---
title: "Come si scrive una policy aziendale sull’AI? Le cinque regole che servono davvero"
description: "Quali strumenti, quali documenti, chi controlla, che cosa si registra, chi forma: le cinque regole di una policy sull’AI che funziona, e le norme su cui poggia."
url: https://csidia.com/note-operative/policy-aziendale-ai-cinque-regole/
lang: it
date: 2026-10-30
label: "Governance"
publisher: CSIDIA S.r.l. (https://csidia.com/)
---

# Come si scrive una policy aziendale sull’AI? Le cinque regole che servono davvero

Se dovete scrivere le regole su come in azienda si usa l’intelligenza artificiale, o avete già una policy firmata che nessuno ha letto, il rischio è lo stesso: un documento lungo che vieta molto, e colleghi che intanto usano un chatbot sul telefono personale. Una policy che funziona sta in due pagine e risponde a cinque domande pratiche. Prima, però, conviene sapere su che cosa poggia.

## Perché scriverla

Le regole scritte non sono una moda: poggiano su quattro norme che valgono già.

- **I dati personali si trattano solo su istruzione.** Chi lavora per l’azienda e ha accesso a dati personali «non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento» (GDPR, art. 29; lo ripete l’art. 32, paragrafo 4). Incollare i dati personali di un cliente in un servizio non autorizzato è un trattamento senza istruzione. La policy è l’istruzione.
- **Il dipendente segue le disposizioni dell’azienda.** Il codice civile gli chiede di «osservare le disposizioni per l’esecuzione e per la disciplina del lavoro impartite dall’imprenditore» (art. 2104). Una regola scritta e comunicata è una di queste disposizioni.
- **Senza regola conosciuta, niente sanzione.** Se volete che una violazione possa avere conseguenze disciplinari, le norme disciplinari «devono essere portate a conoscenza dei lavoratori mediante affissione in luogo accessibile a tutti», nel rispetto dei contratti collettivi (Statuto dei lavoratori, art. 7).
- **La formazione.** L’AI Act chiede a chi usa sistemi di AI di adottare «misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, e dal 27 luglio 2026 precisa che non serve garantire «un livello specifico» a nessuno (art. 4, riscritto dal Regolamento (UE) 2026/1744). Serve poter mostrare che cosa avete fatto, come abbiamo spiegato in [che cosa deve fare un’azienda che usa l’AI](https://csidia.com/note-operative/ai-act-azienda-che-usa-ai-cosa-deve-fare/).

## Le cinque regole

**1. Quali strumenti, con quale account.** Un elenco corto degli strumenti autorizzati, solo con account aziendali, e una frase chiara: per lavoro, gli altri non si usano. L’account aziendale è quello coperto dal contratto sui dati che l’azienda ha firmato; un account personale no.

**2. Quali documenti, in quale strumento.** Tre classi bastano:

- pubblici (listini, cataloghi, norme): ogni strumento dell’elenco;
- interni (procedure, verbali, offerte): solo strumenti con un contratto sui dati firmato dall’azienda;
- riservati e dati personali delicati (progetti, contratti dei clienti, dati sanitari o dei dipendenti): solo un’AI che gira su una macchina che controllate voi.

Vietare senza dare un’alternativa non funziona, come abbiamo scritto in [Un dipendente ha incollato un documento riservato in un chatbot](https://csidia.com/note-operative/documento-riservato-chatbot-dipendente-prime-48-ore/). Per la terza classe l’alternativa c’è: *un modello a pesi aperti, rifinito sul vostro lavoro, su quel lavoro fa meglio dei grandi modelli generalisti, e resta in casa vostra* ([ne abbiamo scritto qui](https://csidia.com/note-operative/modello-piccolo-addestrato-sul-compito-batte-grandi-modelli/)).

**3. Chi controlla quello che l’AI produce.** Una risposta a un cliente, un calcolo, una clausola, un testo da pubblicare: prima di uscire li legge una persona, che ne risponde. Scrivete chi, per ogni tipo di lavoro.

**4. Che cosa si registra, e chi lo legge.** Molti strumenti di AI tengono un registro delle domande, e le domande raccontano il lavoro delle persone. Lo Statuto dei lavoratori permette di usare le informazioni raccolte con questi strumenti «a tutti i fini connessi al rapporto di lavoro» solo se al lavoratore è data «adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli», nel rispetto del Codice privacy (art. 4, comma 3). Quindi la policy dice che cosa si registra, per quanto tempo, chi lo può leggere e in quali casi. Se uno strumento non serve a fare il lavoro ma ne permette anche il controllo a distanza, prima servono l’accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro (art. 4, comma 1): decidetelo con il consulente del lavoro prima di accendere i registri. I dettagli sono in [Log dell’assistente AI: per quanto conservarli e chi può leggerli](https://csidia.com/note-operative/log-assistente-ai-segreti-e-controllo-a-distanza/).

**5. Chi forma, chi risponde, quando si rivede.** Un nome a cui fare le domande; la traccia della formazione (chi, quando, su quali strumenti); che cosa fare se qualcosa va storto; una data per rileggere le regole, perché strumenti e contratti cambiano.

## Come lo facciamo noi

Due regole che applichiamo a noi stessi. I manuali tecnici che i clienti ci affidano li legge solo l’AI che gira sulle nostre macchine, mai un modello in cloud: è una regola scritta, in vigore al 20 ottobre 2026. E queste note, dal 21 ottobre 2026, le scriviamo con l’aiuto dell’AI, un modello in cloud che lavora su fonti pubbliche; un secondo agente AI le ricontrolla; prima di uscire le legge una persona di CSIDIA, a cui resta la decisione di pubblicarle. È la regola 3 applicata a noi: l’AI prepara, una persona firma.

## Prima di scriverla

1. Chiedete a tre colleghi di uffici diversi quali strumenti di AI usano oggi, anche quelli personali, e per quali documenti.
2. Mettete i vostri documenti nelle tre classi, con un esempio per ciascuna.
3. Fate rileggere le due pagine al responsabile della protezione dei dati e al consulente del lavoro, poi pubblicatele dove tutti le vedono.

Se volete una policy che lasci ai colleghi un’AI anche per i documenti che non possono uscire, il passo è uno: [scriveteci quali strumenti usate oggi e su quali documenti](https://csidia.com/contatti/).

*Scritto con l’aiuto dell’AI e verificato da CSIDIA.*

## Fonti

- [Regolamento (UE) 2024/1689 (AI Act), art. 4, nel testo modificato dal Regolamento (UE) 2026/1744 (EUR-Lex)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02024R1689-20260727)
- [Regolamento (UE) 2016/679 (GDPR), artt. 29 e 32 (EUR-Lex)](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Codice civile, art. 2104: diligenza del prestatore di lavoro (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:regio.decreto:1942-03-16;262:2~art2104!vig=)
- [Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4: impianti audiovisivi e altri strumenti di controllo (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:1970-05-20;300~art4!vig=)
- [Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 7: sanzioni disciplinari (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:1970-05-20;300~art7!vig=)

Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/policy-aziendale-ai-cinque-regole/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com