Shadow IT nel 2026: il Rischio Invisibile che Aumenta con la Migrazione al Cloud

---

Riassumi questo articolo di notizie con l'intelligenza artificiale:

---

Sebbene ogni organizzazione utilizzi sistemi diversi, le aziende hanno spesso dinamiche molto simili. Pensiamo a una tipica realtà enterprise, con le consuete riunioni e attività di revisione. Tutto sembra essere sotto controllo, finché non si consulta l’inventario ufficiale e si scopre che un team sta pagando con una carta aziendale un servizio di trascrizione basato sull’AI, alcuni sviluppatori hanno attivato istanze cloud per testare un’applicazione e una sede regionale ha iniziato a utilizzare la piattaforma di file sharing che preferisce perché quella approvata dall’azienda era troppo lenta.

All’improvviso ci si ritrova con una serie di piattaforme e processi IT utilizzati all’interno dell’organizzazione senza essere stati approvati o autorizzati dal punto di vista della sicurezza. Eppure, nessuna di queste iniziative nasce con cattive intenzioni: sono state adottate semplicemente per riuscire a portare a termine il lavoro. È questo il problema centrale dello shadow IT nel 2026. Oggi, infatti, le tecnologie gestite ufficialmente dal reparto IT possono rappresentare solo una parte di quelle effettivamente utilizzate dall’azienda.

Il fenomeno sta assumendo una rilevanza sempre maggiore man mano che le imprese accelerano l’adozione del cloud computing, delle infrastrutture ibride, dell’intelligenza artificiale e dei programmi di modernizzazione. Lo shadow IT non riguarda più soltanto i dipendenti che installano software non autorizzato: è diventato un problema di governance che coinvolge infrastruttura, sicurezza, costi e operatività. In questo articolo analizzeremo le principali cause e i rischi dello shadow IT, insieme ai framework e ai principi utili per gestire un fenomeno sempre più diffuso. Ma partiamo dalle basi: che cos’è esattamente lo shadow IT?

Che cos’è lo shadow IT?

Nella sua definizione più semplice, lo shadow IT comprende qualsiasi tecnologia utilizzata all’interno di un’organizzazione senza che il reparto IT ne sia a conoscenza o senza la sua approvazione e supervisione. Con l’evoluzione della tecnologia, tuttavia, questa definizione si è ampliata notevolmente. Se in passato lo shadow IT poteva limitarsi a un dipendente che installava un’applicazione non autorizzata, oggi può comprendere abbonamenti SaaS non approvati, account personali di cloud storage oppure l’utilizzo di assistenti AI e piattaforme di AI generativa.

È importante sottolineare che, nella maggior parte dei casi, lo shadow IT non nasce da intenzioni malevole. Al contrario, viene spesso adottato dai dipendenti per semplificare il proprio lavoro e superare ostacoli operativi. In molti casi può effettivamente rendere i processi più rapidi ed efficienti, ed è anche per questo che il fenomeno è diventato così diffuso. Secondo Gitnux, il 45% delle organizzazioni consente ai dipendenti di acquistare e utilizzare software senza l’approvazione dell’IT, mentre il 61% dichiara di avere applicazioni SaaS non gestite all’interno del proprio ambiente.

Questo non significa, però, che il fenomeno possa essere lasciato senza controllo: le aziende hanno bisogno di framework e regole di governance più solidi. Limitarsi a contrastarne gli effetti senza intervenire sulle cause non è sufficiente. Per i responsabili IT, quindi, cambia anche la domanda da porsi. Anziché chiedersi come impedire ai dipendenti di utilizzare tecnologie non approvate, le aziende dovrebbero chiedersi perché questi ultimi sentano la necessità di aggirare i processi ufficiali.

