Come affrontare il sovraccarico di applicazioni di intelligenza artificiale nelle imprese?

Informatica non così personale

Per anni, lo sviluppo tecnologico è stato guidato dal desiderio di rendere l’informatica più accessibile. Dai telefoni cellulari ai tablet, laptop e tecnologia indossabile, c’è una tendenza generale a rendere i computer e le loro capacità sempre più personali. Basta considerare la nomenclatura dei pilastri dell’industria: il “Personal Computer” o PC; l'”i” Pod, Pad, Phone e oltre. Ognuno di questi dispositivi è progettato per agire come compagno personale, aiutando a semplificare l’esperienza digitale dell’utente e, di conseguenza, la sua vita.

Lo sviluppo dell’intelligenza artificiale (AI) – in particolare i grandi modelli linguistici (LLM) e le soluzioni agentiche – sta procedendo in gran parte nella stessa direzione. Come il PC e l’iPhone, gli strumenti di AI come ChatGPT hanno reso le attività di informatica come la ricerca, la modifica e il brainstorming più accessibili al pubblico in generale. Tuttavia, mentre questa accessibilità ha guidato un aumento dell’uso, ha anche aumentato il rischio.

Indipendentemente da connettori avvelenati o indicizzazioni non intenzionali dei motori di ricerca, le minacce all’uso privato di AI stanno diventando sempre più difficili da proteggere. Aggiungere incertezze su chi sta utilizzando quali strumenti e le aziende si trovano di fronte a una tempesta perfetta di minacce in aumento e protezione inadeguata. Considerato il potenziale degli strumenti di AI e l’incertezza su come proteggerli, cosa può fare un’azienda tecnologicamente avanzata?

La crescita delle applicazioni di intelligenza artificiale non autorizzate

Con oltre 700 milioni di utenti giornalieri nel 2025, l’uso di ChatGPT è cresciuto di più del 4x anno su anno. Tuttavia, solo cinque milioni di questi utenti sono clienti aziendali paganti. Ciò significa che gli altri 695 milioni di utenti sono utenti personali o aziendali non autorizzati. Questo numero sembra grande fino a quando non si ricorda che ChatGPT non è l’unica soluzione di intelligenza artificiale sul mercato. In realtà, è lontana da essere l’unica – l’esplosione contemporanea di intelligenza artificiale e avanzamenti di apprendimento automatico ha generato centinaia di migliaia di nuovi modelli e soluzioni, sia pubblici che privati.

Per le aziende, la crescita esponenziale delle soluzioni di intelligenza artificiale ha dato origine a una nuova dimensione del paesaggio delle minacce informatiche nota come “Shadow AI”. Come il fenomeno di “Shadow IT”, questo concetto si basa sull’uso da parte dei dipendenti di soluzioni di intelligenza artificiale senza il preventivo esame e l’approvazione esplicita della loro organizzazione. Ciò bypassa completamente ogni controllo e sicurezza IT, portando a scenari in cui i dipendenti potrebbero utilizzare soluzioni potenzialmente pericolose o non sicure per lavori sensibili.

L’uso di Shadow AI è sia pervasivo che in espansione. Un rapporto ha scoperto che oltre 320 applicazioni di intelligenza artificiale non autorizzate sono utilizzate in media per azienda. Ognuna di queste applicazioni non autorizzate e il loro uso da parte dei dipendenti espandono ulteriormente il paesaggio delle minacce.

I rischi intrinseci del sovraccarico di intelligenza artificiale

Le minacce associate al sovraccarico di intelligenza artificiale sono multifacette e, purtroppo, in continua espansione. Alcune, come l’avvelenamento dei dati, l’iniezione di prompt, la manipolazione del modello e la raccolta di dati, sono di conoscenza comune. Questi tentativi diretti di manipolazione e sfruttamento di AI possono consentire a soggetti malintenzionati l’accesso a dati aziendali sensibili e sistemi interni. Considerato questo rischio, le aziende stanno iniziando a proteggersi attivamente contro tali attacchi.

Tuttavia, le aziende possono proteggersi solo dalle minacce che conoscono. Pensate a proteggere un castello medievale. Mura, torri di guardia, porte, fossati e altro aiutano a proteggere il castello da nemici esterni e invasori. Ma cosa succede se il personale di cucina ha un passaggio segreto che bypassa le mura esterne? O un guardiano chiassoso viene sentito discutere dei turni di lavoro al taverna locale? Ognuna di queste minacce sconosciute potrebbe aiutare i ladri a bypassare la sicurezza e violare le mura interne.

