Cosa deve prevedere una policy AI: la checklist

Una policy AI deve prevedere almeno otto elementi: scopo e ambito, strumenti ammessi, dati vietati e consentiti, la regola sui dati in chiaro, ruoli e responsabilità, formazione, controlli e conseguenze e i riferimenti normativi. Se manca uno di questi, la policy resta teorica: non basta dire cosa è vietato, va indicato anche come rispettarlo.

Questa è la checklist operativa dei contenuti di un regolamento AI aziendale. Per la struttura passo per passo vedi la guida su come scrivere una policy sull’uso dell’AI; qui ci concentriamo su cosa deve prevedere una policy AI, punto per punto.

La checklist in sintesi

Gli 8 punti chiave del regolamento AI che nessuna policy dovrebbe omettere:

1. Scopo e ambito — perché esiste la policy e a chi si applica.
2. Strumenti ammessi — quali assistenti AI si possono usare e come.
3. Dati vietati e consentiti — cosa non inserire mai, cosa sì (e come).
4. La regola sui dati in chiaro — non incollare dati personali o riservati non mascherati.
5. Ruoli e responsabilità — chi decide, chi controlla, chi risponde.
6. Formazione — come i dipendenti imparano a usare l’AI in sicurezza.
7. Controlli e conseguenze — come si verifica il rispetto e cosa succede in caso di violazione.
8. Riferimenti normativi — GDPR, AI Act e obblighi di settore.

I capitoli che seguono sviluppano i punti che generano più dubbi.

Strumenti ammessi

La policy deve dire quali assistenti AI sono autorizzati e per quali usi. Non basta un “sì all’AI” generico: senza una lista, ogni dipendente sceglie da sé e nasce la Shadow AI — l’uso di strumenti non approvati, spesso con account personali.

La sezione dovrebbe specificare:

• Gli strumenti approvati (es. una versione business di ChatGPT, Claude o Gemini) e quelli non ammessi.
• La differenza tra account aziendali e personali: i piani business offrono in genere garanzie contrattuali migliori sul trattamento dei dati rispetto agli account gratuiti personali.
• Gli usi consentiti (redazione di testi, sintesi, bozze) e quelli off-limits (decisioni automatiche su persone senza revisione umana).
• Il processo per proporre un nuovo strumento, così l’elenco resta aggiornato invece di diventare obsoleto.

Il punto non è quale marca di AI si usa, ma che la scelta sia governata dall’azienda, non lasciata al caso.

Dati vietati e consentiti

È il cuore della policy. Deve elencare in modo netto cosa non inserire mai in un assistente AI:

• dati personali identificativi (nome, codice fiscale, IBAN, indirizzo, email, telefono);
• dati particolari (salute, situazione economica di clienti o dipendenti);
• credenziali e password;
• informazioni coperte da segreto professionale o industriale;
• segreti aziendali, contratti e documenti riservati di terzi.

La lista completa è nella guida su cosa non inserire mai in ChatGPT. Ma una policy fatta bene aggiunge la parte che manca a quasi tutte: cosa fare quando quel dato serve davvero. La risposta non è rinunciare all’AI, ma mascherare i dati identificativi prima dell’invio, così il testo resta utilizzabile senza esporre le persone.

Prepara una bozza di risposta a questo reclamo:
"La sig.ra Anna Verdi (CF VRDNNA85M41F205X),
cliente dal 2019, contesta l'addebito di 340€
sul conto IT12A0300203280000400123456."

Prepara una bozza di risposta a questo reclamo:
"La sig.ra [NOME_1] (CF [CF_1]),
cliente dal 2019, contesta l'addebito di 340€
sul conto [IBAN_1]."

La versione a destra riduce l’esposizione dei dati: l’assistente AI può comunque produrre la bozza, ma non riceve chi è la cliente, il suo CF né l’IBAN.