Alla base dello shadow AI, in particolare, c’è spesso l’assenza di strumenti approvati che consentano ai dipendenti di utilizzare l’intelligenza artificiale in modo realmente produttivo. Invece di limitarsi a bloccarne l’accesso, le organizzazioni possono ridurre questo rischio sviluppando internamente un’infrastruttura predisposta per l’AI. In questo modo, i team dispongono di un ambiente governato e conforme in cui eseguire i workload AI, anziché essere spinti verso strumenti esterni che sfuggono ai controlli aziendali.

Cinque motivi per cui lo shadow IT sta accelerando nel 2026

Quando si parla di shadow IT, la prima reazione delle aziende è spesso quella di cercare di bloccare l’utilizzo di tecnologie non autorizzate. Il vero problema, però, non sono necessariamente le piattaforme in sé, quanto le condizioni che hanno spinto i dipendenti a utilizzarle. Comprendere questa distinzione cambia radicalmente il modo in cui un’organizzazione può affrontare lo shadow IT. Se i team creano autonomamente ambienti cloud perché l’IT centrale impiega troppo tempo ad approvarli, non avrebbe più senso rendere più efficiente il processo di approvazione?

Le piattaforme autorizzate devono naturalmente rispettare le policy aziendali in materia di sicurezza, accessi e controlli. Allo stesso tempo, la governance tecnologica funziona meglio quando è allineata al modo in cui l’azienda opera realmente. Ecco alcuni dei principali motivi per cui lo shadow IT continua a diffondersi nel 2026.

L’ondata di migrazioni da VMware sta creando nuove lacune

Le transizioni infrastrutturali su larga scala sono raramente progetti esclusivamente tecnici. Hanno conseguenze sui budget, sui modelli operativi, sulle competenze, sui contratti e sull’architettura IT a lungo termine. La nota transizione di VMware verso un modello di licensing in abbonamento e un portafoglio di prodotti semplificato ha cambiato lo scenario per molti clienti. Quando Broadcom ha annunciato la fine delle licenze perpetue VMware e il passaggio alle offerte in abbonamento, numerose aziende hanno iniziato rapidamente a valutare alternative.

Non tutte, però, hanno potuto affrontare la migrazione in modo semplice e immediato. Questo periodo di incertezza crea un terreno particolarmente favorevole allo shadow IT, perché i diversi team possono iniziare ad adottare autonomamente piattaforme e sistemi prima che l’organizzazione definisca un nuovo assetto. Il risultato non è necessariamente un unico grande sistema non autorizzato, ma una progressiva frammentazione dell’ambiente IT.

Anche per questo è fondamentale scegliere il percorso di migrazione più adatto. Le organizzazioni che possono passare a una nuova piattaforma attraverso opzioni chiare e strutturate hanno meno probabilità di vedere i propri team aggirare completamente il processo di transizione.

L’AI ha reso lo shadow IT più semplice che mai

L’avvento dell’intelligenza artificiale ha ridotto drasticamente gli ostacoli all’adozione di nuove tecnologie. Oggi un dipendente non deve più richiedere un server, installare un software o attendere il completamento di un ciclo di procurement per sperimentare una nuova piattaforma AI. Spesso basta creare un account per iniziare a utilizzarla.

Questo ha dato origine a una nuova sottocategoria dello shadow IT: lo shadow AI. Alcune ricerche indicano che quasi il 38% dei lavoratori condivide informazioni aziendali sensibili con strumenti AI senza che il proprio datore di lavoro ne sia a conoscenza, con il rischio di esporre involontariamente informazioni riservate, proprietà intellettuale o dati dei clienti.

Il report Cost of a Data Breach 2025 di IBM ha inoltre rilevato che il 63% delle organizzazioni coinvolte nelle violazioni analizzate non disponeva di policy per la governance dell’AI e solo il 37% aveva implementato processi di approvazione o meccanismi di supervisione. Gli strumenti AI possono certamente offrire vantaggi concreti, ma devono essere accompagnati da una governance rigorosa e da controlli adeguati.

