Premessa importante: questa è una guida operativa, non un parere legale. Per gli aspetti normativi specifici è sempre consigliabile rivolgersi a un consulente specializzato.
L’intelligenza artificiale è già dentro le aziende. ChatGPT, Copilot, strumenti di automazione, generazione di contenuti, analisi predittiva. Il punto non è se la tua azienda usa l’AI, ma come la sta usando — e se esiste una regola interna che governa questo utilizzo.
La risposta, nella maggior parte delle PMI italiane, è no. Nessuna policy. Nessun documento. Nessuna indicazione chiara su cosa si può fare e cosa no.
Il risultato è prevedibile: ogni reparto fa a modo suo, i dati finiscono dove non dovrebbero, le responsabilità sono sfumate, e quando qualcosa va storto nessuno sa esattamente cosa sia successo.
Una policy AI interna risolve questo problema. Non serve un documento di 40 pagine. Serve un documento chiaro, condiviso, aggiornabile, che dica a tutti: ecco come usiamo l’AI in questa azienda.
Perché serve una policy AI
La domanda più frequente è: “Ma davvero ci serve? Siamo solo in 15.”
Sì. Anzi, proprio perché siete in pochi serve ancora di più. In una grande azienda, se un dipendente carica dati riservati su un tool AI, c’è un reparto compliance che intercetta il problema. In una PMI, quel controllo non esiste. L’unica difesa è una regola chiara, scritta prima che succeda qualcosa.
Una policy AI interna serve a:
- Proteggere i dati aziendali — impedire che informazioni sensibili, listini, dati dei clienti, documenti riservati vengano inseriti in strumenti AI non controllati
- Definire le responsabilità — chi autorizza l’uso di nuovi strumenti, chi valida i risultati generati dall’AI, chi risponde se qualcosa va storto
- Creare coerenza operativa — evitare che ogni reparto usi strumenti diversi, con logiche diverse, senza alcun coordinamento
- Prepararsi alla conformità normativa — l’AI Act richiede trasparenza e documentazione. Una policy interna è il primo passo per costruire quella documentazione
- Ridurre il rischio reputazionale — un contenuto generato dall’AI e pubblicato senza revisione può creare danni enormi all’immagine aziendale
Non è una questione di compliance astratta. È una questione di governo reale dei processi.
Cosa deve contenere
Una policy AI aziendale efficace non è un elenco di divieti. È un documento operativo che risponde a domande concrete. Ecco le sezioni che non possono mancare.
1. Ambito di applicazione
A chi si applica la policy: tutti i dipendenti, i collaboratori esterni, i fornitori che accedono a dati aziendali. Deve essere chiaro che la policy copre qualsiasi strumento basato su AI, inclusi quelli gratuiti e quelli usati su dispositivi personali per scopi lavorativi.
2. Strumenti autorizzati
L’elenco degli strumenti AI approvati dall’azienda: ChatGPT (con quale piano), Copilot, strumenti di generazione immagini, tool di analisi dati. Per ogni strumento: cosa si può fare, cosa non si può fare, quali dati è consentito inserire.
3. Dati e informazioni
La classificazione dei dati rispetto all’AI: quali dati si possono usare liberamente (informazioni pubbliche), quali con cautela (dati interni non sensibili), quali mai (dati personali dei clienti, segreti industriali, informazioni finanziarie riservate). Questa è la sezione più importante della policy.
4. Processo di approvazione
Chi decide se un nuovo strumento AI può essere adottato. Chi valuta i rischi. Quale iter deve seguire un reparto per proporre l’uso di un nuovo tool. Senza questo processo, gli strumenti entrano in azienda dalla porta di servizio.
5. Revisione e validazione
Ogni output generato dall’AI deve essere validato da una persona. Nessuna eccezione. La policy deve specificare chi valida cosa: il marketing valida i testi, l’ufficio tecnico valida le analisi, il legale valida i documenti contrattuali.
6. Aggiornamento
La policy non è un documento statico. Deve prevedere una revisione periodica (consigliamo ogni 6 mesi) e un responsabile dell’aggiornamento.
Come coinvolgere i reparti
L’errore più grave è scrivere la policy in un ufficio chiuso e poi mandarla via email a tutti. Non funziona. Le persone non la leggono, non la capiscono, non la applicano.
L’approccio che funziona è diverso:
Fase 1: Mappatura dal basso. Prima di scrivere qualsiasi regola, chiedi a ogni reparto: “Quali strumenti AI state usando? Per fare cosa? Con quali dati?” Questa mappatura rivela sempre sorprese. Strumenti che non sapevi esistessero, usi che non avevi previsto, rischi che nessuno aveva considerato.
Fase 2: Workshop di redazione. Coinvolgi un referente per ogni area (produzione, commerciale, marketing, amministrazione) nella stesura della policy. Non devono scriverla — devono validarla. Devono poter dire: “Questa regola nella pratica non funziona, ecco perché.”
