Il centralino serve ancora nel 2026?
Il centralino serve ancora nel 2026? Scopri come cloud e AI rendono più semplice la gestione delle chiamate aziendali.
Cloud aziendale: cosa dovrebbe controllare ogni azienda
- In alternativa alla lettura, puoi ascoltare un breve estratto dell’articolo:
Il cloud viene spesso adottato nelle aziende in modo graduale: prima una piattaforma, poi un nuovo software, poi un servizio attivato direttamente da un reparto. Con il tempo, però, può diventare difficile avere una visione completa di tutto ciò che viene realmente utilizzato.
Il punto, quindi, non è più chiedersi se utilizzare il cloud. È capire quali servizi sono attivi, quali informazioni contengono, chi può accedervi e cosa succede quando nuovi strumenti vengono introdotti senza un controllo preventivo.
È proprio in queste aree meno visibili che possono nascere fenomeni come lo Shadow IT e, sempre più spesso, lo Shadow AI.
Il primo controllo del cloud aziendale riguarda i servizi utilizzati
Secondo Eurostat, nel 2025 il 75,6% delle imprese italiane con almeno 10 addetti ha acquistato servizi di cloud computing, contro una media europea del 52,7%.
Il dato mostra quanto il cloud sia ormai diffuso, ma non restituisce necessariamente una fotografia completa di ciò che accade all’interno di una singola azienda. I servizi acquistati centralmente, infatti, non sempre coincidono con quelli realmente utilizzati dalle persone.
Accanto alle piattaforme gestite dall’IT possono esserci SaaS attivati direttamente dai reparti, account aziendali creati senza un processo centralizzato, servizi collegati tramite integrazioni o strumenti nati per un’esigenza temporanea e poi entrati stabilmente nelle attività quotidiane.
È proprio qui che può emergere una prima criticità: perdere visibilità su ciò che viene realmente utilizzato in azienda.
Chi può accedere ai dati e alle applicazioni cloud
In ambienti cloud distribuiti, gli accessi possono moltiplicarsi rapidamente: account creati per progetti conclusi, permessi non più necessari o utenze mai revocate possono lasciare aperto l’accesso a risorse aziendali.
Per questo è utile applicare il principio del least privilege, cioè assegnare a ogni utente solo le autorizzazioni necessarie, insieme ad autenticazione forte e revisioni periodiche dei permessi.
La stessa logica è alla base del modello Zero Trust del NIST: nessun utente o dispositivo viene considerato affidabile automaticamente, ma deve essere autenticato e autorizzato prima di accedere alle risorse.
La verifica da fare è semplice: se una persona lascia l’azienda, sappiamo quali accessi revocare e possiamo farlo rapidamente?
Questo controllo, però, funziona solo per gli strumenti di cui l’azienda conosce l’esistenza. Il problema diventa più complesso quando dipendenti o reparti iniziano a utilizzare autonomamente applicazioni, servizi cloud o account esterni che non rientrano nella gestione dell’IT. È qui che entra in gioco lo Shadow IT.
Shadow IT: quando gli strumenti entrano in azienda senza controllo
Lo Shadow IT è l’uso di applicazioni, servizi cloud o dispositivi non approvati o gestiti dall’IT. Può nascere da esigenze pratiche: condividere un file, provare un nuovo software o adottare rapidamente uno strumento utile.
Il problema non è necessariamente la sicurezza dello strumento, ma la perdita di visibilità sui dati: l’azienda può non sapere dove vengono conservati, chi mantiene l’accesso o come recuperarli ed eliminarli.
La criticità aumenta quando vengono trattati dati personali, perché il GDPR richiede garanzie adeguate da parte dei fornitori e misure di sicurezza proporzionate al rischio. La soluzione non è vietare ogni nuovo servizio, ma definire un processo semplice per valutarlo prima che entri stabilmente nei processi aziendali. Questo tipo di utilizzo non autorizzato coinvolge anche gli strumenti di intelligenza artificiale.
Dallo Shadow IT allo Shadow AI
Si parla di Shadow AI quando strumenti di intelligenza artificiale vengono utilizzati al di fuori delle modalità approvate o controllate dall’azienda. Può accadere, ad esempio, quando un dipendente utilizza un chatbot personale per analizzare un contratto, sintetizzare un report o elaborare altri contenuti aziendali.
Il rischio non deriva automaticamente dallo strumento utilizzato, ma dalla mancanza di visibilità e controllo: l’azienda deve sapere quale piattaforma riceve i dati, con quale account viene utilizzata, dove vengono trattate le informazioni e quali condizioni si applicano ai contenuti caricati.
