Policy AI aziendale: come scriverla e farla rispettare

Una policy sull’uso dell’intelligenza artificiale aziendale è il documento interno che stabilisce chi può usare quali assistenti AI, con quali dati e con quali responsabilità. Per scriverla bene definisci scopo, strumenti ammessi, dati vietati, ruoli e formazione; per farla rispettare servono controlli e una misura tecnica che impedisca ai dati sensibili di uscire in chiaro.

Questa è la guida completa: perché una policy AI serve, come è fatta sezione per sezione, quali regole contano davvero e — soprattutto — come passare dalla carta alla pratica quotidiana. È l’hub del cluster: da qui trovi le guide operative, da come scrivere una policy sull’uso dell’AI alla checklist di cosa deve prevedere.

Il problema in breve

L’AI generativa è già entrata in azienda, con o senza permesso. Secondo il Data Breach Investigations Report 2026 di Verizon, il 45% dei dipendenti usa regolarmente l’AI nel proprio lavoro, e circa due terzi di loro con account personali, fuori da ogni controllo dell’organizzazione. È il fenomeno della Shadow AI: strumenti come ChatGPT, Claude o Gemini usati in autonomia, spesso su documenti reali pieni di dati di clienti, dipendenti e fornitori.

Senza una regola condivisa, ogni persona decide da sé cosa incollare in un assistente AI. Una policy AI dipendenti trasforma quelle decisioni improvvisate in un binario chiaro: cosa è permesso, cosa è vietato, cosa fare in caso di dubbio. Ma un documento che resta in un cassetto non protegge nessuno — la parte difficile è renderlo vivo.

Perché serve una policy AI

Una policy sull’AI risponde a tre esigenze concrete, non a un obbligo formale astratto.

• Ridurre il rischio sui dati. La causa più frequente di esposizione non è un attacco esterno, ma un dipendente in buona fede che incolla un documento riservato in un assistente AI per farselo riassumere. La policy fissa cosa non deve mai uscire.
• Dare certezza alle persone. Senza regole, chi lavora oscilla tra il divieto informale (“non si può”) e il far west (“tanto lo fanno tutti”). Una policy chiara toglie l’ambiguità e responsabilizza.
• Sostenere gli obblighi normativi. L’AI Act introduce progressivamente doveri per chi usa sistemi di IA, tra cui l’alfabetizzazione del personale. Il Regolamento (UE) 2024/1689 (AI Act), art. 4 richiede che chi impiega sistemi di IA garantisca un livello sufficiente di competenza a chi li usa. Una policy con formazione è parte della risposta — non un timbro di conformità, ma un tassello. Vedi l’obbligo di AI literacy.

La struttura: le 8 sezioni di una policy AI

Un regolamento AI aziendale efficace è breve e leggibile, non un trattato. Queste sono le otto sezioni che non dovrebbero mancare.

1. Scopo e ambito. Perché esiste la policy e a chi si applica (dipendenti, collaboratori, fornitori che trattano dati aziendali).
2. Strumenti ammessi e vietati. Quali assistenti AI sono autorizzati, in quali versioni (account aziendale vs personale), e quali sono espressamente vietati.
3. Dati che non vanno mai inseriti. L’elenco netto delle categorie proibite: dati personali identificativi, dati particolari, credenziali, segreti aziendali, documenti di terzi. È il cuore operativo.
4. Regole d’uso. Come usare l’AI in sicurezza: mascherare i dati prima dell’invio, non affidarsi ciecamente agli output, non delegare decisioni sensibili.
5. Ruoli e responsabilità. Chi approva gli strumenti, chi forma, chi vigila, a chi ci si rivolge in caso di dubbio (referente AI, DPO, IT).
6. Verifica umana degli output. L’obbligo di controllare quanto l’AI produce prima di usarlo: le allucinazioni sono un rischio reale, la responsabilità resta della persona.
7. Formazione e aggiornamento. Come e quando il personale viene formato, e ogni quanto la policy si rivede.
8. Gestione incidenti e sanzioni. Cosa fare se un dato esce per errore, e le conseguenze in caso di violazione.

Per il testo sezione per sezione, con esempi di clausole, vedi come scrivere una policy sull’uso dell’AI; per una lista di controllo pronta all’uso, la checklist di cosa deve prevedere una policy AI.

Le regole che contano davvero

Non tutte le sezioni pesano allo stesso modo. Se dovessi ridurre la policy alle poche regole che riducono di più il rischio concreto, sarebbero queste.

Non inserire dati identificativi in chiaro

È la regola numero uno. Nomi, codici fiscali, IBAN, indirizzi, email, dati di clienti e pazienti non devono finire in chiaro in un assistente AI. All’AI serve il contenuto di un documento per riassumerlo o riscriverlo; non le serve sapere chi sono le persone coinvolte. La regola pratica: non incollare dati in chiaro nell’AI, maschera prima.

Usare account aziendali, non personali

Il rischio più insidioso della Shadow AI nasce dagli account personali, su cui l’azienda non ha visibilità né garanzie contrattuali. La policy dovrebbe imporre strumenti autorizzati e account gestiti — sapendo però che neppure una versione a pagamento riduce i dati che una persona immette: quella parte resta a carico di chi scrive il prompt.

Verificare sempre l’output umano

L’AI può inventare riferimenti, norme, dati. La policy deve rendere esplicito che la responsabilità di quanto si usa resta della persona: nessun output va copiato senza controllo.

Dalla carta alla pratica

Qui casca la maggior parte delle policy: sono scritte bene, firmate, archiviate — e ignorate. La regola “non incollare dati in chiaro nell’AI” è giusta, ma chiede a ogni persona, su ogni documento, di individuare e togliere a mano tutti i dati identificativi. Su decine di file al giorno, è lento e un dato dimenticato è sempre possibile.

