Shadow AI in azienda: ora la legge impone formazione e valutazione dei rischi sull’intelligenza artificiale

Il decreto legislativo 7 ottobre 2026, n. 179, in vigore dal 23 ottobre scorso, impone ai datori di lavoro di valutare i rischi legati all’uso dell’intelligenza artificiale e di formare i dipendenti su quei rischi, agganciando l’obbligo all’impianto già esistente della sicurezza sul lavoro. La norma risponde a un fenomeno nato ben prima delle regole: la shadow AI, cioè l’uso di strumenti di intelligenza artificiale non approvati né monitorati dall’azienda. Un dipendente che copia un testo riservato in ChatGPT per riassumerlo, o carica un foglio di calcolo aziendale su un tool gratuito per velocizzare un’analisi, ne è l’esempio più comune, ed è il caso di cui money.it si era già occupato lo scorso febbraio, soprattutto dal lato dei rischi di sicurezza e privacy. Da fine ottobre quell’uso ha anche una conseguenza legale: va coperto dalla formazione in ogni caso, e va inserito nella valutazione dei rischi quando incide sull’organizzazione del lavoro.

Un fenomeno diffuso, ma difficile da misurare con un solo numero

Quanto sia esteso oggi l’uso informale dell’IA sul lavoro in Italia resta difficile da fotografare con precisione. Il dato più solido disponibile, anche se non recentissimo, viene da un’indagine Salesforce/YouGov di fine 2023, diffusa nel febbraio 2024, su 1.002 lavoratori italiani a tempo pieno: il 17% dichiarava di usare già l’IA generativa sul lavoro. Dentro quel 17% emerge il problema vero: quasi uno su due (49%) lo faceva senza alcuna approvazione aziendale. Sempre nello stesso sondaggio, ma questa volta sull’intero campione, il 42% dei lavoratori diceva che la propria azienda non aveva alcuna policy sull’intelligenza artificiale, contro appena il 15% che ne aveva una ben definita.

Un angolo diverso, più in alto nell’organizzazione, arriva da un’indagine Manageritalia/AstraRicerche di maggio 2026 su 678 manager del terziario: solo il 7,2% esclude del tutto l’uso dell’IA in azienda. Tra chi invece la usa, il 42,3% delle imprese ha una policy scritta, il 14,9% un accordo informale, e oltre il 40% nessuna policy.

Cosa prevede l’articolo 42 del decreto

Il nuovo decreto, adottato in attuazione della delega conferita dal Parlamento al Governo con la legge 23 settembre 2025, n. 132 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”, in particolare l’articolo 24), adegua la normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 ed è stato pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026. Il suo articolo 42, dedicato a «intelligenza artificiale, salute e sicurezza nei luoghi di lavoro», conta quattro commi. Il primo affida al ministero del Lavoro il coordinamento delle misure sull’introduzione dell’IA nei contesti lavorativi. Il secondo impone che l’uso di sistemi IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi o sui processi decisionali rilevanti per la sicurezza venga considerato nel documento di valutazione dei rischi — il DVR — previsto dall’articolo 28 del D.Lgs. 81/2008. Il terzo, più ampio, stabilisce che i datori di lavoro debbano garantire a tutti i dipendenti un’adeguata informazione e formazione sui rischi specifici legati all’uso dell’IA e sulle misure di prevenzione adottate. Il quarto affida al ministero, in raccordo con l’Ispettorato nazionale del lavoro, un compito di promozione dell’uso responsabile dell’IA come strumento di prevenzione degli infortuni.

Il secondo e il terzo comma, quelli che riguardano direttamente il datore di lavoro, non scattano allo stesso modo. L’aggiornamento del DVR riguarda solo i sistemi che incidono davvero sull’organizzazione del lavoro — turni, ritmi, decisioni automatizzate — non un chatbot usato saltuariamente da un dipendente per riassumere un documento. L’obbligo di informazione e formazione, invece, è scritto in termini più ampi e riguarda l’uso dell’IA in generale, incluso quello informale: proprio la shadow AI del titolo. Su questo la norma non distingue tra imprese grandi e piccole, né tra pubblica amministrazione e settore privato, e non fissa un termine transitorio: è in vigore, come tutto il resto del decreto, dal 23 ottobre.

Non prevede nemmeno un regime sanzionatorio dedicato. La mancata valutazione dei rischi IA nel DVR dovrebbe rientrare nelle sanzioni ordinarie già previste dal Testo unico sulla sicurezza per chi non elabora o aggiorna correttamente il documento, soggette ai consueti controlli dell’Ispettorato del lavoro e delle ASL. Per l’obbligo di informazione e formazione, invece, il testo non dice chi debba erogarla o come documentarla — registri, attestati — né assegna un ruolo esplicito al responsabile del servizio di prevenzione e protezione, al medico competente o al rappresentante dei lavoratori per la sicurezza. Su questi punti il decreto tace: una circolare del ministero, o la prassi dei primi mesi, dovrà colmare il vuoto.

L’alfabetizzazione IA voluta da Bruxelles, tra obbligo e rinvii

L’obbligo italiano si innesta su una previsione che arriva direttamente da Bruxelles. L’articolo 4 del regolamento (UE) 2024/1689 chiede a fornitori e utilizzatori professionali di IA di adottare misure per garantire un livello sufficiente di alfabetizzazione in materia di IA al proprio personale. Riguarda l’impiego professionale dell’IA, non l’uso privato dei dipendenti fuori dall’orario di lavoro, ed è in vigore dal 2 febbraio 2025. A giudicare dai dati sulle policy ancora assenti, in molte aziende italiane non sembra avere trovato piena attuazione.

Lo stesso articolo 4 è stato toccato dal regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus on AI, adottato l’8 luglio 2026: resta un obbligo formale per fornitori e utilizzatori professionali, ma la formulazione è stata attenuata, da un impegno a garantire un «livello sufficiente» di alfabetizzazione a un impegno a «sostenerne lo sviluppo», senza più indicare un livello specifico richiesto per ciascuna persona. Il Digital Omnibus ha anche rinviato le regole più severe sui sistemi che il regolamento classifica «ad alto rischio» — tra cui, per esempio, alcuni strumenti usati per selezionare il personale o valutare l’affidabilità creditizia — al 2 dicembre 2027 per i casi più comuni e al 2 agosto 2028 per quelli integrati in prodotti già regolamentati: un rinvio che riguarda certificazione e gestione del rischio, non l’alfabetizzazione dei lavoratori.

Cosa cambia, in pratica, per una piccola o media impresa

Per un’impresa che non ha ancora affrontato il tema, conviene partire da una ricognizione degli strumenti di IA che i dipendenti usano già per lavorare, compresi quelli gratuiti o nati come esperimenti personali. Da lì si può costruire una policy minima: cosa è consentito, cosa no, quali dati non vanno mai caricati su servizi esterni. Meglio non vietare tutto: come osservava già l’approfondimento di money.it sul tema, i divieti totali raramente funzionano e finiscono per rendere l’uso informale ancora più nascosto.

Il passo successivo è la formazione sui rischi specifici dell’IA, richiesta dal decreto italiano e sollecitata — in una forma più attenuata di quella pensata in origine — anche dall’AI Act. Dove l’IA incide davvero sull’organizzazione del lavoro occorre poi aggiornare il DVR, coinvolgendo chi in azienda si occupa di sicurezza. Dal 23 ottobre l’obbligo è già in vigore, ma su come adempiervi — con quali ore, quali documenti, quali figure coinvolte — il decreto lascia alle imprese margini che un chiarimento ministeriale potrebbe ancora ridurre.