Dopo l’email e la Shadow AI, restano le chat: la zona grigia più sottovalutata

Antonio Point of View

3,136 subscribers

Antonio Ieranò

Information & Cybersecurity Strategist | Digital Sovereignty • AI Governance • Complex Systems | Author, Researcher & Occasional Philosopher | Views stubbornly my own. 🧠

October 9, 2026

Nei due articoli precedenti ho affrontato due temi solo in apparenza separati: da un lato l’uso ancora troppo disinvolto dell’email, dall’altro la Shadow AI e i controlli aziendali. In entrambi i casi il punto non era lo strumento in sé, ma il modo in cui le organizzazioni gestiscono fiducia, responsabilità, tracciabilità e contesto.

C’è però un terzo spazio che merita attenzione: le chat.

WhatsApp, gruppi informali, conversazioni nate per coordinarsi velocemente e poi diventate, senza troppa consapevolezza, piccoli archivi paralleli della vita aziendale. Non sempre sono canali ufficiali. Non sempre sono disciplinati da policy. Non sempre è chiaro chi possa usarli, per cosa, con quali limiti e con quali conseguenze.

Eppure lì dentro passano informazioni professionali, organizzative, personali e talvolta anche giuridicamente rilevanti.

Il problema nasce quando si confonde la comodità del mezzo con la libertà di utilizzo del contenuto. Una cosa è scrivere un messaggio in una chat di gruppo per coordinarsi. Altra cosa è estrarre quel messaggio, inoltrarlo, conservarlo, condividerlo con altri soggetti o usarlo fuori dal contesto originario.

Le chat, in azienda, vengono usate per tutto.

Per avvisare che si è in ritardo a una riunione. Per chiedere una sostituzione all’ultimo minuto. Per coordinare una consegna urgente. Per segnalare che un sistema non funziona. Per condividere una decisione operativa. Per anticipare un problema con un cliente. Per commentare una riorganizzazione. Per chiedere un consiglio a un collega. Per sfogarsi, a volte, in modo più diretto di quanto si farebbe via email.

In molti casi non c’è nulla di problematico. Una chat può essere utilissima. Il punto è che non tutte le conversazioni hanno la stessa natura, e non tutti i contenuti possono essere trattati allo stesso modo.

Un messaggio del tipo “arrivo tra dieci minuti” ha un peso. Un messaggio che riguarda turni, ferie, malattia, reperibilità o coperture operative ne ha un altro. Un messaggio che contiene valutazioni su persone, decisioni organizzative, possibili dimissioni, contestazioni, problemi disciplinari, criticità di sicurezza o informazioni su clienti ne ha un altro ancora.

Il canale è lo stesso. Il rischio no.

Prendiamo alcuni esempi.

Un gruppo WhatsApp creato tra colleghi per gestire urgenze operative può funzionare benissimo finché resta uno strumento di coordinamento leggero. Ma se da quel gruppo vengono estratti screenshot per documentare comportamenti, assenze, disponibilità o dichiarazioni di una persona, si entra in un territorio diverso. Non è più semplice coordinamento: è trattamento di dati personali in un contesto lavorativo.

Una chat usata per la reperibilità può sembrare pratica. Ma se diventa il luogo in cui si pretende risposta fuori orario, si tracciano tempi di reazione, si deduce disponibilità continua o si valuta implicitamente la performance, allora non siamo più nel campo della comodità. Siamo nel campo dell’organizzazione del lavoro, dei controlli e della possibile pressione indebita.

Un gruppo informale tra dipendenti può essere percepito come spazio semi-privato, soprattutto se non è istituito dall’azienda e non è indicato come canale ufficiale. Se un messaggio scritto lì viene portato a HR, al management o a consulenti esterni, la domanda non è solo “si poteva fare?”. La domanda più corretta è: era necessario? Era proporzionato? È stato condiviso solo ciò che serviva? Con chi? Per quale finalità? Con quale informativa e quale base giuridica?

Anche una chat con clienti o fornitori può creare ambiguità. È comoda per velocizzare una risposta, ma può contenere accordi, promesse, dati personali, informazioni commerciali, allegati, documenti, numeri di telefono, indirizzi, condizioni economiche. Se poi l’azienda non conserva quel flusso in modo ordinato, non lo protegge, non lo presidia e non chiarisce chi ne sia responsabile, la comodità diventa fragilità.

Lo stesso vale per le chat di progetto. Nascono per essere rapide, ma spesso diventano il luogo in cui vengono prese decisioni che nessuno formalizza altrove. Poi, mesi dopo, si cerca “quel messaggio” per capire chi aveva autorizzato cosa. A quel punto la chat smette di essere informale solo quando fa comodo.

