Probabilmente, mentre stai leggendo questo articolo, qualcuno nella tua azienda sta già usando l’Intelligenza Artificiale.
Magari per scrivere una mail.
Per riassumere un documento.
Per correggere un testo.
Per preparare una presentazione.
Per analizzare un file Excel.
Per rispondere a un cliente.
Per creare un’immagine.
Per confrontare due contratti.
Per preparare una prima bozza di offerta commerciale.
Il problema non è necessariamente che lo stia facendo.
Il problema nasce quando nessuno, dentro l’azienda, sa esattamente chi sta usando cosa, con quali dati, per quale attività, con quali account e con quale controllo sul risultato finale.
È qui che una AI Policy aziendale comincia ad avere senso.
Non perché serva un altro documento da mettere in una cartella.
Serve perché l’Intelligenza Artificiale è entrata nel lavoro molto più velocemente delle regole che avrebbero dovuto accompagnarla.
In molte organizzazioni ChatGPT, Copilot, Gemini, Claude, Perplexity e altri strumenti sono arrivati attraverso l’iniziativa delle singole persone. Qualcuno ha aperto un account, ha provato, ha scoperto che funzionava e ha iniziato a usarlo.
Poi qualcun altro ha fatto la stessa cosa.
Nel giro di qualche mese ciò che era una prova individuale è diventato un pezzo del processo aziendale, senza che nessuno lo abbia mai deciso formalmente.
Una AI Policy aziendale serve soprattutto a mettere ordine in questo passaggio.
L’AI Policy è obbligatoria per tutte le aziende?
Partiamo da qui, perché su questo tema si rischia facilmente di fare confusione.
L’AI Act non impone in modo generalizzato a ogni azienda europea di possedere un documento chiamato “AI Policy aziendale”.
Non esiste, cioè, una norma che dica semplicemente: “Se usi ChatGPT devi avere una policy di dieci pagine”.
Il quadro è più articolato.
L’AI Act prevede obblighi diversi in funzione del ruolo dell’organizzazione, del sistema utilizzato, del contesto, delle persone coinvolte e del livello di rischio. L’articolo 4, nella versione aggiornata nel 2026, continua a richiedere a provider e deployer di adottare misure per sviluppare l’AI literacy delle persone che operano con sistemi di IA per loro conto, tenendo conto delle competenze, dell’esperienza, della formazione e del contesto nel quale l’IA viene utilizzata.
La Commissione Europea chiarisce anche che non esiste un unico corso obbligatorio, non è richiesto un certificato specifico e non viene imposta, ai fini dell’articolo 4, una struttura organizzativa standard come un “AI Officer”. Le organizzazioni possono invece documentare formazione, iniziative e regole interne in modo proporzionato alla propria realtà.
La policy entra proprio qui.
Non è la bacchetta magica che rende un’azienda conforme.
È uno strumento di governo.
Serve a trasformare frasi generiche come “usate l’IA con attenzione” in indicazioni comprensibili.
Perché dire a un dipendente di “fare attenzione” non gli dice se può caricare un contratto.
Non gli dice se può inserire il nome di un cliente.
Non gli dice se può usare il proprio account personale.
Non gli dice se può pubblicare direttamente un testo generato.
Non gli dice se può utilizzare l’IA per valutare un candidato.
Non gli dice cosa fare quando la risposta dell’IA contiene una norma che sembra vera.
Una policy dovrebbe servire esattamente a questo.
Prima della policy bisogna capire come l’IA viene già usata
Questo è un passaggio che eviterei di saltare.
Scrivere una policy senza conoscere gli usi reali dell’azienda significa costruire regole per un’azienda immaginaria.
Prima chiederei ai reparti:
Quali strumenti state già utilizzando?
Con quali account?
Per quali attività?
Quali documenti caricate?
Quali informazioni inserite nei prompt?
Quali output vengono utilizzati soltanto internamente?
