Come governare il BYOAI senza frenare l’innovazione

Negli anni il lavoro da remoto è diventato sempre più diffuso. Se da un lato i dipendenti che lavorano da remoto ne hanno tratto vantaggi, dall’altro non sono mancati gli svantaggi, come lo shadow IT, cioè i sistemi, i dispositivi, i software e i servizi utilizzati all’interno di un’organizzazione senza l’approvazione esplicita o la supervisione del reparto IT centrale.

Con la diffusione degli strumenti di AI, lo shadow IT si è esteso al “Bring Your Own Artificial Intelligence”, o BYOAI. Si tratta di dipendenti che scelgono, ovvero “portano con sé”, sistemi di AI non approvati per svolgere le attività che preferiscono. Può sembrare innocuo, ma gli stessi strumenti possono esporre informazioni sensibili se operano al di fuori dei controlli aziendali.

L’approccio corretto non è il divieto. In questo articolo ti guideremo verso un’adozione responsabile del BYOAI, basata su policy chiare, strumenti approvati e una supervisione misurabile.

Preferisci imparare guardando? Guarda il video “Come governare il BYOAI senza frenare l’innovazione” per maggiori dettagli.

Riepilogo delle best practice

Prerequisiti per governare il BYOAI

Prima di definire il modello di governance del BYOAI, ecco alcuni requisiti da preparare:

• Una policy scritta di uso accettabile dell’AI: questo documento deve definire chiaramente cosa costituisce un uso corretto dell’AI e quando invece non è sicuro. Deve includere anche i tipi di dati ammessi e alcune limitazioni.
• IAM (gestione delle identità e degli accessi): applica regole di privilegio minimo e di accesso condizionale per limitare chi può usare determinati strumenti di AI.
• Visibilità e monitoraggio: ottieni visibilità sull’attività web, DNS ed endpoint ai fini dell’individuazione e del monitoraggio. Questo aiuta a riconoscere e mitigare i rischi potenziali legati all’uso del BYOAI.
• Flussi di lavoro per le eccezioni: documenta approvazioni, eccezioni e revisioni delle policy tramite i sistemi di gestione dei ticket.
• Un framework di classificazione del rischio: crea una semplice griglia di valutazione che assegni un punteggio agli strumenti di AI in base alla categoria di dati, all’affidabilità del fornitore e al livello di sicurezza.

Attività 1: definire il BYOAI e stabilirne l’ambito

Situazione d’uso:

Definire cosa significa BYOAI in base agli standard della tua azienda.

Chiarire i confini è fondamentale affinché dipendenti, personale e amministratori sappiano cosa l’azienda consente in materia di BYOAI. I passaggi seguenti ti aiuteranno a implementare le policy sul BYOAI.

1. Definisci il BYOAI: stabilisci una definizione concreta di BYOAI come l’uso di strumenti o modelli di AI che non sono approvati né configurati per i controlli sui dati enterprise, oppure utilizzati al di fuori dei contesti autorizzati.
2. Crea una allowlist: elenca gli strumenti consentiti, i tipi di dati ammessi e le classi di dati vietate, come credenziali, informazioni personali identificabili (PII) soggette a regolamentazione, informazioni sanitarie protette (PHI) o dati di pagamento.
3. Fornisci esempi: pubblica esempi di prompt sicuri e non sicuri per chiarire le aspettative.

Attività 2: creare un toolkit di AI approvate con classificazione del rischio

Situazione d’uso:

Far comprendere al personale quali strumenti di AI si possono usare in sicurezza per la protezione dell’azienda.

Un toolkit di AI approvate consente di fare scelte sicure e documenta le motivazioni alla base di tali scelte. Per crearlo, per prima cosa stabilisci quali strumenti di AI il personale può usare in sicurezza.

Segui questi passaggi:

1. Assegna un punteggio agli strumenti in base a residenza dei dati, crittografia, logging, controlli degli accessi e impegni presi dal fornitore.
2. Documenta le condizioni, ad esempio l’approvazione solo con Single Sign-On (SSO), isolamento del tenant, data loss prevention (DLP) o chiavi gestite dal cliente.
3. Raggruppa gli strumenti nelle seguenti categorie:

• Approvati: strumenti che si possono usare in sicurezza per un uso generale.
• Condizionati: strumenti consentiti solo a determinate condizioni.
• Non consentiti: strumenti il cui uso è vietato perché presentano un rischio elevato per i dati.

4. Registra le eccezioni indicando un responsabile, la motivazione e una data di scadenza.

Attività 3: individuare l’uso già esistente di BYOAI

Situazione d’uso:

Individuare gli strumenti di AI che il personale già utilizza, in modo che le tue policy riflettano l’uso reale. Prima di applicare policy standard sul BYOAI, considera gli strumenti non gestiti e i modelli di utilizzo già presenti nel tuo ambiente, così da tenerne conto nella definizione delle policy di governance del BYOAI.

