Come scrivere una policy sull'uso dell'AI (struttura + esempio)

Per scrivere un regolamento AI aziendale parti da otto sezioni: scopo, strumenti ammessi, dati vietati, regole d’uso, ruoli, formazione, controlli e revisione. La regola centrale è una sola — non incollare dati in chiaro negli assistenti AI — e va resa eseguibile con una misura tecnica, non solo scritta. Tienila breve: 2-4 pagine che le persone leggono davvero.

Questa è la versione operativa, con struttura ed esempio di clausole, del tema trattato nella pillar policy sull’uso dell’AI in azienda. Qui passiamo dalla teoria al documento vero.

Prima di iniziare: cosa deve fare la tua policy

Una policy sull’uso dell’AI non serve a vietare l’AI. Serve a permetterne l’uso senza far uscire dati personali o riservati dai confini dell’azienda. I tuoi dipendenti già usano strumenti come ChatGPT, Claude o Gemini per scrivere email, riassumere documenti e generare bozze: se non dai una regola, la scrivono loro — spesso incollando dati di clienti o pazienti in un servizio cloud di terzi.

Prima di scrivere una riga, fissa tre punti:

• Ambito: chi è coperto (dipendenti, collaboratori, stagisti) e quali attività.
• Obiettivo: consentire l’AI in modo sicuro, non spegnerla — altrimenti nasce lo Shadow AI, l’uso non autorizzato che non vedi e non controlli.
• Tono: pratico e leggibile. Una policy che sembra un contratto non viene letta, e una regola non letta non protegge nessuno.

La struttura sezione per sezione (le 8 parti)

Ecco lo scheletro riutilizzabile di un regolamento AI aziendale. Ogni sezione risponde a una domanda concreta che il dipendente si fa davanti allo schermo.

1. Scopo e ambito — Perché esiste la policy e chi riguarda. Due paragrafi.
2. Strumenti ammessi — Quali assistenti AI si possono usare (e quali no), con quali account. Distingui strumenti approvati dall’azienda da quelli personali.
3. Dati vietati e dati consentiti — La sezione più importante. Cosa non può mai entrare in un prompt: nomi di clienti, codici fiscali, IBAN, dati sanitari, segreti aziendali. Cosa invece è consentito (testi generici, bozze già anonimizzate).
4. Regole d’uso pratiche — Come si lavora davvero: anonimizzare prima di incollare, verificare gli output, non trattare le risposte dell’AI come verità.
5. Ruoli e responsabilità — Chi approva gli strumenti, chi risponde in caso di incidente, a chi ci si rivolge per un dubbio.
6. Formazione — L’obbligo di formare i dipendenti sull’uso dell’AI, richiamato anche dall’art. 4 dell’AI Act sull’alfabetizzazione.
7. Controlli e conseguenze — Come si verifica il rispetto e cosa succede in caso di violazione. Senza questa parte la policy è un consiglio, non una regola.
8. Revisione — Data e responsabile del prossimo aggiornamento. L’AI cambia in fretta: una policy ferma al 2026 invecchia in mesi.

Esempio di clausole chiave

La differenza tra una policy che protegge e una che decora sta nella concretezza delle clausole. Ecco un esempio del salto da una regola vaga a una regola operativa.

Art. 3 - Uso responsabile
I dipendenti sono tenuti a utilizzare gli strumenti
di intelligenza artificiale in modo responsabile e
nel rispetto della normativa vigente, prestando
attenzione alla riservatezza delle informazioni.

Art. 3 - Dati vietati nei prompt
E' vietato inserire negli assistenti AI (ChatGPT,
Claude, Gemini e simili) dati personali o riservati
in chiaro: nomi di clienti/pazienti, codici fiscali,
IBAN, dati sanitari, contratti, segreti aziendali.
Prima di incollare un testo che contiene tali dati,
va anonimizzato: i valori identificativi vanno
sostituiti con segnaposto (es. [NOME_1], [CF_1]).

Altre due clausole che non dovrebbero mancare:

• Strumenti — “Sono ammessi solo gli assistenti AI approvati dall’azienda e usati con account aziendali. L’uso di account personali per attività lavorative non è consentito.”
• Verifica degli output — “Le risposte dell’AI vanno sempre verificate prima dell’uso: possono contenere errori o informazioni inventate. La responsabilità del contenuto finale resta della persona.”

Il punto: ogni clausola deve dire un comportamento osservabile, non un principio. “Usare in modo responsabile” non è verificabile; “non incollare CF e IBAN in chiaro” sì.

Errori comuni da evitare

• Copiare un template legale e archiviarlo. Una policy che nessuno legge non cambia i comportamenti. Meglio 3 pagine applicate che 20 dimenticate.
• Solo divieti, nessuna alternativa. Se vieti l’AI senza offrire un modo sicuro di usarla, i dipendenti la useranno di nascosto. È il meccanismo dello Shadow AI.
• Scrivere la regola e non renderla eseguibile. “Non incollare dati in chiaro” è giusto, ma affidato solo alla memoria di persone di fretta fallisce. Serve un supporto tecnico.
• Nessun proprietario, nessuna revisione. Una policy senza responsabile e senza data di aggiornamento muore il giorno dopo la firma.
• Confondere la policy con la conformità. Il documento è un tassello di AI Act e GDPR per le aziende, non un timbro che ti mette automaticamente in regola.

Come rendere la policy davvero applicabile

La regola “non incollare dati in chiaro nell’AI” è il cuore di ogni policy — ma resta un buon proposito finché dipende solo dall’attenzione del singolo, sempre di fretta e sotto scadenza. Per renderla eseguibile ogni giorno serve una misura tecnica che agisca prima che i dati escano dal dispositivo.

È qui che uno strumento di supporto aiuta: PrivActa individua e maschera automaticamente nomi, codici fiscali, IBAN, P.IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima dell’invio a qualunque motore AI — che il dipendente usi ChatGPT, Claude, Gemini o un altro assistente. Il documento originale non lascia mai il computer. Così la clausola scritta nella policy diventa un gesto concreto, non una promessa.

PrivActa non è un timbro di conformità e non sostituisce il giudizio delle persone: è una misura tecnica di minimizzazione (art. 5(1)(c) GDPR) che trasforma la regola cardine del regolamento in un controllo veloce e ripetibile. Scopri come funziona PrivActa o vedi le soluzioni pensate per team HR e aziende.

Se stai scrivendo o rivedendo la policy della tua organizzazione, scarica PrivActa e rendi eseguibile la regola più importante. Per la checklist completa dei contenuti, leggi anche cosa deve prevedere una policy AI.