Policy aziendale per l’uso dell’Intelligenza Artificiale: cosa scrivere prima che i dipendenti usino ChatGPT, Copilot, Gemini o Claude

In molte aziende italiane l’Intelligenza Artificiale è già entrata senza fare rumore.

Un dipendente usa ChatGPT per sistemare una mail. Un responsabile commerciale chiede a Copilot di riassumere un documento. Un ufficio marketing prova Gemini per preparare una campagna. Un consulente usa Claude per riorganizzare un testo complesso. Qualcuno carica un file, qualcun altro copia una conversazione, un altro ancora incolla dati di clienti, preventivi, bozze contrattuali, informazioni interne, appunti di riunione.

Spesso accade tutto prima che l’azienda abbia deciso davvero come usare questi strumenti.

Da qui nasce una domanda molto concreta, che nel 2026 molte imprese, studi professionali, enti e organizzazioni inizieranno a cercare online: come si scrive una policy aziendale per l’uso dell’Intelligenza Artificiale?

Una policy IA aziendale serve a dare un perimetro chiaro all’uso di strumenti come ChatGPT, Copilot, Gemini, Claude, Perplexity e altre piattaforme basate su Intelligenza Artificiale. Serve a dire cosa è consentito, cosa richiede verifica, quali dati vanno protetti, chi controlla gli output, quando va dichiarato l’uso dell’IA, quali strumenti sono autorizzati e quale responsabilità resta in capo alla persona.

Il tema diventa ancora più importante con l’AI Act, perché l’articolo 4 richiede a provider e deployer di adottare misure per garantire un livello sufficiente di AI literacy alle persone che usano sistemi di IA per conto dell’organizzazione. La Commissione Europea, nelle sue domande e risposte ufficiali sull’AI literacy, chiarisce che queste misure devono tenere conto delle conoscenze, dell’esperienza, della formazione, del contesto d’uso e delle persone su cui i sistemi possono avere effetti.

Una policy aziendale, quindi, può diventare uno dei primi strumenti per portare l’Intelligenza Artificiale dentro il lavoro in modo più ordinato, leggibile e responsabile.

Perché una policy IA serve anche alle PMI

Molte piccole e medie imprese pensano alla policy come a un documento da grande azienda, pieno di termini giuridici, procedure pesanti e frasi difficili da leggere. Questa idea rischia di far perdere tempo prezioso.

Una policy IA per una PMI può essere semplice, concreta, scritta in modo comprensibile, collegata al lavoro reale. Può stare in poche pagine, purché dica le cose giuste e venga spiegata alle persone. La sua funzione principale è creare una regola condivisa prima che ogni dipendente costruisca la propria abitudine personale.

Il problema, infatti, nasce quasi sempre così: l’azienda acquista strumenti digitali, i dipendenti provano piattaforme gratuite o integrate nei software che già usano, i reparti iniziano a sperimentare, i vantaggi si vedono subito, poi arrivano i dubbi. Quali dati sono stati inseriti? Chi ha verificato le risposte? Quel testo può essere pubblicato? Quel file poteva essere caricato? Quel chatbot sta rispondendo al cliente nel modo corretto? Quel contenuto generato con IA va dichiarato?

Nel mio articolo AI literacy e obbligo formativo: cosa fare entro agosto 2026 ho spiegato che la formazione IA, oggi, riguarda soprattutto la maturità organizzativa. Una policy interna è uno dei modi più pratici per trasformare quella formazione in comportamento quotidiano.

Provider, deployer e uso professionale dell’IA

Per scrivere una policy aziendale seria bisogna partire da un concetto semplice: molte aziende, usando strumenti di IA sviluppati da altri, assumono il ruolo di deployer.

L’articolo 3 dell’AI Act definisce deployer una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che usa un sistema di IA sotto la propria autorità, tranne il caso di uso personale e non professionale.