Inizia cercando segnali come i seguenti:

• Processi sugli endpoint ed estensioni del browser associati a servizi di AI
• Log DNS e proxy relativi a domini di AI noti e a nuove query
• Rilevamenti di Cloud Access Security Broker (CASB) o secure web gateway per le categorie AI
• Riferimenti nei ticket e nelle chat che indicano un uso ricorrente di determinati strumenti

Una volta raccolte queste informazioni, puoi procedere a:

1. Inventariare gli strumenti non approvati e associarli ai team e ai tipi di dati.
2. Trasformare in policy i comportamenti sicuri e aggiungere gli strumenti approvati al toolkit.
3. Aprire ticket per gli utilizzi rischiosi, con indicazioni e tempistiche per passare alle alternative autorizzate.

Attività 4: applicare controlli tecnici a più livelli

📌 Situazione d’uso:

Fornire ai team IT e di sicurezza controlli tecnici specifici e concreti.

Una strategia BYOAI ben governata si basa su più livelli di applicazione che coprono endpoint, browser, reti e ambienti cloud. Applica controlli a ciascun livello:

1. Controlli sugli endpoint

• • Dove opportuno, usa le impostazioni di Windows 11, i Criteri di gruppo o le chiavi di registro per consentire o bloccare le funzionalità di AI generativa.
  • Applica l’allow-listing delle applicazioni o controlli sulle estensioni del browser per i componenti aggiuntivi rischiosi.
  • Imponi la conformità dei dispositivi prima di concedere l’accesso agli strumenti di AI autorizzati.

2. Controlli su browser e rete

• • Blocca i domini di AI non approvati oppure assoggettali a policy restrittive che impediscano la fuoriuscita di contenuti sensibili.
  • Abilita l’ispezione SSL/TLS, l’ispezione dei contenuti o la scansione degli upload in base al livello di sensibilità.
  • Monitora i nuovi domini di AI rilevati e verificali ogni mese.

3. Controlli sul cloud

• • Disattiva i connettori AI per i repository che contengono dati soggetti a regolamentazione, a meno che non siano presenti adeguate misure di protezione.
  • Usa il DLP per rilevare pattern sensibili negli upload e nei prompt delle chat.
  • Richiedi SSO, accesso condizionale e controlli di sessione per gli strumenti approvati.

Attività 5: formare e supportare gli utenti

📌 Situazione d’uso:

Assicurarsi che tutti i membri del team comprendano le policy di governance.

L’implementazione delle policy sul BYOAI funziona meglio se tutte le persone coinvolte sono adeguatamente informate. In questo modo si riducono le fughe di dati causate da errori umani, mantenendo un’elevata produttività.

Durante la formazione degli utenti vanno trattati i seguenti ambiti:

• Quali dati si possono condividere con gli strumenti di AI e quali no
• Come costruire prompt sicuri che non espongano informazioni riservate
• Come verificare l’output dell’AI prima di usarlo nei ticket, nei documenti o nelle comunicazioni
• Come richiedere un nuovo strumento o un’eccezione alla policy motivandolo chiaramente dal punto di vista delle esigenze dell’azienda

Usa questi ambiti quando pianifichi brevi aggiornamenti trimestrali con esempi collegati al toolkit approvato.

Attività 6: monitorare, rivedere e migliorare

Situazione d’uso:

Mantenere le policy aggiornate man mano che gli strumenti di AI e i rischi cambiano.

Gli strumenti di AI evolvono rapidamente: le tue policy devono adattarsi di continuo ai cambiamenti. Per questo, una volta avviata la governance del BYOAI, monitorare, rivedere e migliorare le policy diventerà parte della tua routine. Ecco alcune metriche da tenere d’occhio:

• Percentuale di traffico AI che passa da strumenti approvati
• Numero di eccezioni e tempo medio alla scadenza
• Incidenti DLP legati all’uso dell’AI, suddivisi per gravità
• Nuovi domini di AI rilevati e tempo necessario per prendere una decisione

Il monitoraggio e la revisione possono essere svolti ogni mese durante la verifica operativa di rilevamenti ed eccezioni. I miglioramenti, invece, possono essere introdotti con aggiornamenti trimestrali del toolkit e revisioni delle policy basate sui risultati emersi.

Integrazioni NinjaOne

Una piattaforma completa di gestione degli endpoint come NinjaOne può offrire strumenti solidi per governare il BYOAI. Ecco come:

Governare il BYOAI in modo efficace

Il BYOAI è ormai una pratica diffusa tra i dipendenti. Governarlo è l’approccio giusto per accogliere i progressi in termini di produttività. In questo modo si possono fornire indicazioni adeguate sull’uso che i dipendenti fanno dell’AI che preferiscono, proteggendo al tempo stesso i dati dell’azienda.

Seguendo queste strategie di governance, le organizzazioni possono aiutare i dipendenti a usare gli strumenti di AI in modo responsabile e, allo stesso tempo, proteggere i dati aziendali.

Argomenti correlati:

• Che cos’è l’AIOps (intelligenza artificiale per le operations IT)?
• AI agentica e agenti AI: qual è la differenza?
• Applicazioni dell’intelligenza artificiale nell’ITSM
• Il ruolo dell’AI nella sicurezza degli endpoint