Una policy interna sull’uso dell’AI è un documento breve che dice a tutti in azienda quali strumenti si possono usare, con quali dati, chi controlla i risultati e chi risponde se qualcosa va storto. Serve anche se nessuno l’ha mai chiesta: i collaboratori usano già assistenti come ChatGPT o Gemini, spesso con account personali, e senza regole scritte è difficile dimostrare di aver rispettato il GDPR e l’obbligo di alfabetizzazione previsto dall’AI Act. In questa guida trovi le sezioni da inserire, le fonti normative da cui derivano e una checklist da usare come traccia, adatta a uno studio professionale o a una PMI.
Perché scriverla: tre riferimenti normativi
- AI Act, art. 4. Fornitori e deployer (cioè chi usa sistemi di AI nella propria attività) adottano “misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA” del personale e delle altre persone che li usano per loro conto. Il testo è stato sostituito dal Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026: l’obbligo resta, ma non impone di garantire un livello specifico di alfabetizzazione per alcuna persona. Secondo la Commissione europea, la vigilanza delle autorità nazionali si applica dal 2 agosto 2026.
- GDPR. Se nei prompt finiscono dati personali, valgono i principi del Regolamento (UE) 2016/679: minimizzazione (art. 5), contratto con il fornitore (art. 28), sicurezza (art. 32).
- L. 132/2025, art. 13 (solo per le professioni intellettuali). L’AI è ammessa per attività strumentali e di supporto, con prevalenza del lavoro del professionista, e il cliente va informato sui sistemi usati con linguaggio chiaro (Normattiva).
La Commissione chiarisce che l’art. 4 riguarda anche un’azienda i cui dipendenti usano ChatGPT per scrivere testi o tradurre: devono conoscere i rischi specifici, come le allucinazioni. Non serve quindi sviluppare sistemi di AI perché la policy abbia senso.
Cosa deve contenere la policy
1. Scopo e ambito
A chi si applica (dipendenti, collaboratori, praticanti, consulenti esterni che lavorano per conto dell’azienda) e a quali attività. La Commissione include tra le “altre persone” dell’art. 4 anche fornitori e appaltatori che usano l’AI per conto dell’organizzazione.
2. Strumenti ammessi
Un elenco chiuso, non un divieto generico. Per ogni strumento indica:
- nome e versione (per esempio la versione aziendale, non quella personale);
- con quale account si usa: solo quello fornito dall’azienda;
- per quali attività è ammesso;
- chi lo amministra.
Tieni l’elenco in un registro aggiornato: è utile anche per l’informativa ai clienti. Ogni nuovo strumento entra nel registro solo dopo una verifica del contratto e delle condizioni sul trattamento dei dati.
3. Dati: cosa si può inserire e cosa no
La parte più importante. Un sistema a tre livelli è semplice da ricordare:
| Livello | Esempi | Regola |
|---|---|---|
| Verde | testi pubblici, bozze senza riferimenti a persone, codice senza credenziali | ammessi negli strumenti approvati |
| Giallo | dati di clienti o dipendenti, documenti interni | solo negli strumenti aziendali con contratto di trattamento, riducendo i dati al minimo |
| Rosso | dati sanitari, dati giudiziari, credenziali e password, documenti coperti da segreto professionale o da accordi di riservatezza | vietati negli strumenti cloud, salvo deroga scritta o soluzione in locale |
Spiega anche il perché. Le versioni personali possono usare i contenuti per l’addestramento (OpenAI) e Google, per l’app Gemini con account personale, chiede di non inserire informazioni riservate perché un sottoinsieme delle chat è letto da revisori umani (Google). Per questo la regola di base è semplice: con dati di clienti o dipendenti si usano solo gli strumenti aziendali approvati, mai gli account personali.
4. Verifica umana degli output
Ogni risultato dell’AI che esce dall’azienda o entra in una decisione va controllato da una persona. Specifica:
- chi verifica (chi ha prodotto il testo, un collega, il responsabile);
- cosa verifica: fatti, numeri, riferimenti normativi, citazioni, nomi;
- che le fonti citate dall’AI vanno aperte e lette, non copiate;
- che la responsabilità del lavoro consegnato resta di chi lo firma.
5. Trasparenza verso clienti e terzi
Quando e come dire che si è usata l’AI. Per gli studi professionali è un obbligo di legge (art. 13 L. 132/2025); per le altre aziende è una scelta da fare in modo coerente, per esempio nei contratti o nelle condizioni di servizio.