Questo significa che un’azienda che usa un sistema di Intelligenza Artificiale nel proprio lavoro, anche senza averlo sviluppato, deve ragionare sul modo in cui quel sistema entra nei processi aziendali. Il tema riguarda chi usa l’IA per scrivere, analizzare, tradurre, generare immagini, preparare documenti, rispondere a clienti, selezionare informazioni, supportare decisioni, organizzare dati o automatizzare parti del lavoro.

Una policy aziendale deve quindi aiutare le persone a capire che l’uso professionale dell’IA ha un peso diverso dall’uso personale. Provare uno strumento a casa per curiosità è una cosa. Usarlo per lavorare su dati, clienti, documenti, contratti, decisioni o contenuti pubblici è un’altra cosa.

Cosa deve contenere una policy aziendale sull’Intelligenza Artificiale

Una buona policy IA deve rispondere prima di tutto alle domande che le persone si fanno mentre lavorano.

Posso usare ChatGPT per scrivere una mail a un cliente? Posso caricare un contratto per farmelo riassumere? Posso inserire dati personali? Posso usare Copilot sui documenti interni? Posso generare un’immagine con IA per i social aziendali? Posso far scrivere all’IA una risposta tecnica? Chi controlla? Chi firma? Chi si assume la responsabilità?

Una policy utile dovrebbe contenere almeno queste sezioni:

obiettivo della policy;
ambito di applicazione;
strumenti autorizzati;
usi consentiti;
usi vietati o soggetti ad autorizzazione;
regole sui dati personali e riservati;
obbligo di verifica degli output;
controllo umano e responsabilità finale;
regole per contenuti pubblici, immagini, video, audio e testi generati con IA;
tracciabilità degli usi più rilevanti;
formazione delle persone;
referente interno o responsabile del processo.

Questa struttura aiuta l’azienda a uscire dall’improvvisazione. La policy, da sola, può fare poco. Diventa utile quando viene letta, spiegata, adattata ai reparti, collegata alla formazione e aggiornata quando cambiano strumenti, rischi e processi.

1. Obiettivo della policy: perché l’azienda usa l’IA

La prima parte della policy dovrebbe spiegare perché l’azienda intende usare l’Intelligenza Artificiale.

La risposta deve essere concreta. L’IA può aiutare a migliorare la produttività, organizzare informazioni, preparare bozze, analizzare documenti, supportare la comunicazione, creare contenuti, semplificare attività ripetitive, aiutare nella formazione interna. Allo stesso tempo, l’azienda deve chiarire che ogni uso dell’IA richiede controllo umano, protezione dei dati, attenzione agli errori e rispetto delle regole interne.

Una formulazione possibile potrebbe essere questa:

“L’azienda consente l’uso di strumenti di Intelligenza Artificiale per supportare attività lavorative, migliorare l’organizzazione delle informazioni, preparare bozze, favorire analisi preliminari e aumentare l’efficienza dei processi, mantenendo sempre controllo umano, verifica degli output, tutela dei dati e responsabilità professionale.”

Questa frase mette subito in chiaro una cosa: l’IA aiuta il lavoro, la responsabilità resta umana.

2. Ambito di applicazione: chi deve seguire la policy

La policy deve dire a chi si applica.

Di solito riguarda dipendenti, collaboratori, consulenti, stagisti, fornitori esterni e qualunque persona usi strumenti di IA per conto dell’azienda o su dati, documenti, clienti, processi e contenuti aziendali.

Questo passaggio è importante perché l’AI literacy, secondo la Commissione Europea, riguarda anche persone che operano sotto il perimetro organizzativo del provider o del deployer, non soltanto dipendenti in senso stretto. Nelle FAQ ufficiali sull’AI literacy, la Commissione richiama infatti anche soggetti come contractor, service provider o clienti, quando operano nel contesto dell’organizzazione.

Una policy scritta bene deve quindi evitare una zona grigia: chi usa l’IA per conto dell’azienda deve conoscere le regole aziendali, anche quando lavora da remoto, come consulente o come collaboratore esterno.

3. Strumenti autorizzati: quali IA si possono usare

Una delle parti più delicate riguarda la scelta degli strumenti.

