Solo il 29% dei team di sicurezza è in grado di riferire regolarmente quali dati sensibili i dipendenti inviano agli strumenti di IA

Questo articolo si basa sui risultati del rapporto dell’indagine 2026 della Cloud Security Alliance (CSA), La DLP nell’era dell’IA, commissionato da Jazz.

A giugno e luglio, la CSA ha chiesto a 433 professionisti IT e della sicurezza se il loro team fosse in grado di produrre un report che indicasse quante volte, negli ultimi 30 giorni, erano stati inviati dati sensibili a strumenti di IA generativa. Il 29% ha risposto di poterlo produrre regolarmente.

Questo dato sarebbe meno significativo se gli intervistati considerassero l’IA generativa un canale marginale. L’hanno invece indicata come il principale rischio di esfiltrazione dei dati: il 48% l’ha inclusa tra i primi tre rischi.

Sono a capo dell’ingegneria in un’azienda che sviluppa soluzioni per la prevenzione della perdita di dati, e gran parte del mio lavoro riguarda dove, all’interno di un sistema, si trovano le prove dei movimenti dei dati e perché si creano i relativi rischi. Da questa prospettiva, il divario tra ciò che i team pensano di poter vedere e ciò che sono in grado di dimostrare deriva direttamente dal modo in cui sono stati progettati i controlli per l’IA generativa.

La fiducia nella visibilità sull’IA generativa supera di gran lunga ciò che i team sono in grado di dimostrare

Poco più della metà degli intervistati ha valutato la propria visibilità sull’IA generativa con un punteggio pari a 4 o 5 su 5. Eppure, solo il 29% era in grado di suffragare regolarmente tale valutazione con un report che si limitasse a contare quante volte i dati sensibili erano stati inviati a uno strumento di IA.

Fonte: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Ricostruzione basata sui grafici del rapporto alle pp. 22 e 23.

Anche l’applicazione delle misure segue lo stesso schema. Solo il 22% degli intervistati blocca rigorosamente i dati sensibili sul canale dell’IA generativa. I supporti rimovibili, che gli intervistati hanno classificato come il rischio di esfiltrazione più basso, registrano il tasso più alto di blocco rigoroso: il 31%. Il blocco rigoroso è più diffuso sui canali dotati degli strumenti più datati.

Fonte: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Ricostruzione basata sui grafici del rapporto alle pp. 23 e 26; le barre sono state scalate al 100% quando, per effetto degli arrotondamenti, una riga risultava al 99% o al 101%.

Accanto all’indagine, Jazz ha pubblicato anche i dati di telemetria raccolti negli ambienti dei propri clienti. In media, le organizzazioni incluse in questi dati utilizzavano 169,5 strumenti di IA distinti, di cui 9,8 approvati; il 94,2% restava quindi al di fuori dell’elenco degli strumenti approvati.

Perché esiste questo divario: un elenco di strumenti non registra alcun evento

La risposta standard ai rischi dell’IA generativa consiste nell’approvare una manciata di servizi di IA tramite accordi aziendali e scoraggiare o bloccare tutti gli altri. Il dato del 94,2% mostra quanto, nella pratica, l’elenco sia in ritardo rispetto alla realtà. Quando ha una scadenza, un ingegnere usa lo strumento che risolve il problema del momento, perché procurarsi quello approvato richiede settimane.

Anche un elenco completo non basterebbe a produrre il report richiesto dalla CSA. Il team che gestisce gli incidenti o un revisore chiederà informazioni su un evento specifico in cui sono usciti dei dati, e un elenco di strumenti non contiene alcun evento.

Per ricostruire cosa è successo in quell’evento, servono quattro informazioni: quali dati sensibili erano coinvolti, quale strumento li ha ricevuti, quale account è stato utilizzato e perché la persona li ha inviati.

È a livello di account che la governance dei singoli strumenti viene meno per prima. Lo stesso sito web può essere utilizzato sia con l’account aziendale della tua società, con le relative impostazioni di conservazione dei dati e condizioni contrattuali, sia con l’account personale gratuito di un dipendente, che non prevede né le une né le altre. Usare uno strumento approvato con un account personale fornisce all’incirca le stesse prove che si avrebbero usando uno strumento non approvato.

