# Shadow AI: Il Rischio Nascosto dell'Uso Non Autorizzato di ChatGPT, Copilot e Gemini > La Shadow AI, ovvero l'uso non autorizzato di strumenti pubblici di intelligenza artificiale come ChatGPT, crea gravi rischi per la sicurezza, tra cui fughe di dati, perdita di proprietà intellettuale e violazioni della conformità. Source: https://loopbackup.com/it/blog/shadow-ai-unsanctioned-chatgpt-copilot-gemini Publisher: Loop Backup Content language: it --- ## In Sintesi * **Cos'è la Shadow AI?** L'utilizzo di strumenti di intelligenza artificiale generativa non approvati, come ChatGPT, Gemini o Copilot, da parte dei dipendenti, un fenomeno che rispecchia il ben noto problema della 'Shadow IT'. * **Perché è un rischio?** Il personale potrebbe incollare dati riservati, codici sorgente, PII dei clienti, risultati finanziari, piani strategici, in modelli di intelligenza artificiale pubblici, esponendoli potenzialmente al mondo intero. * **Fughe di Dati Reali:** Nell'aprile 2023, il personale Samsung ha accidentalmente divulgato codici sorgente sensibili e appunti di riunioni interne a ChatGPT in tre occasioni separate. * **Il Paradosso di Copilot:** Anche strumenti autorizzati come Microsoft 365 Copilot comportano dei rischi. L'eccessiva condivisione di Copilot (o 'Copilot oversharing') può esporre dati sensibili se le autorizzazioni sottostanti di SharePoint e OneDrive non sono configurate correttamente. * **Come Mitigare il Rischio:** È necessario un approccio multilivello che combini controlli tecnici come l'AI DLP, una chiara politica sull'IA generativa e una formazione fondamentale per i dipendenti. * **Il Ruolo del Backup:** In caso di fuga di dati, un backup robusto è essenziale per l'analisi forense, per capire cosa è andato perso. Fornisce anche una rete di sicurezza durante la correzione delle autorizzazioni prima dell'implementazione di Copilot. ### Cos'è la Shadow AI? Per anni, i team di sicurezza hanno combattuto la 'Shadow IT', ovvero l'uso non autorizzato di applicazioni e servizi da parte dei dipendenti al di fuori della supervisione del dipartimento IT. Ora, è emersa una nuova e più potente variante: la **Shadow AI**. Questo termine si riferisce all'uso crescente di strumenti pubblici di intelligenza artificiale generativa da parte dei dipendenti senza l'esplicita approvazione o supervisione dell'organizzazione. Spinti dal desiderio di aumentare la produttività, i dipendenti si stanno rivolgendo ad assistenti AI di livello consumer come ChatGPT di OpenAI, Gemini di Google e altri per aiutarli a scrivere codice, riassumere documenti e redigere e-mail. Il problema è che queste piattaforme pubbliche non sono state progettate per l'uso aziendale. Spesso mancano dei controlli di sicurezza, privacy e conformità richiesti dalle aziende, creando un rischio significativo e nascosto di **fuga di dati tramite ChatGPT** e perdita di proprietà intellettuale. ### Il Fascino dell'Assistente AI È fondamentale capire che i dipendenti che utilizzano questi strumenti raramente agiscono con intenti malevoli. Stanno semplicemente cercando di essere più efficienti. Uno sviluppatore potrebbe incollare uno snippet di codice in ChatGPT per trovare un bug; un responsabile marketing potrebbe caricare una trascrizione su Gemini per un riassunto rapido; un analista finanziario potrebbe inserire dati grezzi per generare una bozza di rapporto. Ai loro occhi, stanno sfruttando la tecnologia all'avanguardia per svolgere i loro compiti meglio e più velocemente. Probabilmente non sono consapevoli che molti modelli AI pubblici possono utilizzare i dati che ricevono per addestrare versioni future, il che significa che il loro input 'privato' potrebbe diventare parte del modello pubblico, accessibile ad altri. Questa fondamentale incomprensione è il motore principale della diffusione della Shadow AI. ### Un Ammonimento dal Mondo Reale: Le Fughe di Dati di Samsung nel 2023 Il rischio teorico della Shadow AI è diventato una cruda realtà nell'aprile 2023. È stato ampiamente riportato che gli ingegneri di Samsung, una delle aziende tecnologiche leader a livello mondiale, avevano accidentalmente divulgato dati interni sensibili a ChatGPT. Nel giro di poche settimane, si sono verificati tre incidenti separati: 1. Un ingegnere ha incollato un codice sorgente difettoso da un database di semiconduttori per identificare una soluzione. 