Quali finiscono ai clienti?
Quali diventano documenti, offerte, contenuti pubblici, report o decisioni?
Questa fotografia iniziale può collegarsi molto bene a un Registro IA aziendale, che non deve essere raccontato come obbligo universale per tutte le imprese, ma può essere uno strumento molto utile per rendere visibili gli usi dell’IA, i dati coinvolti, i controlli effettuati e le criticità emerse.
Solo dopo inizierei a scrivere le regole.
E ne scriverei almeno dieci.
1. Stabilire quali strumenti di IA possono essere utilizzati
La prima regola sembra elementare, eppure in moltissime aziende manca.
Un dipendente può utilizzare qualsiasi servizio di IA che trova online?
Può creare un account personale?
Può utilizzare una versione gratuita?
Può installare un’estensione del browser che integra l’IA nella posta elettronica?
Può collegare lo strumento al proprio Drive?
Può autorizzarlo ad accedere a documenti aziendali?
Può usare applicazioni sconosciute perché “fanno la stessa cosa di ChatGPT”?
Una policy dovrebbe rispondere.
Non significa necessariamente scegliere un solo sistema, anzi ho già spiegato perché dipendere da una sola Intelligenza Artificiale può diventare un rischio.
Significa però distinguere tra strumenti valutati dall’azienda e strumenti utilizzati casualmente dalle persone.
Questo conta anche dal punto di vista dei dati.
Nel caso di OpenAI, per esempio, le condizioni di trattamento non sono identiche tra i servizi consumer e quelli Business o Enterprise. OpenAI dichiara che, per ChatGPT Business, Enterprise, Edu e API, input e output aziendali non vengono utilizzati per addestrare i modelli per impostazione predefinita. Nei servizi individuali esistono invece impostazioni specifiche che permettono all’utente di decidere se consentire l’utilizzo delle nuove conversazioni per il miglioramento dei modelli.
Questo da solo dovrebbe far capire perché “usate pure ChatGPT” non è ancora una regola aziendale.
Come potremmo scriverlo nella policy:
Per le attività aziendali possono essere utilizzati esclusivamente gli strumenti di Intelligenza Artificiale preventivamente autorizzati dall’organizzazione. L’utilizzo di account personali, servizi non approvati, estensioni, applicazioni o integrazioni che accedono a dati e documenti aziendali deve essere preventivamente valutato.
Una frase semplice.
Finalmente, però, significa qualcosa.
2. Scrivere chiaramente quali dati non devono entrare nei prompt
Questa probabilmente è una delle regole più importanti.
Quando una persona utilizza l’IA, pensa soprattutto alla domanda.
L’azienda dovrebbe guardare prima ciò che sta entrando nello strumento.
Un prompt può contenere nomi.
Email.
Numeri di telefono.
Dati dei dipendenti.
Informazioni sui clienti.
Condizioni economiche.
Contratti.
Listini riservati.
Documentazione sanitaria.
Curriculum.
Dati fiscali.
Credenziali.
Informazioni commerciali.
Codice sorgente.
Strategie.
Documenti ancora non pubblici.
Il fatto che uno strumento sia tecnicamente capace di elaborare quelle informazioni non significa automaticamente che sia corretto inserirle.
Il tema riguarda privacy, riservatezza, sicurezza, segreti commerciali, obblighi contrattuali e responsabilità professionali. L’European Data Protection Board ha affrontato specificamente il rapporto fra modelli di IA e dati personali, soffermandosi anche su anonimizzazione, basi giuridiche e trattamento dei dati.
Ne avevo parlato anche nell’articolo sui rischi legali dell’Intelligenza Artificiale per aziende e professionisti, perché uno degli errori più facili da commettere consiste proprio nel considerare il prompt uno spazio privato nel quale possiamo incollare qualunque cosa.
Non dovrebbe funzionare così.
