Giro di controllo e l’IT si accorge dai log di rete che mezza azienda usa ChatGPT. Parte al volo una comunicazione interna che vieta l’uso di strumenti non autorizzati e un paio di domini finiscono sul firewall. Ma rinunciare all’efficenza che gli strumenti della GenAI garantiscono \u00e8 impensabile, e cos\u00ec solo qualche giorno dopo un responsabile commerciale apre la stessa app dal telefono personale, incolla la bozza di un’offerta e chiede di sistemarla prima del meeting del giorno dopo.<\/p>\n\n\n\n
Vietare l’AI in azienda \u00e8 la prima mossa di quasi tutti, ed \u00e8 comprensibile: richiede una settimana e d\u00e0 la sensazione di aver ripreso il controllo.<\/p>\n\n\n\n
La nostra tesi \u00e8 semplice: vietare l’AI in azienda non elimina l’uso, lo rende invisibile<\/strong>, e nel farlo peggiora esattamente i tre problemi che il divieto voleva risolvere: il controllo sui dati, la posizione di conformit\u00e0 e la qualit\u00e0 del lavoro prodotto. Qui raccontiamo perch\u00e9 tende a peggiorare i problemi che voleva risolvere, quando invece un divieto ha senso e che cosa fare al suo posto.<\/p>\n\n\n\n I numeri italiani descrivono bene la distanza tra le regole scritte e la realt\u00e0. Secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano<\/a> (dati 2025), quattro grandi imprese su dieci hanno definito linee guida sull’uso dell’AI e il 24% vieta esplicitamente gli strumenti di AI generativa non forniti dall’organizzazione<\/strong>. Allo stesso tempo, il 47% dei lavoratori usa strumenti di AI in azienda e solo il 19% degli utilizzatori si limita agli strumenti aziendali<\/strong>.<\/p>\n\n\n\n Sul lato del comportamento reale, la telemetria dei browser aziendali raccolta da LayerX<\/a> mostra che il 67% dell’uso di AI in azienda passa da account personali non gestiti, e che l’82% dei dati incollati nei prompt arriva da quegli stessi account. <\/p>\n\n\n\n Una precisazione, perch\u00e9 conta: questi studi non confrontano aziende con divieto e aziende senza, quindi non dimostrano che il divieto abbia spostato l’uso altrove. Dicono una cosa pi\u00f9 semplice e pi\u00f9 scomoda: anche dove le regole esistono, l’uso avviene fuori dal perimetro che l’azienda riesce a vedere.<\/p>\n\n\n\n Ne esce un paradosso. Un’azienda che non sa cosa succede \u00e8 messa male. Un’azienda con un divieto scritto e lo stesso identico uso \u00e8 messa peggio<\/strong>, perch\u00e9 ha messo per nero su bianco un impegno che non riesce a far rispettare n\u00e9 a dimostrare.<\/p>\n\n\n\n Il beneficio dell’uso \u00e8 immediato, individuale e misurabile a occhio: mezz’ora risparmiata su una sintesi, una bozza pronta prima della riunione. Il costo \u00e8 differito, collettivo e probabilistico: forse un giorno quel dato riemerger\u00e0 da qualche parte. Nessuna persona ragionevole, sotto scadenza, risolve questo calcolo a favore della regola. Non \u00e8 indisciplina, \u00e8 aritmetica.<\/p>\n\n\n\n Bloccare un dominio sul firewall aziendale sposta l’uso sullo smartphone personale, sulla rete di casa, sul portatile in trasferta. A quel punto l’azienda non ha pi\u00f9 nemmeno il vantaggio che aveva prima, cio\u00e8 la possibilit\u00e0 di vedere il traffico. Una regola che non si pu\u00f2 osservare non \u00e8 una regola, \u00e8 una dichiarazione d’intenti<\/strong>, e viene trattata come tale.