Un’azienda dovrebbe indicare quali piattaforme di IA sono autorizzate per il lavoro e quali richiedono approvazione preventiva. ChatGPT, Copilot, Gemini, Claude, Perplexity, strumenti integrati nel CRM, software HR, piattaforme di customer care, generatori di immagini, tool audio e video: ogni strumento ha condizioni d’uso, impostazioni privacy, funzioni, limiti e rischi diversi.

Su questo tema ho scritto anche l’articolo Dipendere da una sola Intelligenza Artificiale è un rischio, perché la questione riguarda sia la sicurezza sia la continuità operativa. Una policy aziendale dovrebbe evitare due estremi: lasciare libertà totale a ogni persona, oppure bloccare ogni uso per mancanza di metodo.

La regola più sensata è costruire un elenco aggiornato degli strumenti ammessi, specificando per ciascuno il tipo di uso consentito. Ad esempio: uno strumento può essere autorizzato per bozze generiche, un altro per documenti interni, un altro per attività senza dati personali, un altro ancora solo con account aziendale e impostazioni controllate.

4. Dati personali, dati riservati e documenti aziendali

La parte sui dati deve essere molto chiara.

Una policy IA dovrebbe spiegare quali dati possono essere inseriti negli strumenti di Intelligenza Artificiale e quali dati richiedono autorizzazione, anonimizzazione, pseudonimizzazione o esclusione.

Tra i dati da trattare con particolare cautela rientrano dati personali di clienti, dipendenti, fornitori, candidati, pazienti o utenti; dati sensibili o particolari; informazioni contrattuali; segreti aziendali; documenti riservati; credenziali; strategie commerciali; informazioni fiscali; pratiche legali; dati sanitari; dati bancari; file interni con contenuti confidenziali.

L’European Data Protection Board, nel parere del 18 dicembre 2024 sull’uso dei dati personali nei modelli di IA, ha affrontato temi come anonimizzazione, base giuridica del legittimo interesse e conseguenze di eventuali trattamenti illeciti nello sviluppo o nell’uso dei modelli. Questo conferma che il rapporto tra IA e dati personali richiede valutazioni concrete, caso per caso.

Anche il Garante per la protezione dei dati personali dedica una sezione specifica all’Intelligenza Artificiale e al suo rapporto con la protezione dei dati, segno che per le aziende italiane il tema privacy deve essere considerato parte integrante della governance dell’IA.

Una frase utile da inserire nella policy potrebbe essere:

“L’inserimento di dati personali, dati riservati, documenti aziendali confidenziali o informazioni relative a clienti, dipendenti, fornitori e partner all’interno di strumenti di Intelligenza Artificiale è consentito solo nei casi autorizzati dall’azienda e secondo le procedure interne di protezione dei dati.”

Questa frase evita ambiguità e mette le persone davanti a un principio semplice: prima di caricare un dato, bisogna capire se quel dato può essere caricato.

5. Verifica degli output: l’IA produce bozze, la persona controlla

Ogni policy aziendale sull’IA dovrebbe contenere una regola molto chiara sulla verifica degli output.

Le risposte generate da un sistema di IA possono essere utili, veloci, ben scritte, ordinate, convincenti. Possono anche contenere errori, omissioni, dati inventati, interpretazioni sbagliate, riferimenti normativi superati, fonti inesistenti, formule troppo generiche, conclusioni non adatte al contesto.

La policy deve quindi stabilire che nessun output generato dall’IA può essere usato in modo automatico quando produce effetti verso clienti, fornitori, dipendenti, utenti, pubblico, documenti ufficiali, decisioni aziendali o comunicazioni esterne.

Una formula possibile:

“Ogni contenuto generato con strumenti di Intelligenza Artificiale deve essere verificato da una persona competente prima dell’uso, della pubblicazione, dell’invio o dell’integrazione in documenti, processi o decisioni aziendali.”