La policy dovrebbe indicare almeno quali categorie di dati sono vietate, quali possono essere utilizzate solo dopo anonimizzazione o pseudonimizzazione e quali possono essere trattate soltanto attraverso strumenti e ambienti espressamente autorizzati.
Come potremmo scriverlo nella policy:
Prima di inserire informazioni in un sistema di IA, l’utilizzatore deve verificare che i dati possano essere trattati attraverso lo strumento autorizzato. Non devono essere inseriti dati personali, riservati, confidenziali, credenziali, segreti commerciali o documenti di terzi quando tale trattamento non sia stato preventivamente valutato e autorizzato. Quando possibile, i dati devono essere anonimizzati o ridotti al minimo necessario.
Questa frase vale più di venti slide sulla privacy se poi nessuno ha spiegato cosa fare davanti alla casella del prompt.
3. Dire per quali attività l’IA può essere usata
Una buona policy non dovrebbe contenere soltanto divieti.
Dovrebbe aiutare le persone a capire dove l’IA può realmente dare valore.
Preparare una bozza interna.
Riordinare appunti.
Sintetizzare un documento non riservato.
Costruire una scaletta.
Generare idee.
Riformulare un testo.
Preparare una prima versione di una comunicazione.
Tradurre materiale che può essere trattato attraverso quello strumento.
Confrontare strutture.
Creare una checklist.
Sono attività molto diverse dall’utilizzare un sistema per decidere chi assumere, valutare le prestazioni di una persona, interpretare automaticamente informazioni sanitarie, attribuire un rischio a un cliente o prendere una decisione che produce effetti concreti su qualcuno.
L’AI Act stesso distingue gli usi in funzione del rischio e contiene anche pratiche espressamente vietate. Per esempio, l’uso di determinati sistemi di riconoscimento delle emozioni nei luoghi di lavoro è vietato salvo specifiche eccezioni legate a ragioni mediche o di sicurezza.
La policy dovrebbe quindi avere una distinzione leggibile fra:
attività ordinarie consentite;
attività consentite con verifica o autorizzazione;
attività che richiedono una valutazione specifica;
attività vietate.
Non serve che ogni dipendente conosca a memoria tutto l’AI Act.
Serve che sappia quando può continuare e quando deve fermarsi e chiedere.
Come potremmo scriverlo nella policy:
L’IA può essere utilizzata come strumento di supporto nelle attività espressamente consentite dall’organizzazione. Qualsiasi utilizzo che possa incidere su persone, diritti, selezione o valutazione del personale, clienti, decisioni economiche, accesso a servizi o altri processi rilevanti deve essere preventivamente sottoposto a valutazione interna.
Questo è governo.
Non paura.
4. Stabilire che una risposta dell’IA non è automaticamente una fonte
Qui entrerei molto chiaramente.
Una persona chiede all’IA:
“Qual è la norma applicabile?”
Riceve articolo, numero, anno, spiegazione.
Copia.
Invia.
È uno dei percorsi più brevi verso un errore professionale.
Una policy dovrebbe stabilire che qualsiasi informazione fattuale rilevante prodotta dall’IA deve essere verificata prima dell’utilizzo, soprattutto quando riguarda norme, dati, statistiche, citazioni, sentenze, prezzi, informazioni tecniche, studi, persone, date o fatti aggiornati.
Questo principio appartiene pienamente al Metodo Sinibaldi: l’output non si accetta perché è scritto bene, si legge, si verifica, si corregge e soltanto dopo si decide cosa farne.
Anche il modo in cui costruiamo il prompt conta. Ho spiegato in un altro articolo perché un prompt non basta se manca il contesto. Se lasciamo all’IA spazi vuoti, tenderà comunque a completarli. È esattamente lì che dobbiamo indicare cosa non deve inventare e cosa deve segnalare come incerto.
