Politica di utilizzo dell’IA in azienda: cosa scriverci davvero

In breve

Una politica di utilizzo dell’IA in azienda è un documento interno breve che risponde a sei domande: quali strumenti sono approvati, cosa non si incolla mai, chi autorizza un’eccezione, che fine fanno i dati inseriti, quali risultati richiedono una verifica umana e ogni quanto il documento viene rivisto. Serve perché senza di esso ognuno risponde da sé, in modo diverso, e i due esiti sbagliati arrivano insieme: i prudenti non usano l’IA per niente, e i sicuri di sé ci incollano dentro qualsiasi cosa. È anche il modo più concreto in cui un’azienda soddisfa l’articolo 4 del regolamento sull’intelligenza artificiale, che chiede misure e non certificati. Informazioni generali, non consulenza legale.

Una politica di utilizzo dell’intelligenza artificiale è il documento con cui un’azienda decide, una volta per tutte e per iscritto, quali strumenti di IA il personale può usare, cosa non deve mai entrarci e chi risponde del risultato. Non è un adempimento formale ed è più corta di quanto ci si aspetti: una o due pagine che le persone leggono per intero valgono più di dieci che nessuno apre.

Il motivo per cui vale la pena scriverla non è normativo, è operativo. Nel momento in cui gli strumenti di IA entrano in un’azienda senza regole, ogni persona affronta la stessa domanda da sola: «posso incollare questo?». E poiché la domanda è rischiosa e la risposta non è ovvia, si producono due comportamenti opposti e ugualmente dannosi. Chi è prudente smette di usare lo strumento e l’investimento resta fermo. Chi è sicuro di sé ci mette dentro il contratto di un cliente. Una regola scritta non serve a limitare: serve a togliere il rischio personale dalla decisione, ed è per questo che, in pratica, l’uso corretto aumenta invece di diminuire.

Qui sotto: cosa contiene una politica che funziona, la sezione che decide tutte le altre, i cinque errori che la rendono carta, il rapporto preciso con l’articolo 4 del regolamento IA, e come scriverla senza trasformarla in un progetto.

Che cos’è una politica di utilizzo dell’IA?

È un documento interno che stabilisce le condizioni d’uso degli strumenti di intelligenza artificiale nel lavoro quotidiano. Si distingue da tre cose con cui viene spesso confusa:

Non è un’informativa privacy. L’informativa spiega agli interessati come l’azienda tratta i loro dati; la politica dice ai dipendenti cosa possono fare. Sono documenti con destinatari diversi e vanno tenuti separati.
Non è un manuale d’uso. Come si scrive una buona richiesta a un modello è materia di formazione, non di policy. Se il documento comincia a spiegare tecniche, si allunga e smette di essere letto.
Non è un documento di conformità da esibire. Se viene scritto per essere mostrato, sarà scritto in un linguaggio che nessuno applica. Il criterio di qualità è uno solo: una persona che ha un dubbio reale trova la risposta in trenta secondi.

Perché serve, anche in un’azienda piccola

L’obiezione ricorrente è che in un’azienda di quindici persone «si parla e ci si mette d’accordo». Nella pratica non succede, per tre ragioni.

La prima è che l’accordo verbale non sopravvive a un caso limite. Finché si tratta di far riscrivere una mail, tutti sono d’accordo. Quando arriva il contratto del cliente più importante, il collega che era d’accordo non c’è, e la decisione la prende da solo chi ha il file aperto davanti.

La seconda è che l’accordo verbale non sopravvive all’ingresso di una persona nuova. Sei mesi dopo, chi è arrivato non ha partecipato a quella conversazione e ricomincia da capo, con la propria idea personale di cosa sia prudente.

La terza è che senza un elenco scritto di strumenti approvati nessuno sa quali strumenti l’azienda stia effettivamente usando. Il censimento è la parte più utile dell’esercizio, ed è quasi sempre anche la più sorprendente: gli strumenti in uso sono più di quelli che la direzione crede.

Le sette sezioni che servono davvero

Questa è la struttura che usiamo quando la politica si scrive durante un percorso di formazione, a partire da ciò che il team ha effettivamente provato quel giorno. Non è un modello da riempire: è l’elenco delle domande a cui il documento deve rispondere.

Ambito e destinatari

A chi si applica il documento: dipendenti, collaboratori, fornitori che lavorano su dati aziendali. Due righe. Se il perimetro non è scritto, la prima discussione seria sarà su chi era incluso.

