Cluster · policy aziendale AI
Policy aziendale sull'uso dell'AI: come scriverla
Come scrivere una policy interna sull'uso dell'AI: struttura, cosa includere, errori da evitare e un modello di partenza per PMI.
Tempo di lettura: 9 min
Guida operativa · AI Act e conformità
Una policy aziendale sull'AI non è un documento legale: è l'unico strumento che trasforma buone intenzioni in comportamenti coerenti. Nelle PMI italiane la quasi totalità dei problemi legati all'AI non nasce da sistemi mal progettati, ma da persone in gamba che, in assenza di indicazioni, decidono da sole cosa è ragionevole fare.
La buona notizia è che serve poco: due o tre pagine scritte in italiano comprensibile risolvono la maggior parte delle situazioni. Questo articolo spiega cosa metterci e, soprattutto, cosa non metterci.
In sintesi
- Non è obbligatoria, ma è il modo più economico di dimostrare governo sull'uso degli strumenti.
- Deve stare in due o tre pagine: quello che non si legge non si applica.
- Le sezioni essenziali sono sei, e la più importante è l'elenco di cosa non esce dall'azienda.
- Va scritta da chi conosce i processi, revisionata da chi segue privacy e contratti.
- Deve indicare gli strumenti approvati, non solo quelli vietati.
- Serve un canale per chiedere: senza, le persone decidono da sole.
Le sei sezioni che servono davvero
1. Perché esiste questo documento. Tre righe. Non «in ottemperanza a», ma «per usare l'AI senza mettere a rischio i dati dei clienti e gli impegni che abbiamo preso».
2. Strumenti approvati. L'elenco di cosa si può usare, con il piano di riferimento. È la sezione che rende la policy costruttiva invece che proibitiva.
3. Cosa non esce dall'azienda. La sezione centrale. Elenco concreto, con esempi tratti dal vostro lavoro reale.
4. Regole sui contenuti generati. Verifica dei fatti prima della pubblicazione, niente nomi di autori nei prompt, revisione umana su ciò che va ai clienti.
5. Dove serve l'occhio umano. Quali decisioni non possono essere lasciate al sistema.
6. A chi chiedere. Un nome, un canale. Senza questo punto la policy diventa un elenco di divieti e le persone si arrangiano.
Cosa scrivere nella sezione «non esce dall'azienda»
Va scritta con esempi del vostro mestiere, non con categorie astratte. Confronta:
Funziona
- «Non incollare fascicoli o documenti dei clienti»
- «Non caricare l'export dell'anagrafica»
- «Non inserire listini e marginalità»
- «Non incollare credenziali o chiavi»
Non funziona
- «Non trattare dati personali senza base giuridica»
- «Rispettare la normativa vigente»
- «Usare cautela con le informazioni riservate»
La colonna di destra è ineccepibile e inutile: nessuno saprà se il file che ha in mano rientra. La sinistra si applica da sola. Il fondamento tecnico di queste regole è in dati aziendali e AI.
Un modello di struttura
| Sezione | Contenuto | Lunghezza |
|---|---|---|
| Scopo | Perché esiste, a chi si applica | 3-5 righe |
| Strumenti approvati | Elenco con piano e chi li può usare | mezza pagina |
| Dati che non escono | Elenco concreto con esempi vostri | mezza pagina |
| Contenuti generati | Verifica, revisione, regole sui prompt | mezza pagina |
| Supervisione umana | Decisioni che restano alle persone | poche righe |
| Riferimenti e revisione | Chi contattare, data di aggiornamento | poche righe |
Esempi pratici
Studio professionale di 8 persone. La policy essenziale sta in due pagine: strumento approvato con piano business, divieto assoluto di inserire documenti dei clienti negli account personali, obbligo di revisione umana su tutto ciò che esce con la firma dello studio, nome del referente per i dubbi. Scritta in un pomeriggio, elimina la quasi totalità del rischio reale.
E-commerce con 20 dipendenti. Qui serve una sezione in più: chi può usare l'AI nelle risposte ai clienti e con quale supervisione. Va scritto che l'assistente si dichiara come automatico, obbligo dell'AI Act per il rischio limitato — vedi obblighi AI Act per le PMI.
Azienda manifatturiera con reparto tecnico. L'attenzione si sposta su disegni, specifiche e know-how. Il rischio non è il GDPR: è la perdita di controllo su informazioni che valgono anni di lavoro. La sezione «non esce» va scritta con i tecnici, che sono gli unici a sapere cosa è davvero sensibile.
Come farla adottare davvero
Una policy scritta bene e ignorata vale zero. La differenza tra un documento che cambia i comportamenti e uno che resta nella cartella condivisa non sta nel contenuto: sta in come viene introdotta.
- Parti dai casi reali, non dalle regole. «La settimana scorsa è successo che…» funziona molto meglio di «l'articolo 3 prevede che…».
- Spiega il perché di ogni divieto. «Non incollare i fascicoli» diventa applicabile solo quando le persone capiscono cosa comporta.
- Mostra l'alternativa nello stesso momento. Ogni divieto dovrebbe arrivare accompagnato dal modo giusto di fare la stessa cosa.
- Dai un nome al referente. Non «l'ufficio competente»: una persona a cui scrivere.
- Ripeti dopo tre mesi. La prima presentazione informa, la seconda consolida.
Cosa cambia quando l'azienda inizia a costruire, non solo a usare
La policy descritta finora serve a governare l'uso di strumenti di terzi. Quando l'azienda passa a costruire qualcosa di proprio — un agente che risponde ai clienti, un'automazione che elabora documenti — servono due sezioni in più.
