In quasi ogni ufficio qualcuno usa già l'intelligenza artificiale: per scrivere un'email in inglese, riassumere un capitolato, preparare un post. Spesso lo fa con un'app sul proprio telefono o con un account personale, senza che il titolare lo sappia. Vietare tutto non funziona: le persone continuano, solo di nascosto. Non dire nulla è peggio, perché ognuno decide da sé quali dati inserire. La via di mezzo è una policy interna sull'uso dell'IA: un documento breve che dice quali strumenti si usano, con quali dati, chi controlla i risultati e cosa fare quando qualcosa va storto. In questa guida trovi le sezioni da prevedere, un esempio di testo da adattare e gli errori più comuni.
Perché conviene scriverla adesso
La policy non è un modulo ministeriale da compilare: è il modo più ordinato per mettere per iscritto come rispetti obblighi che esistono già.
- Alfabetizzazione di chi usa l'IA per lavoro, chiesta dall'articolo 4 dell'AI Act: le regole interne sono parte della formazione, come spiega la guida sulla formazione AI dei dipendenti.
- Trasparenza verso chi parla con un chatbot o vede contenuti realistici generati, dal 2 agosto 2026.
- Protezione dei dati secondo il GDPR, che vale anche quando i dati passano da uno strumento di IA.
- Lavoro e professioni: informativa ai lavoratori, decisioni sul personale prese da una persona e valutazione dei rischi aggiornata, secondo la Legge 132/2025 e il D.Lgs. 179/2026; comunicazione ai clienti per i professionisti. Il quadro è nella guida sulla Legge 132/2025.
C'è poi un motivo molto concreto: se succede un incidente, la prima domanda di un cliente, di un'assicurazione o di un'autorità sarà "che regole avevate?".
Prima di scrivere: tre domande
- Cosa usiamo già? Un breve giro fra i reparti, senza caccia al colpevole, per sapere quali strumenti girano, anche gratuiti o integrati in programmi che avete già, come suite d'ufficio, posta e gestionali.
- Quali dati trattiamo? Clienti privati, dati sanitari, progetti coperti da riservatezza, documenti di uno studio professionale: le regole cambiano molto da un'azienda all'altra.
- Chi decide? Serve un referente che approva i nuovi strumenti, risponde ai dubbi e aggiorna il documento. In una piccola azienda può essere il titolare stesso.
Le dieci sezioni di una policy ben fatta
1. Scopo e principio di fondo
Una frase che orienta tutto il resto: l'IA è uno strumento di supporto, il risultato è responsabilità della persona che lo usa.
2. A chi si applica
Dipendenti, collaboratori, agenti, stagisti, consulenti che lavorano per l'azienda. Anche quando usano il proprio telefono o computer per attività di lavoro.
3. Strumenti ammessi
Un elenco breve, con il nome dello strumento, per cosa si può usare e con quale account. Tutto ciò che non è nell'elenco va chiesto al referente prima di usarlo, con una procedura semplice e una risposta in tempi ragionevoli: se l'approvazione richiede un mese, le persone faranno senza.
4. Dati: cosa si può inserire e cosa no
Il cuore della policy. Funziona bene un semaforo: dati pubblici liberi negli strumenti ammessi, dati di clienti e documenti interni solo negli strumenti con contratto aziendale, dati sanitari, del personale, credenziali e documenti riservati mai, salvo soluzioni valutate apposta. Il ragionamento completo è nella guida dati aziendali e GDPR con l'IA.
5. Controllo dei risultati
Chi verifica cosa, prima che un risultato esca dall'azienda o entri in un documento ufficiale: prezzi, quantità, date, riferimenti normativi, nomi di persone e aziende. Le risposte dell'IA possono essere sbagliate e convincenti allo stesso tempo.
6. Trasparenza verso clienti e pubblico
Il chatbot dichiara di essere un sistema automatico; immagini, audio e video realistici generati con l'IA vengono indicati come tali; i professionisti informano i clienti sugli strumenti usati nella prestazione.
7. Contenuti, immagini e diritti
Niente loghi, marchi o opere altrui nelle richieste di generazione; mai voce o volto di persone reali senza la loro autorizzazione; per i materiali importanti si conservano bozze e modifiche, perché il diritto d'autore protegge il lavoro creativo umano.
8. Sicurezza
Solo account aziendali, protetti con autenticazione a due fattori; credenziali mai condivise; nessuna estensione del browser o componente aggiuntivo con IA installato senza autorizzazione; attenzione alle istruzioni nascoste in email e documenti che cercano di far eseguire azioni all'IA.
9. Usi vietati
Riconoscere le emozioni di colleghi o clienti, valutare o scegliere persone senza la procedura stabilita, prendere decisioni su dipendenti senza una persona che decide, creare contenuti ingannevoli, aggirare i controlli di sicurezza.
10. Segnalazioni, formazione e revisione
Chi chiamare in caso di errore o di dati inseriti per sbaglio, senza paura di sanzioni per chi segnala subito; come si viene formati e dove si registra la formazione; ogni quanto si rivede il documento.
Un esempio di testo da adattare
Questo è uno scheletro per un'azienda di una ventina di persone. Va adattato al vostro lavoro e, per la parte giuridica, rivisto con il consulente.
Regole per l'uso dell'intelligenza artificiale – revisione del [data]
1. In azienda usiamo l'IA per lavorare meglio, non per lasciare decidere una macchina. Chi usa un risultato dell'IA ne risponde come se lo avesse scritto lui.
