AI in azienda, sempre più dati sensibili finiscono nei prompt dei dipendenti

Ogni prompt inserito in un chatbot AI può trasformarsi in una fuga di informazioni aziendali. È questa la conseguenza più immediata dell’adozione ormai diffusa dell’intelligenza artificiale generativa nei flussi di lavoro: strumenti usati per velocizzare attività quotidiane, dalla sintesi di un’email alla traduzione di un contratto, finiscono spesso per ricevere contenuti che non dovrebbero uscire dal controllo dell’impresa. Nomi di clienti, conversazioni riservate e dettagli contrattuali possono essere copiati dentro servizi esterni senza che l’azienda abbia una reale visibilità su ciò che è stato condiviso.

Secondo il Report 2025 di LayerX, il 77% dei dipendenti incolla dati sensibili aziendali dentro ChatGPT o in altri chatbot di intelligenza artificiale. Sempre secondo le stime riportate, ogni dipendente incolla testi nelle chat AI in media 14 volte al giorno e almeno tre di questi inserimenti contengono informazioni sensibili. Il dato fotografa un’abitudine ormai radicata: l’AI viene usata per lavorare più rapidamente, spesso prima che l’azienda abbia definito regole, strumenti e controlli interni.

"Il dipendente non si sta comportando male, sta solo cercando di raggiungere l’obiettivo più in fretta", commenta Francesco Alborino, CEO e co-fondatore della startup AIDAPT. Il problema nasce proprio qui: il lavoratore cerca una scorciatoia operativa, mentre l’azienda perde visibilità su informazioni che dovrebbe proteggere, tracciare e, quando necessario, rendere verificabili davanti a un’autorità.

Per le imprese, però, la responsabilità non cambia: se un dato di un cliente viene inserito in un sistema AI senza adeguate garanzie, a risponderne è comunque l’azienda che lo gestisce. Anche per questo, l’intelligenza artificiale generativa viene indicata come il primo canale di fuga di dati dalle aziende: in molti casi è entrata nei flussi di lavoro su iniziativa dei dipendenti, prima che fossero definite regole e controlli interni.

Con l’AI Act, il quadro si è fatto più stringente. L’Unione Europea ha introdotto requisiti di trasparenza e supervisione per i sistemi AI usati nei processi operativi, con multe fino a 35 milioni di euro. Da qui l’interesse crescente per soluzioni che lascino alle aziende la proprietà dei dati, evitino l’uso delle informazioni interne per formare i modelli AI e consentano di rimuovere i contenuti sensibili.

In questo scenario, uno degli aspetti indicati riguarda la gestione del dato lungo tutto il suo ciclo di vita: le informazioni dovrebbero restare su server collocati nell’Unione Europea e non essere utilizzate per addestrare i modelli sottostanti, così da ridurre il rischio che contenuti interni possano riemergere nelle risposte di un chatbot pubblico.

Un altro passaggio riguarda la tracciabilità. Ogni risposta generata da un sistema AI deve poter essere ricostruita attraverso una sequenza di operazioni registrate una per una. Per chi si occupa di protezione dei dati, questa possibilità permette di dimostrare da dove arriva ciascuna informazione e come è stata prodotta una determinata risposta. AIDAPT indica inoltre l’uso di logiche di guardrail per eliminare immediatamente i dati sensibili inseriti e una gestione diretta che consente agli utenti di decidere per quanto tempo conservarli.

Nel percorso di adozione dell’AI, la piattaforma interviene anche sulla parte documentale. Il sistema può compilare automaticamente fino al 70% dei documenti richiesti, compreso il template DPIA pubblicato dall’EDPB, il Comitato europeo per la protezione dei dati. Si tratta di un documento di 31 pagine per la valutazione tecnico-giuridica richiesta a chi adotta sistemi AI ad alto rischio. Secondo quanto indicato, una produzione documentale che oggi può richiedere settimane di lavoro legale può essere ridotta a pochi giorni.

Alborino spiega che, durante lo sviluppo della piattaforma per automatizzare i processi aziendali, la documentazione è emersa come uno degli aspetti che frenano più spesso l’adozione dell’AI. Molte SPA con cui AIDAPT ha iniziato a lavorare avrebbero confermato la necessità di una preparazione solida sulla compliance. Da qui la scelta di attivare ogni nuovo agente con una scheda tecnica e una valutazione d’impatto già impostate.

CLICCA QUI PER CONTINUARE A LEGGERE