Policy AI aziendale: come scriverla e farla rispettare

Una policy AI aziendale è il documento interno che stabilisce chi può usare l'intelligenza artificiale, per quali scopi, con quali dati e sotto quali responsabilità. Serve a trasformare un tema astratto in regole che le persone possono applicare ogni giorno, e a dare all'azienda un riferimento coerente per formazione, controlli e risposte a clienti e autorità. Una policy efficace è breve, concreta e collegata al resto della governance.

A cosa serve una policy AI e cosa non è

La policy risponde a una domanda semplice che i dipendenti si pongono: posso usare questo strumento per questo compito? Senza una risposta scritta, ognuno decide da sé, e le decisioni individuali producono rischi (dati riservati inseriti in servizi non approvati) o immobilismo (nessuno usa l'AI per paura di sbagliare).

Una policy non è un divieto generalizzato, e non è nemmeno un documento legale da archiviare. È uno strumento di orientamento: dice cosa è incoraggiato, cosa richiede cautela, cosa è escluso. Funziona se è comprensibile a chi non è giurista, e se viene aggiornata insieme agli strumenti e ai casi d'uso che l'azienda adotta.

Non sostituisce nemmeno la conformità normativa. GDPR, AI Act e NIS2 pongono obblighi che la policy aiuta a organizzare, ma l'interpretazione per il vostro caso resta compito di DPO e consulenti legali: quanto qui scritto è informativo e non costituisce un parere legale.

La struttura di una policy AI: sei sezioni

Una struttura essenziale prevede sei parti.

1. Ambito e definizioni

Chiarite a chi si applica (dipendenti, collaboratori, fornitori che lavorano per conto dell'azienda), a quali strumenti (assistenti generativi, funzioni AI integrate in altri software, modelli sviluppati internamente) e che cosa si intende per "AI" ai fini del documento. Poche definizioni chiare evitano ambiguità: strumento approvato, dati riservati, caso d'uso.

2. Usi consentiti, soggetti ad approvazione e vietati

È la parte che le persone consultano più spesso. Organizzatela in tre fasce:

• Consentiti. Usi a basso rischio con strumenti approvati, ad esempio riformulare testi senza dati riservati o sintetizzare documenti pubblici.
• Soggetti ad approvazione. Usi che toccano dati personali, decisioni su persone, clienti o contenuti destinati all'esterno. Indicate chi approva e come si richiede.
• Vietati. Gli usi esclusi: pratiche proibite dall'art. 5 dell'AI Act (applicabile dal 02/02/2025), inserimento di dati riservati in strumenti non approvati, uso dell'AI per eludere altre policy aziendali.

Gli esempi concreti valgono più delle formule. Scrivete "non inserire nomi di clienti e contratti in strumenti non approvati", non "evitare trattamenti inappropriati".

3. Trattamento dei dati

Specificate quali categorie di dati possono entrare in quali strumenti, distinguendo tra strumenti approvati dall'azienda e servizi pubblici o personali. Una classificazione semplice (pubblici, interni, riservati, personali) con una regola per ciascuna basta. Richiamate i principi del GDPR in modo operativo: liceità e minimizzazione (art. 5), base giuridica (art. 6), informative (artt. 13 e 14), responsabili del trattamento (art. 28), trasferimenti extra UE (capo V) e, per trattamenti a rischio elevato, valutazione d'impatto (art. 35). Per un approfondimento, vedi GDPR e AI generativa in azienda.

4. Responsabilità

Assegnate ruoli con nomi di funzione:

• chi approva strumenti e casi d'uso (ad esempio un comitato AI o il Chief AI Officer);
• chi risponde di ogni caso d'uso nel proprio reparto;
• chi presidia sicurezza e protezione dei dati (CISO, DPO);
• chi segnala e gestisce gli incidenti.

Dite anche cosa deve fare chi ha un dubbio o scopre un uso non conforme: a chi scrive, entro quanto, senza timore di ritorsioni. Un canale semplice e noto a tutti vale più di una procedura dettagliata che nessuno ricorda.