2. Si usano solo gli strumenti dell'elenco allegato, con l'account aziendale. Per provarne uno nuovo si scrive al referente, che risponde entro una settimana.
3. Negli strumenti ammessi si possono inserire testi pubblici e bozze senza nomi. Dati di clienti e fornitori solo negli strumenti indicati come "con contratto". Dati sanitari, dati del personale, password e documenti riservati dei clienti: mai.
4. Prezzi, quantità, date, nomi e riferimenti di legge prodotti dall'IA si controllano sempre sulla fonte prima di inviarli.
5. Il chatbot del sito dichiara di essere un assistente automatico. Le immagini realistiche generate con l'IA usate in pubblicità sono indicate come tali.
6. Chi si accorge di aver inserito dati che non doveva lo dice subito al referente: la segnalazione tempestiva non è motivo di sanzione.
7. Il documento si rivede ogni anno e ogni volta che si introduce uno strumento nuovo.
Dipendenti, controlli e rappresentanze
Se la policy diventa parte delle regole aziendali, alcuni passaggi vanno curati con il consulente del lavoro.
- Conoscenza delle regole. Le norme disciplinari devono essere portate a conoscenza dei lavoratori, come prevede l'articolo 7 dello Statuto dei lavoratori: consegnare la policy e farne firmare la presa visione è il minimo.
- Controlli. Se pensi di verificare l'uso degli strumenti attraverso registri e log, valgono l'articolo 4 dello Statuto e l'obbligo di dare un'informazione adeguata su strumenti e controlli.
- Valutazione dei rischi. Dal 23 ottobre 2026, gli usi dell'IA che incidono su organizzazione e ritmi di lavoro entrano nel documento di valutazione dei rischi (articolo 42 del D.Lgs. 179/2026).
- Decisioni sul personale. La policy deve dire chiaramente che assunzioni, valutazioni e sanzioni sono decise da una persona, come richiede l'articolo 41 dello stesso decreto.
Gli errori che rendono inutile una policy
- Copiata da un modello trovato in rete, con riferimenti a strumenti e reparti che in azienda non esistono.
- Divieto totale senza alternative: spinge l'uso nascosto, il rischio peggiore.
- Venti pagine di linguaggio giuridico che nessuno legge fino in fondo.
- Nessun elenco di strumenti: "usate solo strumenti sicuri" non aiuta nessuno a scegliere.
- Nessun referente, quindi nessuno a cui chiedere e nessuno che aggiorna.
- Mai spiegata: inviata per email e archiviata. Mezz'ora di presentazione con esempi veri vale più di qualsiasi allegato.
- Mai aggiornata, mentre gli strumenti cambiano ogni pochi mesi.
La parte tecnica: dove ti aiutiamo
Faberweb non scrive regolamenti aziendali al posto del tuo consulente, ma si occupa di ciò che rende la policy applicabile davvero. Facciamo con te l'inventario degli strumenti con IA presenti su PC e telefoni aziendali, sistemiamo account e accessi, attiviamo l'assistenza informatica necessaria per la sicurezza e, quando serve, realizziamo strumenti di IA che lavorano sui tuoi documenti in un ambiente controllato. Con WorkMind, per esempio, i documenti restano nella tua sede, ognuno vede solo ciò che gli serve e c'è un registro delle attività; nei primi giorni affianchiamo chi lo usa, finché il lavoro scorre. Così la regola "usate solo gli strumenti aziendali" ha uno strumento aziendale da indicare.
Lavoriamo con aziende, studi ed enti del Nord e del Centro Italia. Chiamaci al 0371 464 186, anche su WhatsApp, oppure scrivici dal modulo.
Domande frequenti
Una policy sull'uso dell'IA è obbligatoria per legge?
Le norme chiedono risultati più che un documento con questo titolo: formazione adeguata di chi usa l'IA, trasparenza, rispetto del GDPR, informazioni ai lavoratori e decisioni sul personale prese da persone. Una policy scritta e spiegata è il modo più semplice e ordinato per organizzare e dimostrare tutto questo.
Posso vietare del tutto l'IA ai dipendenti?
Sì, l'azienda può decidere quali strumenti di lavoro ammettere. Ma un divieto totale, senza alternative, di solito sposta l'uso su telefoni e account personali, dove l'azienda non vede nulla. È più efficace indicare pochi strumenti approvati e regole chiare sui dati.
Quanto deve essere lunga una policy sull'IA?
Per una piccola o media impresa bastano due o tre pagine, più l'elenco degli strumenti ammessi come allegato da aggiornare. Se un collega non riesce a leggerla in dieci minuti e a ricordarne i punti principali, è troppo lunga o troppo astratta.
La policy vale anche per consulenti e collaboratori esterni?
Dovrebbe valere per chiunque usi l'IA lavorando per l'azienda. Per chi non è dipendente si inserisce nel contratto l'obbligo di rispettare le regole sui dati e di usare solo strumenti adeguati, o si chiede di dimostrare regole equivalenti.
Ogni quanto va aggiornata?
Almeno una volta l'anno e ogni volta che entra in azienda uno strumento nuovo, cambia il modo di usarne uno o arriva una norma che vi riguarda. Annota la data di revisione in testa al documento, così tutti sanno qual è la versione valida.