Come funziona il rilevamento dell’IA ombra e perché molti metodi non sono efficaci
I metodi a cui ricorre la maggior parte dei team IT per individuare l’IA ombra hanno un limite in comune: faticano a rilevare gli strumenti di IA utilizzati tramite browser.
- I sondaggi tra i dipendenti chiedono di dichiarare quali strumenti di IA vengono utilizzati. Ma i risultati tendono a sottostimare il fenomeno, perché spesso gli utenti non considerano, ad esempio, l’uso della funzione di riscrittura basata sull’IA di Grammarly o delle funzionalità di domande e risposte di Notion AI come un vero e proprio utilizzo dell’intelligenza artificiale.
- I sistemi di monitoraggio della rete e di gestione degli endpoint sono progettati per individuare l’IT ombra tradizionale, che generalmente lascia tracce tecniche rilevabili, come installazioni di software o trasferimenti di file.
- Le liste di blocco degli strumenti funzionano secondo lo stesso principio, perché permettono di intervenire soltanto su quelli che hai già individuato. Sono quindi poco utili per scoprire gli strumenti di cui ignori l’esistenza.
Le organizzazioni che riescono a monitorare meglio l’utilizzo dell’IA spesso si concentrano sulla registrazione degli accessi, indipendentemente dal tipo di credenziali utilizzate.
LastPass Business Max opera a livello di autenticazione, l’unico in cui è possibile rilevare in modo sistematico gli strumenti di IA utilizzati tramite browser, indipendentemente dalle credenziali con cui i dipendenti accedono.
Quando un dipendente accede a ChatGPT, Claude o Grammarly con un indirizzo e-mail personale, un account gratuito o credenziali aziendali, l’evento di autenticazione viene registrato tramite l’estensione browser di LastPass.
È questa la differenza tra LastPass e i sistemi di gestione degli endpoint o di monitoraggio della rete: questi ultimi cercano installazioni di software e anomalie nel traffico, mentre l’IA ombra non lascia necessariamente nessuna di queste tracce. Lascia però una traccia dell’accesso, ed è proprio ciò che LastPass registra.
Cosa puoi fare quando riesci a individuare l’IA ombra
Individuare l’IA ombra non significa eliminare l’IA. E non è nemmeno questo l’obiettivo. Lo scopo è passare da un’adozione non monitorata a una gestione strutturata, che permetta al team IT di prendere decisioni consapevoli sull’utilizzo degli strumenti.
Quando puoi monitorare l’uso di IA ombra attraverso gli accessi:
- Puoi individuare gli strumenti su cui i dipendenti si autenticano con credenziali personali, una modalità di accesso che preoccupa il 56% dei responsabili IT, ma che attualmente non riescono a monitorare.
- Puoi applicare controlli differenziati in base agli obblighi di sicurezza della tua organizzazione o intervenire quando il livello di rischio lo richiede.
- L’IA ombra smette di diffondersi all’insaputa del reparto informatico. Quando incontrano avvisi durante la navigazione, i dipendenti capiscono che l’organizzazione monitora gli accessi e potrebbero prestare maggiore attenzione alle applicazioni che scelgono di utilizzare.
- Quando revisori o assicuratori chiedono informazioni, puoi dimostrare che esistono controlli sugli accessi agli strumenti di IA e che il tuo inventario rispecchia l’utilizzo effettivo, anziché basarsi sulle stime dichiarate dai dipendenti.
Il punto di partenza è sempre lo stesso: scoprire quali strumenti di IA vengono utilizzati dai dipendenti.
Tutti i dati sull’utilizzo delle applicazioni di IA e sulle lacune nella governance
Il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS combina dati sulle attività degli utenti e risultati del sondaggio. Lo studio mostra come cambiano i rischi legati all’esposizione delle credenziali in base alle dimensioni aziendali e quali difficoltà incontrano concretamente le organizzazioni nella governance dell’IA.