Come potremmo scriverlo nella policy:
Gli output generati dall’IA non devono essere considerati automaticamente corretti, completi o aggiornati. Le informazioni rilevanti devono essere verificate attraverso fonti attendibili e, quando possibile, primarie. È vietato presentare come verificato un dato, una norma, una citazione o un riferimento ricavato esclusivamente dalla risposta del sistema di IA.
Qui la responsabilità torna finalmente nel posto giusto.
5. Stabilire chi controlla prima che l’output esca dall’azienda
Un testo generato internamente e mai utilizzato fuori dall’organizzazione ha un peso.
Una risposta inviata a un cliente ne ha un altro.
Una brochure.
Una comunicazione ufficiale.
Un contratto.
Una relazione professionale.
Un articolo.
Una campagna pubblicitaria.
Un preventivo.
Una procedura.
Una comunicazione HR.
Appena l’output esce dall’ambiente di prova e produce un effetto reale, deve esserci una persona che ne assume il controllo.
Non basta scrivere genericamente “revisione umana”.
Bisogna capire quale revisione e fatta da chi.
Un testo giuridico non dovrebbe essere verificato da chi non ha competenza giuridica soltanto perché sa usare bene ChatGPT.
Un dato economico deve essere controllato da chi conosce quei numeri.
Una comunicazione commerciale deve essere verificata da chi sa quali promesse l’azienda può realmente mantenere.
Per i sistemi ad alto rischio, l’AI Act prevede espressamente obblighi di supervisione umana affidata a persone dotate di competenze, formazione, autorità e supporto adeguati.
Anche quando siamo molto lontani dall’alto rischio, il principio resta utile.
Come potremmo scriverlo nella policy:
Nessun output generato dall’IA destinato a produrre effetti esterni o a supportare attività rilevanti può essere utilizzato senza revisione da parte di una persona competente rispetto al contenuto. L’approvazione finale resta in capo alla persona o al ruolo aziendale responsabile dell’attività.
Non “un umano qualsiasi”.
Una persona competente.
La differenza è importante.
6. Impedire che l’IA diventi un decisore invisibile
Questo è uno dei rischi che aumenta man mano che gli strumenti migliorano.
All’inizio chiediamo una bozza.
Poi chiediamo un consiglio.
Poi chiediamo quale delle tre alternative scegliere.
Poi chiediamo quale candidato sembra migliore.
Poi quale cliente presenta più rischi.
Poi quale dipendente performa peggio.
A poco a poco la macchina si sposta dal supporto alla decisione.
La policy dovrebbe stabilire un confine.
L’IA può aiutare ad analizzare.
Può organizzare informazioni.
Può far emergere elementi da approfondire.
Può costruire scenari.
Non dovrebbe diventare automaticamente la persona che decide, soprattutto quando quella decisione incide su altre persone.
La responsabilità non scompare solo perché il suggerimento è arrivato da un algoritmo.
Come potremmo scriverlo nella policy:
I sistemi di IA possono fornire supporto informativo, analitico o organizzativo, ma non devono sostituire automaticamente il giudizio professionale o decisionale previsto dal ruolo. Le decisioni che producono conseguenze rilevanti su persone, clienti, lavoratori, fornitori o altri soggetti devono essere assunte secondo le procedure aziendali previste e con un controllo umano effettivo.
La parola importante è “effettivo”.
Se la persona preme sempre “approva” senza capire, il controllo umano esiste soltanto sulla carta.
7. Stabilire quando bisogna dichiarare l’uso dell’IA
Anche qui eviterei una regola infantile del tipo:
“Qualunque cosa fatta con l’IA deve avere scritto sotto che è stata fatta con l’IA”.
Non funziona così.
Il quadro europeo prevede specifici obblighi di trasparenza per determinati sistemi e contenuti generati o manipolati, con regole che dipendono dal contesto, dal tipo di sistema e dal tipo di contenuto. L’articolo 50 dell’AI Act disciplina proprio questi aspetti ed è stato oggetto di modifiche nel 2026, motivo per cui ogni organizzazione deve valutare gli obblighi realmente applicabili al proprio caso e non affidarsi a formule generiche.
