AI policy aziendale: esempio e contenuti, sezione per sezione
Una AI policy aziendale stabilisce come il personale può usare l'intelligenza artificiale al lavoro: quali strumenti sono approvati, quali informazioni non vanno mai inserite, come si verificano le risposte, cosa è vietato e come si segnalano gli incidenti. Qui trovate uno schema in dodici sezioni con clausole di esempio da adattare e i passi per introdurla in un'azienda italiana.
In sintesi
- La AI policy è il documento sull'IA che i dipendenti leggono davvero: deve essere breve, concreta e verificabile.
- Il nucleo: strumenti approvati, classificazione delle informazioni, verifica degli output, usi vietati, trasparenza, sicurezza, segnalazione degli incidenti, formazione.
- L'AI Act non chiede un documento chiamato «AI policy», ma la policy è il modo più semplice per dare attuazione agli articoli 4, 5 e 50.
- Le regole su cosa non inserire mai fanno gran parte del lavoro di protezione: scrivetele in modo che nessuno possa fraintenderle.
- In Italia contano anche informativa ai lavoratori, Statuto dei lavoratori e, per gli studi professionali, l'obbligo di informare i clienti.
Perché serve una AI policy (anche se usate «solo» ChatGPT)
In molte aziende italiane l'IA generativa è entrata dal basso. Un commerciale ha fatto scrivere a ChatGPT la bozza di un'offerta, qualcuno ha installato un'estensione che trascrive le riunioni su Teams, l'assistenza clienti ha iniziato a incollare i ticket in un chatbot per riassumerli. Niente di tutto questo è passato da acquisti o IT, e spesso riguardava dati personali o informazioni riservate.
La policy chiude questa falla. Dà al personale un sì chiaro e un no chiaro, e vi dà qualcosa da mostrare quando un cliente, un revisore o un'autorità chiede come governate l'uso dell'IA. Tre obblighi dell'AI Act, già applicabili, sono più facili da rispettare con una policy:
- Alfabetizzazione in materia di IA (articolo 4), dal 2 febbraio 2025. Dopo l'Omnibus digitale, fornitori e deployer devono adottare misure per promuoverla tra il personale e chi usa l'IA per loro conto; policy e formazione sono la misura più comune. Il programma per ruoli è descritto in AI literacy e formazione per l'AI Act.
- Pratiche vietate (articolo 5), dal 2 febbraio 2025, con nuovi divieti dal 2 dicembre 2026.
- Trasparenza (articolo 50), dal 2 agosto 2026: tra l'altro, chi usa l'IA sotto la propria autorità deve dichiarare i deep fake. I dettagli sono nella pagina sull'articolo 50 dell'AI Act.
Il GDPR si applica in parallelo: i dati personali inseriti in uno strumento di IA sono un trattamento che richiede base giuridica, nomina del fornitore come responsabile del trattamento e attenzione ai trasferimenti fuori dall'UE. Per il quadro completo del regolamento, vedete la nostra guida all'AI Act.
Potete scrivere la policy da soli partendo dallo schema qui sotto. Oppure potete farvi scrivere l'AI policy aziendale dalle vostre risposte: l'assessment gratuito di Opsio richiede circa 40 minuti e produce, appena inviate, la policy sull'uso accettabile dell'IA insieme ad altri tre documenti di governance. Le domande sono in italiano, i documenti vengono consegnati in inglese come file Word modificabili.
Avete bisogno di supporto esperto per ai policy aziendale?
I nostri architetti cloud vi supportano con ai policy aziendale — dalla strategia all'implementazione. Prenotate una consulenza gratuita di 30 minuti senza impegno.
Esempio di AI policy aziendale: le dodici sezioni
Lo schema segue l'ordine che la maggior parte dei lettori si aspetta. Per ogni sezione è indicato cosa deve coprire e, per le più delicate, una clausola di esempio. Sostituite le parentesi quadre con i vostri dati.
1. Scopo e ambito di applicazione
Spiegate perché la policy esiste e a chi si applica: dipendenti, collaboratori, somministrati, consulenti e chiunque usi l'IA per conto dell'azienda. Coprite tutti gli strumenti, non solo i chatbot: assistenti alla programmazione, trascrizione, generatori di immagini, funzioni di IA nei software esistenti.
Esempio: «La presente policy si applica a tutti i dipendenti, collaboratori e consulenti che utilizzano strumenti di intelligenza artificiale nello svolgimento di attività per [Azienda], indipendentemente dal reparto e dal fatto che lo strumento sia fornito da [Azienda], integrato in software in licenza o accessibile tramite un account personale.»
2. Strumenti approvati
Elencate gli strumenti consentiti e per quali classi di informazioni, o rimandate a un elenco sull'intranet tenuto aggiornato. Indicate esplicitamente le versioni aziendali, per esempio Microsoft 365 Copilot con licenza aziendale e non la versione consumer. Spiegate come si chiede un nuovo strumento e chi lo approva. L'elenco dovrebbe derivare dal vostro registro dei sistemi di IA, descritto in shadow AI e inventario dei sistemi, così che i due documenti non divergano.
