I ricercatori del Threat Labs della società di cybersecurity Netskope hanno recentemente rilasciato un report che ha indagato i rischi correlati all’adozione di strumenti genAI sul posto di lavoro nel 2024 rispetto al 2023. In questi giorni, stanno continuando a monitorare cosa sta accadendo nelle aziende con l’avvento di DeepSeek, l’applicazione di AI generativa cinese che ha fatto molto parlare di sé negli ultimi giorni.
Indice degli argomenti
DeepSeek e i rischi dello shadow IT
L’interesse per DeepSeek sta rapidamente aumentando ma finora abbiamo visto un’adozione molto limitata nelle aziende. Nelle imprese dove viene utilizzata, è introdotta da singoli dipendenti che usano l’applicazione senza autorizzazione per testarne le funzionalità, aumentando il cosiddetto shadow IT. In questa fase, molte aziende sono ben consapevoli dei rischi per la sicurezza dei dati che comportano le applicazioni di intelligenza artificiale generativa e hanno controlli in atto per bloccare le applicazioni non autorizzate. Le aziende senza controlli rigorosi dovranno essere pronte a gestire l’inevitabile comparsa di DeepSeek e di shadow IT.
DeepSeek e sicurezza dei dati: nuovo hype, vecchie sfide
La principale sfida di sicurezza che pone DeepSeek o qualsiasi altra applicazione di intelligenza artificiale generativa emergente, è la stessa che abbiamo già visto due anni fa con ChatGPT ed è la sicurezza dei dati. DeepSeek non è diversa da tutte le altre applicazioni di intelligenza artificiale generativa sul mercato. Le organizzazioni che vogliono essere certe che i loro dati (in particolare i dati regolamentati e la proprietà intellettuale) siano adeguatamente protetti da esposizioni indesiderate dovrebbero esaminare tutte le applicazioni in uso per decidere se hanno uno scopo aziendale legittimo e non rappresentino invece un rischio per la sicurezza evitabile.
Le aziende che non hanno già in atto forti controlli per impedire ai dipendenti di adottare liberamente nuove applicazioni sono quelle che corrono un rischio maggiore. In un’azienda di questo tipo, chiunque può iniziare a utilizzare l’applicazione e “nutrirla” con informazioni aziendali sensibili senza controllo.
Il picco nell’uso aziendale delle applicazioni genAI nel 2024
I dati raccolti dai ricercatori Netskope da aziende dislocate in vari Paesi, nel periodo 1 novembre 2023 – 30 novembre 2024, pubblicati nel report annuale Cloud & Threat Report 2025, hanno rilevato rischi di sicurezza crescenti legati all’uso persistente di applicazioni cloud personali e all’adozione continua di strumenti genAI sul posto di lavoro.
Nel 2023, le applicazioni genAI hanno fatto un ingresso dirompente nel mondo del lavoro, e la loro crescente adozione da parte di organizzazioni e utenti – così come il volume complessivo delle applicazioni genAI in uso – è continuata nel 2024. Nello specifico:
- L’uso aziendale delle applicazioni genAI è cresciuto dall’81% delle aziende nel 2023 al 94% nel 2024. ChatGPT continua a essere l’applicazione genAI più popolare, utilizzata nell’84% delle organizzazioni.
- Il tasso di utilizzo delle applicazioni genAI da parte dei dipendenti è triplicato, passando dal 2,6% di al 7,8%. Le aziende del settore retail e tecnologico guidano la classifica, con una media di oltre il 13% dei dipendenti che utilizza applicazioni genAI ogni mese.
- Le organizzazioni ora utilizzano in media 9,6 applicazioni genAI, rispetto alle 7,6 di un anno fa. Il 25% delle aziende con il maggiore utilizzo impiega almeno 24 applicazioni genAI, mentre il 25% con il minor utilizzo ne usa al massimo 4.
