Molte imprese hanno introdotto ChatGPT e strumenti simili senza mai scrivere una riga di regole su come vadano usati. È una situazione più diffusa di quanto si pensi: secondo l'Osservatorio del Politecnico di Milano, solo una minoranza delle grandi imprese italiane dispone di processi strutturati di governance dell'IA, mentre la maggioranza opera senza regole codificate. Nelle PMI la percentuale è verosimilmente ancora più bassa.

Il problema non è teorico. Senza regole scritte accadono cose molto concrete: un collaboratore incolla in un assistente generativo il contratto di un cliente per farselo riassumere, un altro pubblica un testo generato dall'IA senza verificarlo, un terzo usa uno strumento gratuito con dati aziendali riservati. Ognuna di queste azioni può creare un problema di riservatezza, di conformità al GDPR o di reputazione.

Una policy interna sull'uso dell'IA è la risposta più semplice ed economica a questo rischio. L'AI Act non la impone espressamente come documento, ma gli obblighi che introduce — a partire dall'alfabetizzazione del personale prevista dall'articolo 4 — la rendono di fatto lo strumento più pratico per dimostrare che l'organizzazione si è data delle regole.

Cosa deve contenere una policy efficace

Una policy utile non è un documento lungo e generico, ma un testo breve che risponde a domande concrete: quali strumenti si possono usare, quali dati si possono inserire, chi controlla i risultati, cosa fare quando qualcosa va storto. Di seguito un modello di riferimento, da adattare alla realtà di ciascuna azienda.

Modello di policy per l'utilizzo di ChatGPT e strumenti di IA generativa

Articolo 1 — Finalità e ambito di applicazione

La presente policy stabilisce le regole per l'utilizzo di ChatGPT e degli altri strumenti di intelligenza artificiale generativa nello svolgimento delle attività lavorative. Si applica a tutto il personale dipendente, ai collaboratori, ai consulenti e a chiunque operi per conto dell'azienda utilizzando tali strumenti. La finalità è consentire un uso utile e produttivo dell'IA, garantendo al tempo stesso la protezione dei dati, la riservatezza delle informazioni e la conformità al Regolamento (UE) 2024/1689 e alla normativa sulla protezione dei dati personali.

Articolo 2 — Strumenti autorizzati

Possono essere utilizzati esclusivamente gli strumenti di IA espressamente autorizzati dall'azienda, nella versione e con l'account indicati. L'elenco degli strumenti autorizzati è tenuto aggiornato dal responsabile individuato all'articolo 8. L'introduzione di nuovi strumenti deve essere preventivamente richiesta e approvata. È vietato l'utilizzo di versioni gratuite o personali per il trattamento di informazioni aziendali, salvo diversa autorizzazione scritta.

Articolo 3 — Classificazione delle informazioni

Possono essere inseriti negli strumenti di IA generativa esclusivamente dati pubblici o informazioni interne non riservate. È espressamente vietato inserire:

  • dati personali di clienti, dipendenti, fornitori o terzi;
  • dati particolari (sanitari, giudiziari, biometrici) e dati di minori;
  • informazioni coperte da segreto industriale, know-how o accordi di riservatezza;
  • documenti contrattuali, offerte economiche e informazioni finanziarie non pubbliche;
  • credenziali di accesso, password, chiavi API o codici di sicurezza;
  • codice sorgente proprietario e documentazione tecnica riservata.

Nel dubbio sulla natura di un'informazione, il personale è tenuto ad astenersi e a rivolgersi al responsabile indicato all'articolo 8.

Articolo 4 — Supervisione umana degli output

Ogni risultato prodotto da un sistema di IA deve essere verificato da una persona competente prima di essere utilizzato, pubblicato o condiviso. La verifica riguarda l'accuratezza dei contenuti, l'assenza di elementi discriminatori o inappropriati e il rispetto dei diritti di terzi. La responsabilità del contenuto finale resta sempre in capo alla persona che lo utilizza o lo diffonde: l'IA è uno strumento di supporto, non un decisore.