Strumenti approvati, con il piano preciso

L’elenco nominativo degli strumenti consentiti, con la versione o il piano di abbonamento accanto. Il piano non è un dettaglio: versioni diverse dello stesso prodotto differiscono sul trattamento predefinito dei dati, sulla conservazione dello storico e su dove i dati risiedono. Un elenco senza piano è un elenco che non decide nulla.

Cosa non entra mai in uno strumento esterno

La sezione più importante, e l’unica che nessun modello scaricabile può scrivere al posto Suo. Un elenco concreto, con esempi presi dai documenti dell’azienda, non categorie astratte. Ne parliamo estesamente più sotto.

Quando serve una verifica umana obbligatoria

Quali risultati non possono uscire senza che una persona li abbia letti e se ne assuma la responsabilità: comunicazioni ai clienti, testi contrattuali, numeri destinati a un documento ufficiale, qualsiasi cosa che una persona possa scambiare per un parere. Va scritto per tipo di risultato, non per strumento.

Chi autorizza un’eccezione, e come si chiede

Un nome e un percorso in due passaggi. Senza questa sezione la politica diventa un divieto, e i divieti senza valvola di sfogo si aggirano in silenzio: l’uso non sparisce, sparisce solo la sua visibilità.

Trasparenza verso l’esterno

Quando il fatto che un contenuto o una conversazione coinvolga l’IA va dichiarato a chi lo riceve. Per certi usi non è una scelta di stile: l’articolo 50 del regolamento sull’intelligenza artificiale impone obblighi di trasparenza quando una persona interagisce con un sistema di IA. Nel dubbio, dichiararlo costa poco.

Responsabile del documento e cadenza di revisione

Un nome e una data. Senza responsabile, il documento invecchia in tre mesi e diventa uno di quei file che tutti sanno essere superati e nessuno aggiorna. Con un nome e una scadenza in calendario, resta vivo.

Il confine sui dati: la sezione che decide tutto

Se una politica sull’IA fallisce, quasi sempre fallisce qui. La tentazione è scrivere «non inserire dati riservati o personali», che ha il pregio di essere sempre vero e il difetto di non aiutare nessuno: nel momento in cui una persona ha davanti un documento, la domanda non è astratta.

Il modo che funziona è per esempi concreti, presi dai documenti dell’azienda. La tabella qui sotto è una struttura, non un contenuto: le righe vanno riscritte con i casi reali della Sua attività.

Tipo di contenuto	Strumento esterno pubblico	Cosa fare invece
Testo generico, senza riferimenti a persone o clienti (bozza di annuncio, struttura di una relazione)	Consentito	Nessuna cautela particolare, oltre alla verifica del risultato
Documento di lavoro contenente nomi, indirizzi o dati di contatto di clienti	Non consentito	Anonimizzare o sostituire con segnaposto prima di inserirlo, oppure usare il sistema interno
Contratti, offerte economiche, condizioni negoziate	Non consentito	Chiedere un’eccezione motivata, oppure lavorare su un estratto privo delle parti identificative
Dati particolari, ad esempio informazioni sanitarie o giudiziarie	Mai, in nessuna forma e con nessuna eccezione	Nessuna alternativa su strumenti esterni; si valuta solo con l’IT e con chi risponde della protezione dei dati
Codice sorgente, configurazioni, credenziali	Non consentito	Ambiente approvato dall’IT; le credenziali non entrano mai in nessuno strumento, interno o esterno
Documenti interni già pubblici o pubblicabili	Consentito	Nessuna cautela particolare

Due avvertenze su questa tabella. La prima: la colonna centrale dipende dallo strumento e dal piano, non solo dal tipo di contenuto, ed è per questo che la sezione sugli strumenti approvati deve venire prima. La seconda: la riga sui dati particolari non ammette la casella «eccezione». Se in una politica anche quella riga ha una procedura di deroga, la procedura verrà usata.

Il confine si scrive meglio dopo aver provato

La versione più solida di questa sezione nasce quando il team ha appena lavorato su compiti reali con lo strumento davanti. In quel momento le domande sono precise («e se tolgo il nome ma resta l’indirizzo?») e le risposte finiscono nel documento nella forma in cui sono state discusse. Una politica scritta a tavolino da chi non ha visto quei casi contiene sempre le categorie giuste e mai gli esempi utili. È il motivo per cui, nel nostro percorso di formazione IA per aziende, il documento si redige durante le sessioni e non prima.