Gestire il rischio dei dati nelle applicazioni genAI
Poiché le applicazioni genAI si sono consolidate come una componente essenziale delle imprese nel 2024, le aziende sono ancora nelle prime fasi dell’implementazione di controlli per abilitare in sicurezza l’uso della genAI e mitigare i rischi legati ai dati:
- Il 45% delle organizzazioni utilizza DLP (Data Loss Prevention) per controllare il flusso di dati verso le applicazioni genAI. L’adozione del DLP per la genAI varia notevolmente tra i settori, con il più alto tasso nel settore delle telecomunicazioni (64%).
- Il 34% delle organizzazioni utilizza coaching interattivo in tempo reale per aiutare i dipendenti a prendere decisioni informate e appropriate.
- Nel 73% dei casi, quando gli utenti ricevono un avviso di potenziale violazione aziendale, scelgono di non procedere grazie alle informazioni fornite dal coaching.
- Il 73% delle organizzazioni blocca almeno un’applicazione genAI, con una media stabile di 2,4 applicazioni bloccate all’anno.
- Il numero di applicazioni bloccate dal 25% delle aziende che adottano più restrizioni è più che raddoppiato, passando da 6,3 a 14,6 applicazioni nell’ultimo anno.

Il Cloud and Threat Report annuale di Netskope (gennaio 2025) ha rivelato che gli utenti nelle aziende violano le policy aziendali sui dati condividendo codice sorgente, dati regolamentati, proprietà intellettuale, password e chiavi con le applicazioni di genAI.
Come possono proteggersi le aziende italiane?
Se non lo hanno già fatto, occorre mettere in atto delle policy per bloccare tutte le applicazioni di genAI, non solo DeepSeek, ad eccezione di quelle che sono già state esplicitamente approvate per l’uso dopo una rigorosa revisione dei termini e delle condizioni sulla privacy dei dati.
Oltre a questo controllo di base per garantire che non vengano utilizzate applicazioni non autorizzate, occorre anche mettere in atto dei controlli aggiuntivi per controllare lo spostamento di informazioni sensibili nelle applicazioni approvate. Gli strumenti di prevenzione della perdita di dati (DLP) possono essere molto efficaci nell’impedire che informazioni sensibili vengano pubblicate sulle applicazioni di genAI e il coaching in tempo reale degli utenti può essere incredibilmente efficace nel correggere il comportamento degli utenti ricordando loro la policy pertinente nel momento in cui stanno per eseguire un’azione che potrebbe violare tale policy.
I passaggi tattici specifici per affrontare il rischio derivante dalla genAI includono:
- Conoscere lo stato attuale: valutare gli usi esistenti dell’intelligenza artificiale e dell’apprendimento automatico, delle pipeline di dati e delle applicazioni genAI. Identificare le vulnerabilità e le lacune nei controlli di sicurezza.
- Implementare controlli fondamentali: stabilire misure di sicurezza fondamentali, come controlli di accesso, meccanismi di autenticazione e crittografia.
- Pianificare controlli avanzati: oltre alle nozioni di base, sviluppare una tabella di marcia per controlli di sicurezza avanzati. Occorre prendere in considerazione la modellazione delle minacce, il rilevamento delle anomalie, il monitoraggio continuo e il rilevamento comportamentale per identificare i movimenti di dati sospetti negli ambienti cloud verso le applicazioni genAI che si discostano dai normali modelli utente.
- Misurare, avviare, rivedere, ripetere: valutare regolarmente l’efficacia delle misure di sicurezza. Adattarle e perfezionarle in base alle esperienze del mondo reale e alle minacce emergenti.
L’epoca in cui la sicurezza dei dati era un ripensamento è finita. Deve essere integrata in ogni aspetto delle operazioni aziendali. Dalla difesa contro il phishing alla protezione delle applicazioni personali e alla gestione della genAI, la sicurezza dei dati non è più solo una difesa perimetrale: è un framework dinamico e proattivo con coaching in tempo reale, DLP e controlli specifici per applicazioni, per rimanere sempre un passo avanti rispetto a un panorama di minacce in continua evoluzione.