E qui emerge la contraddizione: molte organizzazioni trattano le chat come strumenti informali quando devono definirne le regole, ma come fonti formali quando serve usarne il contenuto.

È un doppio standard piuttosto comodo. E, proprio per questo, merita attenzione.

Che un contenuto riguardi il lavoro non significa automaticamente che possa circolare senza limiti. Che sia stato scritto in un gruppo non significa che ogni partecipante possa trasformarlo in uno screenshot da escalation. Che sia digitale non significa che sia pubblico. E che sia informale non significa che sia irrilevante.

Qui si sovrappongono tre piani.

Il piano professionale: alcune informazioni possono essere utili per gestire attività, ruoli, coperture, decisioni operative o continuità del lavoro.

Il piano legale: in determinati casi un messaggio può diventare rilevante per valutazioni interne, consulenze, contestazioni o tutela di interessi aziendali.

Il piano personale: anche in un contesto lavorativo, chi scrive non perde automaticamente ogni aspettativa di riservatezza, soprattutto se il canale non è ufficiale e la comunicazione nasce per una finalità circoscritta.

Il GDPR e la disciplina privacy non ragionano per slogan, ma per principi: liceità, correttezza, trasparenza, minimizzazione, limitazione della finalità. Tradotto in modo semplice: se un messaggio viene portato fuori da una chat, bisognerebbe poter spiegare perché, a chi, per quale finalità, con quale base giuridica e perché non fosse sufficiente un trattamento meno invasivo.

Non basta dire “era scritto”. Non basta dire “era in una chat”. Non basta dire “riguardava il lavoro”.

Serve una ragione proporzionata. Serve un perimetro. Serve criterio.

Anche la giurisprudenza ha mostrato attenzione verso le conversazioni in contesti chiusi. La Cassazione, in ambito lavoristico, ha valorizzato l’aspettativa di riservatezza delle chat ristrette, distinguendole da comunicazioni pubbliche o destinate a una libera circolazione. È un principio importante: una chat non è automaticamente una piazza solo perché passa da uno smartphone.

Poi c’è il piano etico, che spesso è ancora più immediato di quello giuridico.

Condividere il contenuto di una chat non ufficiale senza il consenso dell’autore può forse essere giustificabile in casi specifici. Ma resta una scelta delicata. E quando avviene senza trasparenza, senza minimizzazione, senza limitare i destinatari o senza una finalità chiaramente necessaria, diventa quantomeno discutibile.

Perché la fiducia professionale non si rompe solo con grandi violazioni. A volte si rompe con un inoltro. Con uno screenshot. Con una comunicazione nata per coordinarsi e trasformata in materiale da far circolare altrove.

Le aziende parlano molto di cultura, responsabilità e trasparenza. Ma la cultura non si misura solo nelle policy, nei codici etici o nei corsi obbligatori. Si misura anche nel modo in cui vengono trattate le comunicazioni informali. Nel rispetto del contesto. Nella capacità di non trasformare ogni messaggio in una prova, ogni chat in un fascicolo parallelo, ogni screenshot in una scorciatoia.

Questo non significa demonizzare le chat. Significa governarle.

Se un’organizzazione vuole usare canali informali per esigenze operative, dovrebbe chiarire almeno alcune cose: quali canali sono ammessi, per quali finalità, con quali limiti, chi può partecipare, cosa non deve essere condiviso, come vengono gestiti screenshot e inoltri, quando una comunicazione deve passare su un canale ufficiale e cosa succede ai dati contenuti nelle conversazioni.

Allo stesso modo, chi partecipa a una chat dovrebbe ricordare che la velocità non cancella la responsabilità. Scrivere di getto è facile. Recuperare il contesto dopo è molto più difficile.

L’email ci ha insegnato che scrivere significa lasciare traccia. La Shadow AI ci ricorda che usare strumenti fuori perimetro crea rischi reali. Le chat aziendali e para-aziendali aggiungono un’altra lezione: la rapidità non cancella la responsabilità.

La doppia spunta conferma la consegna di un messaggio. Non il consenso alla sua libera circolazione.

Riferimenti utili: il Garante privacy richiama i principi di pertinenza, necessità, correttezza e proporzionalità nel trattamento dei dati dei lavoratori nelle linee guida per i datori di lavoro privati. Sul tema delle chat ristrette in ambito lavorativo, si veda anche Cassazione lavoro n. 5334 del 28 febbraio 2025, commentata per il rilievo dato all’aspettativa di riservatezza nelle conversazioni chiuse.