Esempio: «Per attività di lavoro possono essere utilizzati esclusivamente gli strumenti inclusi nell'Elenco degli strumenti di IA approvati. La richiesta di nuovi strumenti va inoltrata a [responsabile della governance AI] tramite [modulo] ed è approvata solo dopo la verifica di sicurezza, protezione dei dati e fornitore.»
3. Classificazione delle informazioni: cosa non inserire mai
È la sezione che previene più incidenti. Collegate le vostre classi di informazioni (per esempio pubblica, interna, riservata, strettamente riservata) a regole sull'IA ed elencate ciò che è sempre vietato negli strumenti non approvati per quella classe.
Esempio: «Salvo che lo strumento sia stato approvato per iscritto per la relativa classe di informazioni, è vietato inserire: password, chiavi API o altre credenziali; dati personali di clienti, dipendenti o candidati; categorie particolari di dati personali (salute, opinioni politiche, convinzioni religiose, dati biometrici); informazioni coperte da segreto industriale o da accordi di riservatezza; dati finanziari non pubblicati; codice sorgente proprietario.»
4. Account personali e dispositivi
Chiarite se si possono usare account personali gratuiti per il lavoro. Nella maggior parte dei casi la risposta dovrebbe essere no, perché le condizioni d'uso consumer possono consentire al fornitore di usare i contenuti per addestrare i modelli.
5. Verifica degli output
Chi usa l'IA resta responsabile del risultato. Richiedete una verifica umana proporzionata all'impatto: più severa per contratti, comunicazioni ai clienti, codice in produzione, numeri e citazioni normative.
Esempio: «Ogni contenuto prodotto con il supporto dell'IA e destinato a clienti, autorità o pubblicazione deve essere verificato da una persona competente prima dell'uso. Fatti, numeri, fonti e riferimenti normativi vanno controllati sulla fonte originale.»
6. Usi vietati
Riportate le pratiche vietate dall'articolo 5 del regolamento (UE) 2024/1689 che possono riguardare un'azienda (per esempio riconoscimento delle emozioni dei dipendenti, manipolazione, punteggi sociali), più i divieti interni: decisioni su persone senza revisione umana, uso dell'IA per eludere controlli, generazione di contenuti ingannevoli. In Italia aggiungete un richiamo al divieto di diffondere deepfake che causano un danno ingiusto, reato introdotto dalla legge 132/2025.
Esempio: «È vietato utilizzare l'IA per prendere o determinare in via esclusiva decisioni su assunzioni, valutazioni delle prestazioni, provvedimenti disciplinari o cessazione del rapporto di lavoro. Tali decisioni spettano sempre a una persona con potere effettivo di decidere.»
7. Trasparenza ed etichettatura
Stabilite quando dichiarare l'uso dell'IA: chatbot rivolti ai clienti, deep fake, testi di interesse pubblico, immagini sintetiche nel marketing. Per gli studi professionali ricordate l'obbligo dell'articolo 13 della legge 132/2025 di informare il cliente dei sistemi di IA utilizzati.
Esempio: «Immagini, audio o video generati o modificati con l'IA che ritraggono persone, luoghi o eventi reali in modo da poter sembrare autentici devono riportare l'indicazione “Contenuto generato con l'intelligenza artificiale”.»
8. Sicurezza
Regole su estensioni del browser, plugin, agenti con accesso a posta e sistemi aziendali, condivisione di file e gestione dei prompt che contengono informazioni sensibili. Rimandate alla policy di sicurezza delle informazioni esistente invece di duplicarla.
9. Proprietà intellettuale
Ricordate che in Italia le opere sono tutelate dal diritto d'autore solo se frutto del lavoro intellettuale umano, anche quando create con l'ausilio dell'IA. Chiarite come trattare i contenuti generati destinati a clienti e come rispettare i diritti di terzi.
10. Segnalazione degli incidenti
Indicate cosa segnalare (dati inseriti per errore, risposte gravemente errate usate in decisioni, comportamenti anomali di un agente), a chi e in quanto tempo. Collegate la procedura a quella per le violazioni dei dati personali, che in caso di data breach ha tempi stretti.
Esempio: «Chi si accorge di aver inserito informazioni riservate o dati personali in uno strumento non approvato lo segnala entro 24 ore a [indirizzo]. La segnalazione tempestiva non comporta di per sé conseguenze disciplinari.»
11. Formazione
Prevedete formazione all'ingresso, al rilascio di nuovi strumenti e un richiamo periodico, con registrazione della partecipazione. È il collegamento diretto con l'articolo 4.
12. Responsabilità, sanzioni e revisione
Nominate il responsabile della policy, la frequenza di revisione (almeno annuale e a ogni cambiamento normativo) e le conseguenze delle violazioni, coordinate con il codice disciplinare.