<\/p>\n\n\n\n Questo \u00e8 il punto che di solito sorprende di pi\u00f9 i comitati di direzione. Se un dipendente tratta dati personali su uno strumento non autorizzato, l’azienda resta titolare del trattamento: il divieto interno pu\u00f2 rilevare nella ripartizione delle responsabilit\u00e0, ma non cancella la posizione dell’organizzazione verso l’autorit\u00e0 e verso gli interessati. Lo stesso vale per l’obbligo di alfabetizzazione dell’art. 4 dell’AI Act, applicabile dal 2 febbraio 2025 e confermato, in forma pi\u00f9 flessibile, dal Regolamento (UE) 2026\/1744<\/a>. Vietare non \u00e8 formare. Anzi: l’azienda che vieta di solito non forma nessuno, perch\u00e9 ufficialmente nessuno usa quegli strumenti<\/strong>, e si ritrova con persone che usano l’AI senza sapere quali sono i confini di un uso corretto.<\/p>\n\n\n\n Il costo pi\u00f9 evidente \u00e8 la produttivit\u00e0 a cui si rinuncia mentre altri la ottengono. Quello pi\u00f9 pesante si vede meno: senza un uso dichiarato non nasce una mappa dei casi d’uso, non si capisce dove l’AI farebbe davvero risparmiare tempo, non si costruiscono competenze interne. Quando poi arriva il momento di partire, si parte da zero, mentre altri hanno gi\u00e0 fatto i loro errori e ne hanno imparato qualcosa.<\/p>\n\n\n\n Sarebbe disonesto sostenere che non si debba mai vietare niente. Ci sono situazioni in cui un divieto circoscritto \u00e8 la scelta giusta:<\/p>\n\n\n\n La differenza tra questi casi e il divieto generalizzato \u00e8 che qui il divieto \u00e8 specifico, motivato e a termine<\/strong>. Il divieto che fallisce \u00e8 quello generico e a tempo indeterminato, quello che dice “non usate l’AI” senza dire cosa usare al suo posto.<\/p>\n\n\n\n \ud83d\udea9 Red flag:<\/strong> una policy sull’AI che elenca solo ci\u00f2 che \u00e8 proibito, senza indicare uno strumento approvato per le stesse attivit\u00e0, ha una data di scadenza molto pi\u00f9 breve di quanto immaginate.<\/p>\n<\/blockquote>\n\n\n\n Governare non vuol dire dire di s\u00ec a tutto. Vuol dire spostare il controllo dal se<\/em> al come<\/em>, e renderlo verificabile. Nella nostra esperienza con aziende e pubbliche amministrazioni italiane tornano sempre cinque elementi.<\/p>\n\n\n\n \u00c8 il modello su cui lavoriamo: i nostri Agenti AI vivono dentro un perimetro governato, con infrastruttura in UE (data center a Milano e Francoforte), tracciabilit\u00e0 delle decisioni e la possibilit\u00e0 di cambiare il modello sottostante senza riscrivere i processi. La parte difficile, quasi sempre, non \u00e8 la tecnologia. \u00c8 convincere l’organizzazione che il controllo si ottiene meglio accompagnando l’uso che proibendolo.<\/p>\n\n\n\n C’\u00e8 una cosa che nessun log misura: il messaggio che le persone leggono nella tua reazione. Un divieto generalizzato dice loro che sono un rischio da contenere. Una piattaforma governata, con regole chiare e formazione, dice che si sa che stanno cercando di lavorare meglio e che le si vuole aiutare a farlo senza mettere l’azienda nei guai.<\/p>\n\n\n\n Il primo dato utile per governare l’AI \u00e8 quello che le persone accettano di dirti. E lo dicono molto pi\u00f9 volentieri a chi ha appena offerto un’alternativa che a chi ha appena bloccato un dominio.<\/p>\n\n\n\n Se stai valutando come costruire un perimetro governato per l’AI nella tua organizzazione, ne parliamo volentieri.<\/p>\n\n\n\nLe regole ci sono, l’uso \u00e8 altrove<\/h2>\n\n\n\n
Perch\u00e9 vietare l’AI in azienda non regge: quattro meccanismi<\/h2>\n\n\n\n
Conviene a chi lo aggira<\/h3>\n\n\n\n
Nessuno pu\u00f2 verificarlo<\/h3>\n\n\n\n
Gli obblighi restano all’azienda<\/h3>\n\n\n\n
Un’azienda che vieta non impara<\/h3>\n\n\n\n
Le obiezioni oneste: quando un divieto ha senso<\/h2>\n\n\n\n
\n
\n
Governare l’uso dell’AI invece di vietarla<\/h2>\n\n\n\n
\n
Cosa fare luned\u00ec mattina<\/h2>\n\n\n\n
\n
Conclusioni: cosa dice un divieto a chi lo riceve<\/h2>\n\n\n\n