Una policy interna può però stabilire un principio di base:
quando una persona crede di stare interagendo con un essere umano e invece sta interagendo con un sistema automatico, la trasparenza deve essere valutata seriamente;
quando un contenuto sintetico può indurre il pubblico a ritenere reale qualcosa che non lo è, serve ancora più attenzione;
quando esiste un obbligo normativo specifico, naturalmente va rispettato.
Come potremmo scriverlo nella policy:
L’uso dell’IA deve essere dichiarato nei casi previsti dalla normativa e ogni volta in cui l’assenza di trasparenza possa indurre destinatari, clienti, utenti o pubblico a interpretare erroneamente la natura del contenuto o dell’interazione. I casi dubbi devono essere sottoposti al referente individuato dall’organizzazione.
Non serve scrivere “fatto con l’IA” su ogni email corretta grammaticalmente.
Serve capire perché esiste la trasparenza.
8. Regolare account, accessi, condivisioni e integrazioni
Una parte del rischio nasce prima ancora del prompt.
Chi possiede l’account?
Quale email viene utilizzata?
La password è condivisa?
È attiva l’autenticazione a più fattori?
Un dipendente può collegare autonomamente Google Drive, OneDrive, Dropbox, Slack, Gmail o altri servizi?
Può creare link pubblici alle conversazioni?
Può installare app o connettori?
Cosa succede quando quella persona lascia l’azienda?
Quali conversazioni restano accessibili?
Chi revoca le autorizzazioni?
Questo non è un tema “da informatici”.
È parte della gestione dell’IA.
Le piattaforme business offrono controlli diversi da quelli degli account personali e, per esempio, OpenAI dichiara che nei propri ambienti Business i dati sono esclusi dall’addestramento per impostazione predefinita, protetti in transito e a riposo e soggetti a specifici controlli di workspace.
La policy dovrebbe quindi collegarsi alle normali procedure di sicurezza informatica dell’organizzazione.
Come potremmo scriverlo nella policy:
Gli strumenti di IA devono essere utilizzati attraverso account e modalità di accesso autorizzati. Non è consentito collegare autonomamente sistemi di IA a repository, caselle email, archivi, gestionali o altre fonti aziendali senza preventiva autorizzazione. Credenziali, conversazioni e link di condivisione devono essere gestiti secondo le regole di sicurezza dell’organizzazione.
L’IA non vive separata dall’infrastruttura aziendale.
Entra dentro.
Quindi va governata anche lì.
9. Decidere quali utilizzi devono lasciare una traccia
Se ogni volta che un dipendente chiede all’IA di correggere una virgola deve compilare sette campi in un registro, la policy durerà tre giorni.
Le persone troveranno un modo per aggirarla.
La tracciabilità deve essere proporzionata.
Ha senso documentare utilizzi che coinvolgono dati, clienti, documenti importanti, automazioni, output esterni, decisioni, chatbot, processi ricorrenti, attività delicate, errori significativi o strumenti nuovi.
Ha meno senso trasformare ogni micro-interazione innocua in un atto amministrativo.
Per questo il Registro IA aziendale può diventare complementare alla policy.
La policy dice come ci comportiamo.
Il registro aiuta a capire cosa stiamo realmente facendo.
Sono due funzioni diverse.
Per i sistemi ad alto rischio, poi, l’AI Act prevede specifici obblighi anche in materia di log e conservazione delle registrazioni, quando tali log sono sotto il controllo del deployer.
Come potremmo scriverlo nella policy:
Gli utilizzi dell’IA definiti rilevanti dall’organizzazione devono essere documentati secondo le procedure interne previste. La tracciabilità deve consentire, quando necessario, di ricostruire lo strumento utilizzato, la finalità, la tipologia di dati trattati, il controllo umano effettuato, eventuali criticità e la decisione finale.
