Policy aziendale sull'intelligenza artificiale: un modello in 10 punti

Policy aziendale per l'uso dell'intelligenza artificiale: perché serve, modello in 10 punti, esempi pratici e come introdurla senza burocrazia.

Una policy aziendale sull'intelligenza artificiale è un documento breve che dice ai dipendenti quali strumenti di AI possono usare, con quali dati e con quali controlli. Serve perché in quasi tutte le aziende l'AI è già entrata dalla porta di servizio: qualcuno incolla un contratto in un assistente online per riassumerlo, qualcun altro fa scrivere le email a un'app sul telefono. Una pagina di regole chiare protegge i dati, rispetta gli obblighi dell'AI Act e della legge italiana, e permette di usare l'AI senza paura. Qui trovi un modello in 10 punti da adattare.

Perché serve, anche in una piccola azienda

• I dati escono senza che nessuno lo decida. Molti strumenti gratuiti possono usare quello che scrivi per migliorare i loro modelli. Un listino, un preventivo o i dati di un cliente incollati lì non sono più solo vostri.
• Gli errori dell'AI sembrano sempre convincenti. Un testo scritto bene può contenere un prezzo inventato o una norma sbagliata. Serve una regola su chi controlla.
• Ci sono obblighi di legge. L'AI Act chiede di formare chi usa l'AI e di essere trasparenti con clienti e utenti; la legge italiana 132/2025 chiede di informare i lavoratori quando l'AI incide sul rapporto di lavoro.
• Vietare tutto non funziona. Le persone continuano a usarla, solo di nascosto. Meglio dare strumenti approvati e regole semplici.

Il modello in 10 punti

1. A cosa serve questa policy. "Vogliamo usare l'intelligenza artificiale per lavorare meglio, proteggendo i dati dei clienti, dell'azienda e delle persone."

2. Gli strumenti approvati. Un elenco con nome dello strumento, per cosa si usa e con quale account. Solo versioni aziendali, con contratto, che non usano i dati per addestrare i modelli. Tutto quello che non è nell'elenco va chiesto prima.

3. I dati che non si inseriscono mai. Dati personali di clienti e dipendenti, dati sanitari, password e chiavi di accesso, contratti riservati, listini e condizioni commerciali non pubblici, documenti coperti da accordi di riservatezza. Negli strumenti non approvati non si inserisce niente di aziendale.

4. I dati che si possono usare, e dove. Testi pubblici, bozze di comunicazioni, documenti interni non riservati, solo negli strumenti approvati. Quando servono dati personali si usano solo i sistemi pensati per quel trattamento, con l'informativa privacy aggiornata.

5. Controllo umano. Tutto quello che l'AI produce e che esce dall'azienda, verso clienti, fornitori o enti, lo rilegge una persona, che ne risponde. Prezzi, date, numeri e riferimenti normativi si verificano sempre sulla fonte.

6. Trasparenza verso l'esterno. Se un cliente parla con un assistente automatico, in chat o al telefono, deve saperlo. Immagini e video realistici generati con l'AI si dichiarano come tali. Non si usano mai voce o immagine di persone reali senza il loro consenso scritto.

7. Persone e lavoro. L'AI non si usa per decidere su assunzioni, valutazioni o sanzioni dei dipendenti senza una decisione esplicita della direzione, un'informativa scritta ai lavoratori e il parere del consulente del lavoro.

8. Formazione. Chi usa l'AI fa una formazione iniziale breve: cosa sanno fare gli strumenti approvati, dove sbagliano, quali dati non usare, come segnalare un problema. Si registra chi l'ha fatta e quando.

9. Segnalazioni. Un errore grave, un dato inserito per sbaglio, un uso dubbio: si segnala subito al referente, senza paura di conseguenze per chi lo fa presente.

10. Referente e aggiornamenti. Una persona tiene l'elenco degli strumenti, risponde ai dubbi e rivede la policy almeno una volta l'anno, o quando arriva uno strumento nuovo.

Esempi pratici da mettere nella policy

Le regole astratte si dimenticano, gli esempi no. Una tabella come questa, adattata al vostro lavoro, rende la policy utile davvero:

Come introdurla senza burocrazia

1. Fate l'elenco degli strumenti già in uso. Chiedetelo apertamente alle persone, senza cercare colpevoli: scoprirete usi che non immaginavate.
2. Scegliete gli strumenti approvati. Meglio pochi e in versione aziendale che tanti gratuiti.
3. Adattate il modello. Una o due pagine, con esempi del vostro lavoro.
4. Presentatela in una riunione di mezz'ora, con la formazione di base. Fate firmare per presa visione.
5. Rivedetela dopo tre mesi, con le domande che sono arrivate nel frattempo.

Se l'AI entra anche nei processi, per esempio nella lettura delle fatture o nelle risposte ai clienti, la policy va affiancata dal registro dei trattamenti aggiornato: il riepilogo è nella guida su AI e GDPR in azienda.

Domande frequenti

La policy sull'AI è obbligatoria? Non c'è una norma che chieda un documento con questo nome. Però l'AI Act chiede di formare chi usa l'AI, il GDPR chiede di proteggere i dati e la legge italiana chiede di informare i lavoratori in certi casi: una policy scritta è il modo più semplice per dimostrare di averlo fatto.

Possiamo vietare del tutto l'uso dell'AI? Si può, ma di solito non funziona: le persone continuano a usarla sul telefono personale, con meno controlli. È più sicuro scegliere strumenti approvati e regole chiare.

Chi deve scriverla? La direzione, con la persona che conosce meglio i processi e, per le parti su dati e lavoro, il consulente privacy e il consulente del lavoro. Per una PMI bastano poche ore di lavoro.

Vuoi usare l'AI nei processi con regole già impostate? Guarda le automazioni AI per le PMI oppure scrivici.