno di un sistema AI si realizza un trattamento di dati, anche quando chi utilizza lo strumento non ne è pienamente consapevole.

Il rischio è che informazioni riservate escano dal controllo dell'organizzazione senza che nessuno ne abbia tracciato il percorso.

CONTRATTI, CRM E DATI HR POSSONO FINIRE NEI PROMPT

L'articolo richiama esempi molto concreti.

Nei prompt dei modelli di intelligenza artificiale finiscono frequentemente:

• contratti;

• anagrafiche clienti;

• dati delle risorse umane;

• buste paga;

• schermate di CRM;

• corrispondenza aziendale.

Secondo il contributo dell'avv. Alessandro Vercellotti, richiamato nell'approfondimento, se l'impresa non conosce quali strumenti vengono utilizzati dai propri dipendenti, non può sapere realmente quali dati personali stia trattando.

IL RISCHIO NON RIGUARDA PIÙ SOLO I TESTI

La superficie di esposizione dei dati è oggi molto più ampia rispetto ai primi strumenti di IA generativa.

Come evidenzia il documento allegato, la quasi totalità dei modelli di intelligenza artificiale è ormai in grado di elaborare:

• immagini;

• file audio;

• video;

• tabelle;

• grafici;

• documenti complessi.

Ogni nuovo formato aumenta il numero delle informazioni che possono uscire dal perimetro aziendale.

SOFTWARE AGENTICI: IL PROBLEMA SONO I PERMESSI

Accanto alla Shadow AI esiste un secondo rischio.

Molte aziende acquistano piattaforme AI ufficiali dotate di funzionalità agentiche, cioè capaci non soltanto di leggere informazioni ma anche di svolgere attività operative.

Secondo l'articolo, il problema non riguarda necessariamente il software in sé, bensì i permessi di accesso concessi durante la configurazione.

Un'autorizzazione attribuita una sola volta può consentire al sistema di continuare ad accedere nel tempo a:

• cartelle condivise;

• caselle e-mail;

• gestionali;

• archivi documentali;

• CRM aziendali.

Per questo motivo la mappatura dei permessi rappresenta oggi uno degli aspetti più delicati della governance dell'intelligenza artificiale.

IL CASO ESAMINATO DAL GARANTE PRIVACY

L'approfondimento richiama un provvedimento del Garante per la protezione dei dati personali del 14 maggio 2026 (doc. web n. 10255494).

Il caso riguardava un plug-in di intelligenza artificiale integrabile nelle piattaforme Teams e Slack, capace di analizzare semanticamente le conversazioni dei lavoratori e produrre indicatori relativi allo stress e allo stato emotivo del personale.

Il Garante non ha accertato violazioni già consumate, ma ha adottato un avvertimento indicando precisi limiti all'utilizzo di strumenti analoghi.

ATTENZIONE AI SISTEMI CHE ANALIZZANO LE EMOZIONI DEI DIPENDENTI

L'articolo richiama un principio particolarmente importante introdotto dall'art. 5 del Regolamento (UE) 2024/1689 (AI Act).

La disposizione vieta, salvo limitate eccezioni, l'utilizzo di sistemi di intelligenza artificiale destinati a inferire le emozioni delle persone sul luogo di lavoro.

Inoltre, quando un software osserva sistematicamente l'attività dei lavoratori, può trovare applicazione anche l'art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori) relativo al controllo a distanza.

Si tratta di un profilo particolarmente delicato per tutte le imprese che introducono strumenti AI nei processi aziendali.

LA BASE GIURIDICA RESTA IL PRIMO ADEMPIMENTO

Secondo l'articolo, la scelta del software è meno importante della corretta impostazione giuridica del trattamento.

Ogni utilizzo di strumenti AI deve poggiare su una base giuridica valida ai sensi dell'art. 6 GDPR.

L'impresa deve inoltre:

• aggiornare l'informativa privacy (art. 13 GDPR);

• nominare il fornitore quale responsabile del trattamento mediante accordo scritto (art. 28 GDPR);

• aggiornare il registro dei trattamenti (art. 30 GDPR);

• effettuare, quando necessaria, la valutazione d'impatto (art. 35 GDPR).

La conformità non dipende quindi soltanto dalla tecnologia utilizzata, ma soprattutto dalla documentazione che dimostra la correttezza del trattamento.

COME MAPPARE I PERMESSI AI

L'articolo propone una procedura articolata in cinque passaggi.

In particolare suggerisce di:

• censire tutti gli strumenti AI già utilizzati, compresi quelli adottati autonomamente dai singoli team;

• verificare quali dati ciascun software possa vedere ed elaborare;

• allineare informative, accordi con i fornitori e documentazione privacy;

• classificare i dati che possono essere inseriti nei prompt e quelli che devono rimanere all'interno dei sistemi aziendali;

• formare periodicamente il personale e ripetere il censimento a ogni nuovo strumento introdotto.

L'obiettivo è trasformare la policy aziendale in un presidio effettivamente verificabile.

LA FORMAZIONE È DIVENTATA UN OBBLIGO

L'approfondimento conclude richiamando un aspetto spesso sottovalutato.

L'art. 4 del Regolamento (UE) 2024/1689 impone alle organizzazioni di garantire un adeguato livello di alfabetizzazione in materia di intelligenza artificiale per il personale che utilizza tali sistemi.

Non si tratta più di una semplice raccomandazione organizzativa.

La formazione rappresenta oggi un vero obbligo normativo che accompagna l'adozione degli strumenti AI.

L'AI VA GOVERNATA PRIMA CHE CONTROLLATA

L'intelligenza artificiale offre enormi opportunità in termini di efficienza e produttività, ma comporta anche nuove responsabilità per imprese, professionisti e datori di lavoro.

Come emerge dall'articolo, la conformità normativa non si esaurisce nella scelta del software più affidabile: occorre documentare i trattamenti, controllare i permessi, aggiornare la documentazione privacy e formare il personale.

Solo una governance strutturata consente di sfruttare le potenzialità dell'AI riducendo i rischi legali, organizzativi e reputazionali.