Questa è memoria organizzativa.
Serve soprattutto quando qualcosa va storto.
10. Formare le persone e aggiornare la policy
Una policy consegnata via email e mai spiegata non costruisce competenza.
Diventa un allegato che qualcuno cercherà quando nascerà un problema.
La formazione, invece, deve fare incontrare le regole con il lavoro reale.
Un commerciale deve capire quali informazioni può inserire quando prepara un’offerta.
L’amministrazione deve lavorare su esempi diversi.
Il marketing deve affrontare contenuti, immagini, copyright, fonti, trasparenza.
L’HR deve avere una prudenza ancora maggiore quando l’IA entra nei processi che riguardano lavoratori e candidati.
Chi lavora con documenti riservati deve imparare a riconoscere cosa non deve entrare nello strumento.
Chi pubblica contenuti deve saper verificare dati e fonti.
Questa è AI literacy, non imparare dieci prompt a memoria.
La Commissione Europea chiarisce che le misure di AI literacy devono essere costruite considerando proprio differenze di competenza, esperienza, formazione, sistemi utilizzati, rischi e contesto operativo. Chiarisce inoltre che un’organizzazione può conservare documentazione interna delle attività formative e delle iniziative adottate.
La policy, quindi, non dovrebbe essere definitiva.
Gli strumenti cambiano.
Le integrazioni cambiano.
I processi cambiano.
Le norme cambiano.
Le persone scoprono nuovi utilizzi.
Gli errori stessi ci insegnano dove la policy era debole.
Come potremmo scriverlo nella policy:
Tutte le persone autorizzate a utilizzare sistemi di IA per conto dell’organizzazione devono ricevere indicazioni e formazione proporzionate al proprio ruolo e agli strumenti utilizzati. La presente policy viene riesaminata periodicamente e ogni volta in cui intervengano cambiamenti rilevanti negli strumenti, nei processi, nei rischi o nel quadro normativo.
Una policy viva.
Non una pergamena.
Una AI Policy utile dovrebbe poter essere spiegata in cinque minuti
Questo, per me, è il test finale.
Immaginiamo di consegnarla domani mattina a una nuova dipendente.
Dopo averla letta dovrebbe sapere almeno:
quali strumenti può usare;
con quale account;
quali dati non deve inserire;
per quali attività può utilizzare l’IA;
quali usi richiedono autorizzazione;
quali output deve verificare;
chi deve approvare ciò che esce dall’azienda;
quando deve dichiarare l’utilizzo dell’IA;
quali attività devono essere registrate;
a chi deve rivolgersi quando non sa cosa fare.
Se dopo quindici pagine non sa rispondere a queste domande, abbiamo scritto un documento.
Non abbiamo costruito una regola.
Un modello essenziale di AI Policy aziendale
Se dovessi ridurre tutto questo a una struttura operativa iniziale, partirei da una pagina molto semplice.
Scopo della policy
Definire le regole per l’utilizzo sicuro, consapevole, responsabile e controllato dei sistemi di Intelligenza Artificiale nelle attività dell’organizzazione.
A chi si applica
Dipendenti, dirigenti, collaboratori, consulenti e altre persone che utilizzano sistemi di IA per conto dell’organizzazione.
Strumenti consentiti
Elenco degli strumenti e degli account autorizzati.
Dati
Categorie di dati ammesse, vietate o soggette ad autorizzazione.
Usi consentiti
Attività per le quali l’IA può essere utilizzata come supporto.
Usi da autorizzare
Attività che possono incidere su persone, decisioni, diritti, dati delicati o processi rilevanti.
Verifica
Indicazione degli output che richiedono controllo e delle fonti da utilizzare.
Approvazione
Ruoli responsabili della revisione prima dell’utilizzo esterno.
Trasparenza
Casi nei quali l’uso dell’IA deve essere dichiarato.