Articolo 5 — Usi vietati

È vietato l'utilizzo di strumenti di IA per:

  • assumere decisioni automatizzate su persone senza intervento umano significativo, in particolare in materia di selezione del personale, valutazione, accesso a servizi o merito creditizio;
  • generare contenuti ingannevoli, diffamatori o lesivi di diritti altrui;
  • riprodurre opere protette da diritto d'autore in violazione della normativa vigente;
  • svolgere attività riconducibili alle pratiche vietate dall'articolo 5 dell'AI Act;
  • sostituire pareri professionali qualificati in ambito legale, sanitario, fiscale o della sicurezza.

Articolo 6 — Trasparenza verso l'esterno

Quando l'azienda mette a disposizione di clienti o utenti un assistente virtuale o un chatbot, è obbligatorio informare in modo chiaro che l'interlocutore sta interagendo con un sistema di intelligenza artificiale. I contenuti destinati al pubblico prodotti o modificati in misura significativa con strumenti di IA sono resi riconoscibili secondo le modalità previste dall'articolo 50 dell'AI Act e dalle procedure interne.

Articolo 7 — Formazione del personale

L'azienda adotta misure proporzionate per sostenere lo sviluppo delle competenze del personale in materia di intelligenza artificiale, in attuazione dell'articolo 4 dell'AI Act. La formazione è differenziata in base al ruolo, agli strumenti utilizzati e ai rischi connessi. Le iniziative formative e i relativi partecipanti sono documentati e conservati.

Articolo 8 — Referente interno e segnalazioni

È individuato un referente aziendale per l'utilizzo dell'intelligenza artificiale, al quale rivolgersi per chiarimenti, richieste di autorizzazione di nuovi strumenti e segnalazioni. Ogni anomalia, errore rilevante, incidente o utilizzo non conforme deve essere segnalato tempestivamente al referente, che ne cura la registrazione e valuta le azioni necessarie.

Articolo 9 — Violazioni

Il mancato rispetto della presente policy può comportare l'adozione dei provvedimenti previsti dal contratto collettivo applicabile e dalla normativa vigente, fatte salve le ulteriori conseguenze in caso di violazioni della normativa sulla protezione dei dati o di obblighi di riservatezza.

Articolo 10 — Aggiornamento

La policy è riesaminata periodicamente e comunque in occasione dell'introduzione di nuovi strumenti, di modifiche organizzative rilevanti o di aggiornamenti normativi. Le revisioni sono comunicate a tutto il personale interessato.

Come adottarla concretamente

Un documento che resta in un cassetto non serve a nulla, né sul piano pratico né su quello probatorio. Perché una policy sia efficace occorre che sia comunicata a tutto il personale, con evidenza della presa visione; spiegata, perché regole non comprese non vengono seguite; accompagnata da formazione, che è anche un obbligo autonomo previsto dall'articolo 4; e tenuta aggiornata, perché gli strumenti cambiano rapidamente.

Va inoltre calibrata sulla realtà aziendale. Una società di venti persone che usa un assistente generativo per la corrispondenza ha esigenze diverse da un'impresa che impiega l'IA nella selezione del personale o nella valutazione dei clienti: nel secondo caso servono cautele e documentazione più strutturate, perché più elevato è il livello di rischio.

Un punto di partenza, non un punto di arrivo

Il modello proposto è un riferimento generale e va adattato agli strumenti effettivamente utilizzati, ai ruoli coinvolti e al contesto operativo dell'organizzazione. Non sostituisce una valutazione professionale: in presenza di trattamenti di dati personali rilevanti o di sistemi che incidono su persone, è opportuno un esame più approfondito, anche in raccordo con le misure privacy già adottate.

Resta però un dato di fondo: avere regole scritte, conosciute e applicate è oggi la differenza principale tra un'azienda che governa l'intelligenza artificiale e una che la subisce. E, in caso di verifica, tra un'organizzazione che può dimostrare di essersi mossa e una che non ha nulla da mostrare.