2. Un altro dipendente ha condiviso codice da un programma proprietario per ottimizzarlo. 3. Un terzo membro del personale ha inviato la registrazione audio di una riunione interna per far sì che ChatGPT generasse il verbale. In ogni caso, proprietà intellettuale sensibile è stata caricata su una piattaforma di terze parti al di fuori del controllo di Samsung. L'incidente ha costretto Samsung a vietare l'uso di strumenti di IA generativa e a iniziare a sviluppare una propria alternativa interna. Serve come un potente avvertimento per ogni organizzazione: se può succedere a Samsung, può succedere ovunque. ### Scoprire le Ombre: Come Trovare l'Uso Non Autorizzato di AI Non si può gestire ciò che non si vede. Identificare l'uso della Shadow AI è il primo passo per mitigare il rischio. Diverse tecniche possono aiutare a far luce sul problema: * **Analisi dei Log di Rete e DNS:** I log del firewall e del server DNS sono una preziosa fonte di informazioni. Analizzando i log per richieste a domini come `chat.openai.com`, `gemini.google.com` e altri servizi AI noti, è possibile costruire un quadro di quali strumenti vengono acceduti e da chi. * **Cloud Access Security Broker (CASB):** Una soluzione CASB si interpone tra i tuoi utenti e i servizi cloud, fornendo visibilità e controllo. I CASB moderni possono identificare il traffico verso migliaia di applicazioni, inclusi gli strumenti di AI generativa, e possono essere configurati per bloccare o limitare l'accesso in base alle tue politiche. * **Telemetria di Endpoint e Browser:** L'analisi della cronologia del browser e delle connessioni di rete dai dispositivi aziendali può anche rivelare l'uso di strumenti AI basati sul web non autorizzati. ### L'Enigma di Copilot: Quando l'AI Autorizzata Rappresenta Ancora un Rischio Mentre la Shadow AI si occupa di strumenti non approvati, un rischio significativo esiste anche con l'AI autorizzata di livello enterprise come Microsoft 365 Copilot. Il pericolo qui non è lo strumento in sé, ma i dati a cui ha accesso. Il problema è l'**eccessiva condivisione di Copilot** (o 'Copilot oversharing'). Copilot è progettato per essere profondamente integrato nell'ecosistema Microsoft 365. Può elaborare tutti i dati a cui un utente ha accesso, le sue e-mail in Outlook, le sue chat in Teams e i suoi file in SharePoint e OneDrive. Questa è la sua più grande forza, ma anche la sua più grande potenziale debolezza. Copilot rispetta meticolosamente le autorizzazioni esistenti. Il problema è che nella maggior parte delle organizzazioni, le autorizzazioni sono un disastro. Nel corso degli anni, a causa del turnover del personale e della collaborazione ad hoc, i siti SharePoint e i canali Teams accumulano diritti di accesso errati o eccessivamente permissivi. Un documento sensibile contenente informazioni sulla busta paga potrebbe essere stato accidentalmente condiviso con 'Tutti tranne gli utenti esterni' anni fa. Un utente potrebbe non sapere che questo documento esiste, ma Copilot sì. Se quell'utente pone a Copilot una domanda correlata, l'AI potrebbe attingere e mostrare dati da quel file sensibile, trasformando istantaneamente un problema di autorizzazioni latente in una violazione attiva dei dati. Prima di implementare Copilot, le organizzazioni devono condurre un audit e una correzione approfonditi delle loro autorizzazioni Microsoft 365, un processo che può essere complesso e dispendioso in termini di tempo. ### Stabilire il Controllo: Politiche e Tecnologia Affrontare i rischi sia della Shadow AI che dell'eccessiva condivisione di Copilot richiede un approccio strategico e multi-sfaccettato che comprenda politiche, tecnologia e persone. #### 1. Redigere una Chiaro Politica sull'IA Generativa Il tuo primo passo dovrebbe essere