Che cos'è una policy aziendale sull'intelligenza artificiale?

È il regolamento interno che stabilisce quali strumenti di AI si possono usare in azienda, con quali dati, con quali controlli sui risultati e a chi rivolgersi in caso di dubbio. Vale per dipendenti e collaboratori. Per una piccola o media impresa può stare in una pagina.

La policy sull'AI è obbligatoria per legge?

Nessuna norma impone, in generale, un documento con questo nome. È però il modo più semplice per rispettare obblighi che esistono: le misure per l'alfabetizzazione del personale chieste dall'articolo 4 dell'AI Act, la protezione dei dati personali, gli accordi di riservatezza con i clienti. Le linee guida del Ministero del Lavoro raccomandano alle imprese di definire policy chiare sull'uso dell'AI generativa.

Che cosa deve contenere un regolamento aziendale sull'uso dell'AI?

Almeno quattro cose: l'elenco degli strumenti ammessi, i dati che non vanno mai inseriti, l'obbligo di verificare i risultati prima di usarli e la persona a cui chiedere. Conviene aggiungere come si chiede l'approvazione di uno strumento nuovo, quali usi richiedono un'autorizzazione e che cosa fare se si commette un errore.

Quali dati non vanno mai inseriti in ChatGPT o in altri assistenti?

In uno strumento non approvato dall'azienda, nessun dato personale di clienti e dipendenti, nessun prezzo d'acquisto, listino riservato o margine, nessun contratto, nessun disegno o documento tecnico, niente che sia coperto da un accordo di riservatezza e nessuna credenziale. Negli strumenti aziendali con un contratto adeguato l'elenco si restringe, ma va scritto.

Chi deve scrivere la policy in una PMI?

La decide chi guida l'azienda, perché stabilisce che cosa si può fare con i dati aziendali. La prepara una persona di riferimento insieme a chi segue i sistemi informativi, sentendo i responsabili dei reparti. Per i punti su privacy e controlli sui lavoratori conviene un passaggio con il consulente privacy e con il consulente del lavoro.

Conviene vietare del tutto gli strumenti di AI?

Di rado. Un divieto senza alternative non ferma l'uso: lo sposta sugli account personali, dove l'azienda non vede nulla. Funziona meglio mettere a disposizione uno o due strumenti con un contratto aziendale, dire con chiarezza quali dati possono entrarci e formare le persone.

L'azienda può controllare come i dipendenti usano l'AI?

Entro limiti precisi. Gli strumenti da cui può derivare un controllo a distanza si possono usare solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale e, salvo che siano gli strumenti con cui si lavora, previo accordo sindacale o autorizzazione dell'Ispettorato del lavoro (articolo 4 dello Statuto dei lavoratori). Le informazioni raccolte si possono usare solo se il lavoratore è stato informato in modo adeguato su strumenti e controlli, nel rispetto della privacy. Prima di attivare registri o verifiche sull'uso conviene sentire il consulente del lavoro.

Ogni quanto va aggiornata la policy sull'AI?

Quando cambia qualcosa di sostanziale: uno strumento nuovo, un fornitore diverso, una norma, un incidente. In ogni caso conviene rileggerla almeno una volta l'anno, e scrivere sul documento la data e la versione.

Policy AI aziendale: regole d'uso ed esempio

Nota. Contenuto informativo aggiornato al 12 ottobre 2026. L'esempio di regole è una traccia da adattare, non un documento legale: per privacy e rapporti di lavoro rivolgiti ai tuoi consulenti.

Che cos’è, e perché serve anche in una PMI

Una policy sull’AI, cioè un regolamento sull’uso dell’intelligenza artificiale (IA), risponde a una domanda che in azienda oggi ci si fa tutti i giorni: posso usare questo strumento per questo lavoro?

Senza una risposta scritta ognuno decide per conto suo. Secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano solo il 19% di chi usa l’AI al lavoro adopera soltanto strumenti aziendali; tra le grandi imprese quattro su dieci hanno definito linee guida e il 24% vieta gli strumenti non forniti dall’organizzazione. Per le piccole e medie imprese italiane un dato confrontabile non c’è: in un’indagine dell’OCSE su oltre 5.000 PMI di sette paesi (l’Italia non è tra questi) solo il 28,6% di quelle che usano l’AI generativa ha dato linee guida al personale.

Le regole servono a poter dire di sì: chi sa che cosa è permesso usa gli strumenti con più tranquillità, e l’azienda sa dove vanno i suoi dati.

È obbligatoria?

Nessuna norma impone, in generale, un documento con questo nome. Ci sono però obblighi che una policy aiuta a rispettare.