Tracciabilità
Utilizzi che devono essere annotati nel Registro IA o in altra documentazione interna.
Formazione
Modalità con cui vengono formate le persone e aggiornata la policy.
Questa prima pagina può poi essere accompagnata da procedure più specifiche per i reparti.
Perché il vero errore sarebbe cercare una policy identica per tutti.
Un’agenzia di comunicazione non lavora come uno studio medico.
Uno studio professionale non lavora come un’azienda manifatturiera.
Un ufficio HR non utilizza l’IA come il marketing.
Il contesto torna ancora una volta al centro.
La policy non serve a bloccare l’IA
Questo è forse il punto che mi interessa di più.
Quando si parla di regole, molte persone immaginano immediatamente un limite.
Una lista di “non puoi”.
Una buona AI Policy dovrebbe produrre l’effetto opposto.
Dovrebbe permettere alle persone di utilizzare l’Intelligenza Artificiale con maggiore tranquillità, perché finalmente sanno dove possono muoversi.
Se un dipendente sa che può usare uno strumento autorizzato per preparare una bozza, sa quali dati può inserire, sa che deve verificare alcuni elementi e sa chi approverà il testo finale, lavora meglio.
Non deve ogni volta chiedersi se sta facendo qualcosa di sbagliato.
Il confine diventa leggibile.
Questa è una delle cose che cerco di portare anche nel Metodo Sinibaldi.
Metodo, cura e responsabilità non servono a rallentare la tecnologia.
Servono a permetterci di accelerare senza perdere il controllo.
Perché un’azienda senza regole non è necessariamente più libera nell’uso dell’IA.
Spesso è semplicemente meno consapevole di ciò che sta accadendo.
Domande frequenti sulla AI Policy aziendale
Che cos’è una AI Policy aziendale?
È un documento interno che stabilisce criteri e regole per l’utilizzo dell’Intelligenza Artificiale da parte di dipendenti, collaboratori e altre persone che operano per conto dell’organizzazione. Può definire strumenti autorizzati, dati utilizzabili, attività consentite, controlli, responsabilità, trasparenza, formazione e tracciabilità.
L’AI Act obbliga tutte le aziende ad avere una AI Policy?
No. Non esiste un obbligo generale per tutte le imprese di possedere un documento chiamato “AI Policy”. L’AI Act stabilisce invece obblighi che dipendono dal ruolo dell’organizzazione, dal sistema utilizzato e dal livello di rischio. Una policy può diventare uno strumento molto utile per tradurre questi obblighi e le scelte organizzative in regole applicabili.
Una piccola azienda ha bisogno di una policy sull’IA?
Anche una PMI può trarne beneficio, soprattutto quando ChatGPT, Copilot, Gemini, Claude o altri sistemi vengono già utilizzati da più persone. La policy può essere molto semplice e proporzionata alla struttura dell’azienda. Non serve creare burocrazia inutile.
Posso vietare ai dipendenti di inserire dati aziendali in ChatGPT?
Un’azienda può stabilire regole interne sugli strumenti autorizzati e sulle informazioni che possono essere trattate attraverso di essi, tenendo conto delle proprie responsabilità, della normativa applicabile, degli accordi con i fornitori e delle caratteristiche del servizio utilizzato. La regola dovrebbe essere però più precisa di un generico “non inserire dati aziendali”, distinguendo tipologie di dati, strumenti e contesti autorizzati.
ChatGPT Business può essere usato con dati aziendali?
OpenAI dichiara che i dati di ChatGPT Business, Enterprise, Edu e API non vengono utilizzati per addestrare i modelli per impostazione predefinita. Questo elemento, però, non significa che qualsiasi dato possa essere automaticamente inserito senza valutazione. L’organizzazione resta responsabile di verificare quali dati possono essere trattati, per quale finalità, attraverso quale servizio e con quali garanzie.
Chi dovrebbe scrivere la AI Policy?