6. Formazione e alfabetizzazione
Le FAQ della Commissione indicano i contenuti minimi da considerare:
- una comprensione generale di cos’è l’AI, come funziona, quali strumenti si usano in azienda e con quali rischi;
- il ruolo dell’organizzazione: sviluppa sistemi di AI o li usa;
- i rischi dei sistemi usati e come ridurli;
- azioni calibrate sulle conoscenze delle persone e sul contesto d’uso.
Non serve un certificato: secondo la Commissione basta tenere un registro interno delle formazioni e delle altre iniziative. Non è richiesta nemmeno una figura dedicata come un “AI officer”.
7. Ruoli e responsabilità
Chi approva nuovi strumenti, chi gestisce gli account, chi aggiorna la policy, a chi si segnalano dubbi ed errori. In uno studio di pochi professionisti può essere una sola persona, purché sia scritto.
8. Incidenti e segnalazioni
Cosa fare se un dato è stato inserito per errore in uno strumento non ammesso o se un output sbagliato è arrivato a un cliente: chi avvisare, entro quando, come documentare. Se è coinvolto un dato personale, il caso va valutato con chi si occupa della privacy in azienda.
9. Revisione
Una data di revisione fissa, almeno annuale, e una revisione straordinaria quando cambia uno strumento o una norma. Le condizioni dei fornitori cambiano spesso.
Checklist della policy AI
- [ ] Ambito: persone e attività coperte, collaboratori esterni compresi
- [ ] Registro degli strumenti ammessi, con versione, account e amministratore
- [ ] Contratto di trattamento dati verificato per ogni strumento che riceve dati personali
- [ ] Divieto di usare account personali per attività di lavoro
- [ ] Classificazione dei dati (verde, giallo, rosso) con esempi del proprio settore
- [ ] Regola di verifica umana: chi, cosa, prima di quale passaggio
- [ ] Modalità di informazione ai clienti (obbligatoria per i professionisti)
- [ ] Piano di formazione per ruolo e registro delle formazioni svolte
- [ ] Referente per la policy e per le segnalazioni
- [ ] Procedura per errori e inserimenti di dati non ammessi
- [ ] Data della prossima revisione
- [ ] Firma o presa visione da parte di tutte le persone coinvolte
Errori frequenti
- Copiare un modello generico senza adattarlo agli strumenti e ai dati reali dell’azienda.
- Vietare tutto. Le persone continuano a usare l’AI, ma di nascosto e con account personali.
- Scrivere la policy e non formare nessuno. Un documento non letto non sviluppa alcuna competenza.
- Non aggiornarla quando si adotta un nuovo strumento.
Se vuoi partire da una base già impostata, il kit di conformità comprende policy interna, registro degli strumenti, informativa al cliente e formazione del team. È uno strumento operativo, non un parere legale: va verificato con il proprio consulente. Per la scelta degli strumenti da ammettere, vedi AI in locale e sicurezza.
Domande frequenti
La policy AI è obbligatoria per legge?
Nessuna delle norme citate impone un documento chiamato “policy AI”. Però l’art. 4 dell’AI Act chiede misure di alfabetizzazione e il GDPR chiede misure organizzative adeguate per i dati personali: una policy scritta, con il registro delle formazioni, è il modo più semplice per documentarle.
Quanto deve essere lunga?
Il meno possibile. Poche pagine lette da tutti funzionano meglio di un documento lungo che nessuno apre. I dettagli tecnici possono stare in allegato.
Basta far leggere le istruzioni degli strumenti?
Secondo la Commissione, in molti casi affidarsi solo alle istruzioni d’uso o chiedere al personale di leggerle può non essere efficace. Meglio una formazione pratica sugli strumenti e sui dati dell’azienda.
Chi deve scriverla?
Il titolare o un referente interno, con il supporto di chi conosce gli strumenti e di chi si occupa di privacy. Le persone che usano l’AI ogni giorno vanno coinvolte: sanno dove nascono i rischi reali.
Fonti
- EUR-Lex, Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)
- Commissione europea, AI Literacy – Questions & Answers
- EUR-Lex, Regolamento (UE) 2016/679 (GDPR)
- Normattiva, Legge 23 settembre 2025, n. 132, art. 13
- OpenAI Help Center, Come vengono utilizzati i tuoi dati per migliorare le prestazioni del modello
- Google, Centro per la privacy delle app Gemini
Vuoi impostare la policy AI del tuo studio o della tua azienda partendo dagli strumenti che usate davvero? Richiedi una consulenza.