Multi-cloud e infrastrutture ibride aumentano i punti ciechi

Oggi è raro che un’azienda operi attraverso un’unica infrastruttura semplice e centralizzata. Data center tradizionali, cloud privati e pubblici, piattaforme SaaS, strutture di colocation e ambienti specializzati per AI e analytics convivono sempre più spesso all’interno dello stesso ecosistema IT. Secondo le attuali proiezioni, il mercato globale della gestione multi-cloud potrebbe raggiungere gli 85,89 miliardi di dollari entro il 2034.

Ogni nuovo ambiente rappresenta anche un ulteriore spazio in cui possono comparire tecnologie non censite o non autorizzate. Un team può distribuire i propri workload su un determinato cloud provider, mentre un altro può sceglierne uno differente. Adottare una strategia multi-cloud non è di per sé un problema: la vera difficoltà è che la visibilità sull’infrastruttura non aumenta automaticamente insieme alla sua complessità.

Velocità e governance spesso viaggiano in direzioni opposte

In molti casi, i processi ufficiali e approvati sono semplicemente troppo lenti rispetto alle esigenze operative. Ed è proprio in questo divario che lo shadow IT trova terreno fertile. Se il processo ufficiale richiede molto tempo mentre una piattaforma non autorizzata è disponibile immediatamente, i dipendenti avranno un forte incentivo a scegliere la seconda opzione.

Una ricerca di WalkMe ha rilevato che nel solo 2024 le aziende hanno perso oltre 104 milioni di dollari a causa di tecnologie sottoutilizzate e pratiche che hanno inciso negativamente sulla produttività.

È anche per questo che una policy efficace sullo shadow IT non può limitarsi a vietare tecnologie alternative. Le organizzazioni devono comprendere le ragioni che portano i dipendenti a scegliere strumenti non approvati. Se il percorso ufficiale richiede sei settimane e quello non ufficiale sei minuti, prima o poi la governance verrà aggirata.

Il lavoro distribuito ha cambiato il modello di controllo

I modelli di lavoro ibrido e da remoto hanno modificato in modo permanente il funzionamento delle aziende. Oggi i dipendenti possono lavorare praticamente ovunque e i team collaborano abitualmente tra Paesi e continenti diversi. Di conseguenza, l’IT centrale non può più partire dal presupposto che ogni attività avvenga all’interno della rete aziendale.

Identity management, gestione delle applicazioni SaaS, cloud governance e visibilità centralizzata assumono quindi un'importanza sempre maggiore. Più la forza lavoro è distribuita, più diventa necessario basare la governance su policy, controlli e visibilità centralizzata anziché sulla semplice presenza degli utenti all’interno del perimetro fisico aziendale.

Lo shadow IT si è evoluto in numerosi settori e, in molti casi, nasce proprio dall’esigenza di rendere i processi più semplici e veloci. Tuttavia, l’utilizzo di piattaforme non approvate continua a comportare seri rischi per la sicurezza, alcuni dei quali possono essere meno evidenti di quanto si possa pensare.

I veri rischi dello shadow IT: oltre quelli più evidenti

Lo shadow IT rappresenta di per sé un rischio per la sicurezza, ma molte organizzazioni tendono a sottovalutare i modi meno evidenti, e potenzialmente più insidiosi, con cui può indebolire dall’interno l’infrastruttura di sicurezza. Si potrebbe pensare che i principali rischi dello shadow IT riguardino soprattutto la privacy, ma le conseguenze possono essere molto più profonde. I responsabili aziendali devono quindi guardare oltre il rischio immediato e considerare cosa accade quando una tecnologia non autorizzata diventa parte integrante dei processi operativi. Ecco alcuni dei principali rischi dello shadow IT nel contesto attuale:

