Consensi OAuth, log DNS, estratti carta, scansione dei repository: i metodi che fanno emergere davvero l'IA non dichiarata, cosa perdono e in che ordine usarli.
C'è un momento preciso che ho imparato a riconoscere nelle riunioni di avvio. Qualcuno abbastanza in alto dichiara che l'azienda "sta ancora valutando l'IA, in produzione non c'è niente". Poi l'amministrazione esporta dodici mesi di transazioni con carta, e sull'estratto compaiono fornitori di IA. Poi l'amministratore delle identità apre l'elenco delle applicazioni aziendali, e ci sono consensi OAuth concessi ad applicazioni che nessuno in sala sa nominare. Quello scarto non è un problema di disciplina. È un problema di misurazione, e ha un prezzo. Il Cost of a Data Breach Report 2025 di IBM rileva che il 20% delle organizzazioni violate nel campione aveva subito un incidente di sicurezza che coinvolgeva shadow AI, con un ulteriore 11% incerto sul fatto di averlo subito. Lo shadow AI entra per la prima volta nella top three dei fattori che gonfiano il conto, aggiungendo 200.321 USD al costo medio globale di una violazione…