Inizia gratis

Guida per l’IT

App di shadow AI: cosa può fare l’IT con gli strumenti che il personale crea con l’AI

Risposta rapida

Parti dal presupposto che queste app esistano già. Trovale senza dare colpe, poi dai a chi le crea un unico posto approvato dove pubblicare: dietro il login aziendale, con un responsabile con nome e cognome per ogni app. Una policy di una pagina copre il resto.

Vietare gli strumenti di AI raramente funziona. Sposta solo le app dove non le vedi. Questa pagina spiega cos’è la shadow AI, i rischi reali delle app interne create con l’AI, come trovare quelle che esistono già e una policy che puoi copiare.

Ultimo aggiornamento Scritto da TeamOnly. Facciamo uno dei posti dove chi crea app può pubblicarle, e lo diciamo dove serve.

01Definizioni

Cos’è la shadow AI?

Tre termini che si confondono spesso. Descrivono la stessa abitudine in fasi diverse.

Shadow IT
Software e servizi che le persone usano per lavoro senza che l’IT lo sappia o lo approvi. Un account personale per condividere file, uno strumento di progetto pagato con la carta di qualcuno.
Shadow AI
La stessa cosa, con gli strumenti di AI. Il personale incolla dati aziendali in assistenti in chat o funzioni di AI che l’IT non ha verificato.
App di shadow AI
La parte nuova. Il personale usa Claude Code, Cursor, Lovable, Replit, Bolt o v0 per creare un’app funzionante, la pubblica e manda il link ai colleghi. L’app contiene dati aziendali e continua a funzionare.

La terza è diversa perché dura. Una chat finisce in un minuto. Un’app ha utenti, dati e un link che continua a funzionare, spesso sull’account personale di chi l’ha creata.

Verificato il 25 ottobre 2026. Fonti: Retool AI Governance Report 2026 (un sondaggio di un fornitore, giugno 2026), sintesi della ricerca di Red Access su The Hacker News (un articolo di un collaboratore, maggio 2026).

02I rischi reali

Cosa può andare storto con le app interne create con l’AI?

Il codice raramente è il problema principale. Di solito lo sono il posto in cui vive l’app e chi può aprirla.

  • Link pubblici con dati aziendali

    Molte piattaforme per creare app pubblicano sul web aperto, a meno che tu non paghi per l’opzione privata o la trovi. Un link di cui nessuno è stato informato viene comunque condiviso, e a volte indicizzato dai motori di ricerca.

  • Password condivise

    Una password per tutta l’app finisce nelle chat e nelle email. L’app non sa chi ha fatto cosa, e chi se ne va continua a conoscerla.

  • App su account personali

    L’app gira sulla piattaforma a cui si è iscritto chi l’ha creata, addebitata sulla sua carta, con il suo login. L’azienda non ha accesso da amministratore e potrebbe non sapere che esiste.

  • Nessun responsabile quando qualcuno se ne va

    Quando chi l’ha creata se ne va, l’app continua a funzionare senza nessun responsabile, oppure si ferma quando la sua carta viene annullata. In entrambi i casi, il team che ci contava lo scopre per ultimo.

  • Nessun elenco di ciò che esiste

    Non puoi verificare, correggere o dismettere un’app che non conosci. Senza un elenco, tutti questi rischi restano invisibili.

  • Segreti nel codice, database aperti

    A volte gli strumenti di AI scrivono chiavi API nel codice che gira nel browser, dove chiunque apra l’app può leggerle. Un database ospitato con la sicurezza a livello di riga disattivata si può leggere senza passare dall’app.

03Passo per passo

Come trovo le app che esistono già?

Nessuno strumento da solo le trova tutte. Questi passi, insieme, trovano la maggior parte in un pomeriggio.

  1. Chiedi, senza dare colpe

    Manda un messaggio breve: “Se hai creato con l’AI uno strumento che usano i colleghi, faccelo sapere. Non spegniamo niente, vogliamo aiutarti a tenerlo in funzione in sicurezza.” Di solito chi crea le app è contento che qualcuno lo chieda.

  2. Controlla note spese ed estratti conto delle carte

    Cerca abbonamenti a Lovable, Replit, Bolt, Vercel, Netlify, Supabase, Cursor e Claude. Una piattaforma per creare app in una nota spese di solito significa un’app da qualche parte.