Per questo lo Shadow AI può essere considerato un’evoluzione dello Shadow IT: cambia la tecnologia, ma resta lo stesso problema di fondo. Se uno strumento viene utilizzato fuori dai processi aziendali di valutazione e controllo, diventa più difficile sapere quali dati vi transitano, chi può accedervi e come vengono gestiti.
Governare l’AI non significa vietarla
Vietare in modo indiscriminato gli strumenti di intelligenza artificiale rischia di essere poco efficace. È più utile definire regole chiare su:
- quali applicazioni AI sono autorizzate;
- quali account devono essere utilizzati;
- quali informazioni possono essere inserite;
- quali dati non devono essere caricati;
- chi valuta un nuovo strumento prima dell’adozione;
- come vengono gestiti e revocati gli accessi.
A questo si aggiunge il tema delle competenze. L’articolo 4 dell’AI Act europeo richiede misure adeguate di AI literacy, cioè conoscenze sufficienti per utilizzare i sistemi AI in modo consapevole.
Tecnologia e organizzazione devono quindi procedere insieme: non basta autorizzare uno strumento se gli utenti continuano a usare account personali, così come non basta un controllo tecnico se mancano regole comprensibili.
Il cloud aziendale va controllato, non semplicemente adottato
Un cloud aziendale è realmente governato quando l’impresa sa quali servizi utilizza, quali dati vi conserva, chi può accedervi e cosa succede quando viene introdotta una nuova applicazione.
Shadow IT e Shadow AI sottolineano le problematiche che si possono verificare quando nuove applicazioni diventano parte dell’operatività quotidiana senza controlli preventivi. Diventa quindi fondamentale trasformare il controllo del cloud in un processo continuo, capace di accompagnare l’evoluzione dell’azienda senza rallentarla.
Vuoi avere maggiore visibilità sui servizi e sulle applicazioni che utilizzano la tua rete? Let’s Co può aiutarti ad analizzare il traffico e individuare le principali aree di attenzione per la sicurezza della tua infrastruttura aziendale.
FAQ: Frequently Asked Questions
Cos’è lo Shadow IT in azienda?
Lo Shadow IT è l’utilizzo di applicazioni, servizi cloud o dispositivi che non sono stati approvati o gestiti attraverso i processi IT aziendali. Può nascere anche da esigenze operative legittime, come condividere un file o adottare rapidamente un nuovo software. Il rischio deriva soprattutto dalla perdita di visibilità su dati, account e autorizzazioni.
Qual è la differenza tra Shadow IT e Shadow AI?
Lo Shadow IT comprende l’uso non governato di tecnologie e servizi digitali in generale. Lo Shadow AI riguarda specificamente strumenti e funzionalità basati sull’intelligenza artificiale utilizzati senza una valutazione o una gestione aziendale. I due fenomeni condividono però lo stesso problema: dati e attività possono uscire dai processi controllati dall’organizzazione.
Come posso capire quali servizi cloud utilizzano i dipendenti?
Per capire quali servizi cloud utilizzano i dipendenti è utile combinare più fonti: analizzare gli accessi tramite account aziendali, verificare i log della rete, controllare gli abbonamenti e confrontarsi direttamente con i diversi reparti. Soluzioni come CASB (Cloud Access Security Broker) possono inoltre rilevare applicazioni cloud non autorizzate e fenomeni di Shadow IT. L’obiettivo non è bloccare ogni nuovo servizio, ma ottenere una visione completa per valutarne sicurezza, gestione dei dati e conformità
Il cloud è meno sicuro di un server interno?
Non in modo automatico. La sicurezza dipende dall’architettura, dalla configurazione, dagli accessi, dal fornitore scelto e dai controlli applicati. Anche una piattaforma cloud molto sicura può diventare problematica se gli account non vengono revocati, i privilegi sono eccessivi o i dati vengono trasferiti verso servizi esterni non governati.
Richiedi maggiori informazioni
L'articolo ti è piaciuto? Condividilo:
Rientro dalle ferie senza sorprese: la checklist IT
Rientro dalle ferie: La checklist IT per controllare accessi, backup, sicurezza, centralino e strumenti aziendali.
Collaborazione sicura: Impostazioni da verificare
Collaborazione sicura: impostazioni da verificare per proteggere accessi, riunioni, registrazioni e dati aziendali.