Immagine di magnific
L’intelligenza artificiale entra in azienda a una velocità maggiore rispetto alla capacità di regolarne l’utilizzo e governarla. Gli stessi dipendenti sono in grado di creare agenti e flussi di lavoro automatizzati che i reparti IT non vedono e non riescono a monitorare, e che nel frattempo maneggiano dati aziendali sensibili. È il fenomeno che la ricerca commissionata da Veeam a Censuswide riassume nell’espressione “crisi degli agenti shadow”: un problema che tocca sia il tema della sicurezza dei dati e della loro governance, sia il rispetto di nuove normative, e che per questo scala dai reparti tecnici fino ai consigli di amministrazione.
Il campione è composto da 1.000 responsabili aziendali delle aree IT, dati e sicurezza, tutti in organizzazioni con oltre 500 dipendenti. La rilevazione riguarda un gruppo di Paesi dell’area Medio Oriente e Africa (Turchia, Israele, Emirati Arabi Uniti, Arabia Saudita, Nigeria, Sudafrica e Kenya) raccolti insieme nell’area Emea oltre a, in Europa, Regno Unito, Germania e Francia. I dati sono stati rilevati nel corso della primavera 2026, secondo i principi Market Research Society e di Esomar. Vale la pena tenere a mente la geografia del campione.
Agenti shadow, l’AI che sfugge all’IT
Il 70% delle organizzazioni ammette che flussi di lavoro automatizzati basati sull’AI entrano in contatto con dati aziendali sensibili senza una supervisione completa. Il secondo è quello del controllo: il 67% riferisce che i propri dipendenti stanno costruendo workflow autonomi che l’IT non riesce a seguire fino in fondo. In pratica l’automazione si diffonde dal basso, spesso in buona fede e per fare prima, ma senza che nessuno abbia una mappa completa di ciò che questi agenti fanno e dei dati che toccano.
Il quadro cambia molto da Paese a Paese. La Germania è il caso più indicativo: l’81% dei responsabili riconosce che i flussi automatizzati lavorano su dati sensibili senza controllo e il 79% segnala dipendenti che creano workflow invisibili all’IT. Il Regno Unito non è distante, con il 75% che ammette una supervisione insufficiente sugli agenti che maneggiano dati delicati. Non è una questione di scarsi investimenti: nell’insieme dell’area il 41% delle aziende sta sviluppando modelli di AI locali o sovrani proprio per arginare la shadow AI, mentre il 49% segue una via ibrida, con modelli locali per i dati sensibili e modelli globali per i compiti generici. Fa eccezione l’area mediorientale e africana, dove il 41% si affida solo a fornitori globali: un contrasto che, secondo Veeam, misura quanto il quadro normativo europeo stia già orientando le scelte di governance.
Per Tim Pfaelzer, general manager e senior vice president per l’area Emea di Veeam, il problema è di impostazione: “Cercare di controllare migliaia di agenti autonomi uno per uno semplicemente non è un approccio scalabile. Per rendere l’AI sicura a livello aziendale, le organizzazioni devono proteggere, governare e comprendere i dati da cui questi agenti dipendono”.
La governance dell’AI entra nei Cda
Il secondo grande tema è chi risponde di tutto questo. In diversi Paesi dell’area stanno entrando in vigore norme che attribuiscono ai dirigenti C-level una responsabilità legale personale sulla resilienza informatica e sulla conformità: il 58% delle aziende intervistate dichiara di rientrare già in regole di questo tipo. Il punto critico è che i confini non sempre sono netti: un intervistato su dieci (12%) ammette che i compiti individuali sono condivisi e non definiti con precisione, una zona grigia scomoda proprio quando in gioco c’è la responsabilità personale.
Gli effetti sui gruppi dirigenti si vedono. Il 40% teme conseguenze sul piano della responsabilità personale, il 39% registra un controllo più stretto da parte del consiglio di amministrazione, il 37% parla di maggiore stress o ansia e il 32% di tensioni con altri dirigenti, la stessa quota che, a livello di board, alimenta i conflitti. Non tutto, però, va nella stessa direzione: il 45% osserva che l’aumento delle responsabilità ha migliorato l’allineamento e la concentrazione ai vertici. Lo mette in prospettiva sempre Pfaelzer: “Mai come oggi i dirigenti si sono trovati a dover affrontare così tante questioni legate alla governance dei dati e alle normative sulla resilienza informatica”, spiega, osservando che se quella pressione “serve almeno ad allineare solo un po’ di più il consiglio di amministrazione, l’azienda arriva poi più preparata a garantire affidabilità alla governance dei propri dati e dell’AI”.
Il nodo dell’AI Act
Su questo scenario si innesta l’AI Act europeo, che entra in vigore effettivo per fasi e le cui scadenze di conformità si succederanno fino al 2028.
L’atteggiamento dei responsabili è ambivalente: l’83% ritiene che il regolamento avrà effetti positivi sulle organizzazioni e sul contesto, ma il 62% teme che le ambiguità e le aree grigie del testo possano tradursi in rischi di non conformità e il 63% paventa rischi operativi o legali imprevisti. In altre parole, la stessa norma pensata per dare fiducia all’AI genera, nella sua fase di rodaggio, una parte dell’incertezza che dovrebbe dissipare.
La lettura che Veeam trae dai numeri è di spostare il baricentro: invece di rincorrere ogni singolo agente, mettere in sicurezza i dati su cui gli agenti si appoggiano. L’indagine fotografa una tensione reale tra la velocità con cui l’AI viene adottata e la lentezza con cui arrivano visibilità, regole e responsabilità chiare. E così come la governance dell’AI ha smesso già di essere una “faccenda tecnica” da back office ed è diventata materia da consiglio di amministrazione, nei prossimi mesi la domanda non sarà tanto quanti agenti “si riescano a spegnere”, ma “come riuscire a rendere i dati affidabili tenendoli sotto controllo”.
© RIPRODUZIONE RISERVATA