  3. Controlla dove le persone accedono con l’account di lavoro

    Google Workspace e Microsoft Entra elencano le app di terze parti che le persone hanno collegato al loro account di lavoro, e i log di accesso mostrano quali usano. Le piattaforme per creare app compaiono lì quando qualcuno si iscrive con “Accedi con Google” o con Microsoft.

  4. Cerca gli indirizzi delle app

    Cerca nei log DNS o del proxy web, e nella chat aziendale, indirizzi come *.lovable.app, *.replit.app, *.vercel.app, *.netlify.app e *.pages.dev. I link in chat sono spesso il modo più veloce per trovare le app che le persone usano davvero.

  5. Controlla gli inventari di browser e dispositivi, se li hai

    Se gestisci browser o portatili, l’inventario mostra le estensioni di AI e app installate come Cursor o Claude. Ti dice chi sta creando, non cosa ha creato, quindi poi chiedi.

  6. Scrivilo

    Una riga per app: nome, responsabile, dove è ospitata, che dati contiene, chi la usa. Quel foglio è il tuo primo inventario e ti dice quali app spostare per prime.

04Copiala

Una policy sul vibe coding da adottare

Abbastanza breve da essere letta. Cambia le parti tra [parentesi quadre] e inviala.

Policy: strumenti creati con l’AI

  1. Cosa copre. Qualsiasi app, script o strumento creato con l’aiuto dell’AI (Claude Code, Cursor, Lovable, Replit, Bolt, v0 o simili) usato da qualcuno oltre a chi l’ha creato.
  2. Creare è permesso. Chiunque può creare strumenti per il proprio lavoro. Non serve un permesso per provare un’idea.
  3. Dove vivono le app. Le app usate dai colleghi vengono pubblicate su [il nostro hosting approvato]. Non su un account personale e non su hosting pubblico.
  4. Prima il login. Ogni app chiede un account aziendale prima di mostrare qualsiasi schermata o dato. Niente password condivise e niente link pubblici.
  5. Dati. I dati di lavoro interni vanno bene. Dati personali dei clienti, dati delle carte di pagamento, dati sanitari e password di altri sistemi richiedono prima una verifica con l’IT. I dati aziendali non finiscono mai in un’app su un account personale.
  6. Chiavi e password. Chiavi API e password vanno nelle impostazioni dei segreti dell’hosting. Mai nel codice, e mai in chat.
  7. Ogni app ha un responsabile. Il responsabile la tiene in funzione e decide chi può aprirla: tutta l’azienda o una lista di nomi.
  8. Quando qualcuno se ne va. Prima che qualcuno se ne vada o cambi ruolo, le sue app passano a un nuovo responsabile. Un’app che nessuno prende in carico viene spenta.
  9. Segnala, senza colpe. Se trovi un’app con dati aziendali che chiunque può aprire, avvisa [contatto IT]. Nessuno passa guai per una segnalazione.
  10. Revisione. L’IT rivede l’elenco delle app ogni [trimestre]. Le app che nessuno ha usato in [90 giorni] possono essere eliminate dopo aver sentito il responsabile.

La vuoi in testo semplice? La versione Markdown di questa pagina ha la policy pronta da incollare (in inglese).

Perché non vietarlo e basta?

Le persone creano questi strumenti perché risolvono problemi reali. Un divieto non elimina il problema, sposta lo strumento su un account personale. Un unico posto approvato dove pubblicare ti dà gli stessi strumenti, dietro il tuo login, in un elenco che puoi leggere.

05Un posto approvato

Dai a chi crea app un posto sicuro dove pubblicare

La policy funziona quando l’hosting approvato fa la parte difficile, così chi crea non può sbagliarla. Ecco cosa fa TeamOnly.

