Shadow AI e igiene informatica nelle PMI: il report WatchGuard 2026 su 684 dipendenti rivela password riutilizzate, Wi-Fi pubblico e formazione carente.
Il 64% dei dipendenti delle piccole e medie imprese lavora con strumenti di intelligenza artificiale che l’azienda non ha mai autorizzato e li alimenta con bozze di documenti, informazioni sui clienti, comunicazioni interne e dati aziendali. Lo rileva il Rapporto sulla sicurezza informatica dei dipendenti 2026 per i responsabili IT e i MSP, pubblicato a luglio da WatchGuard Technologies sulla base di un’indagine indipendente condotta in aprile su 684 dipendenti di aziende tra 50 e 500 addetti, in otto Paesi tra Europa, Americhe e Australia. L’Italia non rientra nel campione; chi conosce le nostre PMI, tuttavia, ritroverà nel report abitudini molto familiari.
Sulla shadow AI il punto critico è la visibilità: appena il 61% degli intervistati conferma che la propria azienda mantiene un inventario accurato del software in uso: per il restante 39% l’assistente AI pubblico adottato da un collega resta fuori dal radar dell’IT fino al primo incidente. In Europa la questione ha già un peso normativo, visto che dal febbraio 2025 l’AI Act chiede a chi impiega sistemi di intelligenza artificiale di adottare misure per garantire un’adeguata alfabetizzazione del personale; difficile farlo senza sapere quali strumenti circolano davvero in azienda.
Gli strumenti ci sono, le abitudini restano
Il capitolo sulle credenziali registra una contraddizione nota a ogni responsabile IT. Il 63% dei dipendenti dichiara di usare un password manager e il 94% crea password complesse di propria iniziativa, mentre il 76% ammette di riutilizzare le stesse password su più account e il 30% di condividerle con altri; l’autenticazione a più fattori attiva su tutti gli account riguarda appena il 22%. La disponibilità dello strumento, insomma, non modifica da sola il comportamento: per questo WatchGuard raccomanda di rendere obbligatori gestore di password e MFA fin dall’onboarding, con una verifica mensile dei tassi di adozione.
Con il lavoro ibrido il rischio esce dall’ufficio: il 70% si collega a reti Wi-Fi pubbliche per motivi di lavoro e metà del campione lo fa senza VPN né ZTNA; oltre la metà usa il dispositivo aziendale per acquisti online e social network, il 60% trasferisce file su supporti esterni e più di un dipendente su quattro ha lasciato almeno una volta un portatile di lavoro incustodito in un luogo pubblico. Gran parte di queste attività si svolge dove il firewall perimetrale non arriva.
La formazione, dal canto suo, procede a un ritmo che non regge quello degli attaccanti: il 23% non ha mai seguito un corso su phishing e social engineering, il 49% lo segue una volta l’anno e solo il 29% ogni mese. Un dipendente su quattro apre allegati o link di mittenti sconosciuti; con campagne di phishing ormai confezionate con l’AI generativa, il corso annuale rischia di diventare un adempimento più che una difesa.
Quando l’esperienza non protegge
Il 46% degli intervistati ha tra 30 e 44 anni, il 76% è laureato e molti ricoprono ruoli decisionali: professionisti esperti, dunque, con le stesse abitudini a rischio. Secondo gli autori, anzianità e istruzione non producono comportamenti più sicuri; i profili senior tenderebbero anzi a costruirsi scorciatoie che antepongono la produttività alla conformità. Marc Laliberte, Director of Security Operations di WatchGuard, osserva che le organizzazioni investono in sicurezza “ma molte continuano a non avere una reale visibilità su come lavorano concretamente i propri dipendenti”.
La sezione operativa del rapporto si rivolge ai responsabili IT e ai managed service provider, che WatchGuard considera il canale naturale per portare queste misure nelle PMI, in continuità con quanto emerso dalla ricerca su PMI, AI e MSP presentata a maggio. La proposta centrale è trattare il rischio umano come una metrica: accanto a patch e vulnerabilità, il report di sicurezza dovrebbe includere copertura MFA, diffusione del password manager, andamento dei clic nelle simulazioni di phishing e accuratezza dell’inventario software. Per un MSP questo significa tradurre un sondaggio globale in un assessment sul singolo cliente, con valori da confrontare trimestre dopo trimestre.
Nel commento che accompagna la pubblicazione, Laliberte sposta il ragionamento dalla conoscenza alla frizione: molti comportamenti a rischio nascono da controlli che rallentano il lavoro, e la scelta sicura dovrebbe diventare anche la più comoda. Per un’azienda italiana, in assenza di dati nazionali, l’esercizio più utile potrebbe essere porre le stesse domande ai propri dipendenti e misurare con onestà la distanza tra le risposte e le policy scritte.
Scarica il Report
Digitalic per
