Policy AI aziendale: cosa deve contenere (e i 5 errori da evitare)

Nella tua azienda qualcuno usa già l'AI. Magari ChatGPT per scrivere le email, Copilot per i documenti, un chatbot sul sito. La domanda non è "se", ma "con quali regole". Una policy sull'uso dell'AI è il documento che risponde a questa domanda: cosa si può fare, cosa no, con quali strumenti e sotto la responsabilità di chi.

Non è burocrazia per il piacere della burocrazia. L'AI Act (Regolamento UE 2024/1689) chiede già oggi alle aziende che usano AI in contesto professionale — i cosiddetti deployer — di formare il personale (art. 4, in vigore dal 2 febbraio 2025), e dal 2 agosto 2026 scattano gli obblighi di trasparenza dell'art. 50 e le sanzioni pienamente operative. La policy è il pezzo che tiene insieme tutto: senza, non puoi dimostrare di avere il controllo su come l'AI viene usata in azienda.

Se l'AI Act ti è ancora nebuloso, parti dalla guida semplice per le PMI e poi torna qui.

A cosa serve davvero (oltre a "essere in regola")

Una policy fatta bene ha tre funzioni concrete:

1. Riduce gli incidenti. Il caso tipico: un collaboratore incolla l'elenco clienti in uno strumento AI gratuito per "farsi aiutare". Senza una regola scritta, non è nemmeno una violazione: è solo un danno fatto.
2. Ti protegge nei contenziosi. Se un errore generato dall'AI finisce in una contestazione — un preventivo sbagliato, una comunicazione errata a un cliente — poter mostrare policy, formazione e supervisione documentate cambia la posizione dell'azienda.
3. Dà una risposta unica a tutti. Invece di decidere caso per caso ("posso usare questo tool?"), c'è un documento che vale per tutti, titolare compreso.

Le 6 sezioni che non possono mancare

Non serve un tomo di 40 pagine. Una policy efficace per una PMI sta in poche pagine, ma deve coprire questi punti:

Sezione	Cosa stabilisce	Esempio pratico
Ambito e destinatari	A chi si applica e per quali attività	Dipendenti, collaboratori, stagisti; uso lavorativo anche da dispositivi personali
Strumenti approvati	Quali sistemi AI si possono usare e chi autorizza i nuovi	ChatGPT Team sì, versioni gratuite no; nuovi tool approvati dal responsabile IT
Dati vietati	Cosa non deve mai entrare in uno strumento AI	Dati di clienti e dipendenti, dati sanitari, credenziali, contratti, codice proprietario
Supervisione umana	Chi controlla gli output prima dell'uso	Nessun testo generato esce verso un cliente senza revisione di una persona
Trasparenza	Quando dichiarare l'uso dell'AI	Chatbot segnalato come tale, contenuti generati dichiarati (art. 50)
Violazioni	Cosa succede se le regole non vengono rispettate	Richiamo, revoca degli accessi, provvedimenti disciplinari nei casi gravi

Due note su questa tabella.

La sezione "dati vietati" è quella che ti salva più spesso. La maggior parte dei problemi reali nelle PMI non riguarda sistemi ad alto rischio, ma dati riservati inseriti in strumenti consumer. Scrivi esempi concreti, non categorie astratte: "l'anagrafica clienti", "le buste paga", "il listino riservato" parlano più di "dati personali ex GDPR".

La supervisione umana non è un optional filosofico. L'AI sbaglia, e sbaglia con sicurezza. La policy deve dire chi mette la faccia su ogni output che ha effetti fuori dall'azienda: preventivi, comunicazioni, contenuti pubblicati.

Attenzione anche a un caso particolare: se usi l'AI per selezionare o gestire il personale (screening dei CV, valutazioni), entri nell'area ad alto rischio dell'AI Act. Lì la policy da sola non basta: servono cautele in più, e conviene mapparle prima di adottare lo strumento.

I 5 errori da evitare

1. Copiare una policy generica trovata online

Una policy che parla di strumenti che non usate e ignora quelli che usate davvero è peggio di niente: in caso di problemi dimostra che avete adempiuto sulla carta senza governare la realtà. La policy deve citare i vostri strumenti, i vostri dati, i vostri ruoli.

2. Scriverla e non comunicarla

Una policy nel cassetto non protegge nessuno. Se un collaboratore non l'ha mai vista, non puoi contestargli una violazione — e non puoi dimostrare a un'autorità che le regole erano operative. Serve presentazione, presa visione firmata e un momento di formazione collegato.

3. Vietare tutto

La tentazione è comprensibile: "niente AI finché non ci capiamo qualcosa". Il risultato è l'uso nascosto: le persone continuano a usare gli strumenti, ma dai telefoni personali e senza dirlo a nessuno. Una policy realistica con strumenti approvati e regole chiare governa il fenomeno; un divieto totale lo rende solo invisibile.

4. Non aggiornarla mai

L'AI Act si applica a scaglioni — le regole di trasparenza dal 2 agosto 2026, l'alto rischio integrato nei prodotti regolamentati dal 2 agosto 2027 — e gli strumenti in azienda cambiano più in fretta della normativa. Una policy del 2025 mai riletta nel 2026 è già vecchia. Metti in calendario una revisione almeno annuale, più un passaggio a ogni nuova scadenza normativa.

5. Non nominare un responsabile

Se la policy non dice chi approva i nuovi strumenti, chi risponde alle domande e chi la aggiorna, ognuna di queste cose non la farà nessuno. Non serve un "AI officer" a tempo pieno: in una PMI basta indicare una persona (spesso il responsabile IT o il titolare) con queste responsabilità scritte.

Come farla adottare davvero

Il documento è metà del lavoro. L'altra metà è farlo vivere:

1. Presentala di persona, non via email. Mezz'ora di riunione in cui spieghi il perché delle regole vale più di dieci pagine allegate.
2. Collega la formazione. L'obbligo di alfabetizzazione AI (art. 4) e la policy si rafforzano a vicenda: la formazione spiega i rischi, la policy fissa le regole. Un corso di AI literacy con attestato copre l'obbligo e ti lascia le evidenze documentali.
3. Raccogli le prese visione firmate e conservale insieme agli attestati: è il fascicolo che esibisci in caso di controllo o contenzioso.
4. Apri un canale per le richieste. Se chiedere l'approvazione di un nuovo strumento è facile, le persone lo faranno; se è un percorso a ostacoli, torneranno all'uso nascosto.
5. Rivedila a ogni cambio significativo: nuovo strumento adottato, nuova scadenza dell'AI Act, incidente interno da cui imparare.

Da dove partire

Se parti da zero, non serve inventare il documento da soli: il Kit Policy AI tra i prodotti del portale ti dà una policy personalizzata sulla tua realtà, insieme a registro dei sistemi AI e informative, aggiornati quando la normativa cambia.

E se non sai ancora quali obblighi riguardano davvero la tua azienda, il primo passo è gratuito: l'autovalutazione ti dice in 3 minuti dove sei scoperto — e quindi cosa deve coprire, prima di tutto, la tua policy.