La policy AI per lo studio professionale (con modello)

Una policy AI studio professionale deve risolvere tre problemi che una policy aziendale standard non affronta: quasi tutti i dati trattati sono coperti dal segreto professionale, tra chi la deve rispettare ci sono praticanti e collaboratori esterni, e non c’è un reparto IT che vigili. Per uno studio di 3-10 persone la risposta non è un regolamento di venti pagine: è una pagina di regole autoapplicabili, più uno strumento che le renda praticabili. In fondo trovi il modello in 10 punti.

Per la struttura generale di una policy AI — le sezioni, le clausole, gli errori tipici — esistono già le guide dedicate: la pillar sulla policy AI aziendale, la guida su come scrivere una policy sull’uso dell’AI e il template aziendale da personalizzare. Qui non le ripetiamo: vediamo cosa cambia quando l’organizzazione è uno studio.

Perché lo studio non può copiare la policy di un’azienda

Le policy AI in circolazione nascono per aziende strutturate: comitati, referenti IT, allegati con gli strumenti approvati. Uno studio professionale ha un’anatomia diversa, e tre differenze cambiano la sostanza del documento.

• Il segreto professionale rovescia il default. In azienda la policy elenca i dati vietati; in uno studio è più onesto dire che tutto ciò che riguarda un cliente è vietato per default, salvo mascheramento. Fascicoli, pareri, dichiarazioni, buste paga: non esistono quasi documenti “neutri”. Se esista un modo di usare l’AI compatibile con questo vincolo lo approfondisce la guida su un’AI conforme al segreto professionale.
• Praticanti e collaboratori sono il punto debole tipico. Chi è entrato in studio da poco è spesso chi usa l’AI con più disinvoltura — e con meno percezione del vincolo di riservatezza, che pure lo copre. La policy deve nominarli esplicitamente e far parte del loro ingresso in studio, non arrivare dopo.
• Niente IT interno significa regole autoapplicabili. Nessuno bloccherà i siti, monitorerà il traffico o gestirà whitelist. Ogni regola che richiede un controllo tecnico centralizzato è, in uno studio, una regola morta. Devono reggersi da sole: poche, concrete, sostenute da strumenti che chiunque installa e usa.

Il rischio da governare è lo stesso descritto nella pillar sulla Shadow AI: l’uso invisibile di ChatGPT e simili su documenti reali. In uno studio piccolo la Shadow AI non è statistica: è il praticante alla scrivania accanto.

Il modello in 10 punti per lo studio

Ecco un modello pensato per uno studio di 3-10 persone. Adattalo — nome dello studio, strumenti, referente — e tienilo in una pagina: più è corto, più viene letto. Per le clausole estese di ciascun blocco puoi attingere al template aziendale, ricordando che qui il default sui dati è più severo.

1. Ambito. La policy vale per titolari, collaboratori, praticanti, segreteria e consulenti esterni che trattano documenti dello studio, su qualunque dispositivo.
2. Principio di fondo. L’AI è ammessa come supporto al lavoro; la responsabilità professionale resta della persona. Nessun documento o dato riconducibile a un cliente entra in un’AI in chiaro.
3. Strumenti. Gli assistenti AI ammessi sono [ELENCO]. L’uso di account personali per documenti dello studio non è ammesso.
4. Dati vietati in chiaro. Nomi di clienti e controparti, codici fiscali, IBAN, indirizzi, dati contenuti in fascicoli, atti, dichiarazioni, buste paga e corrispondenza. In pratica: tutto ciò che il segreto professionale copre.
5. La via consentita. I documenti utili all’AI si usano dopo mascheramento dei dati identificativi con segnaposto coerenti, e la versione mascherata va rivista prima dell’invio.
6. Verifica degli output. Quanto l’AI produce è una bozza: va sempre verificato dal professionista prima di entrare in un atto, un parere o una comunicazione al cliente.
7. Informativa al cliente. Lo studio informa i clienti dell’uso di sistemi di AI come supporto, in linguaggio chiaro, come previsto dalla L. 132/2025.
8. Praticanti e nuovi ingressi. La policy si consegna il primo giorno; chi entra conferma per iscritto di averla letta. Le domande si fanno al referente, non si risolvono “provando”.
9. Incidenti. Se un dato di un cliente esce in chiaro per errore, si avvisa subito il titolare: prima si sa, più opzioni ci sono. Segnalare non è sanzionato; tacere sì.
10. Referente e revisione. Il referente AI dello studio è [NOME]. La policy si rivede ogni [12] mesi o quando cambiano strumenti e normativa.

Rendere il punto 5 praticabile (o resta carta)

Il punto che decide se la policy funziona è il quinto: la via consentita. Se mascherare un documento richiede mezz’ora a mano, nessuno lo farà — e si torna al copia-incolla in chiaro, solo con più sensi di colpa. La regola va accompagnata da uno strumento che la renda un gesto di secondi.

PrivActa è uno strumento di supporto all’anonimizzazione pensato per questo contesto: individua 49 categorie di dati italiani (nomi, codici fiscali, IBAN, partite IVA, indirizzi) e le maschera con segnaposto coerenti in locale, sul computer — i documenti dello studio non vengono caricati su alcun server, un requisito coerente con il segreto professionale. La revisione manuale prima dell’export lascia l’ultima parola al professionista, il dizionario personale copre i termini ricorrenti dello studio e i progetti multi-documento mantengono pseudonimi coerenti su un intero fascicolo. Funziona su macOS e Windows.

Per uno studio, il piano Studio copre 3 utenti a €69/mese IVA esclusa; il piano Solo costa €29/mese IVA esclusa. Il trial dura 3 giorni e non richiede carta di credito. Nessuno strumento rende lo studio “a norma” da solo — la policy, la formazione e le scelte del titolare restano decisive — ma trasforma la regola più importante da buon proposito a pratica quotidiana.

Formazione: mezz’ora che vale la policy

Una policy consegnata e mai discussa protegge poco. In uno studio bastano incontri brevi: mezz’ora per mostrare il flusso maschera-incolla-riattribuisci, i casi in cui l’AI aiuta davvero e gli errori tipici. La guida su come formare i dipendenti all’uso dell’AI offre una traccia riutilizzabile anche in piccolo; per gli studi che trattano dati del personale, il verticale sull’AI per i consulenti del lavoro mostra il flusso applicato a buste paga e fascicoli.

Domande frequenti

Uno studio con 5 persone ha davvero bisogno di una policy AI? Sì: i dati trattati sono quasi tutti coperti da segreto professionale e non c’è un IT che filtri gli strumenti. Una pagina di regole chiare riduce il rischio più di qualunque divieto informale.

In cosa differisce dalla policy di un’azienda? Il segreto professionale rende vietato per default tutto ciò che riguarda i clienti; praticanti e collaboratori vanno inclusi esplicitamente; senza IT interno le regole devono essere autoapplicabili.

Chi la scrive e chi la approva? Il titolare o i soci: basta un documento breve, consegnato a ogni collaboratore e praticante con conferma di lettura, e una data di revisione.

Deve vietare ChatGPT? No: il divieto totale alimenta la Shadow AI. Meglio consentire l’AI su testi mascherati e vietare solo il gesto rischioso, incollare documenti in chiaro.