Regolamento interno sull'AI: cosa scrivere davvero, punto per punto

Se in azienda qualcuno sta già incollando l'anagrafica di un cliente in ChatGPT per farsi scrivere un'email, o carica un contratto riservato in un traduttore online, non è un'ipotesi: è quasi certamente già successo. L'AI si è infilata nel lavoro quotidiano prima che qualcuno decidesse come regolarla, e ogni dipendente sta già scegliendo da solo cosa è ammesso e cosa no. Il problema non è l'uso dell'AI in sé, ma l'assenza di regole scritte.

Una policy aziendale sull'uso dell'intelligenza artificiale è il regolamento interno che stabilisce chi può usare quali strumenti, per quali attività, con quali dati e con quali controlli. Non serve a bloccare l'innovazione: serve a trasformare un uso spontaneo e rischioso in un uso governato. E in caso di contestazione o controllo, è anche la prova che l'azienda ha dato regole chiare — senza policy, la responsabilità di un errore commesso da un dipendente risale quasi sempre all'organizzazione.

Questo articolo non è un trattato legale. È una traccia pratica: cosa mettere per iscritto, in che ordine, con quali contenuti minimi per ciascuna sezione. Alla fine trovi una struttura di base che puoi adattare al tuo caso, che tu abbia cinque persone o cinquanta.

Perché non basta il buon senso

Il ragionamento "i miei collaboratori sono persone serie, sapranno regolarsi" non regge, per un motivo semplice: nessuno fa danno in mala fede. Un dipendente che incolla un preventivo con dati di un cliente in un tool AI per farselo riassumere non pensa di violare nulla. Sta solo cercando di lavorare più in fretta. Il problema è che quel gesto è già un'uscita di dati non controllata, e se il tool in questione li usa per addestrare i propri modelli, quei dati non tornano indietro.

La giurisprudenza tende a considerare il datore di lavoro come il soggetto tenuto a informare, formare e dotare i collaboratori degli strumenti adeguati per operare correttamente. In pratica: se non hai scritto da nessuna parte quali strumenti sono ammessi e quali dati non vanno mai inseriti, difficilmente potrai sostenere che l'errore è solo del dipendente. La policy non elimina il rischio, ma lo rende gestibile e, soprattutto, documentato.

C'è anche un obbligo che riguarda direttamente le aziende che usano sistemi di intelligenza artificiale: l'articolo 4 dell'AI Act impone di garantire un livello adeguato di alfabetizzazione e governance interna sull'AI a chi la usa per conto dell'organizzazione. Una policy scritta, accompagnata da una minima attività di formazione, è il modo più diretto per rispondere a questo obbligo senza costruire un impianto burocratico sproporzionato per una PMI.

Dati ammessi: cosa può entrare in uno strumento AI e cosa mai

Questa è la sezione che va scritta con più cura, perché è quella dove si concentra il rischio concreto. La regola di base è semplice da enunciare e più difficile da far rispettare senza esempi: non tutto ciò che sai puoi scriverlo in un prompt.

Un modo pratico per strutturarla è dividere i dati in livelli. I dati già pubblici o destinati alla pubblicazione possono essere usati con qualsiasi strumento, con cautela. I dati per uso interno non sensibili vanno trattati preferibilmente su piattaforme aziendali riconosciute. I dati commerciali, finanziari o strategici richiedono solo strumenti aziendali approvati, mai account personali gratuiti. I dati che riguardano proprietà intellettuale, informazioni sanitarie, codice proprietario o dati personali di clienti e dipendenti vanno trattati solo su piattaforme private o on-premise, se disponibili, altrimenti non vanno inseriti affatto.

Un errore comune è pensare che il rischio riguardi solo la privacy in senso stretto. In realtà un'azienda espone anche il proprio know-how quando un dipendente descrive a un tool esterno procedure interne, logiche di prezzo, criteri di selezione dei fornitori o formule decisionali: informazioni che non sono dati personali, ma che fanno parte del patrimonio competitivo dell'azienda. La policy dovrebbe quindi vietare esplicitamente di condividere informazioni che non siano già di dominio pubblico, o imporre l'anonimizzazione dei riferimenti a persone, clienti o progetti riservati prima di formulare un prompt.

Verifica dei contenuti: perché l'output dell'AI non è mai definitivo

Un contenuto generato dall'AI può essere incompleto, impreciso o del tutto inventato — il fenomeno noto come allucinazione. Se questo output finisce in una comunicazione ufficiale, in un report o in un preventivo senza essere controllato, il danno economico o reputazionale ricade sull'azienda, non sullo strumento.

La policy deve quindi imporre un obbligo di controllo umano su ogni contenuto generato dall'AI prima che venga usato verso clienti, fornitori o in decisioni interne. Non basta scriverlo in astratto: conviene specificare in quali casi il controllo è più critico, per esempio comunicazioni customer-facing, documenti contrattuali, contenuti tecnici o sanitari, e stabilire chi ha l'ultima parola prima della pubblicazione o dell'invio.

Va aggiunta anche una regola di trasparenza: quando dichiarare che un contenuto è stato generato o assistito dall'AI. Non serve segnalarlo per piccole correzioni di testo, ma se un contenuto è interamente prodotto dall'AI e destinato al pubblico, molte organizzazioni scelgono di dichiararlo esplicitamente, proprio per non compromettere la fiducia di chi legge. Chi ha bisogno di mettere ordine in questa parte in modo strutturato, e non solo teorico, può partire da un audit AI aziendale che fotografi gli strumenti già in uso prima di scrivere le regole su carta.

