Intelligenza artificiale

Regole d’uso dell’intelligenza artificiale in azienda: una policy che si rispetta

Strumenti ammessi, dati vietati, revisione umana, responsabilità e formazione: come costruire una policy interna sull’intelligenza artificiale breve, concreta e applicata davvero.

Luca Bartolini 23 luglio 2026 7 min di lettura

Regole d’uso dell’intelligenza artificiale in azienda: una policy che si rispetta

Una policy sull’intelligenza artificiale funziona quando è breve, concreta e più comoda da seguire che da aggirare. Indica quali strumenti usare, quali dati non inserire mai, che cosa deve essere riletto da una persona e chi risponde di che cosa. Va accompagnata dalla formazione del personale, che l’AI Act richiede alle imprese dal 2 febbraio 2025.

Perché serve una policy anche quando nessuno l’ha chiesta?

Perché, in assenza di regole, le persone usano comunque gli strumenti che trovano. Nel Work Trend Index 2024 di Microsoft e LinkedIn, basato su un sondaggio tra 31.000 persone in 31 Paesi, il 78% di chi usava l’intelligenza artificiale sul lavoro dichiarava di farlo con strumenti propri, non forniti dall’azienda.

Il rischio non è teorico. Nell’aprile 2023 alcuni dipendenti di Samsung hanno inserito in ChatGPT informazioni interne riservate, tra cui codice sorgente. Il 2 maggio, secondo quanto riportato da Bloomberg e TechCrunch, l’azienda ha vietato in via temporanea l’uso di strumenti di intelligenza artificiale generativa sui dispositivi aziendali e sulle reti interne. È il percorso tipico: prima l’uso spontaneo, poi l’incidente, infine un divieto generalizzato. Una policy scritta prima permette di invertire l’ordine.

Che cosa chiedono le norme?

L’AI Act. L’articolo 4 del Regolamento (UE) 2024/1689 si applica dal 2 febbraio 2025 e riguarda anche le imprese che usano sistemi di intelligenza artificiale nella propria attività, i cosiddetti deployer. Chiede di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione del personale e di chi usa i sistemi per conto dell’impresa, tenendo conto di competenze, esperienza, formazione e contesto d’uso.

Nelle domande e risposte pubblicate a maggio 2025, la Commissione europea ha chiarito alcuni punti pratici: non serve un certificato, è sufficiente tenere traccia interna delle iniziative svolte; chi usa strumenti generativi come ChatGPT va informato sui rischi specifici, come le allucinazioni; limitarsi a rimandare alle istruzioni del fornitore, in genere, non basta. Le autorità nazionali di vigilanza del mercato controlleranno il rispetto dell’obbligo dal 3 agosto 2026.

Il testo, però, sta per cambiare. Il cosiddetto Digital Omnibus sull’intelligenza artificiale, approvato in via definitiva dal Consiglio dell’Unione il 29 giugno 2026, riformula l’articolo 4: fornitori e deployer dovranno adottare misure per sostenere lo sviluppo dell’alfabetizzazione del personale, senza l’obbligo di garantire un livello specifico per ciascuna persona. Il regolamento entrerà in vigore tre giorni dopo la pubblicazione nella Gazzetta ufficiale dell’Unione. Anche con il nuovo testo, formazione documentata e regole chiare restano il modo più semplice per dimostrare di aver fatto la propria parte.

La legge italiana. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, prevede all’articolo 11 che il datore di lavoro informi i lavoratori dell’utilizzo dell’intelligenza artificiale nei casi e con le modalità dell’articolo 1-bis del decreto legislativo 152/1997, cioè quando si usano sistemi decisionali o di monitoraggio integralmente automatizzati. La stessa legge individua nell’Agenzia per l’Italia digitale e nell’Agenzia per la cybersicurezza nazionale le autorità nazionali per l’intelligenza artificiale.

Il GDPR. Inserire dati personali in un servizio esterno è un trattamento a tutti gli effetti. Il fornitore che li elabora per conto dell’impresa deve essere vincolato da un contratto con i contenuti previsti dall’articolo 28 del GDPR.

Quali strumenti sono ammessi?

La policy deve contenere un elenco breve e aggiornato di strumenti approvati, da usare con account aziendali. I criteri di approvazione vanno scritti, perché le persone capiscano il motivo delle scelte:

condizioni contrattuali per l’uso professionale, con un accordo sul trattamento dei dati;
uso dei contenuti per l’addestramento: diversi fornitori lo escludono per impostazione predefinita nelle offerte aziendali, come dichiara OpenAI per ChatGPT Enterprise, Business e le API;
controlli amministrativi: gestione degli utenti, conservazione delle conversazioni, revoca degli accessi quando una persona lascia l’azienda;
provvedimenti delle autorità: un servizio può essere oggetto di misure restrittive, come la limitazione del trattamento dei dati degli utenti italiani disposta dal Garante per la protezione dei dati personali nei confronti di DeepSeek il 30 gennaio 2025.

