La maggior parte degli strumenti di intelligenza artificiale non è regolamentata: le aziende sono a rischio

Un nuovo studio ha avvertito che l'impiego di strumenti di intelligenza artificiale senza supervisione rappresenta un rischio per la sicurezza e mette a repentaglio i dati.

Il rapporto Reco si è basato su informazioni ricavate da vulnerabilità divulgate pubblicamente, sull'analisi di 500 server Model Context Protocol (MCP) e sui dati di telemetria della piattaforma Reco. Il rapporto ha rivelato che quattro strumenti di intelligenza artificiale su cinque (80%) operano senza supervisione IT.

La portata delle applicazioni di intelligenza artificiale in uso è particolarmente preoccupante. Nelle piccole imprese, si registrano 414 strumenti di IA utilizzati ogni 1000 dipendenti senza l'approvazione del reparto IT, e questi strumenti sembrano essere un mix di estensioni del browser e flussi di lavoro che aggirano il normale processo di revisione e approvazione.

Rischi relativi ai dati derivanti dall'intelligenza artificiale non supervisionata

Dotare i dipendenti di strumenti basati sull'intelligenza artificiale può aumentare la produttività, ma il loro utilizzo deve essere regolamentato. Questo è il messaggio principale del rapporto , che evidenzia alcuni dati allarmanti nel campo della sicurezza informatica. Ad esempio, il rapporto ha analizzato 500 strumenti proxy e ha scoperto che "il 62% di essi è in grado di leggere i dati locali e accedere a Internet". Ciò rappresenta un'opportunità per l'esfiltrazione dei dati. Questi rischi rendono necessario considerare meccanismi di controllo, come il meccanismo di arresto di emergenza che OpenAI sta sviluppando.

In un contesto correlato, il rapporto ha identificato 637 vulnerabilità di sicurezza relative agli agenti di intelligenza artificiale.

Adottare l'IA va ben oltre il semplice utilizzo di una specifica applicazione SaaS o la visita a ChatGPT. Reco ha scoperto che gli agenti IA operano all'interno di altri strumenti, ereditando i privilegi degli utenti. Le implicazioni di ciò sono evidenti. Per una comprensione più approfondita di come questi strumenti vengono erogati, si consideri il concetto di IA come servizio.

rischi operativi

L'analisi dei dati di telemetria, raccolti da 62 grandi aziende nei settori dei servizi finanziari, della sanità, della vendita al dettaglio e delle telecomunicazioni tra il 1° gennaio e il 1° agosto 2026, rivela un atteggiamento lassista nei confronti dell'adozione dell'IA. Sebbene le aziende possano disporre di politiche, procedure e processi per la valutazione, la revisione e l'approvazione di nuovi strumenti di IA, questi vengono spesso aggirati quando si tratta di applicazioni di basso livello.

Le norme si applicano alla supervisione dell'acquisto di soluzioni SaaS, ma non alle estensioni del browser, e il risultato sono i "rischi operativi".

Over Klein, CEO di Reco, ha commentato: "Gli agenti di intelligenza artificiale sono passati dalla fase sperimentale al flusso di lavoro quotidiano nelle aziende, ma i nostri risultati mostrano che solo il 20% degli strumenti di intelligenza artificiale negli ambienti aziendali è attualmente sotto la supervisione del reparto IT."

Ha aggiunto: “Questo rende le organizzazioni vulnerabili a una nuova classe di rischi operativi. Gli agenti integrati nelle applicazioni possono operare tramite autorizzazioni esistenti, concedere OAuth e accedere ai flussi di lavoro, creando combinazioni pericolose che compromettono i dati e attivano azioni che vanno oltre quanto concordato dal proprietario.”

Le organizzazioni devono fornire ai propri team IT le risorse necessarie per gestire e limitare l'uso di strumenti di intelligenza artificiale non autorizzati. In caso contrario, si rischia di incorrere in violazioni dei dati.