Ora la fuga di dati aziendali passa (anche) dall’intelligenza artificiale usata in ufficio

Sta però di fatto che, inserendo indiscriminatamente documenti aziendali sulle chatbot di AI non autorizzate, il risultato finale può essere paradossalmente simile a quello di un attacco informatico proveniente dall’esterno, con la dispersione di una marea di informazioni strategiche al di fuori del perimetro organizzativo con i conseguenti rischi di sanzioni per violazioni del GDPR, utilizzi dei dati per scopi criminali da parte di hacker e malintenzionati, nonché il danneggiamento della reputazione aziendale, e la perdita di competitività sul mercato a causa di competitor senza scrupoli che possono sfruttare i segreti industriali trapelati attraverso gli strumenti pubblici di intelligenza artificiale generativa.

Nelle dinamiche dello spionaggio industriale, cambia così anche il concetto di “insider threat”, che fino a poco tempo fa evocava figure ostili come dipendenti infedeli, concorrenti, infiltrazioni organizzate. Oggi, invece, la minaccia può derivare da comportamenti perfettamente ordinari e apparentemente innocui dei propri collaboratori, che possono trasformarsi in un flusso incontrollato di dati aziendali verso ecosistemi tecnologici esterni.

Il fenomeno sta assumendo dimensioni tali da iniziare a preoccupare non solo i responsabili della cybersecurity, ma anche consigli di amministrazione, funzioni legali e organismi di compliance. Infatti, il gap non è solo tecnologico, ma culturale e organizzativo, e il problema riguarda sia i dipendenti che necessitano di maggiore consapevolezza, sia il management che deve essere pronto a individuare soluzioni organizzative efficaci per tutelare il patrimonio aziendale.

Come fa notare anche lo stesso rapporto di Verizon, l’intelligenza artificiale generativa sta infatti entrando nelle aziende molto più velocemente della capacità delle stesse imprese di governarla, con il 45% dei dipendenti che ormai la utilizza regolarmente, (contro il 15% dell’anno precedente), e le organizzazioni che non riescono a gestire in modo ordinato il rapido cambiamento tecnologico in atto, che amplifica esponenzialmente il rischio di perdita di controllo del perimetro dei dati aziendali.

Pur con tutti i notevoli vantaggi che possono derivare dall’adozione di sistemi di AI, le aziende si trovano quindi a dover affrontare un cambio di paradigma destinato a incidere profondamente sulla governance d’impresa.

Per anni le aziende hanno investito ingenti risorse per difendersi da attacchi esterni come phishing, ransomware e malware, mentre oggi una parte crescente delle esposizioni del know-how aziendale nasce invece dall’interno, da comportamenti quotidiani dei lavoratori. La potenziale minaccia non arriva più solo dal cybercriminale che forza il sistema, ma da un dipendente che, pensando di fare bene, utilizza una chatbot per accelerare una procedura, rielaborare un documento o automatizzare un’attività.

La soluzione non è ovviamente vietare l’intelligenza artificiale, ipotesi ormai irrealistica e probabilmente anche inopportuna visti gli indiscutibili vantaggi che offre e il suo avanzamento inarrestabile, ma sta nel costruire regole per utilizzarla in modo adeguato e coerente con il valore strategico delle informazioni trattate per massimizzarne i benefici e minimizzare i rischi.

È per tali motivi che negli ultimi mesi diverse multinazionali hanno iniziato a limitare o regolamentare severamente l’uso di piattaforme AI generative con policy stringenti, mentre un crescente numero di altre aziende che non vogliono perdere le opportunità dell’intelligenza artificiale sono alla ricerca di soluzioni proprietarie o cloud-based che garantiscano il pieno controllo dei propri dati.

In questo contesto, la governance dei dati smette di essere un tema confinato alla mera compliance e diventa un elemento strategico di competitività. Le imprese che nei prossimi anni riusciranno a integrare efficacemente intelligenza artificiale, privacy, cybersecurity e data governance potranno sfruttare i benefici dell’AI riducendo i rischi di dispersione informativa. Al contrario, le organizzazioni che continueranno a considerare questi aspetti come compartimenti separati rischiano di esporsi a vulnerabilità sempre più difficili da controllare.

Per affrontare questa sfida i management aziendali non possono più considerare la protezione dei dati come una questione esclusivamente tecnica o giuridica, ma dovranno gestirla a tutti gli effetti come una componente strutturale e strategica della governance d’impresa.

*Presidente di Federprivacy