Questo passaggio è perfettamente coerente con il Metodo Sinibaldi per aziende, fondato su contesto, prompting operativo, verifica degli output e controllo umano. Il valore dell’IA cresce quando la persona impara a guidarla, leggerla, correggerla e fermarla quando serve.

6. Controllo umano e responsabilità finale

La policy deve chiarire chi decide.

In azienda l’IA può suggerire, riassumere, generare, confrontare, ordinare, tradurre, simulare, preparare bozze. La decisione finale, soprattutto quando incide su persone, clienti, contratti, assunzioni, valutazioni, comunicazioni pubbliche o scelte organizzative, deve restare sotto responsabilità umana.

L’articolo 26 dell’AI Act, per i deployer di sistemi ad alto rischio, richiama obblighi come uso conforme alle istruzioni, assegnazione della supervisione umana a persone competenti, monitoraggio del funzionamento, gestione degli input e conservazione dei log nei casi previsti. Anche quando un’azienda usa sistemi a rischio più basso, questo principio aiuta a costruire una cultura interna sana: la persona deve restare presente nel processo.

Una possibile frase da inserire:

“L’Intelligenza Artificiale può supportare analisi, bozze e attività operative, ma la responsabilità finale del contenuto, della decisione e dell’azione resta sempre in capo alla persona incaricata e all’organizzazione.”

Questa frase, nella sua semplicità, può evitare molti fraintendimenti.

7. Contenuti pubblici, immagini, video, audio e trasparenza

Una policy aziendale dovrebbe dedicare una sezione anche ai contenuti pubblici generati o modificati con IA.

Dal 2 agosto 2026 diventano centrali gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Il tema riguarda, tra gli altri casi, sistemi che interagiscono direttamente con persone, contenuti sintetici, deepfake, testi generati o manipolati con IA pubblicati per informare il pubblico su questioni di interesse pubblico e altri casi previsti dalla norma.

Per questo, nella policy, conviene stabilire una regola preventiva: ogni contenuto generato o manipolato con IA che può sembrare reale, umano, autentico o documentale deve essere valutato prima della pubblicazione.

Una frase possibile:

“Prima di pubblicare immagini, video, audio, testi o contenuti generati o modificati con Intelligenza Artificiale, l’azienda valuta se sia necessaria una dichiarazione di trasparenza, soprattutto quando il contenuto può essere percepito come reale, autentico o riferito a persone, luoghi, eventi o informazioni di interesse pubblico.”

Questo punto si collega all’articolo dedicato agli obblighi di trasparenza dell’AI Act, che approfondisce quando dichiarare l’uso dell’Intelligenza Artificiale in chatbot, immagini, video, audio e testi pubblici.

8. Registro interno degli usi rilevanti dell’IA

Una policy aziendale può prevedere anche un registro interno degli usi rilevanti dell’IA.

Questo registro può contenere informazioni semplici: strumento utilizzato, data, reparto, finalità, tipo di dato inserito, output prodotto, verifica umana effettuata, persona responsabile, eventuali criticità, decisione finale.

Come ho spiegato nell’articolo Il registro IA spiegato con il Metodo Sinibaldi, il registro aiuta soprattutto a rendere visibile ciò che spesso resta nascosto. L’azienda inizia a capire dove l’IA viene usata, con quale frequenza, in quali reparti, con quali rischi e con quali benefici.

Un registro interno può essere molto utile per:

documentare gli usi più delicati;
ricostruire il processo in caso di errore;
dimostrare attenzione organizzativa;
collegare formazione e comportamento reale;
migliorare la policy nel tempo;
individuare reparti che hanno bisogno di maggiore supporto.

La cosa importante è evitare un registro inutile, compilato solo per abitudine. Il registro deve servire a capire, correggere, proteggere e migliorare.

9. IA nel lavoro e controllo dei dipendenti

Una policy aziendale deve essere particolarmente prudente quando l’IA entra nel rapporto di lavoro.

