AI Policy aziendale: cosa deve contenere e come costruirla senza bloccare l'innovazione

AI Policy aziendale: cosa deve contenere e come costruirla senza bloccare l'innovazione

Molte aziende stanno affrontando l'Intelligenza Artificiale scrivendo una regola: “È vietato inserire dati riservati in ChatGPT.”

È una buona precauzione.

Ma non è ancora una AI Policy.

Una vera policy dovrebbe rispondere alle domande che le persone incontrano quotidianamente:

Posso usare l'AI per scrivere questa offerta?

Posso caricare questo documento?

Posso utilizzare un output senza verificarlo?

Posso generare un'immagine destinata al sito?

Posso usare l'AI per analizzare un CV?

Chi decide quali strumenti sono autorizzati?

Nel servizio Fòrema la policy viene infatti collegata esplicitamente a strumenti, dati, controlli, ruoli e responsabilità. 

La AI Policy è obbligatoria?

Occorre essere precisi.

L'AI Act non introduce un obbligo generalizzato per ogni azienda di produrre un documento denominato “AI Policy”.

Il Regolamento prevede però una serie di obblighi che, a seconda dei sistemi e degli utilizzi, riguardano competenze, trasparenza, gestione del rischio, supervisione e responsabilità.

Una policy diventa quindi uno degli strumenti più efficaci per tradurre questi principi in comportamenti aziendali comprensibili.

Il valore della policy non sta nel documento.

Sta nella capacità di dire alle persone:

“In questa situazione, cosa devo fare?”

Una policy dovrebbe partire dagli utilizzi reali

Copiare una policy standard da internet è il modo più rapido per creare un documento formalmente elegante e praticamente ignorato.

Prima di scriverla bisognerebbe sapere:

• quali strumenti sono già utilizzati;
• quali processi sono interessati;
• quali categorie di dati circolano;
• quali funzioni sono maggiormente esposte;
• quali utilizzi l'impresa vuole incentivare.

Per questo mappatura e policy dovrebbero essere parti dello stesso progetto.

Strumenti autorizzati e utilizzi autorizzati

Un elemento centrale riguarda gli strumenti.

Non basta indicare quelli approvati.

È utile definire anche per quali usi siano approvati.

Un tool enterprise potrebbe essere autorizzato per l'elaborazione di determinate informazioni aziendali.

Un chatbot pubblico gratuito potrebbe essere utilizzabile soltanto con informazioni non riservate.

Alcune applicazioni potrebbero richiedere un'autorizzazione preventiva.

La policy diventa molto più efficace quando passa da: “puoi utilizzare questo strumento” a: “puoi utilizzarlo in queste condizioni”.

La gestione dei dati

Uno dei capitoli più importanti riguarda ciò che viene inserito nei sistemi.

La policy dovrebbe aiutare le persone a distinguere almeno tra informazioni pubbliche, contenuti aziendali interni, dati personali, informazioni riservate di clienti e fornitori, segreti commerciali e altre categorie sensibili.

Una regola deve essere comprensibile anche da chi non è un giurista.

“Non inserire dati riservati” è meno efficace di esempi concreti:

• un catalogo già pubblicato;
• una bozza di contratto;
• un CV;
• una distinta base;
• un preventivo di un cliente;
• un elenco contenente nominativi e retribuzioni.

Le persone devono poter riconoscere la situazione.

Controllare gli output

Un'altra regola fondamentale riguarda la verifica.

I sistemi generativi possono produrre contenuti convincenti ma non corretti.

L'AI Policy dovrebbe quindi specificare quando l'output necessita di revisione umana e chi ne assume la responsabilità.

Il principio può essere semplice: chi utilizza l'AI non trasferisce automaticamente all'AI la responsabilità del risultato.

Questo vale in modo particolare per contenuti tecnici, contrattuali, normativi, finanziari o riguardanti persone.

Trasparenza verso clienti e utenti

Dal 2 agosto 2026 l'articolo 50 dell'AI Act introduce obblighi di trasparenza per specifiche situazioni.

Per esempio, i sistemi destinati a interagire direttamente con persone devono essere progettati in modo che queste sappiano di stare interagendo con un sistema AI, quando ciò non sia già evidente. I deployer devono inoltre rendere nota la natura artificiale di determinati deepfake; esistono anche regole specifiche per testi generati o manipolati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico, con eccezioni quando vi sia revisione umana o controllo editoriale e una persona assuma la responsabilità editoriale. 

Non significa che ogni testo aziendale prodotto con l'aiuto dell'AI debba riportare “generato da AI”.

Significa che la policy dovrebbe individuare i casi nei quali la trasparenza diventa rilevante.

Chi decide?

Una policy senza responsabilità chiare produce nuove domande.

Chi approva uno strumento?

Chi decide se un nuovo utilizzo è ammissibile?

Chi gestisce le eccezioni?

Chi aggiorna le regole?

Nelle PMI non serve necessariamente creare un comitato dedicato.

Può essere sufficiente una governance leggera tra Direzione, IT, HR, Legal/Privacy e responsabili delle funzioni interessate.

Ciò che conta è evitare che la responsabilità sia di “tutti”, perché spesso significa che non è realmente di nessuno.

La policy non deve uccidere la sperimentazione

Una policy fatta soltanto di divieti genera due possibili risultati.

Il primo: le persone smettono di sperimentare.

Il secondo, spesso peggiore: continuano a farlo senza dirlo.

Una policy efficace dovrebbe quindi contenere anche una corsia per la sperimentazione.

Se un dipendente scopre uno strumento interessante deve sapere come proporlo.

Se un manager vuole testare un nuovo caso d'uso deve conoscere il percorso.

La governance diventa in questo modo un acceleratore.

Un documento vivo

L'AI Policy non dovrebbe avere la stessa vita utile di una procedura amministrativa tradizionale.

Nuovi strumenti entrano continuamente sul mercato.

Le applicazioni già utilizzate cambiano funzionalità.

La normativa e gli orientamenti evolvono.

Anche l'organizzazione impara.

Per questo la policy dovrebbe essere sottoposta a revisione periodica e collegata alla mappatura degli utilizzi.

La domanda finale non è: “Abbiamo una AI Policy?”

È: “Le nostre regole descrivono ancora il modo in cui utilizziamo davvero l'AI?”

Fòrema supporta Direzione, manager e IT nella valutazione dei rischi e nella costruzione dell'AI Policy aziendale, traducendo normativa, processi e utilizzi reali in regole comprensibili e applicabili dalle persone. ai act fòrema

Vuoi conoscere il servizio di supporto AI Act di Fòrema? Scarica la brochure in allegato e scrivi per maggiori informazioni a francesca.rossetto@forema.it

FAQ

La AI Policy è obbligatoria?
Non esiste un obbligo generale per ogni impresa di predisporre un documento chiamato “AI Policy”. È tuttavia uno strumento efficace per organizzare regole, responsabilità e controlli.

Posso vietare ChatGPT ai dipendenti?
L'azienda può definire gli strumenti e le modalità consentite, nel rispetto della normativa applicabile. Una governance basata esclusivamente sul divieto può però favorire usi non visibili.

La policy deve parlare anche di privacy?
Sì, quando i casi d'uso possono coinvolgere dati personali, ma l'AI governance non si esaurisce nella privacy.

Chi dovrebbe approvare gli strumenti AI?
Dipende dall'organizzazione. È utile identificare formalmente la funzione o le funzioni responsabili della valutazione.

Ogni quanto aggiornare la policy?
Non esiste una periodicità universale; è opportuno aggiornarla quando cambiano significativamente strumenti, processi, rischi o normativa.