AI aperta, organizzazione esposta: i rischi dei sistemi che attingono a informazioni esterne

Un sistema di AI "aperto" — il chatbot pubblico, l'assistente connesso al web, il modello interrogato così com'è — ha una qualità che seduce chiunque lo provi: risponde a tutto. Non conosce la vostra organizzazione, ma conosce il mondo, e quando il mondo non basta lo cerca in rete.

Per l'uso personale è un compromesso spesso ragionevole. Dentro un'organizzazione — e in particolare dentro i suoi processi di formazione — quella stessa qualità si rovescia nel suo principale fattore di rischio. Il motivo sta in due flussi che l'apertura rende difficili da governare: ciò che esce (i dati che le persone consegnano al sistema) e ciò che entra (le risposte che il sistema fa arrivare alle persone). Questo articolo li esamina uno alla volta.

Il flusso in uscita: ogni domanda è una consegna di dati

La prima cosa da capire di un sistema di AI è che il prompt è un trasferimento di dati. Per ottenere una risposta utile su un documento, il documento va consegnato; per una risposta utile su un problema aziendale, va descritto il problema — con i dettagli veri, perché con i dettagli finti la risposta non serve.

Da qui discendono rischi concreti e documentati:

• Perdita di riservatezza. Procedure, contratti, listini, codice, dati di clienti e dipendenti incollati in uno strumento fuori dal controllo dell'organizzazione. I casi finiti sui giornali — dipendenti che consegnano a un chatbot pubblico codice sorgente o verbali riservati — non descrivono comportamenti malevoli: descrivono persone che cercavano di lavorare meglio con lo strumento che avevano.
• Destino opaco dei dati. A seconda del servizio e del piano, ciò che viene inviato può essere conservato, riletto per il miglioramento del servizio o usato per l'addestramento. I piani enterprise offrono garanzie contrattuali migliori — ma la garanzia va letta, negoziata e verificata, e vale solo per gli account che l'azienda controlla.
• Shadow AI. Ed è qui il punto: i dipendenti usano gli strumenti che funzionano, con o senza permesso. Se l'organizzazione non offre un'alternativa governata, l'alternativa non governata se la procurano da soli, con account personali invisibili a qualsiasi policy. Il divieto senza alternativa non elimina il rischio: lo rende invisibile.
• Obblighi normativi. Quando nei prompt passano dati personali, il GDPR chiede basi giuridiche, informative e garanzie sui trasferimenti extra-UE che un account aperto quasi mai soddisfa. E il segreto industriale protegge solo le informazioni che l'azienda può dimostrare di aver protetto: consegnarle spontaneamente a un servizio esterno indebolisce la tutela proprio quando servirebbe.

Il flusso in entrata: da dove arrivano le risposte

Il secondo flusso è meno discusso ma, per la formazione, più pericoloso. Un sistema aperto costruisce le risposte da due fonti che l'organizzazione non controlla: la conoscenza generale del modello e, se connesso, il web.

• Errori detti con sicurezza. I modelli generano testo plausibile, e quando la conoscenza non basta la plausibilità resta: la risposta sbagliata arriva con lo stesso tono di quella giusta. Senza una fonte da esibire, distinguere le due è a carico di chi legge — cioè, spesso, di chi sta ancora imparando.
• Il mondo contro la procedura. Alla domanda "qual è la soglia per questa approvazione?" un sistema aperto risponde con la prassi generale del settore, non con la vostra procedura, che non conosce. La risposta può essere corretta in astratto e sbagliata nella vostra organizzazione — la combinazione più difficile da riconoscere.
• Contenuti esterni non verificati. Se il sistema attinge dal web, la qualità della risposta eredita la qualità di ciò che trova: pagine datate, normative di altri paesi, forum. E un rischio più sottile documentato dalla ricerca sulla sicurezza: i contenuti esterni possono includere istruzioni ostili che il modello esegue come se venissero dall'utente (prompt injection). Ciò che il sistema legge, in parte, lo governa.
• Nessuna riproducibilità. Lo stesso quesito, in giorni diversi, può ricevere risposte diverse: i modelli vengono aggiornati, il web cambia. Ciò che oggi il sistema "insegna" domani potrebbe smentirlo — e non resta traccia di quale versione abbia detto cosa.

