Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La Shadow AI è il nuovo rischio invisibile per le imprese: dipendenti che usano chatbot e IA generativa senza autorizzazione possono esporre dati riservati, violare GDPR, AI Act e Decreto 231 e generare responsabilità civili, amministrative e penali. Ecco perché governance, policy e controlli tecnici sono ormai indispensabili per ogni azienda.
Innanzi alla necessità di essere sempre più efficienti e rapidi nei processi di lavoro ecco che prende piede,inevitabilmente, la cosiddetta Shadow AI, ovvero l’utilizzo quotidiano e informale di strumenti di intelligenza artificiale generativa da parte dei dipendenti, all’insaputa della direzione IT e dei vertici societari.
Sempre più spesso all’interno delle imprese si registrano sviluppatori che incollano porzioni di codice sorgente su chatbot pubblici per trovare un bug, responsabili delle risorse umane che usano estensioni del browser non verificate per riassumere i curricula dei candidati o addetti alle vendite che caricano interi listini prezzi e strategie commerciali su piattaforme cloud esterne. Se è vero che questi comportamenti hanno un intento positivo, nel senso che così si vogliono migliorare le prestazioni lavorative, è altrettanto vero che la fruizione d’ombra di queste tecnologie crea enormi problemi alla sicurezza dell’azienda. Pensiamo a come l’immissione di informazioni riservate all’interno di server terzi, privi di garanzie contrattuali ed enterprise, finisca per trasformare lo strumento di lavoro in una falla aperta all’interno della società.
Sul piano eminentemente giuridico quella che sembrava solo una questione informatica e adesso, grazie all’entrata in vigore del Regolamento Europeo sull’Intelligenza Artificiale ed alla Legge del 23 settembre 2025 numero 132, un tema di diritto che investe chi guida l’impresa a precise responsabilità di carattere civile, amministrativo e penale. Ne deriva che far finta di niente di fronte alla presenza dell’intelligenza artificiale non autorizzata all’interno dei reparti non viene più considerata come una semplice disattenzione tecnica, ma una scelta omissiva che può comportare responsabilità per gli amministratori e travolgere la società con sanzioni devastanti.
Partiamo dal presupposto che ogni qual volta un dipendente utilizza un software di intelligenza artificiale generativa in versione gratuita o consumer, sta eseguendo a tutti gli effetti un’esternalizzazione incontrollata del patrimonio informativo dell’azienda. Tale comportamento comporta inevitabilmente una serie di rischi che ogni CISO ed amministratore dovrebbero conoscere perfettamente. Primo tema è quello della tutela della proprietà industriale e del segreto aziendale. Se si inseriscono formule, progetti, schemi di reti o codici software su piattaforme esterne si finisce con il far decadere il requisito di segretezza richiesto dal Codice della Proprietà Industriale, così che l’azienda perde per sempre la qualifica di segreto commerciale su quelle informazioni, le quali possono essere riutilizzate dal fornitore della tecnologia per addestrare i propri modelli o persino finire accessibili a terzi concorrenti. Altro tema è quello della protezione dei dati personali. Infatti, se ci troviamo innanzi ad un’ immissione non governata di informazioni riferibili a clienti, dipendenti o fornitori all’interno di sistemi terzi, questacostituisce un trasferimento illecito di dati, spesso verso Paesi extra-UE, privo di idonea base giuridica.
E qui, in aggiunta alle pesanti sanzioni amministrative previste dal GDPR, che possono raggiungere cifre pari al quattro per cento del fatturato globale annuo dell’impresa, scattano i presupposti per le incriminazioni penali stabilite dal Codice della Privacy per illecita comunicazione e diffusione di dati su larga scala. Terzo problema è che l’uso non autorizzato e monitorato dell’intelligenza artificiale per creare contenuti, testo o codice espone l’azienda a condotte di plagio involontario qualora l’algoritmo riproduca opere coperte da diritto d’autore, oppure lascia l’impresa del tutto priva di protezione legale sulle opere generate, in quanto l’ordinamento protegge esclusivamente la creatività frutto dell’ingegno umano.
