IT EN
Avvia una prova

Note operative Governance

Come si scrive una policy aziendale sull’AI? Le cinque regole che servono davvero

5 min di lettura

Se dovete scrivere le regole su come in azienda si usa l’intelligenza artificiale, o avete già una policy firmata che nessuno ha letto, il rischio è lo stesso: un documento lungo che vieta molto, e colleghi che intanto usano un chatbot sul telefono personale. Una policy che funziona sta in due pagine e risponde a cinque domande pratiche. Prima, però, conviene sapere su che cosa poggia.

Perché scriverla

Le regole scritte non sono una moda: poggiano su quattro norme che valgono già.

  • I dati personali si trattano solo su istruzione. Chi lavora per l’azienda e ha accesso a dati personali «non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento» (GDPR, art. 29; lo ripete l’art. 32, paragrafo 4). Incollare i dati personali di un cliente in un servizio non autorizzato è un trattamento senza istruzione. La policy è l’istruzione.
  • Il dipendente segue le disposizioni dell’azienda. Il codice civile gli chiede di «osservare le disposizioni per l’esecuzione e per la disciplina del lavoro impartite dall’imprenditore» (art. 2104). Una regola scritta e comunicata è una di queste disposizioni.
  • Senza regola conosciuta, niente sanzione. Se volete che una violazione possa avere conseguenze disciplinari, le norme disciplinari «devono essere portate a conoscenza dei lavoratori mediante affissione in luogo accessibile a tutti», nel rispetto dei contratti collettivi (Statuto dei lavoratori, art. 7).
  • La formazione. L’AI Act chiede a chi usa sistemi di AI di adottare «misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, e dal 27 luglio 2026 precisa che non serve garantire «un livello specifico» a nessuno (art. 4, riscritto dal Regolamento (UE) 2026/1744). Serve poter mostrare che cosa avete fatto, come abbiamo spiegato in che cosa deve fare un’azienda che usa l’AI.

Le cinque regole

1. Quali strumenti, con quale account. Un elenco corto degli strumenti autorizzati, solo con account aziendali, e una frase chiara: per lavoro, gli altri non si usano. L’account aziendale è quello coperto dal contratto sui dati che l’azienda ha firmato; un account personale no.

2. Quali documenti, in quale strumento. Tre classi bastano:

  • pubblici (listini, cataloghi, norme): ogni strumento dell’elenco;
  • interni (procedure, verbali, offerte): solo strumenti con un contratto sui dati firmato dall’azienda;
  • riservati e dati personali delicati (progetti, contratti dei clienti, dati sanitari o dei dipendenti): solo un’AI che gira su una macchina che controllate voi.

Vietare senza dare un’alternativa non funziona, come abbiamo scritto in Un dipendente ha incollato un documento riservato in un chatbot. Per la terza classe l’alternativa c’è: un modello a pesi aperti, rifinito sul vostro lavoro, su quel lavoro fa meglio dei grandi modelli generalisti, e resta in casa vostra (ne abbiamo scritto qui).

3. Chi controlla quello che l’AI produce. Una risposta a un cliente, un calcolo, una clausola, un testo da pubblicare: prima di uscire li legge una persona, che ne risponde. Scrivete chi, per ogni tipo di lavoro.

4. Che cosa si registra, e chi lo legge. Molti strumenti di AI tengono un registro delle domande, e le domande raccontano il lavoro delle persone. Lo Statuto dei lavoratori permette di usare le informazioni raccolte con questi strumenti «a tutti i fini connessi al rapporto di lavoro» solo se al lavoratore è data «adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli», nel rispetto del Codice privacy (art. 4, comma 3). Quindi la policy dice che cosa si registra, per quanto tempo, chi lo può leggere e in quali casi. Se uno strumento non serve a fare il lavoro ma ne permette anche il controllo a distanza, prima servono l’accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro (art. 4, comma 1): decidetelo con il consulente del lavoro prima di accendere i registri. I dettagli sono in Log dell’assistente AI: per quanto conservarli e chi può leggerli.

5. Chi forma, chi risponde, quando si rivede. Un nome a cui fare le domande; la traccia della formazione (chi, quando, su quali strumenti); che cosa fare se qualcosa va storto; una data per rileggere le regole, perché strumenti e contratti cambiano.

Come lo facciamo noi

Due regole che applichiamo a noi stessi. I manuali tecnici che i clienti ci affidano li legge solo l’AI che gira sulle nostre macchine, mai un modello in cloud: è una regola scritta, in vigore al 20 ottobre 2026. E queste note, dal 21 ottobre 2026, le scriviamo con l’aiuto dell’AI, un modello in cloud che lavora su fonti pubbliche; un secondo agente AI le ricontrolla; prima di uscire le legge una persona di CSIDIA, a cui resta la decisione di pubblicarle. È la regola 3 applicata a noi: l’AI prepara, una persona firma.

Prima di scriverla

  1. Chiedete a tre colleghi di uffici diversi quali strumenti di AI usano oggi, anche quelli personali, e per quali documenti.
  2. Mettete i vostri documenti nelle tre classi, con un esempio per ciascuna.
  3. Fate rileggere le due pagine al responsabile della protezione dei dati e al consulente del lavoro, poi pubblicatele dove tutti le vedono.

Se volete una policy che lasci ai colleghi un’AI anche per i documenti che non possono uscire, il passo è uno: scriveteci quali strumenti usate oggi e su quali documenti.

Scritto con l’aiuto dell’AI e verificato da CSIDIA.

Fonti