AI Act. L’articolo 4 chiede a chi usa sistemi di AI di adottare misure per sostenere l’alfabetizzazione del personale. Regole scritte e spiegate sono una di queste misure. Ne parliamo nella guida Formazione AI obbligatoria: cosa chiede l’AI Act.
GDPR. Se in uno strumento finiscono dati personali, l’azienda deve sapere chi li tratta, dove e per quanto tempo.
Lavoro. L’articolo 11 della legge 132/2025 obbliga a informare i lavoratori quando si usano sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione del rapporto, assegnazione dei compiti, sorveglianza o valutazione dei lavoratori. Dal 23 ottobre 2026 il decreto legislativo 179/2026 aggiunge che le decisioni finali sul rapporto di lavoro (assunzione, modifiche, licenziamento, provvedimenti disciplinari, valutazioni) spettano a una persona e non possono essere prese solo da un sistema automatizzato, pena la nullità, e che i sistemi di AI che incidono su organizzazione, ritmi o sicurezza del lavoro vanno valutati nel documento di valutazione dei rischi, con informazione e formazione dei lavoratori sui rischi specifici.
Contratti. Gli accordi di riservatezza firmati con i clienti valgono anche per ciò che un dipendente incolla in un assistente.

Le linee guida del Ministero del Lavoro per l’AI nel mondo del lavoro, adottate nel dicembre 2025, non sono vincolanti ma vanno nella stessa direzione: raccomandano alle imprese policy chiare sull’uso dell’AI generativa, accompagnate da formazione, e contengono un vademecum pensato per PMI e professionisti.

Che cosa deve contenere

Dieci punti. I primi quattro sono indispensabili.

Gli strumenti ammessi. Un elenco con i nomi: quali assistenti, quali funzioni del gestionale, con quale tipo di account. Tutto ciò che non è in elenco non si usa per lavoro, finché non viene approvato.
I dati. Che cosa può entrare negli strumenti e che cosa no. È il punto che conta di più: se ne parla più avanti.
Il controllo dei risultati. Ciò che produce l’AI è una bozza. Chi la usa ne risponde: prima di usarla verifica numeri, nomi, date, citazioni e riferimenti a norme. I modelli possono inventare risposte che sembrano corrette.
La persona a cui chiedere. Un nome, non un ufficio.
A chi si applica. Dipendenti e collaboratori esterni che lavorano con gli strumenti dell’azienda.
Gli usi che richiedono un’autorizzazione. Collegare un agente ai sistemi aziendali, elaborare grandi quantità di dati, usare l’AI in decisioni che riguardano persone. Selezionare o valutare i lavoratori con l’AI è un uso ad alto rischio: non si fa senza una valutazione specifica.
La trasparenza. Quando dire a colleghi e clienti che un contenuto è stato prodotto con l’AI, in particolare se rielabora materiali forniti da loro.
Come si chiede uno strumento nuovo. A chi, e in quanto tempo arriva la risposta. Se la strada ufficiale è lenta, le persone ne trovano un’altra.
Che cosa fare se si sbaglia. Chi ha inserito per errore un dato riservato lo dice subito, senza conseguenze per il solo fatto di averlo detto. Un errore segnalato si gestisce; uno nascosto no.
Data, versione e revisione. Chi ha approvato il documento e quando verrà riletto.

I dati: tre colori

Una classificazione semplice funziona meglio di un elenco lungo.

Colore	Che cosa comprende	Dove si può usare
Verde	Informazioni pubbliche o non sensibili: norme, cataloghi, testi già pubblicati, quotazioni di mercato, bozze senza dati reali	In tutti gli strumenti ammessi
Giallo	Informazioni interne: procedure, offerte senza prezzi riservati, corrispondenza ordinaria, documenti di lavoro	Solo negli strumenti aziendali, con un contratto che esclude l’addestramento
Rosso	Dati personali di clienti e dipendenti, prezzi d’acquisto, listini riservati e margini, contratti, disegni e documenti tecnici, materiali coperti da accordi di riservatezza, credenziali	Solo nei sistemi approvati espressamente per quei dati, oppure mai

Il vademecum del Ministero del Lavoro elenca tra i contenuti da non caricare senza garanzie adeguate proprio queste categorie: dati personali e informazioni sui dipendenti, listini, preventivi e analisi dei margini, documenti tecnici e progetti, materiali protetti da accordi di riservatezza. Quando un contenuto serve ma è delicato, la strada è toglierne nomi, importi e riferimenti prima di usarlo.

Dove passano i dati con ciascun tipo di strumento, e che cosa promettono i contratti dei fornitori, è spiegato nella guida AI in cloud o in locale.

Un esempio in una pagina

Questa è una traccia per un’azienda di una cinquantina di persone. Va adattata: i nomi degli strumenti e delle persone sono da sostituire.

Regole per l’uso dell’intelligenza artificiale

1. Perché queste regole. Vogliamo usare l’AI dove fa risparmiare tempo, senza mettere a rischio i dati dell’azienda, dei clienti e dei colleghi.

2. Strumenti ammessi. Per lavoro si usano solo gli strumenti in elenco, con l’account aziendale: [assistente aziendale], [funzioni di AI del gestionale]. Gli account personali non si usano per attività di lavoro.