Ruoli e responsabilità

Una policy senza responsabili è una policy che nessuno fa rispettare. Deve indicare chi fa cosa:

• Direzione / management: approva la policy e ne è garante.
• HR: comunica le regole, gestisce la formazione e le conseguenze disciplinari.
• DPO / privacy: valuta l’impatto sui dati personali e cura i riferimenti normativi (una DPIA può essere necessaria per alcuni usi).
• IT / security: gestisce gli strumenti approvati e le misure tecniche.
• Ogni dipendente: applica le regole nel lavoro quotidiano ed è responsabile di ciò che inserisce nell’AI.

Assegnare i ruoli in modo esplicito trasforma la policy da dichiarazione d’intenti a processo con owner chiari.

Formazione e controlli

Le regole si rispettano solo se le persone le conoscono e sono in grado di applicarle. La policy deve quindi prevedere due cose finali.

Formazione. Non un corso una tantum, ma una formazione continua sull’uso corretto dell’AI: cosa non inserire, come mascherare i dati, come riconoscere un output inaffidabile. È anche un tassello dell’AI literacy richiesta dall’AI Act (art. 4). Approfondimento nella guida su come formare i dipendenti sull’uso dell’AI.

Controlli e conseguenze. La policy deve dire come si verifica il rispetto delle regole (audit periodici, canali per segnalare dubbi) e cosa succede in caso di violazione, in modo proporzionato e trasparente. Senza conseguenze note, la regola resta opzionale; con conseguenze sproporzionate, si spinge la Shadow AI nel sommerso. L’equilibrio è: regole chiare, strumenti che le rendono facili da rispettare, sanzioni ragionevoli.

Dalla regola scritta alla regola eseguibile

Il punto debole di quasi ogni policy è la regola numero uno: “non incollare dati in chiaro nell’AI”. Scriverla è facile; rispettarla ogni giorno, sotto scadenza, no. Se rispettarla richiede di rileggere e mascherare a mano ogni documento, prima o poi qualcuno salterà il passaggio.

È qui che una misura tecnica rende la policy praticabile. PrivActa è uno strumento di supporto all’anonimizzazione: individua e maschera automaticamente nomi, codici fiscali, IBAN, partite IVA e indirizzi italiani, sostituendoli con segnaposto coerenti, sul dispositivo, prima che il testo raggiunga qualunque motore AI — ChatGPT, Claude, Gemini o altri. Il documento originale non esce dal computer.

Così la regola della policy smette di dipendere dalla memoria del singolo e diventa un passaggio veloce e ripetibile. PrivActa non rende automaticamente l’azienda conforme a GDPR o AI Act — la conformità resta responsabilità del titolare — ma è la misura tecnica di minimizzazione che dà gambe alla regola più importante del regolamento. Vedi come funziona PrivActa o la pagina dedicata alle soluzioni per HR e uso dell’AI in azienda.

Se stai definendo la governance dell’AI per un team, le soluzioni PrivActa per le aziende aiutano a trasformare la policy in una pratica quotidiana, e la pillar su come scrivere e far rispettare una policy AI aziendale copre l’intero percorso.

Domande frequenti

Quali sezioni deve avere una policy AI aziendale? Almeno otto: scopo e ambito, strumenti ammessi, dati vietati e consentiti, la regola sui dati in chiaro, ruoli e responsabilità, formazione, controlli e conseguenze, riferimenti normativi. Sono le sezioni minime perché la policy sia applicabile e non solo teorica.

Cosa non deve mai mancare in una policy sull’uso dell’AI? La regola più importante è “non incollare dati personali o riservati in chiaro negli assistenti AI”. Senza una misura tecnica che la renda praticabile, però, resta un buon proposito: la policy deve indicare anche come rispettarla, non solo vietare.

Una policy AI mi mette a norma con GDPR e AI Act? No. La policy è una misura organizzativa utile, ma la conformità dipende dal titolare del trattamento e dalle sue valutazioni complessive. La policy riduce il rischio e documenta la governance; non è un timbro di conformità automatica.

Chi deve scrivere e approvare la policy AI in azienda? In genere HR e management la redigono con il supporto del DPO e dell’IT/security; la approva la direzione. La policy va poi comunicata a tutti, non lasciata in un cassetto, e aggiornata quando cambiano strumenti o normativa.