5. Formazione

La policy è inutile se non è conosciuta. Prevedete formazione iniziale e periodica, proporzionata al ruolo. L'art. 4 dell'AI Act impone a fornitori e utilizzatori di adottare misure per un livello sufficiente di alfabetizzazione in materia di AI del personale, e si applica dal 02/02/2025. Il tema è trattato in AI literacy e art. 4 dell'AI Act.

6. Monitoraggio, revisione e conseguenze

Descrivete come si verifica il rispetto della policy, con quali dati e a quale livello di dettaglio. Se il monitoraggio può toccare l'attività dei lavoratori, vanno rispettati i limiti dell'art. 4 dello Statuto dei Lavoratori (Legge 300/1970): conviene coinvolgere presto HR e consulenti giuslavoristi. Fissate una data di revisione (almeno annuale) e il responsabile dell'aggiornamento.

Come diffondere la policy perché venga letta e applicata

Pubblicare un PDF non basta. Alcuni accorgimenti aiutano.

1. Coinvolgete i reparti nella stesura. Una policy scritta senza chi lavora con l'AI sarà irrealistica. Raccogliete casi concreti da IT, legale, HR e dalle funzioni operative.
2. Producete una versione breve. Una pagina con le regole essenziali e gli esempi più frequenti, da affiancare al testo completo.
3. Collegate la policy agli strumenti. Un elenco di strumenti approvati, facile da trovare, evita che le persone ripieghino su servizi non autorizzati.
4. Comunicate dall'alto. Un messaggio della direzione chiarisce che la policy è una priorità e non un adempimento.
5. Formate, non solo informate. Sessioni brevi con scenari reali funzionano meglio di documenti da leggere.
6. Misurate la conoscenza. Verificate periodicamente, anche con piccoli questionari, se le regole sono state comprese.
7. Raccogliete le eccezioni. Le richieste di deroga ricorrenti indicano dove la policy è irrealistica e va corretta alla prima revisione.

Errori comuni nella scrittura di una policy AI

Gli errori seguenti si ripetono nella maggior parte delle organizzazioni, anche in quelle che hanno investito nella stesura del documento.

• Troppo generica. Principi nobili senza esempi non guidano nessuno.
• Troppo restrittiva. Un divieto totale spinge all'uso nascosto su account personali, con rischi maggiori. Ne parliamo in shadow AI: rischi e gestione.
• Scollegata dal registro dei casi d'uso. Senza un registro dei casi d'uso non si sa cosa la policy debba governare.
• Nessun responsabile. Una regola senza titolare non viene aggiornata né fatta rispettare.
• Scritta una volta sola. Strumenti e norme cambiano, e la policy va rivista.
• Linguaggio legale. Se le persone non la capiscono, non la applicano.
• Nessun canale per i dubbi. Se chiedere è complicato, le persone decidono da sole, e spesso decidono male.

Checklist per una policy AI aziendale

1. Ambito e definizioni chiari, con strumenti e destinatari.
2. Usi consentiti, soggetti ad approvazione e vietati, con esempi.
3. Classificazione dei dati e regole per ciascuna classe.
4. Elenco aggiornato degli strumenti approvati.
5. Ruoli e responsabilità assegnati, con canale di segnalazione.
6. Piano di formazione per ruolo, con cadenza definita.
7. Modalità di monitoraggio coerenti con i limiti sul controllo dei lavoratori.
8. Processo di richiesta e approvazione dei nuovi casi d'uso.
9. Data di revisione e responsabile dell'aggiornamento.
10. Versione sintetica per tutti i dipendenti.

Dove si colloca Delphis

Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Per la governance, gestisce AI policy e formazione accanto al registro dei casi d'uso, e mappa gli obblighi GDPR, NIS2 e AI Act segnalando i gap. I dati sulle persone restano aggregati per ruolo o reparto, e la mappatura normativa non è un parere legale. Per maggiori informazioni, vedi la pagina Compliance.

Fonti

• GDPR, Regolamento (UE) 2016/679
• AI Act, Regolamento (UE) 2024/1689