Tabella sì/no da allegare alla policy
| Sì | No |
|---|---|
| Usare Copilot aziendale per riassumere un documento interno | Incollare un contratto con un cliente in un chatbot gratuito |
| Farsi aiutare a scrivere una bozza di email, poi rileggerla | Inviare al cliente una risposta generata senza controllarla |
| Generare un'immagine illustrativa per una presentazione interna | Creare un video con la voce clonata di un collega senza consenso |
| Chiedere all'IA di spiegare un concetto tecnico | Usare l'IA per scegliere chi licenziare o promuovere |
| Segnalare subito un inserimento errato di dati | Installare estensioni di IA non approvate sul PC aziendale |
Come introdurre la policy in un'azienda italiana
- Coinvolgete le funzioni giuste: IT e sicurezza, HR, legale, DPO e, se l'IA cambia l'organizzazione del lavoro, le rappresentanze sindacali.
- Aggiornate l'informativa ai lavoratori: se usate sistemi decisionali o di monitoraggio automatizzati, l'articolo 1-bis del d.lgs. 152/1997 richiede un'informativa specifica.
- Verificate lo Statuto dei lavoratori: se uno strumento di IA consente anche un controllo a distanza dell'attività, valgono le regole dell'articolo 4 della legge 300/1970. E perché una violazione della policy possa avere conseguenze disciplinari, le regole devono essere portate a conoscenza secondo l'articolo 7.
- Pubblicate l'elenco degli strumenti approvati nello stesso momento della policy: una policy che vieta tutto senza alternative spinge verso la shadow AI.
- Formate e raccogliete la presa visione. Una breve sessione, una guida di una pagina e una conferma di lettura registrata.
- Rivedete dopo sei mesi. Le prime segnalazioni e domande del personale dicono cosa va chiarito.
Per l'IA usata nelle decisioni sul personale ricordate anche il d.lgs. 179/2026, in vigore dal 23 ottobre 2026: le decisioni finali sul rapporto di lavoro non possono essere prese unicamente in modo automatizzato. Se la policy è il primo documento di governance che scrivete, il passo successivo è una gap analysis per l'AI Act.
Domande frequenti
Cosa deve contenere una AI policy aziendale?
Almeno: ambito di applicazione, strumenti approvati, informazioni che non si possono inserire, verifica degli output, usi vietati, regole di trasparenza ed etichettatura, sicurezza, segnalazione degli incidenti, formazione e responsabilità. Deve essere scritta per chi la applica ogni giorno, con esempi concreti, non solo per i legali.
L'AI policy è obbligatoria per legge?
Né l'AI Act né la legge 132/2025 impongono un documento con questo nome. Però l'AI Act chiede misure di alfabetizzazione, il rispetto dei divieti e la trasparenza, e la policy è il modo più semplice e documentabile per farlo. Clienti e gare d'appalto, inoltre, la chiedono sempre più spesso.
Quanto deve essere lunga una AI policy?
Il più corta possibile: quattro-sei pagine bastano per la maggior parte delle aziende, con un allegato per l'elenco degli strumenti approvati e la tabella sì/no. Le regole di dettaglio su governance, rischi e fornitori vanno in documenti separati, come il framework di governance e la checklist per i fornitori.
Serve l'accordo sindacale per introdurla?
Per la policy in sé, in genere no. Può servire, o essere opportuno, quando gli strumenti di IA consentono un controllo a distanza dei lavoratori (articolo 4 dello Statuto dei lavoratori) o cambiano in modo significativo l'organizzazione del lavoro. Verificate con il vostro consulente del lavoro caso per caso.
Esiste un modello di AI policy gratuito in italiano?
Lo schema di questo articolo è un punto di partenza gratuito da adattare. In alternativa, l'assessment di Opsio scrive gratis una policy sull'uso accettabile dell'IA personalizzata sulle vostre risposte; le domande sono in italiano, ma il documento viene consegnato in inglese come file Word, che potete modificare e tradurre liberamente.
Fatevi scrivere la policy dalle vostre risposte
Lo schema sopra vi dà la struttura. Se preferite partire da un testo già compilato con il nome della vostra azienda, i responsabili e i vostri strumenti, rispondete alle domande e fatevi scrivere la policy per la vostra organizzazione, in Word, gratis: con l'assessment Opsio per una AI policy aziendale e la governance AI servono circa 40 minuti, e all'invio ricevete la policy sull'uso accettabile, il framework di governance AI, la checklist per i fornitori AI e il modello di valutazione dei rischi. Tutto consegnato in inglese, in file modificabili che restano vostri.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744, e la normativa italiana sul lavoro con i vostri consulenti. Situazione aggiornata a ottobre 2026.
Sull'autore
Direttore dell'Innovazione
Jacob guida l'innovazione di Opsio, specializzandosi in trasformazione digitale, IA, IoT e soluzioni guidate dal cloud che trasformano tecnologia complessa in valore di business misurabile. Con quasi 15 anni di esperienza, lavora a stretto contatto con i clienti per progettare soluzioni IA e IoT scalabili, ottimizzare i processi di consegna e creare strategie tecnologiche che alimentano una crescita sostenibile e un impatto di lungo termine.
Standard editoriali: Questo articolo è stato scritto da un professionista certificato e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date qui sopra indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente: consigliamo soluzioni in base al merito tecnico, non a rapporti commerciali.