Generative AI cinesi: i rischi dell’adozione incontrollata nelle aziende

Un nuovo studio condotto da Harmonic Security rivela uno scenario preoccupante per la sicurezza aziendale: in molte imprese con sede negli Stati Uniti e nel Regno Unito, gli strumenti di intelligenza artificiale generativa sviluppati in Cina vengono utilizzati quotidianamente da dipendenti senza l’approvazione – e spesso neppure la consapevolezza – dei team di cybersecurity. Il fenomeno, osservato nell’arco di 30 giorni su un campione di 14.000 dipendenti, coinvolge il caricamento di dati sensibili su piattaforme come DeepSeek, Kimi Moonshot, Baidu Chat, Qwen (Alibaba) e Manus, tutte soggette a politiche di trattamento dei dati opache o permissive.

Dati sensibili nelle mani sbagliate

L’analisi ha individuato ben 535 episodi di esposizione di dati sensibili riguardanti contenuti caricati da 1.059 utenti. Tra le informazioni compromesse figurano codice sorgente, documentazione ingegneristica, report finanziari, contratti legali, dati personali e documenti relativi a operazioni di fusione e acquisizione. Oltre un terzo del materiale riguarda direttamente asset strategici delle imprese coinvolte.

DeepSeek si conferma come la piattaforma più utilizzata, presente nell’85% degli incidenti, seguita da Kimi Moonshot e Qwen. Si tratta di strumenti che, pur offrendo funzionalità avanzate e accesso immediato, non garantiscono trasparenza né controllo sull’uso futuro dei dati caricati, lasciando le aziende esposte a gravi rischi di violazione della riservatezza, perdita di proprietà intellettuale e non conformità normativa.

Secondo Harmonic, il fenomeno dell’adozione “silenziosa” delle GenAI cinesi è particolarmente diffuso nelle aziende ad alta densità di sviluppatori, dove la pressione sul time-to-output supera spesso il rispetto delle policy aziendali. La facilità d’uso di queste piattaforme alimenta un comportamento user-driven che aggira completamente i controlli IT e le autorizzazioni formali, spingendo i confini della shadow IT verso un territorio ancora più rischioso.

Quando la governance è una necessità strategica

La crescente pervasività di questi strumenti impone alle imprese di rivedere con urgenza le proprie strategie di governance dell’AI. Come sottolineano i ricercatori, la sola consapevolezza non è più sufficiente: servono strumenti tecnici per il monitoraggio in tempo reale e il blocco proattivo delle interazioni non autorizzate con applicazioni potenzialmente pericolose.

I risultati dello studio evidenziano come la gestione dell’intelligenza artificiale generativa sia diventata una priorità non solo tecnica, ma strategica. La capacità di controllare l’adozione e l’utilizzo di questi strumenti sarà cruciale quanto le performance stesse dei modelli, specialmente per le aziende che operano in settori regolamentati o con un’elevata dipendenza da software proprietario e informazioni riservate.