• Esposizione dei dati e problemi di compliance: un’applicazione non autorizzata potrebbe non rispettare i requisiti aziendali in materia di crittografia, data residency, conservazione dei dati, controllo degli accessi o audit. Questo può generare rischi normativi anche in assenza di un vero e proprio attacco informatico. Per le aziende multinazionali, la situazione diventa particolarmente complessa quando le informazioni attraversano diverse giurisdizioni tramite piattaforme SaaS, API o servizi cloud esterni.
• Una superficie di attacco fuori controllo: ogni workload non gestito rappresenta un potenziale punto di ingresso aggiuntivo. Un’istanza cloud creata autonomamente da un dipendente potrebbe non essere sottoposta agli stessi processi di patching, vulnerability scanning, controllo delle identità e monitoraggio previsti per l’infrastruttura gestita centralmente. Un sistema non deve essere necessariamente pericoloso fin dall’inizio per diventare un problema di sicurezza: basta che venga dimenticato.
• Problemi di integrità dei dati: i team di sicurezza tendono a concentrarsi sul rischio che i sistemi shadow espongano informazioni, ma i responsabili IT dovrebbero anche chiedersi se questi sistemi producano dati corretti. Lo shadow IT può creare silos informativi nei quali coesistono versioni discordanti degli stessi dati. Un database, ad esempio, potrebbe essere aggiornato mentre un altro rimane invariato, generando informazioni errate o incoerenti.
• Costi invisibili: lo shadow IT compromette anche la governance finanziaria. Un’azienda può avere già un contratto per una determinata piattaforma software, mentre singoli reparti acquistano autonomamente abbonamenti a soluzioni concorrenti. Presi singolarmente, questi costi possono sembrare trascurabili, ma nel complesso possono diventare significativi e tradursi in storage cloud duplicato, istanze inutilizzate, strumenti di sicurezza sovrapposti e abbonamenti dimenticati. Secondo il Cost of a Data Breach Report 2025 di IBM, gli incidenti che coinvolgono lo shadow AI comportano un costo medio di 4,63 milioni di dollari per violazione, circa 670.000 dollari in più rispetto al valore di riferimento delle violazioni standard.
• Lo shadow IT moltiplica la complessità delle migrazioni: questo aspetto assume particolare importanza durante una migrazione da VMware. Un’azienda può migrare ufficialmente i workload VMware verso un altro hypervisor o una piattaforma di infrastruttura iperconvergente (HCI), ma cosa succede ai workload non ufficiali? Alcuni potrebbero rimanere sull’infrastruttura legacy, altri essere trasferiti autonomamente sul public cloud e altri ancora essere ricostruiti dai team applicativi. A quel punto, l’IT non deve più gestire soltanto una migrazione, ma anche una mappa infrastrutturale che non è mai stata documentata. Questo aumenta il rischio di dipendenze non rilevate, controlli di sicurezza incoerenti, workload non supportati e downtime imprevisti.

Come si può quindi gestire un panorama così pervasivo e potenzialmente complesso? Serve un approccio strategico e orientato alla produttività.

Un framework di governance: gestire lo shadow IT senza frenare l’innovazione

L’obiettivo di una governance efficace dello shadow IT non dovrebbe essere eliminare ogni acquisto tecnologico non autorizzato, ma creare un ambiente in cui i dipendenti possano rendere i processi più efficienti senza introdurre rischi invisibili. È quindi necessario adottare aspettative e obiettivi realistici. Un framework pratico può essere articolato in quattro fasi.

Fase 1: individuare

Non si può governare ciò che non si riesce a vedere. Per questo il primo passo consiste nell’acquisire visibilità sull’ambiente IT. L’organizzazione deve prendere in considerazione strumenti di network discovery, inventari degli asset cloud, piattaforme di SaaS management, soluzioni CASB e dati relativi a identità e accessi. L’obiettivo è capire quali tecnologie vengono utilizzate, da chi e per quale scopo. Non si parte disattivando i sistemi, ma comprendendo l’ambiente.

Fase 2: classificare

Non tutti gli strumenti sono uguali e, di conseguenza, non comportano lo stesso livello di rischio. Un dipendente del marketing che utilizza uno strumento di presentazione non approvato rappresenta uno scenario molto diverso rispetto a uno sviluppatore che inserisce informazioni riservate in ChatGPT per generare codice. Il livello di rischio dovrebbe quindi essere classificato sulla base di fattori pertinenti.

