Cos'è lo shadow IT?

Lo shadow IT è l'insieme di software, servizi cloud e dispositivi che un reparto o un singolo dipendente usa per lavoro senza che il reparto IT lo sappia o lo abbia approvato. Il caso più comune è un servizio SaaS sottoscritto con la carta aziendale di chi lo usa: uno strumento di project management, una piattaforma di email marketing, un tool di design. Ci rientrano anche gli account personali di cloud storage dove finiscono file di lavoro, i fogli di calcolo che nel tempo diventano un sistema gestionale non dichiarato, e le estensioni del browser installate senza passare da un processo di approvazione. La differenza con un'applicazione aziendale ordinaria non è la tecnologia ma la visibilità: nessuno in IT sa che esiste, quindi nessuno la protegge, la aggiorna o la verifica quando chi la usa lascia l'azienda.

Leggi anche: Shadow AI · L'uso di strumenti AI in azienda senza approvazione né controllo: dipendenti che incollano dati aziendali in ChatGPT e simili.

Perché succede

Non nasce quasi mai da cattiva fede. Nasce da un divario: un team ha un problema oggi, il processo IT per approvare un nuovo strumento richiede settimane di richieste, valutazioni di sicurezza e budget, e uno strumento cloud si attiva con una carta di credito in cinque minuti. Chi lo fa non pensa alla governance, pensa a consegnare il lavoro. Il problema è che decine di scelte così, prese in reparti diversi senza coordinamento, si sommano in un perimetro aziendale che nessuno ha mai disegnato e che nessuno controlla davvero.

I rischi concreti

Il primo è la perdita di controllo sui dati: documenti, contatti clienti o codice finiscono su un servizio mai valutato dall'azienda. Il secondo è normativo: se quel servizio tratta dati personali per conto dell'azienda è diventato di fatto un fornitore, e serve un contratto da responsabile del trattamento secondo il GDPR, che quasi mai esiste per uno strumento sottoscritto con una carta personale. Il terzo emerge all'offboarding: l'IT disattiva ciò che conosce, ma un account SaaS pagato da un reparto con dati clienti dentro resta attivo, dietro un'unica password che nessuno cambia. Il quarto è il lock-in: un processo costruito informalmente attorno a un tool non approvato diventa dipendenza operativa prima che qualcuno se ne accorga.

Come si scopre

Un audit parte da tracce che esistono già: i log di accesso di un provider di identità (SSO) mostrano quali app terze gli utenti autorizzano con le credenziali aziendali, le note spese rivelano abbonamenti pagati con carta che non passano da un ordine d'acquisto centrale, e un CASB (Cloud Access Security Broker) osserva il traffico per riconoscere i servizi cloud realmente in uso, non solo quelli dichiarati.

Un esempio enterprise

Un reparto vendite di una media impresa adotta uno strumento di proposte commerciali pagandolo con la carta aziendale, perché il CRM ufficiale non genera preventivi in un formato che i clienti richiedono. In sei mesi ci passano listini, condizioni contrattuali e dati di decine di clienti. Quando la persona che l'aveva attivato cambia ruolo, l'account resta intestato a lei, con una password che nessun altro conosce, e nessuno in IT sa che esiste finché un rinnovo automatico compare su una fattura di reparto.

Perché conta per chi decide

Vietare lo shadow IT sposta solo l'uso più in ombra. La leva che funziona è rendere il percorso approvato più veloce di quello informale, con un catalogo di strumenti già valutati e un processo di richiesta che risponde in giorni, non in settimane. Un caso in crescita è quando lo strumento non autorizzato è un assistente AI: qui il rischio si sposta dal file che esce dall'azienda al dato che finisce dentro un prompt, un fenomeno distinto che approfondisco nella voce dedicata alla shadow AI.