In due righe
- Due pagine bastano: strumenti ammessi, dati vietati, verifica umana, chi autorizza.
- La policy traduce l'AI Act in regole operative senza diventare un trattato legale.
- Niente versioni consumer per dati aziendali, niente dati personali su tool esterni.
- Va firmata, spiegata e aggiornata almeno una volta l'anno.
Una policy aziendale sull'uso dell'AI è un documento interno, di una o due pagine, che dice ai dipendenti quali strumenti possono usare, quali dati non possono inserire, quando l'output va verificato da una persona e chi autorizza i nuovi strumenti. Non serve un trattato legale: servono quattro sezioni chiare. Per una PMI da 5 a 50 dipendenti due pagine bastano, a patto che coprano strumenti ammessi, dati vietati, obbligo di verifica umana e chi autorizza. Il documento va firmato, spiegato e aggiornato almeno una volta l'anno.
A cosa serve una policy aziendale sull'uso dell'AI, e perché ne bastano due pagine
La policy AI è il documento interno che stabilisce regole, limiti e responsabilità per l'uso degli strumenti di intelligenza artificiale in azienda. Non è il regolamento europeo: il Regolamento (UE) 2024/1689, noto come AI Act, è la norma europea che fissa obblighi per chi sviluppa e utilizza sistemi di intelligenza artificiale. La policy è lo strumento che traduce quegli obblighi in regole operative per la tua azienda.
L'AI Act distingue tra provider, chi sviluppa il sistema, e deployer, chi lo utilizza nell'ambito della propria attività professionale. Il provider è chi sviluppa il sistema di IA. Il deployer è chi utilizza un sistema sviluppato da terzi nell'ambito della propria attività professionale. Per una PMI il punto d'ingresso pratico è l'articolo 4, che impone un livello adeguato di alfabetizzazione IA, chiamata anche AI literacy. L'alfabetizzazione IA, o AI literacy, è l'obbligo previsto dall'articolo 4 dell'AI Act di garantire che il personale capisca il funzionamento e i limiti dei sistemi che usa. Ci sono poi le pratiche vietate dell'articolo 5 e gli obblighi di trasparenza dell'articolo 50, pensati per chi usa sistemi destinati a interagire con persone o a generare contenuti sintetici. Per chi utilizza sistemi di IA ad alto rischio l'articolo 26 aggiunge obblighi di sorveglianza, ma difficilmente riguardano una PMI che usa ChatGPT per scrivere email o offerte.
Le prime scadenze sono già operative: l'alfabetizzazione dal 2 febbraio 2025 e gli obblighi di trasparenza dal 2 agosto 2026. Non serve aspettare: una policy di due pagine si scrive prima e si aggiorna.
Prima sezione: quali strumenti sono ammessi
La prima sezione della policy è una white list: l'elenco degli strumenti che i dipendenti possono usare. Si parte dalla mappatura di quello che già succede in azienda, perché è lì che si annida la shadow AI. La shadow AI è l'uso di strumenti di intelligenza artificiale da parte dei dipendenti senza che l'azienda ne sia a conoscenza o lo abbia autorizzato.
Facciamo un esempio lavorato. Un'azienda metalmeccanica con 9 dipendenti scopre che l'impiegata dell'ufficio commerciale incolla i dati dei clienti in ChatGPT per scrivere le offerte. Il titolare se ne accorge solo quando un preventivo finisce per errore a un cliente sbagliato. La policy mette ordine così: si autorizza ChatGPT con account aziendale, si vieta di incollare dati personali, si obbliga la revisione umana delle offerte.
Per costruire la white list servono tre passi. Primo, elencare gli strumenti già usati, da ChatGPT e Copilot a Gemini e Claude. Secondo, autorizzare solo le versioni con account aziendale, perché quelle consumer non danno alcun controllo su come vengono usati i dati. Terzo, definire una procedura per chiedere l'approvazione di un tool nuovo. Niente versioni consumer per dati aziendali.
La regola di fondo: uno strumento non autorizzato non si usa, anche se è gratuito e anche se lo usano tutti.