Fase 3: intervenire

Se i dipendenti aggirano sistematicamente l’IT, l’organizzazione dovrebbe analizzare il processo prima di attribuire il problema agli utenti. Una soluzione consiste nel creare un percorso di approvazione rapido per le tecnologie più comuni e a basso rischio. Ad esempio:

Richiesta a basso rischio → verifica automatizzata delle policy → approvazione

Richiesta a rischio medio → revisione di sicurezza accelerata → approvazione con controlli

Richiesta ad alto rischio → valutazione formale dell’architettura e della sicurezza

In questo modo, la governance smette di essere un ostacolo e diventa un fattore abilitante. La migliore policy per lo shadow IT non è necessariamente quella più rigida, ma quella che i dipendenti possono realisticamente rispettare.

Fase 4: unificare

La gestione centralizzata è un elemento fondamentale per tenere sotto controllo la proliferazione dell’infrastruttura. Più l’ambiente IT diventa frammentato, più è difficile avere una visione chiara di workload, risorse, policy e dipendenze operative.

Un livello centralizzato di gestione del cloud e dell’infrastruttura può offrire una visione operativa coerente tra ambienti differenti. Questo approccio è particolarmente utile nei progetti di modernizzazione della virtualizzazione, nei quali i team potrebbero altrimenti essere costretti a utilizzare strumenti e processi diversi per ciascuno stack infrastrutturale.

In definitiva, la strategia per affrontare lo shadow IT dovrebbe diventare anche un’opportunità per comprendere meglio come lavora realmente l’azienda. Ogni applicazione non autorizzata segnala al reparto IT un’esigenza che gli strumenti o i processi ufficiali non stanno soddisfacendo. Le organizzazioni capaci di interpretare questi segnali saranno in una posizione migliore per governare la tecnologia senza ostacolare l’innovazione.

Come Sangfor aiuta le organizzazioni a riprendere il controllo

Per la maggior parte delle aziende, affrontare lo shadow IT è una questione di gestione dell’infrastruttura tanto quanto di sicurezza. Sangfor Technologies è un provider globale di soluzioni per cloud computing, cybersecurity e infrastrutture IT, con oltre 100.000 clienti in tutto il mondo, tra cui aziende Fortune Global 500 e organizzazioni appartenenti a numerosi settori.

L’approccio di Sangfor si integra facilmente con il framework di governance descritto in questo articolo, contribuendo a ridurre la frammentazione dell’infrastruttura e offrendo alle organizzazioni un percorso strutturato.

La Sangfor Cloud Platform (SCP) funge da hub di gestione centralizzato, offrendo visibilità e controllo sugli ambienti di virtualizzazione, private cloud e hybrid cloud. Anziché costringere gli amministratori a gestire ogni componente dell’infrastruttura come un sistema isolato, questo modello centralizzato consente un’esperienza operativa più uniforme, soprattutto per le organizzazioni che devono amministrare contemporaneamente ambienti virtualizzati, private cloud e infrastrutture ibride.

Per i team abituati a VMware, il concetto di gestione centralizzata risulta inoltre familiare. Gli ambienti VMware utilizzano comunemente vCenter Server come livello centrale di gestione, mentre nell’ecosistema Sangfor questo ruolo è svolto da SCP.

Sangfor mette inoltre a disposizione un percorso di migrazione strutturato attraverso Sangfor HCI, come soluzione full-stack, oppure aSV, utilizzabile come hypervisor standalone. Questo approccio può contribuire a ridurre le incertezze legate alla transizione che spesso favoriscono la diffusione dello shadow IT. Rappresenta inoltre un’opzione interessante per le aziende che non intendono sostituire l’intero stack infrastrutturale in un’unica fase.

Sangfor Hyper-Converged Infrastructure (HCI) integra diversi componenti infrastrutturali all’interno di una piattaforma unificata. Nell’architettura di migrazione da VMware pubblicata da Sangfor, questi componenti vengono inoltre messi in relazione con tecnologie VMware familiari agli amministratori, tra cui vSphere, vSAN e NSX.