Il Garante Privacy, con comunicato del 28 maggio 2026, ha richiamato l’attenzione su un plug-in per Slack e Teams destinato a rilevare, tramite Intelligenza Artificiale e analisi semantica delle chat, il livello di stress psicologico dei lavoratori che decidevano volontariamente di usarlo. Il Garante ha sottolineato la delicatezza dei dati trattati, i rischi legati a report aggregati e il divieto, previsto dal Regolamento europeo sull’Intelligenza Artificiale, di sistemi di IA destinati a dedurre o analizzare le emozioni delle persone nei contesti lavorativi. Il comunicato ufficiale è disponibile sul sito del Garante Privacy.

Questo caso è molto utile per le aziende, perché mostra quanto sia delicato usare l’IA su comunicazioni interne, produttività, emozioni, stress, comportamento, performance o valutazioni dei lavoratori.

Una policy dovrebbe quindi prevedere un principio chiaro:

“L’uso di strumenti di Intelligenza Artificiale per analizzare, valutare, profilare o monitorare lavoratori, collaboratori o candidati richiede una valutazione preventiva specifica, nel rispetto della normativa applicabile, della protezione dei dati personali, delle regole sul lavoro e dei diritti delle persone coinvolte.”

Questo punto merita sempre attenzione, anche quando lo strumento viene presentato come utile, volontario o aggregato. Nel lavoro, la tecnologia può incidere su rapporti di forza, percezioni, opportunità e diritti. La prudenza, qui, è parte della responsabilità aziendale.

10. Formazione e aggiornamento della policy

Una policy scritta e mai spiegata resta fragile.

L’articolo 4 dell’AI Act, attraverso il concetto di AI literacy, spinge le organizzazioni a garantire competenze adeguate rispetto agli strumenti usati, ai rischi, al contesto e alle persone coinvolte. La Commissione Europea chiarisce che l’approccio deve essere flessibile e proporzionato, costruito in base al ruolo dell’organizzazione, al rischio dei sistemi e alle differenze di conoscenza ed esperienza delle persone.

Per questo la policy dovrebbe prevedere momenti di formazione, aggiornamento e revisione periodica. Gli strumenti cambiano, le funzioni si aggiornano, le condizioni d’uso vengono modificate, nuove piattaforme entrano nei processi, nuovi rischi diventano visibili.

Un’azienda può indicare nella policy che:

la formazione IA viene erogata in base ai ruoli;
chi usa strumenti più delicati riceve indicazioni più specifiche;
la policy viene aggiornata periodicamente;
ogni reparto può segnalare nuovi strumenti o nuovi bisogni;
le persone possono chiedere chiarimenti prima di usare l’IA su dati o processi delicati.

Per costruire un percorso adatto al proprio contesto, la pagina Formazione IA per aziende e professionisti è il punto di partenza più naturale, perché raccoglie il lavoro su prompting operativo, AI literacy, controllo umano, responsabilità e uso concreto dell’Intelligenza Artificiale nei processi reali.

Un esempio di struttura per una policy IA aziendale

Una policy aziendale può essere impostata così:

Premessa: perché l’azienda introduce regole sull’uso dell’IA.
Obiettivo: usare l’IA per supportare il lavoro mantenendo controllo umano e responsabilità.
Destinatari: dipendenti, collaboratori, consulenti, fornitori e persone che usano IA per conto dell’azienda.
Strumenti autorizzati: elenco delle piattaforme ammesse e dei relativi usi.
Dati e riservatezza: cosa può essere inserito e cosa richiede autorizzazione.
Usi consentiti: bozze, sintesi, ricerche preliminari, supporto alla scrittura, organizzazione di idee.
Usi vietati o soggetti ad approvazione: dati sensibili, decisioni su persone, contenuti pubblici delicati, analisi dei lavoratori, documenti riservati.
Verifica degli output: obbligo di controllo umano prima dell’uso.
Trasparenza: dichiarazione dell’uso dell’IA quando il contesto lo richiede.
Registro interno: tracciamento degli usi più rilevanti.
Formazione: AI literacy, aggiornamento e responsabilità dei ruoli.
Referente interno: persona o funzione a cui chiedere chiarimenti.
Revisione periodica: aggiornamento della policy in base a strumenti, norme e processi.