In formazione, l'errore non resta un errore: viene appreso

Tutti i rischi del flusso in entrata esistono in qualsiasi uso aziendale dell'AI. La formazione li amplifica, per una ragione strutturale: il destinatario è, per definizione, chi non è in grado di riconoscere l'errore.

Un esperto che riceve una risposta sbagliata la scarta e perde un minuto. Una persona in formazione la impara. Da lì l'errore entra nel lavoro quotidiano, si trasmette, e se il percorso si chiude con una verifica generata dalle stesse fonti aperte, l'organizzazione arriva a certificare un apprendimento sbagliato — con il registro che lo attesta. Nei settori dove la formazione ha valore legale (sicurezza sul lavoro, ambiti regolati, requisiti FAD), questo non è un difetto di qualità: è un rischio di conformità con la firma dell'organizzazione sopra.

Chiuso non vuol dire spento: il perimetro come alternativa

La risposta a questi rischi non è rinunciare all'AI — la produttività che offre è reale, e la shadow AI dimostra che le persone non ci rinunceranno comunque. La risposta è cambiare la domanda: da "quanto è brava l'AI?" a "su cosa lavora, e chi lo decide?".

Un sistema perimetrato rovescia entrambi i flussi:

	Sistema aperto	Sistema perimetrato
Fonti delle risposte	Conoscenza del modello + web	Solo i materiali autorizzati dall'organizzazione
Risposta non trovata	Genera comunque, plausibilmente	Dichiara che la fonte non c'è
Verificabilità	Nessuna fonte da esibire	Riferimento al documento interno
Dati in uscita	Verso account e servizi non governati	Dentro un ambiente controllato dall'organizzazione
Coerenza	Cambia con il modello e con il web	Cambia solo quando cambiano i materiali

La colonna di destra ha un costo dichiarato: il sistema sa meno cose. Non commenta l'attualità, non improvvisa su ciò che l'organizzazione non gli ha dato. In formazione questo non è un limite: è esattamente il comportamento richiesto — come un docente serio, che alla domanda fuori programma risponde "non è nei materiali del corso" invece di inventare.

Cinque domande per capire quanto siete esposti

1. Chi, in azienda, sta già usando AI aperta per lavorare? Se la risposta è "nessuno", la domanda giusta è: come lo sapete?
2. Cosa viene incollato nei prompt? Un campione onesto di casi d'uso reali dice più di qualsiasi policy.
3. Esiste un'alternativa governata? Il divieto senza alternativa produce shadow AI, non sicurezza.
4. Le risposte dell'AI in uso citano le fonti? E le fonti sono dell'organizzazione o del mondo?
5. Se un contenuto generato dall'AI finisse in un percorso formativo, chi lo saprebbe? Chi l'ha rivisto, chi l'ha approvato, dove sta scritto?

In sintesi

• Nei sistemi di AI aperti il rischio corre in due direzioni: i dati che escono con i prompt e le risposte che entrano da fonti che l'organizzazione non controlla.
• La shadow AI è la conseguenza prevedibile del divieto senza alternativa: il rischio non sparisce, diventa invisibile.
• In formazione il flusso in entrata pesa di più: la risposta sbagliata viene appresa da chi non può riconoscerla, e può arrivare fino a una certificazione firmata dall'organizzazione.
• L'alternativa non è meno AI, ma AI dentro un perimetro: fonti autorizzate, risposte verificabili, e l'onestà di dire "non è nei materiali" invece di improvvisare.

È il principio su cui Syllex è costruito: il tutor AI e la generazione dei contenuti lavorano esclusivamente sui materiali che l'organizzazione autorizza, senza accesso a Internet, con revisione umana e tracciabilità di ogni evento. I dettagli sono nella pagina della piattaforma; per una prova sui vostri materiali, richiedete una dimostrazione.