Ogni nuovo silo infrastrutturale introduce un’ulteriore interfaccia di gestione, un altro processo operativo e un potenziale punto cieco in termini di visibilità. Un approccio HCI unificato può ridurre questa frammentazione e aiutare i team infrastrutturali ad adottare pratiche operative più uniformi.

Allo stesso modo, Sangfor aSAN è un livello di software-defined storage distribuito e completamente integrato nello stack HCI, mentre VMware vSAN viene generalmente concesso in licenza e implementato come componente aggiuntivo. Sangfor aNET offre inoltre funzionalità integrate e visuali per la virtualizzazione della rete, mentre VMware NSX mette a disposizione funzionalità avanzate che, in genere, richiedono licenze aggiuntive e competenze specialistiche.

Il punto fondamentale non è semplicemente stabilire se un prodotto disponga di una funzionalità assente in un altro, ma capire se l’organizzazione possa continuare a operare mantenendo coerenza architetturale, sicurezza e prevedibilità. È proprio in questo ambito che la semplificazione dell’infrastruttura proposta da Sangfor può contribuire a ridurre le condizioni che favoriscono la nascita dello shadow IT.

È inoltre importante ricordare che la governance dell’infrastruttura non termina con la virtualizzazione. Se un workload viene migrato correttamente ma non può essere ripristinato dopo un attacco ransomware, un guasto hardware o un errore operativo, l’organizzazione non ha ancora raggiunto un livello adeguato di resilienza.

Sangfor collabora con partner del proprio ecosistema, tra cui Veeam, per backup, recovery e resilienza dei dati, e Cohesity, combinando l’infrastruttura Sangfor con funzionalità di data security e resilienza per ambienti hybrid e multi-cloud.

Per le aziende moderne, questo approccio basato sull’ecosistema è fondamentale, perché una migrazione non dovrebbe tradursi nella creazione di un nuovo stack tecnologico isolato. L’obiettivo finale è disporre di un ambiente infrastrutturale governato, capace di integrarsi con il più ampio ecosistema aziendale di protezione dei dati.

Conclusione

Lo shadow IT non è destinato a scomparire. Al contrario, le stesse tecnologie che alimentano la trasformazione digitale (piattaforme cloud, AI, SaaS e infrastrutture distribuite) rendono più semplice che mai per i dipendenti risolvere problemi al di fuori dei tradizionali canali IT.

Questo non significa che l’innovazione sia il problema. Significa, però, che visibilità e governance diventano sempre più importanti.

FAQs

Che cos’è lo shadow IT?

Lo shadow IT comprende tutte le tecnologie utilizzate all’interno di un’organizzazione senza l’approvazione formale, la supervisione o la governance del reparto IT.

Perché lo shadow IT è in aumento nel 2026?

Molti servizi cloud, strumenti AI e altre tecnologie riconducibili allo shadow IT permettono di semplificare e velocizzare i processi, sono facilmente accessibili e possono essere adottati dai dipendenti senza un controllo diretto o un’approvazione preventiva da parte dell’IT.

Quali sono i principali rischi dello shadow IT?

Tra i principali rischi rientrano l’esposizione dei dati, l’aumento della superficie di attacco non gestita, le violazioni della compliance, la duplicazione dei costi e la presenza di dati, sistemi e dipendenze operative di cui il reparto IT non è a conoscenza.

Come possono le organizzazioni gestire efficacemente lo shadow IT?

È necessario individuare le tecnologie utilizzate e classificarle in base al livello di rischio, creare percorsi di approvazione più rapidi e, ove possibile, centralizzare la gestione dell’infrastruttura.

In che modo la migrazione al cloud aumenta lo shadow IT?

Le migrazioni al cloud possono favorire lo shadow IT attraverso la creazione di ambienti temporanei, l’introduzione di nuove piattaforme e la nascita di scelte infrastrutturali parallele o non coordinate.