Responsabilità: chi risponde se l'AI sbaglia

Qui la policy deve essere chirurgica, perché è la parte che verrà letta per prima in caso di contestazione. Servono tre cose distinte: chi autorizza l'introduzione di un nuovo strumento AI in azienda, chi supervisiona l'uso quotidiano, chi è accountable se un output errato causa un danno.

Un punto delicato riguarda le decisioni che toccano le persone: valutazione del personale, selezione di candidati, credit scoring, definizione di prezzi o condizioni verso clienti. Il GDPR impone che i processi decisionali fortemente automatizzati siano sempre soggetti a una supervisione umana significativa. Se un dipendente configura un flusso che usa l'AI per profilare o valutare lavoratori, candidati o clienti senza controllo umano reale, l'azienda può trovarsi in violazione, con sanzioni che possono arrivare fino al 4% del fatturato globale annuo. Per questo la policy deve elencare esplicitamente quali decisioni non possono mai essere delegate all'AI senza revisione umana finale.

Infine, va prevista una procedura di segnalazione: i dipendenti devono avere un canale semplice per segnalare usi non previsti, risposte anomale o errori dello strumento, e l'azienda deve tenere traccia di queste segnalazioni. Non è burocrazia fine a se stessa: è la documentazione che dimostra, se necessario, che l'azienda ha vigilato.

La struttura di base da adattare

Non serve un documento di quaranta pagine. Per una PMI o uno studio professionale, una policy efficace tiene in dieci punti essenziali, da adattare al proprio settore e alla propria dimensione:

1. Scopo e campo di applicazione: perché esiste il documento e a chi si applica (dipendenti, collaboratori esterni, stagisti).
2. Definizione di AI e perimetro: cosa si intende per strumento AI ai fini della policy, per evitare ambiguità.
3. Principi generali: supervisione umana sempre presente, trasparenza verso clienti e colleghi, rispetto delle normative vigenti.
4. Strumenti autorizzati: elenco dei tool approvati, con account aziendali, e procedura per richiedere l'approvazione di uno nuovo.
5. Classificazione dei dati: cosa si può inserire, cosa no, secondo i livelli descritti sopra.
6. Casi d'uso consentiti e vietati: per contenuti, per comunicazioni verso l'esterno, per decisioni su persone, per sviluppo di codice.
7. Obbligo di verifica degli output: chi controlla, quando, con quale evidenza.
8. Ruoli e responsabilità: chi approva, chi monitora, chi risponde in caso di incidente.
9. Formazione: chi va formato, con quale frequenza, con quali contenuti minimi.
10. Revisione e gestione delle violazioni: cadenza di aggiornamento del documento e conseguenze di un uso improprio.

È utile affiancare a questo documento un registro semplice degli strumenti AI effettivamente in uso, con nome dello strumento, referente interno, tipo di dati trattati e data dell'ultima revisione. Non serve un software dedicato: basta un foglio condiviso, aggiornato ogni volta che si introduce un nuovo strumento.

Scriverla non basta: va fatta vivere

Un errore frequente è considerare la policy un documento da produrre una volta e archiviare. L'AI cambia strumenti e capacità nel giro di mesi, non di anni, quindi una policy ferma perde valore rapidamente. La prassi ragionevole, anche se la norma non fissa una periodicità obbligatoria, è una revisione annuale, più una sessione straordinaria ogni volta che l'azienda introduce un nuovo sistema AI o cambia in modo sostanziale l'uso di uno già esistente.

La formazione che accompagna la policy dovrebbe essere differenziata per ruolo: chi usa gli strumenti tutti i giorni ha bisogno di istruzioni operative pratiche — cosa è consentito, quali dati non vanno mai inseriti, a chi rivolgersi nei casi dubbi — mentre chi decide di adottare nuovi strumenti o ne risponde davanti alla direzione ha bisogno di capire anche gli obblighi normativi, non solo le procedure interne. Se in azienda il team fatica ad applicare le regole, spesso il problema non è la resistenza al cambiamento ma la mancanza di formazione mirata: è uno dei motivi per cui un percorso di consulenza e formazione AI risulta più efficace di un documento calato dall'alto senza spiegazione.

Infine, la policy non va confusa con la governance completa. Le regole scritte stabiliscono cosa è consentito e cosa vietato, ma da sole non bastano: vanno tradotte in pratiche quotidiane, controlli reali e strumenti che rendano le regole eseguibili, non solo dichiarate. Un caso concreto di questo passaggio, dalla regola scritta al processo effettivamente monitorato, è quello di LaTeva.ai, dove il controllo umano sull'agente AI è parte integrante del gestionale, non un'aggiunta successiva.

Una policy sull'uso dell'AI non elimina i rischi, ma li rende visibili, distribuiti e documentati invece che lasciati al caso. Se in azienda l'AI viene già usata senza regole scritte — ed è quasi certamente così — il momento giusto per mettere ordine è prima del primo incidente, non dopo. Se vuoi partire da una fotografia reale di cosa sta succedendo con l'AI nella tua azienda prima di scrivere la policy, un audit AI aziendale è il primo passo concreto.