Capire lo scopo è più difficile, ma è ciò che determina se sia successo qualcosa di sbagliato. Un’analista finanziaria che incolla un modello di ricavi in un chatbot per correggere una formula errata sta facendo il proprio lavoro. La stessa operazione, se compiuta da una persona che ha presentato le dimissioni venerdì, richiede una conversazione molto diversa. A distinguerle è il contesto della persona, che non compare mai nei dati trasmessi.

I controlli in uso vedono ciascuno un solo punto

L’indagine non ha individuato un approccio prevalente al controllo dei dati sensibili inviati agli strumenti di IA. Il blocco a livello di rete dei domini di IA, l’ispezione dei contenuti tramite browser e la sola policy di utilizzo accettabile hanno ottenuto ciascuno tra il 21% e il 23%, mentre le piattaforme aziendali di IA con DLP integrata hanno raggiunto il 10%.

Ognuno di questi controlli è stato progettato attorno a un unico punto di ispezione. Il blocco di un dominio consente o interrompe una connessione e registra il sito a cui era diretta. Un’estensione del browser vede ciò che viene digitato in quel browser, ma non rileva ciò che viene inviato da un’applicazione desktop, da un assistente di programmazione integrato in un editor di codice o da uno strumento a riga di comando. La DLP integrata in una piattaforma aziendale di IA vede ciò che entra in quella piattaforma. Ognuno di questi controlli sceglie un unico punto da monitorare e spera che sia quello attraverso cui passano i dati.

Il fatto che ci sia un unico punto di ispezione spiega anche i dati sull’applicazione dei controlli. Se un controllo non distingue un account aziendale da uno personale, o un normale copia e incolla da uno rischioso, deve bloccare entrambi oppure nessuno dei due. Il blocco rigoroso finisce così per fermare il lavoro legittimo insieme a quello rischioso. Alla domanda sul motivo principale per cui non avessero adottato misure più incisive di blocco attivo, il 46% degli intervistati ha indicato il timore di interrompere i flussi di lavoro aziendali e il 39% la scarsa fiducia nell’accuratezza della DLP.

Avvertenze da tenere presenti

I dati del sondaggio sono autodichiarati e il sondaggio non ha verificato le valutazioni sulla visibilità confrontandole con la copertura effettiva. I rispondenti provengono in misura prevalente dalle Americhe (80%) e da organizzazioni con meno di 5.000 dipendenti (67%); i risultati potrebbero quindi non essere altrettanto rappresentativi delle grandi imprese globali. I dati di telemetria provengono da organizzazioni che hanno scelto di adottare questo tipo di visibilità e potrebbero quindi rispecchiare soprattutto quelle già preoccupate per la proliferazione dell’IA.

Gli strumenti approvati e gli agenti renderanno l’elenco ancora meno completo

Con l’aggiunta di assistenti IA ai prodotti SaaS approvati, spesso alla domanda su quale strumento abbia ricevuto i dati ci sono due risposte: l’applicazione aperta dal dipendente e il fornitore del modello di IA che ne è alla base. Gli agenti IA complicano ulteriormente la questione. Quando un agente recupera un file e lo invia da qualche parte per conto di un dipendente, il chi e il perché dipendono ora, in parte, dal software. Come sostiene un recente articolo di Unite.AI sull’iniezione di prompt negli agenti in produzione, un agente può essere influenzato dai contenuti che legge; perciò, il suo resoconto di ciò che ha fatto non può valere come prova delle sue finalità.

Un test da fare questo mese

Prendi gli ultimi 30 giorni e scegli il dato più sensibile che ritieni sia arrivato a uno strumento di IA. Poi verifica se il tuo team è in grado di fornire quanto segue senza doverlo ricostruire manualmente:

• Qual era il dato e da dove proveniva
• Quale strumento lo ha ricevuto, compresi quelli che non figurano nell’elenco approvato
• Se è stato trasmesso tramite un account aziendale o personale
• A cosa stava lavorando la persona quando lo ha inviato

Se ottieni rapidamente le prime due risposte, mentre per le ultime due devi intervistare il dipendente, la tua governance copre l’elenco degli strumenti e ben poco dei tuoi dati.