Login prima che giri il codice dell’app
Ogni richiesta a ogni app viene controllata prima. Chi non ha effettuato l’accesso non arriva mai all’app. Non esiste un’impostazione per rendere pubblica un’app.
Solo account aziendali
I colleghi accedono con il Google di lavoro, il Microsoft di lavoro o un codice inviato alla loro email aziendale. Entrano solo i tuoi domini, e gli account personali vengono rifiutati.
Ogni app in elenco
La dashboard mostra ogni app della tua azienda, il suo responsabile, chi può aprirla e ogni pubblicazione. L’accesso è tutta l’azienda o una lista di nomi.
Un nuovo responsabile quando qualcuno se ne va
Gli amministratori passano un’app a un nuovo responsabile dalla dashboard. Disattiva l’account di lavoro di qualcuno e i nuovi accessi si fermano. Gli amministratori scelgono quanto dura un accesso alle app, da 8 ore a 30 giorni.
Esci da tutti i dispositivi
Un amministratore può disconnettere chi crea app da tutti i terminali e dalla dashboard in un colpo solo.
App separate
Ogni app ha il proprio database, la propria archiviazione file e i propri segreti, e il suo cookie di sessione vale solo per il suo indirizzo. Le chiavi si impostano con npx teamonly secrets set, fuori dal codice.

Builder costa $19 al mese per un creatore e 3 app. Team costa $249 al mese con app e creatori illimitati. Chi usa soltanto le app non paga. Prezzi.

Cosa non fa: TeamOnly ospita app web interne con un front end in React e un’API in JavaScript o TypeScript. Non ospita siti web pubblici né app in Python, e oggi non abbiamo certificazioni SOC 2 o ISO. Dettagli sulla sicurezza.

TeamOnly per l’ITInizia

06FAQ

Le domande più frequenti

Tutte le domande e risposte

Cos’è la shadow AI?

La shadow AI (AI ombra) è quando il personale usa strumenti di AI per lavoro senza che l’IT lo sappia o lo approvi, spesso con dati aziendali dentro. È iniziata con gli assistenti in chat. Oggi comprende anche app funzionanti, che il personale crea con l’AI e condivide con i colleghi.

Che differenza c’è tra shadow IT e shadow AI?

La shadow IT è qualsiasi software o servizio che le persone usano per lavoro fuori dalla vista dell’IT, come un account per condividere file o uno strumento di progetto pagato con una carta personale. La shadow AI è la stessa cosa con gli strumenti di AI. Le app di shadow AI fanno un passo in più: la persona non usa solo uno strumento, ne ha creato uno, e quello strumento contiene dati aziendali.

Dovremmo vietare il vibe coding?

Un divieto raramente elimina il bisogno. Le persone creano questi strumenti perché risolvono problemi reali, quindi un divieto li sposta su account personali dove non li vedete. Alla maggior parte delle aziende va meglio con una policy breve e un unico posto approvato dove pubblicare.

Come troviamo le app create con l’AI che esistono già?

Chiedete, senza dare colpe. Poi controllate le note spese per abbonamenti a Lovable, Replit, Vercel e simili, l’elenco delle app di terze parti che le persone hanno collegato al loro account di lavoro in Google Workspace o Microsoft Entra, e i log DNS o della chat per indirizzi come *.lovable.app o *.vercel.app.

Cosa deve contenere una policy sul vibe coding?

Cosa si può creare, dove vanno pubblicate le app, che ogni app richiede il login aziendale, quali dati sono ammessi, dove vanno chiavi e password, chi è responsabile di ogni app e cosa succede quando il responsabile se ne va. La policy in questa pagina sta in una pagina e si può copiare così com’è.

Le app create con l’AI sono un rischio per la sicurezza?

Per gli strumenti interni, il rischio maggiore di solito è dove vive l’app, non il codice: un link pubblico, una password condivisa, un account personale, chiavi scritte nel codice o nessun responsabile quando chi l’ha creata se ne va. Ognuno di questi punti si risolve nel posto dove l’app viene pubblicata.

Continua a leggere

Accesso anticipato

Dai a chi crea app un unico posto approvato dove pubblicare.

Tutti i piani sono già aperti, e chi crea app può provarlo gratis per 14 giorni senza carta. La tua azienda è pronta subito, e chi crea app può pubblicare il giorno stesso.

Prova gratis per 14 giorniOppure abbonati subito

Nessuna carta per la prova. Poi da $19 al mese, disdici quando vuoi.

Non sei pronto? Ricevi aggiornamenti

Usa la tua email aziendale. Scriviamo di rado, e solo quando c’è una novità che vale la pena.

Le domande vanno a hello@teamonly.dev, e risponde una persona.