Serve anche una procedura per chiedere l’approvazione di un nuovo strumento, con un referente e tempi di risposta definiti. Un elenco di divieti senza alternative spinge verso gli account personali.

Quali dati non vanno mai inseriti?

È la parte che le persone ricordano, e deve essere scritta con esempi presi dal lavoro quotidiano. Un sistema a tre livelli è semplice da applicare.

Rosso, mai: dati personali di clienti e dipendenti (buste paga, certificati medici, valutazioni), credenziali e chiavi di accesso, documenti coperti da accordi di riservatezza, informazioni che l’azienda protegge come segreti commerciali (listini riservati, offerte in corso, progetti, codice sorgente).
Giallo, solo negli strumenti approvati: documenti interni senza dati personali, come procedure, bozze di presentazioni, verbali anonimizzati.
Verde, liberamente: contenuti già pubblici, come testi del sito, cataloghi, comunicati.

Sui segreti commerciali c’è un argomento in più. La direttiva (UE) 2016/943 tutela come segreto commerciale un’informazione solo se chi la controlla l’ha sottoposta a misure ragionevoli per mantenerla segreta. Regole chiare su che cosa non inserire negli strumenti esterni rientrano tra queste misure.

Chi rilegge e chi risponde?

La revisione umana si rende obbligatoria dove un errore costa: tutto ciò che esce verso clienti, fornitori o pubblico; testi con cifre, date, riferimenti normativi o contrattuali; qualsiasi contenuto che incida su decisioni riguardanti persone. Il motivo è uno dei rischi che la Commissione indica tra quelli da spiegare al personale: le allucinazioni, cioè risposte inventate ma plausibili.

La responsabilità va detta in una frase: chi usa lo strumento risponde del risultato come se lo avesse prodotto da solo. Accanto a questa regola servono un referente della policy, che aggiorna l’elenco degli strumenti e risponde ai dubbi, e un canale per segnalare subito un errore, per esempio un dato riservato inserito per sbaglio. Se l’errore riguarda dati personali, occorre valutare con il responsabile privacy se si tratta di una violazione da notificare al Garante entro 72 ore, come previsto dall’articolo 33 del GDPR. Chi segnala tempestivamente va messo nelle condizioni di farlo senza timore, perché un incidente nascosto non si può gestire.

Come si scrive una policy che viene rispettata?

Breve: poche pagine in linguaggio comune, con un riepilogo di una pagina.
Scritta con i reparti: amministrazione, commerciale e produzione usano gli strumenti in modi diversi, e gli esempi devono essere i loro.
Accompagnata dagli strumenti: se l’azienda vieta gli account personali, deve fornire alternative aziendali adeguate.
Legata alla formazione: sessioni per ruolo, su casi reali, con un registro di chi ha partecipato e quando.
Rivista periodicamente: strumenti e norme cambiano, e una policy ferma da anni smette di essere letta.

In sintesi

Senza regole le persone usano comunque strumenti propri: la policy serve a governare un uso che esiste già.
L’AI Act chiede dal 2 febbraio 2025 misure di alfabetizzazione del personale, senza certificati ma con traccia documentata.
Un elenco breve di strumenti approvati, con account aziendali e criteri scritti, riduce l’uso di account personali.
I dati vietati vanno indicati con esempi concreti; un sistema rosso, giallo, verde è facile da ricordare.
Revisione umana su ciò che esce dall’azienda e responsabilità personale su ciò che si produce.
Formazione per ruolo e revisione periodica tengono viva la policy.

Domande frequenti

Una PMI è obbligata ad avere una policy scritta sull’intelligenza artificiale?

L’AI Act non impone un documento con questo nome. Chiede misure di alfabetizzazione del personale, e una policy scritta, insieme al registro della formazione, è il modo più semplice per dimostrare di averle adottate.

Serve un attestato per la formazione sull’AI Act?

No. La Commissione europea ha chiarito che non è necessario un certificato: basta conservare una traccia interna delle attività di formazione e di orientamento svolte.

Conviene vietare del tutto gli strumenti di intelligenza artificiale?

Un divieto totale è una scelta possibile, ma senza alternative aziendali spinge le persone verso account personali, fuori da ogni controllo. Di norma è più efficace approvare pochi strumenti con garanzie adeguate e stabilire con precisione quali dati non inserire.

Cosa fare se un dipendente ha inserito dati riservati in uno strumento non approvato?

Segnalarlo subito al referente, ricostruire quali dati sono stati inseriti e in quale servizio, e valutare con il responsabile privacy se si tratta di una violazione di dati personali da notificare al Garante entro 72 ore.

La definizione di regole d’uso, strumenti ammessi e percorsi di formazione per reparto fa parte del lavoro descritto nella pagina dedicata alla consulenza sull’intelligenza artificiale per le imprese, dove sono illustrati anche il metodo di analisi dei processi e la misura dei risultati.