Seconda sezione: quali dati non si inseriscono mai
La seconda sezione classifica i dati in tre livelli, e per ciascuno dice dove possono andare. Il criterio è semplice: più il dato è sensibile, meno strumenti esterni possono toccarlo. Ecco la griglia.
| Livello |
Cosa contiene |
Esempi |
Dove può andare |
| Pubblico |
Informazioni già di dominio pubblico |
Sito aziendale, listini pubblicati, comunicati stampa |
Qualsiasi strumento, anche consumer |
| Interno non sensibile |
Dati di lavoro che non identificano persone né rivelano segreti |
Bozze anonime, testi generici, riassunti di documenti pubblici |
Solo strumenti aziendali autorizzati |
| Vietato |
Dati personali, segreti, informazioni finanziarie riservate |
Dati di clienti e dipendenti, contratti, margini, codice proprietario |
Mai su sistemi esterni |
Il livello più delicato è il terzo. Dati personali di clienti e dipendenti, dati sanitari, segreti industriali, informazioni finanziarie riservate, contratti con clausole di riservatezza e codice proprietario non vanno mai su sistemi esterni. Per i dati personali valgono le regole del GDPR, il Regolamento (UE) 2016/679, e i provvedimenti del Garante per la protezione dei dati personali. Se un dato non è già di dominio pubblico e non è anonimizzato, non va in un tool esterno.
Un dipendente non deve diventare un giurista: la griglia serve a decidere in cinque secondi. Se il dato riguarda una persona o un segreto, è vietato. Tutto il resto può andare solo negli strumenti autorizzati.
Terza sezione: quando l'output va verificato da una persona
La terza sezione stabilisce la regola della revisione umana. L'AI supporta, non decide. Su alcuni output la verifica di una persona è obbligatoria, sempre.
La regola vale per tre categorie. Prima, i documenti destinati a terzi: offerte, contratti, preventivi, comunicazioni a clienti o fornitori. Seconda, le decisioni che riguardano persone: assunzioni, valutazioni, provvedimenti disciplinari, promozioni. Terza, i pareri tecnici o le analisi che finiscono in una decisione di investimento, di produzione o di sicurezza.
La policy deve dire chi verifica e come si documenta. Nella pratica, il revisore è il responsabile dell'ufficio o il titolare. La verifica si documenta con una riga: chi ha controllato, cosa ha corretto, quando. Non serve un software: basta un campo nel documento o una nota.
L'output non verificato non esce dall'azienda. Questa è la frase da scrivere in maiuscolo nella policy, perché è quella che evita i guai più grossi.
Lo strumento
Delera Agent AI costruisce agenti su misura sui processi che oggi ti portano via ore ogni settimana.
Scopri Delera Agent AI
Quarta sezione: chi autorizza cosa
In una PMI basta una persona con delega chiara: il referente AI. Non serve un comitato, non serve un DPO dedicato. Il referente può essere il titolare, un socio o il responsabile dell'ufficio più coinvolto.
La procedura di autorizzazione ha tre passi. Primo, chi vuole usare un nuovo strumento compila una richiesta con nome del tool, cosa deve fare, quali dati toccherà. Secondo, il referente valuta: il fornitore è affidabile? I dati restano in Europa o almeno sotto garanzie adeguate? L'account è aziendale? Terzo, se lo strumento passa, finisce nella white list e viene comunicato a tutti.
Nei casi dubbi decide il titolare. La regola è non autorizzare mai sotto pressione: uno strumento che promette di risparmiare ore va valutato come un nuovo fornitore, non come un'app dello smartphone.
Anche un progetto più strutturato, come agenti AI su misura, passa dalla stessa valutazione: cosa tocca, quali dati vede, chi risponde degli errori.
Le sezioni che completano il documento
Quattro sezioni operative non bastano senza quattro sezioni corte che chiudono il documento.
La prima è la formazione. L'articolo 4 dell'AI Act impone un livello adeguato di alfabetizzazione: due ore all'anno bastano per spiegare cosa si può fare, cosa no e come riconoscere un output sbagliato.
La seconda sono le conseguenze in caso di violazione. Non serve un codice disciplinare di dieci pagine: una riga che richiama il contratto e il codice etico è sufficiente.
La terza è la presa visione firmata. Ogni dipendente firma di aver letto e capito la policy. Se un domani c'è un problema, quella firma è la prova che l'azienda ha fatto la sua parte.
La quarta è la revisione periodica. Almeno una volta l'anno la policy va riletta e aggiornata, più un aggiornamento ogni volta che cambia uno strumento, una norma o un incidente.