Cinque errori che rendono il documento inutile

1. È troppo lungo. Superate le due pagine, il tasso di lettura crolla e con esso l’unico effetto che il documento può avere. Il materiale in più va in allegato, non nel testo principale.

2. Vieta senza offrire un’alternativa. «Non usare l’IA per i documenti dei clienti» senza dire cosa fare invece produce due esiti: chi obbedisce perde uno strumento utile, chi non obbedisce lo usa di nascosto. Ogni divieto dovrebbe avere accanto una riga che dice cosa fare al suo posto.

3. Elenca gli strumenti senza il piano. «ChatGPT consentito» non è una regola: il comportamento sui dati cambia tra versione consumer e versione business dello stesso prodotto. Senza il piano, la riga non decide nulla.

4. Non ha un responsabile. Un documento senza nome accanto non viene aggiornato quando l’azienda cambia strumento, e sei mesi dopo tutti sanno che è superato ma nessuno lo tocca.

5. È stato scritto senza chiedere niente a chi fa il lavoro. È l’errore che si vede da fuori: il documento parla di scenari che in quell’azienda non capitano mai e tace su quello che capita ogni giorno.

Che rapporto ha con l’articolo 4 del regolamento IA?

Diretto, ma va detto con precisione, perché è esattamente il punto su cui il mercato esagera.

L’articolo 4 del regolamento sull’intelligenza artificiale, nel testo in vigore dal 27 luglio 2026, chiede a fornitori e deployer di sistemi di IA di adottare misure «volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del proprio personale, e aggiunge che «Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona» (EUR-Lex, regolamento (UE) 2026/1744). L’obbligo di adottare misure è vincolante e si applica dal 2 febbraio 2025.

Cosa non ne discende: che serva un certificato o un corso specifico. La Commissione europea scrive che «There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives», e che «no specific governance structure is mandated to comply with article 4 of the AI Act». Una politica interna e la sua storia di revisioni sono precisamente il tipo di registrazione interna che la Commissione ha in mente.

Cosa neppure ne discende, nella direzione opposta: che l’articolo 4 sia privo di conseguenze. Non compare nell’elenco sanzionatorio dell’articolo 99, paragrafo 4 (EUR-Lex, regolamento (UE) 2024/1689), quindi non ha un massimale europeo; ma l’articolo 99, paragrafo 1, obbliga gli Stati membri a prevedere sanzioni per le violazioni del regolamento. La discussione completa, con i testi affiancati, è in regolamento IA, articolo 4 e alfabetizzazione in materia di IA.

Sul piano italiano, la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, designa AgID e ACN quali Autorità nazionali per l’intelligenza artificiale (Gazzetta Ufficiale n. 223 del 25-9-2025, legge 132/2025), ma non introduce alcun obbligo di adottare una politica aziendale sull’IA. Chi Le dice il contrario le sta attribuendo un contenuto che non ha. Sono informazioni generali, non consulenza legale.

Una politica non compra la conformità, e la Commissione lo dice del proprio materiale

Nella stessa pagina di domande e risposte, la Commissione europea presenta un repertorio pubblico di pratiche di alfabetizzazione IA e avverte che replicarle «does not automatically grant presumption of compliance with Article 4». Se copiare gli esempi della Commissione non basta a essere conformi, non basta nemmeno scaricare un modello di policy e firmarlo. Il valore del documento sta in cosa contiene sulla Sua azienda, non nella sua esistenza.

Fonte: Commissione europea, AI literacy Q&A

Come scriverla, in pratica

Il percorso più breve che funziona, in quattro passaggi, e nessuno richiede un progetto.

Censire cosa si usa già

Chiedere, senza tono ispettivo, quali strumenti di IA le persone usano oggi per lavoro. La domanda va posta in modo che rispondere non sia rischioso, altrimenti l’elenco che riceve sarà incompleto proprio nelle voci che Le servono.

Decidere l’elenco approvato

Scegliere gli strumenti e, per ciascuno, il piano. Dove la decisione non è ancora presa, va presa adesso: senza questa riga, tutte le successive restano indeterminate.