Dipende dalla dimensione e dalla complessità dell’organizzazione. Possono essere coinvolti direzione, IT, sicurezza, privacy, HR, legale, responsabili di funzione e chi segue concretamente l’introduzione dell’IA. Il documento funziona quando incontra il lavoro reale e non quando viene scritto lontano dai processi.
Ogni utilizzo dell’IA deve essere registrato?
No. Una tracciabilità indiscriminata rischia di diventare inutile e ingestibile. Ha più senso individuare gli utilizzi rilevanti, per esempio quelli che coinvolgono dati, persone, documenti importanti, output esterni, decisioni, automazioni o processi ricorrenti.
Basta avere una AI Policy per essere conformi all’AI Act?
No. Una policy è soltanto una delle possibili misure organizzative. La conformità dipende dagli obblighi concretamente applicabili all’organizzazione e può richiedere formazione, valutazioni, misure tecniche e organizzative, trasparenza, documentazione, supervisione umana e altri adempimenti specifici.
La regola più importante probabilmente non entra nemmeno nelle dieci
Potremmo scrivere una policy perfetta.
Potremmo prevedere ogni strumento.
Ogni dato.
Ogni controllo.
Ogni responsabilità.
Fra sei mesi comparirà qualcosa che non avevamo previsto.
Per questo la regola che metterei sopra tutte le altre è molto semplice:
se non sai se puoi farlo, non lasciare che sia l’IA a decidere al posto tuo. Fermati e chiedi.
Una cultura aziendale dell’Intelligenza Artificiale nasce anche così.
Non quando tutti conoscono ogni norma.
Quando le persone imparano a riconoscere il punto nel quale non devono andare avanti per inerzia.
Quello è il confine tra usare uno strumento e governarlo.
L’IA entrerà sempre più profondamente nelle aziende.
La questione non è impedirlo.
La questione è decidere se entrerà attraverso una porta che abbiamo scelto noi, con regole che comprendiamo, oppure attraverso cento finestre aperte casualmente da cento persone diverse.
Una AI Policy serve a chiudere quelle finestre inutili.
Poi possiamo finalmente aprire bene la porta.
Fonti ufficiali e riferimenti verificabili
Regolamento (UE) 2024/1689 – Artificial Intelligence Act, EUR-Lex
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689
Commissione Europea – AI Literacy, Questions & Answers
https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
AI Act Service Desk – Articolo 4, AI literacy
https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4
AI Act Service Desk – Articolo 5, pratiche di IA vietate
https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-5
AI Act Service Desk – Articolo 26, obblighi dei deployer di sistemi ad alto rischio
https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26
AI Act Service Desk – Articolo 50, obblighi di trasparenza
https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50
European Data Protection Board – Opinion 28/2024 sui dati personali nel contesto dei modelli di IA
https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_it
European Data Protection Supervisor – Guidance on Generative AI
https://www.edps.europa.eu/data-protection/our-work/publications/guidelines/2025-10-28-guidance-generative-ai-strengthening-data-protection-rapidly-changing-digital-era_en
OpenAI – Privacy, sicurezza e conformità dei dati aziendali
https://openai.com/it-IT/business-data/
OpenAI – Gestione dei dati, condivisione e privacy in ChatGPT Business
https://help.openai.com/it-it/articles/8798634-managing-data-sharing-and-privacy-in-chatgpt-business
OpenAI – Come vengono utilizzati i dati per migliorare le prestazioni dei modelli
https://help.openai.com/it-it/articles/5722486-how-your-data-is-used-to-improve-model-performance
Bio autore
Antonio Sinibaldi è formatore e docente di intelligenza artificiale, specializzato nell’uso consapevole dell’IA, nel ragionamento umano e nella responsabilità professionale. Formatore in Intelligenza Artificiale per aziende e professionisti. Docente del corso IA per l’Istituto Nazionale Tributaristi. Autore della collana IA PRATICA.