Come si scrive in un pomeriggio: la sequenza
Scrivere la policy non richiede consulenti e non richiede settimane. Questa è la sequenza in cinque passi.
- Mappa gli strumenti in uso. Chiedi a chi lavora in azienda cosa usa davvero, senza giudizio. Qui emerge la shadow AI.
- Classifica i dati. Usa la griglia a tre livelli e applicala al lavoro quotidiano di ogni ufficio.
- Scrivi le quattro sezioni operative. Usa frasi corte e divieti chiari, niente legalese.
- Fai firmare a tutti. Spiega la policy in una riunione di trenta minuti, non con una circolare.
- Fissa la revisione. Metti in calendario un appuntamento annuale e la data del prossimo aggiornamento.
Facciamo un esempio lavorato. Una PMI di 15 persone scopre che l'ufficio marketing usa tre strumenti AI diversi senza che nessuno li abbia approvati. La mappatura iniziale fa emergere quella shadow AI e diventa la base della white list. In un pomeriggio il titolare compila la richiesta, il referente valuta i tre strumenti e solo quello con account aziendale finisce autorizzato. Gli altri due restano vietati finché non c'è una valutazione seria.
Cosa non fare quando scrivi la policy
Tre errori rendono la policy inutile, e sono sempre gli stessi.
Non copiare il modello di una grande azienda. Venticinque pagine con comitato AI, DPO e AI Officer non servono a una PMI da 10 persone: nessuno le legge e il documento finisce nel cassetto.
Non scrivere solo divieti. Una policy fatta di soli «è vietato» spinge i dipendenti a usare gli strumenti di nascosto. Va scritta anche in positivo: cosa si può fare, con quale strumento, con quali dati.
Non lasciarla nel cassetto. Una policy senza firma, senza spiegazione e senza revisione non protegge niente. Meglio due pagine firmate e spiegate che venti pagine ignorate.
Domani mattina, apri un foglio e scrivi i tre strumenti AI che la tua azienda usa davvero, anche senza autorizzazione. Quella lista è la prima riga della policy.
Domande frequenti
La policy sull’AI è obbligatoria per legge?
L’AI Act non impone un documento chiamato policy. Impone però, all’articolo 4, che il personale abbia un’alfabetizzazione adeguata sugli strumenti che usa, e all’articolo 50 obblighi di trasparenza per chi utilizza sistemi di IA destinati a interagire con persone o a generare contenuti sintetici. La policy è il modo più semplice per dimostrare di rispettarli. Senza un documento scritto è difficile provare la conformità.
Quanto deve essere lunga una policy per una PMI?
Due pagine bastano, se contengono le quattro sezioni: strumenti ammessi, dati vietati, obbligo di verifica umana, chi autorizza. Un documento più lungo non viene letto e finisce nel cassetto. Meglio due pagine firmate e spiegate che venti pagine copiate da un’azienda grande.
Cosa succede se i dipendenti usano ChatGPT senza regole?
Si chiama shadow AI: strumenti usati senza autorizzazione e senza controllo. La responsabilità resta in capo all’azienda, anche per errori in buona fede. Se un dipendente incolla dati personali in un tool non verificato, l’azienda rischia una violazione del GDPR. Una policy riduce questo rischio dicendo cosa è permesso e cosa no.
Quali dati non vanno mai inseriti in un sistema di AI?
Dati personali di clienti e dipendenti, dati sanitari, segreti industriali, informazioni finanziarie riservate, contratti con clausole di riservatezza, codice proprietario. Se un dato non è già di dominio pubblico e non è anonimizzato, non va in un tool esterno. Per i dati personali valgono le regole del GDPR.
Ogni quanto va aggiornata la policy?
Almeno una volta l’anno, più un aggiornamento ogni volta che cambia qualcosa: un nuovo strumento autorizzato, una nuova norma, un incidente. L’AI evolve in fretta e una policy vecchia di due anni descrive un’azienda che non esiste più.
Basta scaricare un modello da internet?
No. Un modello generico non conosce i tuoi strumenti, i tuoi dati e i tuoi ruoli. Va adattato alla realtà dell’azienda, a partire da una mappatura di quello che i dipendenti usano davvero. Un modello non adattato è un documento che nessuno consulta.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test