Scrivere il confine sui dati con casi reali

Prendere cinque documenti veri dell’azienda e decidere, uno per uno, cosa se ne può fare. Quelle cinque decisioni diventano la sezione più utile del documento, e sono anche le uniche che un modello scaricato non può contenere.

Assegnare un responsabile e una data di revisione

Un nome e una scadenza in calendario. Poi distribuire il documento e, soprattutto, spiegarlo a voce una volta: una politica letta in autonomia produce metà dell’effetto di una politica letta e discussa per venti minuti.

Nei progetti che seguiamo questo documento non si consegna: si scrive insieme al team, durante le sessioni, a partire dai casi emersi quel giorno. È anche il motivo per cui sopravvive: chi ha discusso una regola tende ad applicarla, chi l’ha ricevuta via mail tende a dimenticarla. Il contesto completo è in formazione IA per aziende, e quando l’azienda ha già un sistema interno le domande cambiano: le trova in assistente IA interno.

Domande frequenti

È un documento interno breve che stabilisce quali strumenti di intelligenza artificiale il personale può usare al lavoro, quali informazioni non devono mai entrarvi, chi autorizza un’eccezione, che fine fanno i dati inseriti, quali risultati richiedono una verifica umana obbligatoria e ogni quanto il documento viene rivisto. Non è un regolamento giuridico e non è un manuale tecnico: è l’insieme delle decisioni che, se non vengono prese una volta per tutte, ogni persona finisce per prendere da sola e in modo diverso.

Abbastanza da rispondere alle domande vere, abbastanza poco da essere letta per intero. Nella pratica una o due pagine funzionano meglio di dieci: un documento che nessuno apre non produce alcun cambiamento di comportamento, e il comportamento è l’unico risultato che conta. Se serve materiale più esteso, lo si mette in allegati che chi vuole approfondisce, tenendo il testo principale corto.

Il regolamento sull’intelligenza artificiale non impone di adottare un documento con questo nome, e la Commissione europea afferma esplicitamente che «no specific governance structure is mandated to comply with article 4 of the AI Act». L’articolo 4 chiede però di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale, e una politica interna scritta è uno dei modi più concreti e più facilmente documentabili per farlo. La Commissione suggerisce infatti di tenere una registrazione interna delle iniziative svolte. Informazioni generali, non consulenza legale.Fonte: Commissione europea, AI literacy Q&A

Non un fornitore esterno da solo, e non l’ufficio legale da solo. Il testo migliore nasce da tre contributi: chi conosce i processi, cioè le persone che fanno il lavoro; chi risponde dei dati, quindi IT e protezione dei dati; e chi ha l’autorità per approvare le eccezioni, cioè la direzione. Un documento scritto da una sola di queste tre parti fallisce in un modo prevedibile: troppo astratto, troppo restrittivo o inapplicabile.

La revisione va messa nel documento con una cadenza esplicita e con un nome accanto. Sei mesi è un intervallo ragionevole per una fase di adozione, dodici quando le cose si sono assestate. Va rivista comunque, fuori calendario, ogni volta che l’azienda adotta un nuovo strumento, cambia il piano di un fornitore o mette in produzione un sistema interno.

Come punto di partenza per la struttura, sì. Come documento finale, no, e per una ragione precisa: la parte che conta davvero è l’elenco di ciò che nella Sua azienda non deve mai uscire, e quell’elenco non esiste in nessun modello. Uno studio legale, una clinica e una società di logistica hanno tre risposte completamente diverse alla stessa domanda.

Prenderne atto e censirli, prima di vietarli. Un divieto scritto su strumenti che le persone stanno già usando produce quasi sempre lo stesso risultato: l’uso continua, ma smette di essere visibile, e sparisce anche la possibilità di correggerlo. La sequenza che funziona è censire, decidere cosa approvare, spiegare perché il resto non è approvato, e dare un percorso semplice per chiedere un’eccezione.

Sì, e cambiano le domande. Con un sistema interno il confine sui dati è in gran parte già risolto dall’architettura, ma nascono questioni nuove: chi decide quali documenti entrano nella base di conoscenza, come si riconosce una risposta basata su un documento ormai superato, chi ha il diritto di correggerla e cosa succede quando un documento viene ritirato. La politica si accorcia in un punto e si allunga in un altro.

Vuoi apparire nelle risposte di ChatGPT?

Scopri se la tua azienda è citata dai motori AI. Audit gratuito di visibilità AI con report PDF in 48 ore.

Audit gratuito Contattaci