Tal volta, erroneamente, vi è la convinzione che l’uso abusivo o inconsapevole dell’intelligenza artificiale da parte di un lavoratore esoneri i vertici aziendali da qualsiasi conseguenza giuridica. E’appena il caso di ricordare che nel nostro ordinamento penale gli amministratori di una società rivestono una precisa posizione di garanzia, fondata sull’obbligo di istituire assetti organizzativi, amministrativi e contabili adeguati alla natura dell’impresa per rilevare e prevenire tempestivamente le situazioni di pericolo. Questa clausola generale prevista dal codice penale statuisce che non impedire un evento che si ha l’obbligo giuridico di impedire equivale a tutti gli effetti a cagionarlo.
Ciò significa che laddove un amministratore accetti un vuoto regolamentare sull’uso delle nuove tecnologie, omette di mappare gli strumenti informatici utilizzati in azienda e ignora i rischi connessi, può essere chiamato a rispondere personalmente a titolo di concorso omissivo qualora da questa situazione derivi un reato, come la rivelazione di segreti industriali o un accesso abusivo a sistema informatico. Sul punto la Corte di Cassazione attraverso più pronunce ha chiarito come l’imputazione penale del manager non richieda per forza una volontà diretta di commettere l’illecito, ma si concretizza quando si evidenziano specifici segnali d’allarme che vengono consapevolmente ignorati.
Se spostiamo tale ragionamento all’ambito della Shadow AI, i segnali d’allarme non sono più soltanto bilanci in rosso o anomalie contabili, ma assumono una natura tecnologica e organizzativa. Rappresentano segnali d’allarme precisi: l’assenza di una politica aziendale sull’uso delle nuove tecnologie a fronte della loro nota diffusione, la rilevazione da parte dei tecnici IT di flussi di traffico anomali e cifrati verso i server delle piattaforme di intelligenza artificiale o le segnalazioni formali inviate dal Responsabile della Protezione dei Dati relative a potenziali fughe di informazioni . Se l’amministratore non da peso a tali segnali è probabile che il suo comportamento venga visto in un eventuale giudizio non come semplice negligenza ma ‘accettazione consapevole del rischio penale.
La Shadow AI non comporta soltanto rischi penali individuali per i singoli dirigenti, poiché può essere chiamato come responsabile l’ente in virtù di quanto statuito dal Decreto Legislativo 231 del 2001. Le recenti riforme del 2025, infatti, hanno ridisegnato diversi delitti, al punto che l’impiego illecito o incontrollato dell’intelligenza artificiale tocca ora direttamente numerosi reati-presupposto di primario rilievo, tra cui i delitti informatici, le violazioni del diritto d’autore e i reati societari o di abuso di mercato, qualora strumenti automatizzati vengano usati per manipolare informazioni finanziarie o diffondere notizie alterate.
Ciò finisce per comportare per le società sanzioni che possono superare i settecentomila euro e, cosa ancora più grave, possono far scattare l’applicazione di misure interdittive come il blocco dell’attività d’impresa, il divieto di contrattare con la Pubblica Amministrazione e la revoca di licenze e autorizzazioni. La giurisprudenza, e l’esperienza sul campo, insegnano come in questo scenario la semplice adozione di un modello organizzativo sulla carta o l’inserimento di un divieto astratto all’interno del codice etico interno si rivelano del tutto inutili in sede giudiziaria, in quanto le misure preventive devono essere concrete ed efficaci.
Visto che l’inserimento di un dato in un sistema esterno trasferisce l’informazione in tempo reale, per dimostrare la propria estraneità ai fatti, la società deve essere in grado di dimostrare l’impiego di blocchi informatici, di filtri preventivi sulla rete aziendale o di strumenti capaci di anonimizzare i dati all’origine. Per strutturare una governance dinamica della tecnologia occorre, quindi, combinare la stesura di policy giuridiche chiare, la formazione continua del personale, l’aggiornamento costante della valutazione dei rischi e l’adozione di soluzioni tecniche in grado di cifrare e proteggere i dati sensibili prima che raggiungano la rete.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/