Chi può mandare in produzione. Un conto è provare, un conto è mettere un sistema davanti ai clienti. Va scritto chi autorizza il passaggio e cosa va verificato prima: che l'assistente si dichiari, che esista un percorso verso una persona, che ci sia un modo per spegnerlo.
Cosa succede quando il sistema sbaglia. Chi se ne accorge, chi lo segnala, chi decide se sospendere. Sembra ovvio finché non serve, e nel momento in cui serve nessuno sa a chi rivolgersi.
- Nessun sistema va in produzione senza un responsabile con nome e cognome
- Ogni sistema che agisce deve avere un interruttore e qualcuno che sa usarlo
- Le conversazioni con i clienti vanno riviste a campione, non solo quando qualcuno si lamenta
- Un cambio di destinazione d'uso richiede una nuova valutazione
Queste quattro righe distinguono un'azienda che governa i propri sistemi da una che li subisce, e intercettano buona parte delle cause descritte in AI per aziende: guida completa. Il metodo di valutazione è in come valutare i rischi di un sistema AI, mentre per capire cosa si sta effettivamente mettendo in produzione è utile agenti AI: cosa sono e come funzionano.
Errori da evitare
- Farla lunga. Oltre le tre pagine il tasso di lettura crolla e con esso l'efficacia.
- Scriverla in legalese. Deve essere capita da chi la applica, non essere a prova di causa.
- Elencare solo divieti. Senza strumenti approvati e comodi, produce uso clandestino.
- Copiarla da internet. Le regole che funzionano contengono esempi del vostro lavoro.
- Non spiegarla mai a voce. Mezz'ora di spiegazione vale più di dieci pagine — vedi formare il team sull'AI.
- Dimenticare il canale per le domande. È quello che evita le decisioni solitarie.
Come applicarlo in azienda
- Guarda cosa già succede. Chiedi senza tono investigativo quali strumenti usano le persone: scoprirai che ne usano più di quanti immagini.
- Scegli e attiva gli strumenti approvati, verificando il piano.
- Scrivi la lista «non esce» insieme a chi maneggia i documenti delicati.
- Fai rivedere a chi segue privacy e contratti clienti.
- Presentala a voce in mezz'ora, spiegando il perché di ogni regola.
- Metti una data di revisione e rispettala.
Il passaggio 1 è quello che tutti saltano ed è il più informativo. Una policy scritta senza sapere cosa succede davvero regola un'azienda immaginaria.
Il test finale prima di distribuirla
Prima di mandare la policy a tutti, vale la pena sottoporla a una verifica che costa dieci minuti e ne risparmia molti.
Prendi tre situazioni reali capitate in azienda nell'ultimo mese e prova a rispondere usando solo il documento. Il collaboratore che voleva far riassumere il capitolato di un cliente: la policy risponde? Il commerciale che voleva segmentare la lista contatti: risponde? Chi voleva usare l'AI per scrivere la risposta a un reclamo: risponde?
Se per almeno una delle tre servono interpretazioni o telefonate, manca qualcosa. Se rispondono tutte e tre in modo immediato, il documento è pronto e — cosa più importante — sarà applicato senza che nessuno debba rileggerlo ogni volta.
Conclusione
Una policy sull'AI efficace è corta, concreta e costruttiva. Dice cosa si può usare, cosa non deve uscire, dove serve una persona, e a chi chiedere. Tre pagine, un pomeriggio di lavoro, e la quasi totalità dei rischi reali di una PMI è coperta.
Il metro di giudizio è semplice: se dopo averla letta un collaboratore sa rispondere da solo alla domanda «posso incollare questo file?», la policy funziona. Se deve rileggerla, va riscritta.
L'AI diventa utile quando entra nei processi. Giallo Studio aiuta PMI e team a costruire automazioni concrete, misurabili e sostenibili — a partire da regole chiare su cosa può entrare e uscire.
Schema consigliato: Article + FAQPage + HowTo + BreadcrumbList
Risorse correlate
FAQ
Una policy sull'AI è obbligatoria?
Non esiste un obbligo generale di adottare una policy sull'AI. È però lo strumento più efficace per dimostrare di aver governato l'uso degli strumenti, cosa che diventa rilevante sia in ottica GDPR sia nei rapporti contrattuali con clienti che chiedono garanzie. È un adempimento volontario che risolve molti problemi involontari.
Quanto deve essere lunga?
Due o tre pagine. Una policy di venti pagine non viene letta, e una regola non letta non produce comportamenti. L'obiettivo non è coprire ogni ipotesi ma dare criteri chiari e memorabili su cosa si può fare, cosa no e a chi chiedere nei casi dubbi.
Chi la deve scrivere?
Chi conosce i processi, con una revisione di chi segue privacy e contratti. Scriverla solo dall'ufficio legale produce un documento formalmente ineccepibile e praticamente inapplicabile; scriverla solo dall'IT produce regole tecniche che ignorano i vincoli contrattuali verso i clienti.
Va fatta firmare ai dipendenti?
Farla conoscere in modo tracciabile è utile: una comunicazione formale con presa visione è sufficiente in molti contesti. Prima della firma però conta la spiegazione: una policy capita viene rispettata, una policy firmata e non capita viene aggirata con le migliori intenzioni.
Cosa succede se qualcuno la viola?
Dipende da come è inquadrata nel contesto aziendale e dalla gravità. Il punto pratico è un altro: nella quasi totalità dei casi le violazioni nascono da buona fede e da assenza di alternative comode, non da dolo. Una policy che prevede solo sanzioni e nessuna alternativa fallisce.
Ogni quanto va aggiornata?
Almeno una volta all'anno e ogni volta che introduci uno strumento nuovo o cambi l'uso di uno esistente. Gli strumenti AI cambiano condizioni con frequenza: una policy che elenca prodotti senza data di revisione invecchia in fretta.