Fase 3: Presentazione e formazione. Quando la policy è pronta, dedicaci un’ora. Non un’email, un’ora. Spiega il perché di ogni regola. Fai esempi concreti. Rispondi alle domande. È l’unico modo per trasformare un documento in un comportamento.
Fase 4: Referente AI. Identifica una persona (non necessariamente un tecnico) che diventi il punto di riferimento interno. La persona a cui chiedere: “Posso usare questo tool per questa cosa?” Nelle PMI, spesso è la stessa persona che segue la governance AI nel suo complesso.
Errori comuni da evitare
Dopo aver lavorato con decine di aziende su questi temi, ecco gli errori che vediamo più spesso.
Vietare tutto. La policy che dice “vietato usare qualsiasi strumento AI” non funziona. Le persone lo useranno comunque, solo di nascosto. Meglio regolamentare che proibire.
Essere troppo generici. “Usare l’AI con buon senso” non è una policy. Servono indicazioni concrete: questo tool sì, questo no. Questi dati sì, questi mai. Senza specificità, il documento è inutile.
Non aggiornare. Una policy scritta a gennaio e mai aggiornata diventa obsoleta in tre mesi. Gli strumenti cambiano, le funzionalità evolvono, i rischi si spostano. Serve un ciclo di revisione reale, non formale.
Ignorare i fornitori. I tuoi fornitori usano l’AI? I tuoi collaboratori esterni? Se lavorano con i tuoi dati, la tua policy deve coprire anche loro. Altrimenti il perimetro di protezione ha un buco enorme.
Copiare la policy di un’altra azienda. Ogni azienda ha processi diversi, strumenti diversi, rischi diversi. Una policy copiata da internet è peggio di nessuna policy, perché dà una falsa sensazione di sicurezza.
Confondere la policy con la compliance legale. La policy AI interna è un documento operativo. Non sostituisce la consulenza legale, non garantisce la conformità normativa, non è un parere giuridico. È il primo passo, non l’ultimo.
Template e struttura consigliata
Ecco uno schema operativo che puoi usare come punto di partenza. Non è un modello legale — è una struttura pratica testata con PMI reali.
Sezione 1 — Scopo e ambito
- Obiettivo della policy (2-3 righe)
- A chi si applica
- Definizione di “strumento AI” nel contesto aziendale
Sezione 2 — Strumenti e classificazione
- Tabella degli strumenti autorizzati (nome, versione, licenza, responsabile)
- Strumenti espressamente vietati
- Procedura per richiedere l’autorizzazione di nuovi strumenti
Sezione 3 — Gestione dei dati
- Classificazione dei dati: pubblici, interni, riservati, sensibili
- Matrice strumento/dato: cosa si può inserire dove
- Divieti espliciti (es. mai dati personali clienti su tool gratuiti)
Sezione 4 — Ruoli e responsabilità
- Referente AI interno
- Responsabili di validazione per area
- Escalation: cosa fare in caso di incidente o dubbio
Sezione 5 — Regole d’uso
- Obbligo di revisione umana su ogni output
- Divieto di pubblicazione diretta senza validazione
- Regole specifiche per reparto (marketing, vendite, produzione, HR)
Sezione 6 — Aggiornamento e formazione
- Frequenza di revisione (ogni 6 mesi consigliati)
- Responsabile dell’aggiornamento
- Piano di formazione AI per il personale
Un documento di 4-6 pagine è sufficiente per la maggior parte delle PMI. Non servono 30 pagine: serve chiarezza.
Dalla policy alla pratica quotidiana
Il documento, da solo, non basta. Una policy che resta nel cassetto è carta sprecata. Ecco cosa serve per trasformarla in un comportamento reale.
Rendila accessibile. Non un PDF sepolto in una cartella condivisa. Un documento linkato nella intranet, nel kit di onboarding, nei materiali di formazione. Ogni persona deve poterla trovare in meno di 30 secondi.
Collegala ai processi esistenti. La policy AI non vive in un vuoto. Si collega alla gestione della privacy, alla sicurezza informatica, alla gestione dei fornitori. Non duplicare: riferisciti ai documenti già esistenti.
Misura l’adozione. Dopo 3 mesi, fai un check: le persone conoscono la policy? La applicano? Hanno domande? Hanno trovato situazioni non coperte? Questo feedback è prezioso per il primo aggiornamento.
Parti dalla mappatura. Non puoi scrivere una buona policy se non sai quali strumenti AI sono già in uso nella tua azienda, con quali dati e in quali processi. Questa mappatura è il punto di partenza reale.
Da dove cominciare? L’AI Readiness Audit (670 €) include la mappatura degli strumenti AI in uso, l’analisi dei rischi operativi e una base concreta per costruire la tua policy interna. È il primo passo della governance AI — quello che trasforma le buone intenzioni in un documento reale.