quello di sviluppare e comunicare una **politica formale sull'IA generativa**. Questo documento elimina l'ambiguità e fornisce una guida chiara a tutti i dipendenti. Dovrebbe indicare esplicitamente: * Un inventario degli strumenti AI approvati e proibiti. * Un elenco definitivo dei tipi di dati che non devono **mai** essere inseriti in alcuno strumento AI pubblico (ad esempio, dati dei clienti, PII, codice sorgente, informazioni finanziarie, cartelle cliniche, documenti di strategia aziendale). * Linee guida per l'uso responsabile degli strumenti approvati. * L'obbligo per i dipendenti di verificare e convalidare qualsiasi output da un'IA, che può essere soggetta a errori o 'allucinazioni'. * Chiara responsabilità per qualsiasi lavoro prodotto con l'assistenza dell'IA. #### 2. Implementare la Prevenzione della Perdita di Dati (AI DLP) Sensibile all'AI Gli strumenti moderni di prevenzione della perdita di dati (DLP) stanno diventando sempre più sensibili all'AI. Le soluzioni **AI DLP** possono andare oltre il semplice blocco di un dominio. Possono ispezionare il contenuto inviato a moduli web e applicazioni basate su browser. Ciò consente controlli più granulari, come consentire ai dipendenti di accedere a ChatGPT ma impedire loro di incollare qualsiasi contenuto che corrisponda a un pattern di dati sensibili, come un database di clienti o codice proprietario. #### 3. Formare il Tuo Personale La tecnologia e le politiche da sole non bastano. Devi educare i tuoi dipendenti sui rischi. Organizza sessioni di formazione che spieghino *perché* incollare informazioni riservate in strumenti AI pubblici è pericoloso. Usa esempi reali come l'incidente Samsung per rendere la minaccia tangibile. L'obiettivo è creare una cultura di consapevolezza della sicurezza in cui i dipendenti diventino partner nella difesa dei dati dell'organizzazione. ### Il Ruolo Critico del Backup nell'Analisi Forense e nella Remediazione In questo nuovo panorama, una strategia di backup robusta e immutabile diventa più critica che mai, in particolare per la risposta agli incidenti e la gestione proattiva del rischio. Qualora si verificasse un evento di **fuga di dati tramite ChatGPT**, il primo compito del tuo team di sicurezza è condurre un'analisi forense per determinare l'esatto ambito della violazione. Quali dati specifici sono andati persi? Quale versione del codice sorgente è stata compromessa? Se i dati originali sul sistema live sono stati alterati o cancellati, un backup affidabile di terze parti è l'unico modo per stabilire la verità. Servizi come [AI Cloud Backup di Loop](/ai-cloud-backup) e [backup di Microsoft 365](/microsoft-365-backup) forniscono una copia indipendente e immutabile dei tuoi dati, offrendoti la fedeltà forense necessaria per rispondere efficacemente. Inoltre, mentre ti prepari per un'implementazione sicura di M365 Copilot, dovrai inevitabilmente eseguire una pulizia su larga scala delle autorizzazioni di SharePoint e Teams. Questo processo comporta i suoi rischi. Avere un backup puntuale dei tuoi dati M365 fornisce una rete di sicurezza vitale, consentendoti di ripristinare file e impostazioni se il processo di correzione delle autorizzazioni dovesse andare storto. ## Conclusione L'ascesa dell'IA generativa presenta un'opportunità trasformativa per la produttività, ma introduce anche nuovi e profondi rischi. La Shadow AI non è una minaccia ipotetica; è attiva nella maggior parte delle organizzazioni oggi, che lo sappiano o meno. La comodità di questi strumenti garantisce quasi il loro utilizzo da parte di dipendenti ben intenzionati, creando un percorso nascosto per i tuoi dati più sensibili per lasciare l'organizzazione. Combinando una scoperta proattiva, una **politica sull'IA generativa** chiara e ben comunicata, controlli tecnici moderni come l'**AI DLP** e una strategia di backup robusta per la prontezza forense, puoi gestire il rischio. L'obiettivo non è bloccare il progresso, ma abilitare l'adozione sicura e responsabile dell'IA, trasformando un rischio nascosto in un vantaggio strategico gestito.