Questa struttura può essere adattata a una piccola impresa, a uno studio professionale, a una scuola, a un ente, a una società di consulenza, a un’agenzia di comunicazione o a un’organizzazione più complessa. La differenza la fa sempre il contesto.

Domande frequenti sulla policy aziendale IA

Una policy IA aziendale è obbligatoria?

L’AI Act richiede misure di AI literacy e prevede diversi obblighi in base al ruolo dell’organizzazione e al tipo di sistema usato. Una policy interna può essere una misura organizzativa utile per disciplinare l’uso dell’IA, proteggere dati, chiarire responsabilità e dimostrare attenzione nel governo degli strumenti.

Una piccola azienda deve avere una policy IA?

Una piccola azienda che usa strumenti di IA per lavoro ha interesse ad avere almeno linee guida interne semplici. Più l’IA entra in dati, clienti, comunicazioni, documenti o decisioni, più diventa utile definire regole chiare.

Posso usare ChatGPT o Claude per documenti aziendali?

Dipende dal tipo di documento, dai dati contenuti, dallo strumento usato, dalle impostazioni, dal contratto, dalle regole interne e dalle eventuali misure di protezione. Una policy deve chiarire quali documenti possono essere caricati, quali richiedono anonimizzazione e quali restano esclusi.

Copilot dentro Microsoft 365 rende tutto automaticamente sicuro?

L’uso di strumenti integrati in ambienti aziendali può offrire maggiore controllo rispetto ad account personali o strumenti gratuiti, però l’azienda deve comunque definire permessi, dati accessibili, regole d’uso, formazione, responsabilità e verifica degli output.

Chi deve scrivere la policy IA?

La policy dovrebbe nascere da un lavoro congiunto tra direzione, responsabili dei processi, area privacy, consulenti legali o DPO quando presenti, IT, comunicazione e persone che usano davvero l’IA nel lavoro quotidiano. Una policy scritta senza conoscere il lavoro reale rischia di restare astratta.

Ogni output dell’IA va controllato?

Ogni output destinato a clienti, pubblico, documenti aziendali, decisioni, dati o processi rilevanti dovrebbe essere verificato da una persona competente. La verifica può essere più leggera o più rigorosa in base al rischio, allo scopo e al contesto.

Conclusione: una policy IA serve a dare forma alla responsabilità

Una policy aziendale sull’Intelligenza Artificiale serve a mettere ordine dove spesso c’è entusiasmo, fretta, curiosità e qualche leggerezza.

La tecnologia corre. Le persone la provano. Le aziende vedono opportunità vere. Il lavoro diventa più veloce, alcune attività si alleggeriscono, certe bozze arrivano prima, alcune analisi diventano più accessibili. Dentro questa accelerazione, però, servono parole chiare, responsabilità riconoscibili, dati protetti, verifiche reali, persone formate.

Una buona policy IA fa proprio questo. Dice alle persone: puoi usare questi strumenti, con criterio. Puoi farti aiutare, restando presente. Puoi accelerare, continuando a controllare. Puoi innovare, sapendo che il valore finale resta nella tua capacità di giudizio.

Per approfondire il percorso operativo, puoi leggere anche AI literacy e obbligo formativo, Metodo Sinibaldi per aziende, Il registro IA spiegato con il Metodo Sinibaldi, Dipendere da una sola Intelligenza Artificiale è un rischio e la pagina dedicata alla formazione IA per aziende e professionisti.

Fonti ufficiali e approfondimenti

Antonio Sinibaldi è formatore e docente di intelligenza artificiale, specializzato nell’uso consapevole dell’IA, nel ragionamento umano e nella responsabilità professionale. Formatore in Intelligenza Artificiale per aziende e professionisti. Docente del corso IA per l’Istituto Nazionale Tributaristi. Autore della collana IA PRATICA.