Oggi quasi tutti usano l’intelligenza artificiale sul lavoro. Chi per scrivere email, chi per riassumere documenti, chi per generare report, chi per velocizzare il codice. ChatGPT, Claude, Gemini, Copilot: i tool AI sono entrati silenziosamente nei flussi di lavoro di milioni di persone, spesso senza che l’azienda lo sapesse o lo avesse autorizzato.
Il problema non è usare l’AI. Il problema è usarla senza capire cosa succede ai dati che ci mettiamo dentro.
In questo articolo ti spiego perché la formazione sull’AI è diventata una priorità aziendale — non solo per i grandi gruppi, ma anche per le PMI e i professionisti.
Il caso Samsung: quando l’AI diventa una falla di sicurezza
Aprile 2023. Tre dipendenti di Samsung Semiconductor, in Corea del Sud, usano ChatGPT per velocizzare il proprio lavoro. Niente di strano, in apparenza. Ma quello che inseriscono nel chatbot è tutt’altro che generico:
- Il codice sorgente di un programma interno per la gestione dei chip
- Verbali riservati di una riunione interna
- Note private da convertire in presentazione
In pochi giorni, Samsung scopre l’accaduto e vieta l’uso di tool AI esterni su tutti i dispositivi aziendali. Ma il danno potenziale era già fatto: quei dati erano stati inviati ai server di OpenAI e potenzialmente usati per addestrare i modelli.
La notizia diventa virale. Samsung non è un’eccezione — è il campanello d’allarme che molte aziende hanno scelto di ignorare.
Il problema non è l’AI. È la consapevolezza
I dipendenti Samsung non avevano cattive intenzioni. Volevano semplicemente lavorare meglio. È esattamente quello che succede ogni giorno in migliaia di aziende: qualcuno apre ChatGPT, incolla un documento, chiede aiuto. In pochi secondi, dati sensibili sono fuori dall’azienda.
Cosa intendo per “dati sensibili”? Molto di più di quello che si pensa:
- Dati personali dei clienti — nomi, email, numeri di telefono, dati anagrafici
- Contratti e preventivi — condizioni commerciali, prezzi riservati, accordi con i fornitori
- Dati finanziari — fatturati, margini, situazioni debitorie, bilanci non pubblici
- Codice proprietario — software sviluppato internamente, algoritmi, integrazioni
- Comunicazioni interne riservate — email tra dirigenti, report strategici, verbali di riunioni
Il dipendente che incolla un contratto in ChatGPT per chiederne un riassunto non pensa di stare commettendo un errore. E tecnicamente non lo sa — perché nessuno gliel’ha spiegato.
Cosa succede davvero ai dati che inserisci in un tool AI
Dipende dallo strumento e da come lo usi. Ma la regola generale è questa: se usi una versione gratuita o consumer di un tool AI, i tuoi dati potrebbero essere usati per addestrare il modello.
OpenAI, ad esempio, nella sua privacy policy prevede che i contenuti inseriti nelle versioni gratuite di ChatGPT possano essere utilizzati per migliorare i propri sistemi — salvo opt-out esplicito. Google, con Gemini, ha politiche simili.
Le versioni aziendali (ChatGPT Enterprise, Claude for Work, Microsoft Copilot for Business) offrono garanzie diverse: i dati non vengono usati per il training, i log sono segregati, ci sono accordi contrattuali sulla riservatezza. Ma queste versioni costano, richiedono una configurazione, e presuppongono che l’azienda abbia fatto una scelta consapevole.
Il dipendente che usa il suo account personale gratuito per lavoro non ha nessuna di queste garanzie.
Perché le PMI italiane sono le più esposte
Nelle grandi aziende, di solito esiste un ufficio IT, un DPO (Data Protection Officer), policy scritte. Nelle PMI italiane — che rappresentano il 99% del tessuto produttivo — quasi nulla di tutto questo esiste in modo strutturato.
Il risultato: i dipendenti usano quello che trovano, come meglio credono, senza linee guida. Non per negligenza, ma perché nessuno ha mai detto loro come farlo bene.
E il rischio non è solo la perdita di dati. È anche la violazione del GDPR. Se un dipendente inserisce dati personali di clienti in un tool AI non autorizzato, l’azienda potrebbe essere responsabile di un trattamento illecito — con sanzioni che possono arrivare a decine di migliaia di euro.
Cosa dovrebbe fare un’azienda (anche piccola)
Non serve essere Google per avere una policy sull’AI. Bastano poche regole chiare, comunicate a tutti.
1. Fare un censimento degli strumenti AI usati in azienda
Prima di tutto, capire cosa usano davvero i dipendenti. ChatGPT? Grammarly? Notion AI? Canva con funzioni AI? Molti tool di uso quotidiano hanno integrato l’AI senza che nessuno se ne sia accorto.
2. Classificare i dati aziendali
Non tutti i dati hanno lo stesso livello di sensibilità. Un comunicato stampa già pubblico è diverso da un contratto riservato. L’azienda deve aiutare i dipendenti a capire cosa può uscire e cosa no.
3. Scegliere tool approvati con garanzie contrattuali
Se si vuole usare l’AI per lavoro in modo sicuro, bisogna farlo con strumenti che offrano garanzie: versioni business, contratti DPA (Data Processing Agreement), server europei se possibile.
4. Formare i dipendenti — davvero
Non basta mandare una circolare. Servono esempi concreti, scenari pratici, risposte alle domande del tipo “ma posso usare ChatGPT per rispondere alle email dei clienti?”. La formazione deve essere comprensibile, non tecnica e non burocratica.
5. Creare una policy interna sull’uso dell’AI
Un documento semplice — anche due pagine — che risponda a queste domande: quali tool sono autorizzati, quali dati non devono mai uscire dall’azienda, cosa fare se si ha un dubbio. Non un trattato legale: un documento che un dipendente può leggere in dieci minuti e capire.
La formazione non è un costo: è una protezione
Molte aziende vedono la formazione come una spesa. In realtà, un’ora di formazione condivisa sui rischi dell’AI può evitare problemi che costano mesi di lavoro e migliaia di euro.
Non si tratta di vietare l’AI in azienda — sarebbe controproducente, oltre che impossibile. Si tratta di usarla bene. I tool AI sono strumenti potenti: velocizzano il lavoro, migliorano la produttività, liberano tempo per le attività a maggior valore. Ma come tutti gli strumenti potenti, richiedono di sapere come maneggiarli.
Un dipendente informato è un dipendente che usa l’AI in modo più efficace — e più sicuro per tutti.
Conclusione: l’AI è già in azienda. La domanda è se la stai gestendo
Che tu lo abbia autorizzato o no, i tuoi dipendenti probabilmente usano già strumenti AI nel loro lavoro quotidiano. La scelta non è più “permetterlo o no”: è decidere se farlo in modo consapevole oppure lasciare che accada senza regole.
Il caso Samsung ha dimostrato che anche le aziende più tecnologicamente avanzate possono essere colte di sorpresa. Per le PMI italiane, il rischio è ancora più alto — perché le strutture di controllo esistono di meno.
Inizia dalle cose semplici: parla con il tuo team di come usano l’AI, fai un elenco degli strumenti, scrivi due regole chiare. Non deve essere perfetto — deve esistere.