3. Dati. Informazioni pubbliche: in tutti gli strumenti ammessi. Informazioni interne: solo negli strumenti aziendali. Non si inseriscono mai, in nessuno strumento non approvato per questo: dati personali di clienti e dipendenti, prezzi d’acquisto, listini riservati, contratti, disegni tecnici, documenti ricevuti dai clienti con obbligo di riservatezza, password.

4. Risultati. Ciò che produce l’AI è una bozza. Chi la usa controlla numeri, nomi, date e riferimenti, e ne risponde come di ogni altro suo lavoro.

5. Decisioni sulle persone. L’AI non si usa per selezionare, valutare o controllare i lavoratori; nessuna decisione sul rapporto di lavoro viene presa da un sistema da solo (è anche la legge).

6. Strumenti nuovi e automazioni. Chi vuole usare uno strumento non in elenco, o collegare l’AI ai sistemi aziendali, lo chiede a [nome]. La risposta arriva entro cinque giorni lavorativi.

7. Errori. Chi inserisce per errore un dato riservato lo segnala subito a [nome].

8. Formazione. Ogni persona che usa questi strumenti partecipa all’incontro di base; chi arriva dopo lo recupera.

9. A chi chiedere. [Nome e recapito].

Approvate dalla direzione il [data]. Versione 1. Prossima rilettura: [data].

Chi la scrive, chi la approva

Chi guida l’azienda la decide. Stabilire che cosa si può fare con i dati aziendali è una scelta di direzione, come spieghiamo nella guida Adozione dell’AI in azienda: top-down o bottom-up.
Una persona di riferimento la prepara, con chi segue i sistemi informativi e sentendo i responsabili dei reparti: sono loro a sapere quali dati girano e quali strumenti si usano già.
I consulenti guardano i punti delicati: il consulente privacy per i dati personali, il consulente del lavoro per tutto ciò che tocca informazione e controlli sui lavoratori.
Le persone vengono coinvolte. Le linee guida del Ministero suggeriscono di coinvolgere lavoratori e rappresentanze nei processi di adozione. Regole discusse si rispettano più di regole calate.

Una buona prova: far leggere la bozza a tre persone di reparti diversi e chiedere che cosa non è chiaro.

Come farla rispettare

Con tre cose, in quest’ordine.

Strumenti che funzionano. Se lo strumento aziendale è peggiore di quello che le persone hanno sul telefono, useranno il telefono.
Una spiegazione a voce. Un incontro in cui si leggono le regole insieme, con esempi del lavoro di tutti i giorni, vale più di una firma per presa visione.
Un riferimento raggiungibile. Chi ha un dubbio deve poterlo sciogliere in giornata.

Sui controlli serve cautela. Registrare e verificare come i dipendenti usano gli strumenti tocca le regole sui controlli a distanza dell’articolo 4 dello Statuto dei lavoratori: gli strumenti da cui può derivare un controllo si possono usare solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale e, salvo che siano gli strumenti con cui si lavora, previo accordo sindacale o, in mancanza, autorizzazione dell’Ispettorato del lavoro. Valgono poi le regole sulla privacy: le informazioni raccolte si possono usare solo se il lavoratore è stato informato in modo adeguato su strumenti e controlli. Prima di attivarli va sentito il consulente del lavoro.

Le domande prima di usare uno strumento

Il vademecum del Ministero del Lavoro propone alcune domande da farsi prima di caricare un contenuto in un servizio di AI. Riprese in breve:

Sto usando una versione professionale o un account personale?
Ho disattivato l’uso dei miei dati per l’addestramento?
Il documento contiene dati personali, riservati o strategici? Posso renderlo anonimo?
Dove vengono trattati i dati?
Il risultato dovrà essere verificato da un esperto?
L’uso è coerente con gli obblighi professionali e con le norme del settore?

Gli errori più comuni

Copiare un modello trovato in rete senza adattarlo agli strumenti e ai dati dell’azienda.
Scrivere venti pagine che nessuno leggerà.
Vietare tutto senza offrire un’alternativa.
Elencare i divieti e dimenticare che cosa si può fare.
Non indicare una persona a cui chiedere.
Non aggiornarla: una policy che cita strumenti di due anni prima perde credibilità.

Come lavoriamo noi

Una proposta di regole d’uso è uno dei documenti che consegniamo dopo la giornata di mappa dei processi e formazione, insieme alla mappa, all’inventario dei dati e al piano a passi. La scriviamo guardando gli strumenti che l’azienda usa davvero e i dati che tratta. È uno dei risultati della nostra consulenza AI per aziende.

Le stesse regole le applichiamo ai sistemi che costruiamo: strumenti contati, conferme prima di scrivere, registro delle azioni. Le raccontiamo nella guida Agenti AI: cosa sono e cosa possono fare in azienda.