ChatGPT in azienda: 7 regole per usarlo senza rischi

Se pensi che ChatGPT in azienda non ti riguardi, fai un giro tra le scrivanie: qualcuno del tuo team lo sta già usando, magari con l'account personale gratuito, per scrivere email ai clienti o riassumere documenti. Il punto non è vietarlo — è usarlo con qualche regola. Anche perché l'AI Act (Regolamento UE 2024/1689) ha trasformato alcune buone pratiche in veri obblighi.

Ecco 7 regole concrete, applicabili da domani mattina, per usare ChatGPT — e strumenti simili come Copilot o Gemini — senza esporre l'azienda.

Prima di tutto: perché ti riguarda

Quando i tuoi collaboratori usano ChatGPT per lavoro, la tua azienda è un deployer ai sensi dell'AI Act: chi usa sistemi di AI in un contesto professionale. E per i deployer valgono già due obblighi:

• dal 2 febbraio 2025, chi usa l'AI per conto dell'azienda deve avere un livello adeguato di alfabetizzazione sull'AI (art. 4);
• dal 2 agosto 2026, si applicano in pieno gli obblighi di trasparenza dell'art. 50: dichiarare i chatbot, marcare i contenuti generati o manipolati con l'AI.

Le sanzioni per la violazione di questi obblighi arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale — per le PMI si applica il più basso tra i due valori. Ma per una piccola impresa il rischio più concreto non è la multa: è il dato riservato finito dove non doveva, il preventivo sbagliato inviato a un cliente, il contenzioso in cui emerge che nessuno era stato formato.

Se vuoi il quadro completo su obblighi e scadenze, c'è la guida all'AI Act per le PMI. Qui restiamo sul pratico.

Regola 1: niente dati personali o riservati nei prompt

Tutto quello che incolli in ChatGPT esce dal perimetro dell'azienda. Nomi di clienti, dati di dipendenti, listini, contratti, codice sorgente, dati sanitari: fuori dai prompt, salvo che tu stia usando una versione aziendale con garanzie contrattuali precise (vedi regola 3).

Puoi incollare	Non incollare
Testi generici da migliorare	Nomi e dati di clienti o dipendenti
Bozze anonimizzate ("il cliente X")	Contratti, offerte, listini riservati
Domande tecniche generali	Credenziali, IBAN, dati sanitari

Il trucco pratico: anonimizza prima di incollare. "Scrivi una risposta a un cliente che lamenta un ritardo di consegna" funziona benissimo senza dire chi è il cliente e cosa ha ordinato.

Regola 2: verifica ogni output prima di usarlo

ChatGPT può sbagliare con grande sicurezza: inventa numeri, norme, riferimenti che non esistono. Si chiamano allucinazioni e capitano anche con i modelli migliori. La regola è semplice: nessun output esce dall'azienda senza che una persona competente l'abbia verificato. Vale per le email ai clienti, per i testi del sito, per le clausole "suggerite" e per qualsiasi dato o calcolo.

Un criterio utile: più l'errore costerebbe caro, più il controllo deve essere rigoroso. Una bozza di post social si rilegge; un'offerta economica si ricontrolla numero per numero.

Regola 3: versioni business, non account gratuiti

C'è una differenza enorme tra l'account gratuito personale e le versioni business degli stessi strumenti. Le versioni aziendali in genere offrono garanzie contrattuali sul trattamento dei dati e controlli di amministrazione; con l'account gratuito, invece, non hai contratto con l'azienda né controllo su dove finiscono i dati inseriti.

Se in azienda l'AI si usa davvero (e si usa), il costo di qualche licenza business è la voce più economica di tutta la messa in regola. Verifica le condizioni della versione che scegli e falle mettere per iscritto.

Regola 4: dichiara i contenuti generati con l'AI

Dal 2 agosto 2026 l'art. 50 dell'AI Act è pienamente applicabile: chi interagisce con un chatbot deve saperlo, e i contenuti generati o manipolati dall'AI vanno resi riconoscibili — con obbligo di etichetta esplicita per i deepfake. Tradotto per una PMI: informativa chiara sul chatbot del sito, trasparenza sui contenuti pubblicati generati con l'AI, niente foto o video sintetici spacciati per reali.

Oltre all'obbligo, c'è un tema di fiducia: farsi scoprire a spacciare per proprio un testo generato male fa più danni di una dichiarazione onesta.

Regola 5: forma chi lo usa (non è un consiglio, è l'art. 4)

L'obbligo di alfabetizzazione AI vale dal 2 febbraio 2025 per fornitori e deployer: chi usa l'AI per conto dell'azienda deve sapere cosa fa lo strumento, dove sbaglia, quali rischi comporta. E in caso di controllo o contenzioso devi poterlo dimostrare: chi è stato formato, quando, su cosa.

Un passaparola alla macchinetta del caffè non è formazione. Serve un percorso strutturato con attestato — il corso AI Literacy è pensato esattamente per coprire questo obbligo nelle PMI, senza fronzoli accademici.

Regola 6: solo strumenti approvati dall'azienda

Se ognuno usa lo strumento che preferisce con l'account che preferisce, non hai il controllo di nulla: è la cosiddetta "shadow AI". La soluzione non è il divieto totale (che sposta tutto sui telefoni personali) ma una lista di strumenti approvati: quali tool si possono usare, con quali account, per quali attività. Chi vuole usare uno strumento nuovo lo propone, qualcuno lo valuta, e la lista si aggiorna.

Questo elenco è anche la base del registro dei sistemi AI: sapere cosa si usa in azienda è il primo passo di qualsiasi adeguamento.

Regola 7: la responsabilità resta di una persona

L'AI propone, una persona decide. Se usi l'AI in processi che toccano le persone — selezione di candidati, valutazioni del personale, decisioni sui clienti — alza il livello di attenzione: l'AI Act classifica come alto rischio proprio ambiti come selezione e gestione del personale o accesso al credito. In quei casi la supervisione umana non è un'opzione: ogni decisione deve poter essere spiegata e firmata da qualcuno in carne e ossa.

Regola operativa: per ogni uso dell'AI in azienda deve esserci un nome e cognome responsabile dell'output. "L'ha detto ChatGPT" non è una difesa.

Le 7 regole in sintesi

#	Regola	Perché
1	Niente dati personali o riservati nei prompt	Riservatezza e privacy
2	Verifica ogni output	Le allucinazioni esistono
3	Versioni business, non gratuite	Garanzie sui dati
4	Dichiara i contenuti AI	Art. 50, dal 2 agosto 2026
5	Forma chi lo usa	Art. 4, dal 2 febbraio 2025
6	Solo strumenti approvati	Stop alla shadow AI
7	Responsabilità a una persona	Supervisione umana

Da dove cominciare

Metti queste regole per iscritto in una policy interna di una pagina, comunicala a tutti e falla firmare: è il modo più rapido per passare da "ci fidiamo del buon senso" a "abbiamo delle regole documentate". Nei kit documenti trovi policy e registro già pronti da personalizzare.

E se vuoi capire in quali punti la tua azienda è scoperta rispetto all'AI Act, parti dall'autovalutazione gratuita: in 3 minuti ti dice quali obblighi ti riguardano e cosa sistemare per primo. Nessuna regola di questo articolo richiede un consulente per essere applicata — serve solo decidere di farlo.