Shadow AI ha lo stesso effetto sulla sicurezza dei dati aziendali. Anche l’uso benintenzionato di LLM e copiloti non autorizzati può significare disastro per la protezione dei dati sensibili, poiché qualsiasi soluzione non sicura può servire come porta d’ingresso per soggetti malintenzionati. L’uso di LLM aumenta intrinsecamente il rischio di problemi come la conservazione dei dati, l’iniezione di prompt o la distorsione del modello, ognuno dei quali richiede le proprie misure di sicurezza pertinenti. Ciò aumenta i rischi di violazioni dei dati, violazioni della conformità e fallimenti operativi, tutti i quali vengono spesso identificati dopo che il danno è già stato fatto.

Stabilire il controllo sulle soluzioni di intelligenza artificiale

Mentre l’uso di AI continua a crescere sia a livello personale che aziendale, è cruciale che le organizzazioni stabiliscano il controllo su queste soluzioni prima che l’adozione cresca oltre il loro controllo. La protezione di AI aziendale e la protezione contro i rischi di AI non autorizzati coinvolgono:

1. Ottenere una visibilità completa. Come menzionato, non è possibile proteggere i dati contro minacce di cui non si è a conoscenza. La sicurezza inizia con la supervisione di tutte le soluzioni di AI che i dipendenti stanno utilizzando – sia autorizzate che non autorizzate. Ciò è più facile a dirsi che a farsi, ma una soluzione di broker di sicurezza di accesso cloud (CASB) può aiutare a stabilire una visibilità continua sull’uso delle applicazioni da parte dei dipendenti.
2. Eseguire valutazioni dei rischi approfondite. I team dovrebbero condurre sforzi di gestione dei rischi dei fornitori (TPRM) per assicurarsi che tutte le soluzioni di AI siano valutate per la loro sicurezza e potenziali rischi. Questi sforzi dovrebbero anche estendersi al livello di quarto fornitore, poiché anche le applicazioni autorizzate come CRM o piattaforme di produttività stanno iniziando a integrare capacità di LLM esterne nelle loro piattaforme. Queste soluzioni di quarto fornitore devono aderire agli stessi standard di sicurezza di qualsiasi applicazione internamente approvata.
3. Stabilire framework di governance. Con questa supervisione e comprensione delle loro soluzioni, le organizzazioni possono sviluppare e distribuire framework di governance di AI coerenti in tutto il loro ecosistema di applicazioni. Come per l’accesso ai dati, queste politiche di governance possono aiutare a controllare i tipi di soluzioni di AI che i dipendenti sono in grado di accedere, le informazioni che possono condividerle e la trasparenza del loro uso quotidiano.
4. Automatizzare la rilevazione dei rischi. La crescita esponenziale dell’adozione di AI rende la rilevazione e la risposta manuale dei rischi quasi impossibili. L’automatizzazione di questi processi in base alle politiche di governance e al comportamento dell’utente previsto può aiutare a identificare proattivamente le anomalie e limitare il loro impatto sulla sicurezza.
5. Spiegare le aspettative dei dipendenti. La parte più importante dell’adozione e dell’uso sicuro di AI sono i dipendenti. Fornire una formazione adeguata e stabilire aspettative chiare aiuterà a prevenire contemporaneamente l’uso rischioso di AI e a far rispettare l’uso sicuro e protetto di soluzioni autorizzate.

Mantenere l’adozione sicura di intelligenza artificiale

Stabilendo questi tipi di misure di sicurezza proattive, le aziende guadagnano una visione più olistica dei modi in cui stanno utilizzando le soluzioni di intelligenza artificiale – sia autorizzate che “in ombra”. Ciò ha un impatto immediato sulla sicurezza, aiutando i team a identificare i rischi e i vettori di minaccia esistenti e a prendere azioni per rimediarli.

Ma, più importante, ciò prepara queste aziende per il successo a lungo termine di AI. Creando le fondamenta tecniche per l’adozione sicura di AI e una cultura di sicurezza tra gli utenti di AI, questo approccio multipronged aiuta a creare un modello sostenibile per gli strumenti di AI futuri. Abilitati con supporto tecnico e formazione adeguata, i dipendenti possono trarre vantaggio dai benefici di AI senza essere gravati dai rischi intrinseci.

Le organizzazioni che apportano questi cambiamenti prima piuttosto che dopo saranno meglio preparate ad affrontare il futuro delle soluzioni di intelligenza artificiale, qualunque cosa possa portare. Mettendo in atto il lavoro di base per creare una solida base – piuttosto che semplicemente affrettarsi a spuntare la casella dell’adozione di AI – metterà i team nella migliore posizione possibile per il successo trainato da AI sostenibile.