In ogni azienda esiste una frase che sembra innocua: “Uso questo tool, così faccio prima”.
Un foglio condiviso aperto al team. Una piattaforma online per caricare file. Un’app per trascrivere riunioni. Un’estensione del browser. Un gestionale provato gratis. Un tool di intelligenza artificiale usato per riassumere documenti, email o ticket clienti.
Funziona, è veloce, risolve un problema immediato. Però spesso nessuno ha controllato dove finiscono i dati, chi li tratta, quanto restano salvati, se vengono usati per addestrare sistemi, se ci sono fornitori extra-UE, se esiste un contratto adeguato o se il tool è compatibile con le policy aziendali.
Questo è lo Shadow IT: tecnologia usata in azienda senza una vera autorizzazione o senza passare da IT, privacy e governance.
E qui il DPO diventa fondamentale. Non per dire sempre “no”, ma per aiutare l’azienda a distinguere tra strumenti utili e strumenti fuori controllo.
Cos’è lo Shadow IT, spiegato semplice
Lo Shadow IT non è per forza qualcosa di “losco”. Molto spesso nasce da un’esigenza reale: un reparto ha bisogno di lavorare meglio, trova uno strumento online, lo prova e lo adotta.
Il problema è che la comodità arriva prima della valutazione.
Marketing usa una nuova piattaforma per lead e automazioni. HR prova un tool per selezionare candidati. Customer care carica ticket in un sistema esterno. Il commerciale salva liste clienti in un file condiviso. Un team usa l’AI per sistemare testi, analizzare report o riassumere documenti.
Tutto sembra normale, finché qualcuno chiede: quali dati ci sono dentro? Chi li vede? Dove sono archiviati? Possiamo cancellarli? Abbiamo informato le persone? Il fornitore è stato valutato?
Se nessuno sa rispondere, il problema non è il tool. Il problema è la mancanza di controllo.
Perché lo Shadow IT è un tema privacy
Ogni volta che un team inserisce dati personali in uno strumento non governato, l’azienda crea un trattamento che potrebbe non essere mappato.
Magari quei dati non compaiono nel registro dei trattamenti. Magari il fornitore non è stato nominato responsabile. Magari l’informativa non lo cita. Magari i dati finiscono su server esterni o vengono conservati oltre il necessario. Magari l’accesso resta attivo anche quando una persona lascia l’azienda.
Il GDPR non chiede alle aziende di essere perfette. Chiede però una cosa molto chiara: sapere cosa fanno con i dati e poterlo dimostrare.
Per questo lo Shadow IT è rischioso: rende invisibili trattamenti che, invece, dovrebbero essere conosciuti, valutati e governati.
Il caso più attuale: l’AI usata “al volo”
Oggi lo Shadow IT passa sempre più spesso dall’intelligenza artificiale.
Un dipendente copia una mail in un tool AI per riscriverla meglio. Un altro carica un contratto per farselo riassumere. Un reparto inserisce ticket clienti per estrarre statistiche. Qualcuno usa un assistente per creare verbali, analizzare CV o sintetizzare report interni.
Il punto non è che l’AI sia vietata. Il punto è che non tutti i dati possono essere copiati ovunque.
Se dentro quel testo ci sono dati personali, dati sensibili, informazioni di clienti, dipendenti, fornitori o contenuti riservati, il DPO deve aiutare l’azienda a stabilire regole semplici: quali tool sono approvati, quali dati non vanno mai inseriti, quali casi richiedono una valutazione e chi deve essere coinvolto prima.
Senza regole, l’AI diventa una scorciatoia comoda ma pericolosa.
Il DPO non deve bloccare i tool: deve farli emergere
Un errore comune è affrontare lo Shadow IT con divieti generici. “Non usate strumenti non autorizzati”. Sulla carta funziona. Nella pratica, spesso no.
Se un team usa un tool perché gli risolve un problema vero, il divieto da solo non basta. Le persone continueranno a cercare scorciatoie, soprattutto se gli strumenti ufficiali sono lenti, complessi o poco adatti.
Il DPO deve lavorare in modo più intelligente: creare un canale semplice per segnalare nuovi strumenti, aiutare IT e management a valutarli rapidamente e costruire un elenco di tool approvati.
L’obiettivo non è spegnere l’innovazione. È portarla alla luce.