L’esempio qui sotto mostra cosa significa, in concreto, applicare la regola su un testo reale: il dato identificativo viene sostituito con segnaposto coerenti prima dell’invio all’assistente AI.

Valutazione del dipendente Mario Rossi (CF RSSMRA80A01H501U),
assunto il 12/03/2019, retribuzione lorda annua 34.000 €,
residente in Via Roma 1, 20121 Milano.
Nell'ultimo anno ha gestito il cliente Bianchi Srl.

Valutazione del dipendente [NOME_1] (CF [CF_1]),
assunto il 12/03/2019, retribuzione lorda annua 34.000 €,
residente in [INDIRIZZO_1].
Nell'ultimo anno ha gestito il cliente [AZIENDA_1].

La versione a destra riduce l’esposizione: l’AI può comunque riscrivere o sintetizzare la valutazione, ma non vede più chi è il dipendente né il suo indirizzo. Non è “anonimo al 100%” in senso assoluto — è un testo minimizzato, con molti meno appigli per re-identificare una persona. Questo è, in pratica, ciò che una buona policy chiede di fare prima di ogni invio.

Come farla rispettare: la misura tecnica

Una regola si rispetta quando è facile da rispettare. Se applicare la policy costa a ogni dipendente cinque minuti e molta attenzione per documento, verrà aggirata. La leva che chiude il cerchio è una misura tecnica che renda la regola eseguibile senza sforzo.

Insieme alla misura tecnica servono le altre due leve della governance: controlli proporzionati (senza sorvegliare le persone, ma verificando che gli strumenti autorizzati siano usati) e responsabilità chiare. Il quadro completo è in come far emergere e governare la Shadow AI senza vietarla.

Formazione a supporto

Nessuna policy si applica da sola: le persone devono capirla e saperla usare. La formazione è anche un obbligo — l’AI Act ( Regolamento (UE) 2024/1689, art. 4 ) richiede un livello adeguato di AI literacy per chi usa i sistemi di IA.

Una formazione efficace è breve e concreta: cosa si può e non si può inserire, come mascherare un documento prima dell’invio, a chi rivolgersi nel dubbio. Il punto di partenza pratico è formare i dipendenti all’uso dell’AI. Formazione, policy e misura tecnica insieme fanno ciò che nessuna delle tre fa da sola: rendere la regola davvero applicata.

Cosa NON basta

Alcune scorciatoie sembrano risolvere il problema, ma lasciano scoperto il fianco. Saperlo evita un falso senso di sicurezza.

• Vietare l’AI e basta. Il divieto puro spinge l’uso nella clandestinità e fa perdere ogni visibilità: la Shadow AI cresce proprio dove si vieta senza offrire alternative. Vedi se vietare ChatGPT in azienda funziona.
• Scrivere la policy e archiviarla. Un documento non letto e non applicato non riduce alcun rischio: serve formazione e una misura che renda la regola praticabile.
• Affidarsi solo alla versione aziendale dell’AI. Le versioni Team/Enterprise migliorano le garanzie contrattuali, ma non riducono i dati che il dipendente immette: quella parte resta a carico di chi scrive.
• Considerare la policy un timbro di conformità. Una policy è uno strumento organizzativo utile, ma la conformità a GDPR e AI Act dipende dal titolare del trattamento e dall’insieme delle sue misure.

Domande frequenti

La mia azienda ha davvero bisogno di una policy sull’uso dell’AI? Sì, se qualcuno in azienda usa l’AI (e statisticamente lo fa già). Una policy sull’uso dell’intelligenza artificiale aziendale definisce strumenti ammessi, dati vietati e responsabilità, riduce il rischio di fughe di dati e sostiene gli obblighi dell’AI Act, tra cui l’alfabetizzazione del personale.

Cosa deve prevedere una policy AI aziendale? Almeno: scopo e ambito, strumenti ammessi e vietati, dati che non vanno mai inseriti nell’AI, ruoli e responsabilità, obbligo di verifica umana degli output, formazione, gestione degli incidenti e sanzioni. La regola più concreta è non inserire dati identificativi in chiaro negli assistenti AI.

Basta vietare ChatGPT ai dipendenti invece di scrivere una policy? No. Il divieto puro spinge l’uso nella clandestinità (Shadow AI) e fa perdere ogni visibilità all’organizzazione. Funziona meglio governare: una policy chiara, formazione e una misura tecnica che renda praticabile la regola di non far uscire i dati in chiaro.

Come si fa rispettare davvero una policy AI? Con tre leve insieme: formazione periodica (anche per l’obbligo di AI literacy dell’AI Act), controlli e responsabilità definite, e una misura tecnica che riduca l’esposizione dei dati alla fonte, come mascherare i dati identificativi sul dispositivo prima di inviarli all’AI.

Una policy AI mette la mia azienda a norma con GDPR e AI Act? No. La policy è uno strumento organizzativo utile, ma la conformità dipende dal titolare del trattamento e dalle sue valutazioni complessive. Nessun documento e nessun software, da soli, rendono conformi: sono tasselli di un insieme di misure organizzative e tecniche.

Rendi la tua policy AI eseguibile

Una policy vale quanto la sua applicazione quotidiana. La regola “non far uscire i dati in chiaro” diventa un passaggio di pochi secondi con lo strumento giusto: PrivActa aiuta i tuoi collaboratori a mascherare nomi, codici fiscali, IBAN e indirizzi sul dispositivo, prima che il testo raggiunga l’AI — l’elaborazione resta offline, il documento originale non esce mai. Scarica PrivActa e vedi come rende la tua policy praticabile, oppure scopri la soluzione per le aziende.