Le domande che il DPO dovrebbe fare
Prima di approvare o bocciare uno strumento, il DPO può partire da domande molto pratiche.
Che tipo di dati verranno inseriti?
Sono dati personali?
Sono dati sensibili o particolarmente delicati?
Il tool salva i contenuti?
Dove sono conservati i dati?
Chi può accedere?
Il fornitore usa quei dati per finalità proprie?
Si possono cancellare facilmente?
Esiste un contratto o un DPA?
Il tool è davvero necessario o esiste già un’alternativa aziendale?
Queste domande sembrano semplici, ma spesso fanno emergere subito il livello di rischio.
Il problema delle prove gratuite
Molti strumenti entrano in azienda con una prova gratuita.
Un mese gratis, registrazione veloce, login con Google, interfaccia bella, risultati immediati. Nessuno firma contratti, nessuno valuta privacy, nessuno controlla impostazioni e permessi.
Poi però, durante quella prova, vengono caricati dati reali.
Questo è uno dei punti più critici. Una demo dovrebbe usare dati fittizi o anonimizzati, non database clienti, CV, documenti HR, ticket reali o informazioni riservate.
Il DPO può introdurre una regola molto semplice: si possono testare tool nuovi, ma senza dati reali finché non sono stati valutati.
È una regola piccola, ma evita molti problemi.
Registro trattamenti e fornitori: cosa aggiornare
Quando un nuovo strumento viene approvato, il lavoro non finisce.
Bisogna capire se aggiornare il registro dei trattamenti, se modificare informative o policy, se nominare il fornitore responsabile del trattamento, se valutare trasferimenti extra-UE, se definire tempi di conservazione e se limitare gli accessi.
È qui che il DPO collega privacy, IT e procurement.
Un tool non è solo un abbonamento. È un nuovo punto in cui i dati entrano, escono, vengono letti, conservati o elaborati.
Una policy Shadow IT semplice
Una policy efficace non deve essere un documento lunghissimo. Deve essere usabile.
Può dire poche cose chiare:
prima di usare un nuovo tool con dati aziendali, va segnalato;
le prove gratuite si fanno con dati fittizi;
i dati sensibili non si caricano su strumenti non approvati;
i tool AI devono essere valutati prima dell’uso su dati reali;
l’elenco degli strumenti approvati deve essere accessibile a tutti;
se un reparto ha bisogno di un nuovo strumento, esiste un processo rapido per valutarlo.
La privacy funziona meglio quando rende la scelta corretta più facile della scorciatoia rischiosa.
Errori comuni da evitare
Il primo errore è far finta che lo Shadow IT non esista. Esiste quasi ovunque, soprattutto dove i team lavorano velocemente.
Il secondo è punire chi segnala un tool. Se le persone hanno paura, continueranno a nascondere.
Il terzo è approvare strumenti solo perché sono famosi. Anche i tool più noti vanno configurati e valutati.
Il quarto è usare dati reali nelle demo.
Il quinto è non aggiornare registro, informative e contratti quando un nuovo strumento entra davvero nei processi.
Il DPO come alleato dell’innovazione
Il DPO non deve essere percepito come quello che rallenta i progetti. Nel caso dello Shadow IT, il suo valore è esattamente l’opposto: permette all’azienda di innovare senza perdere controllo.
Quando esiste un processo chiaro, i team sanno cosa possono usare, cosa devono chiedere e quali dati non devono mai caricare. IT sa quali strumenti entrano nel perimetro aziendale. Il management ha una visione più chiara dei rischi. E il DPO può lavorare prima che succeda un incidente.
Innovare bene non significa provare tutto senza regole. Significa scegliere strumenti utili, sicuri e governabili.
Conclusione
Lo Shadow IT nasce quasi sempre da una buona intenzione: lavorare meglio, più velocemente, con strumenti più comodi. Ma quando i dati personali finiscono in app, cloud, AI o piattaforme non governate, l’azienda perde visibilità e controllo.
Il DPO aiuta a riportare ordine senza spegnere l’innovazione: mappare i tool, valutare i fornitori, definire regole per le prove gratuite, approvare strumenti sicuri e aggiornare la governance privacy.
Se vuoi verificare quali strumenti digitali vengono usati nella tua organizzazione e costruire una policy semplice contro lo Shadow IT, contatta il DPO Alessandro Simonassi (P.I. Computers) tramite il form: https://picomputers.it/contatti/
