Come creare una policy sull'IA per una piccola impresa

Che cos'è una politica sull'IA?

Una politica sull’IA è un breve documento aziendale che dice ai dipendenti quali strumenti di intelligenza artificiale possono usare, per quali compiti, con quali informazioni e quali passaggi sono necessari prima di utilizzare un risultato prodotto con l’assistenza dell’IA. In una piccola impresa di solito occupa poche pagine ed è affidata a un fondatore, a un responsabile operativo o a chi già si occupa di dati e contratti.

L'espressione comprende diversi documenti che spesso vengono confusi. Una policy sull'uso accettabile è l'insieme delle regole che i dipendenti seguono ogni giorno. Una policy sull'IA generativa riguarda gli strumenti che producono testi, immagini o codice e i rischi associati ai contenuti generati. Un quadro di governo è il livello gestionale alla base di entrambi: chi approva uno strumento, chi tiene il registro, con quale frequenza vengono riesaminate le decisioni. La maggior parte delle aziende con meno di 200 persone può riunire tutti e tre in un unico documento, purché ogni parte sia chiaramente identificata.

Questa guida tratta le decisioni necessarie per qualsiasi policy sull'intelligenza artificiale, con esempi di clausole per un'azienda fittizia. Offre informazioni generali, non consulenza legale. Le leggi sulla protezione dei dati, sul lavoro e sulla tutela dei consumatori variano in base al paese e al settore: chiedi quindi a un consulente qualificato di verificare la versione che adotti.

A che cosa dovrebbe servire una politica sull'IA per una piccola azienda?

Una politica utile aiuta a decidere cosa fare prima di inserire informazioni in uno strumento o usarne i risultati. Dovrebbe indicare i servizi approvati, le attività adatte, i limiti nell’uso delle informazioni, le responsabilità di revisione e a chi rivolgersi in caso di dubbi. Un elenco di avvertenze senza queste decisioni pratiche lascia i dipendenti nell’incertezza, e chi non sa come comportarsi smette di usare gli strumenti oppure li usa senza dirlo.

Inizia dai flussi di lavoro effettivi delle persone. Una bozza di invito basata su informazioni pubbliche richiede controlli diversi da un riepilogo di materiale riservato di un cliente. Per ogni flusso di lavoro, annota lo scopo, il materiale di partenza, il destinatario previsto e le conseguenze di un errore. Questo contesto è un punto di partenza migliore rispetto a trattare tutti gli usi dell'IA allo stesso modo.

Un buon modo per verificarne l'utilità è chiedersi se, dopo averlo letto, un neoassunto saprebbe rispondere a tre domande: quale account devo usare, che cosa non devo mai incollare e a chi devo chiedere. Se il documento non risponde a queste domande, non sta ancora svolgendo la sua funzione, per quanto completo possa sembrare.

Una piccola impresa è obbligata per legge ad avere una policy sull'IA?

Nella maggior parte dei paesi non esiste una legge generale che imponga a ogni piccola impresa di avere un documento chiamato regolamento sull'IA, ma gli obblighi esistenti continuano ad applicarsi all'uso dell'IA da parte del personale. Le norme sulla protezione dei dati, le clausole di riservatezza nei contratti con i clienti, il diritto del lavoro e le regole sulla pubblicità non smettono di valere perché una bozza è stata prodotta da uno strumento. Un regolamento è il modo pratico per mostrare al personale come questi obblighi esistenti si applicano al suo uso dell'IA.

Nel Regno Unito, l'autorità per la protezione dei dati pubblica linee guida sull'IA e sulla protezione dei dati e una serie di strumenti sui rischi per le organizzazioni. Entrambe le pagine indicano attualmente che le linee guida sono in fase di revisione a seguito della legge sui dati, sul loro utilizzo e sul loro accesso: verifica quindi lo stato attuale prima di fare affidamento su un qualsiasi dettaglio. Nell'UE, l'articolo 4 dell'EU AI Act sull'alfabetizzazione in materia di IA si applica dal 2 February 2025 ai fornitori e ai soggetti che utilizzano sistemi di IA. Le domande e risposte della Commissione europea sull'alfabetizzazione in materia di IA precisano che non esiste un approccio valido per tutti, che non sono richiesti certificati e che è sufficiente una registrazione interna della formazione. Riportano anche l'esempio del personale che usa un assistente conversazionale per testi pubblicitari o traduzioni e che dovrebbe essere informato di rischi specifici, come le allucinazioni.

Se vendi nell’UE, impieghi personale al suo interno o tratti dati personali di residenti nell’UE, chiedi una consulenza sugli obblighi che ti riguardano. Il punto di questa guida è più circoscritto: una policy scritta, accompagnata da formazione pratica, è un modo ragionevole per dimostrare che le persone sono state informate sui rischi e su come gestirli.

Chi deve essere responsabile delle decisioni?

Nomina un responsabile della policy e le persone che possono approvare strumenti e flussi di lavoro delicati. In un'azienda di 12 persone, il fondatore potrebbe occuparsi di tutto. In un'azienda di 80 persone, il responsabile operativo potrebbe occuparsi degli strumenti, la persona responsabile della protezione dei dati delle informazioni personali e i responsabili di reparto della verifica dei risultati nella propria area. Ai dipendenti serve un unico punto di riferimento a cui rivolgere le domande non coperte dalla policy.

Il materiale sulla funzione di governo del manuale operativo NIST per la gestione dei rischi dell'IA tratta la definizione di ruoli e responsabilità, la formazione del personale sui rischi dell'IA e i canali di comunicazione. La struttura qui proposta è un adattamento operativo per un piccolo gruppo di lavoro. Usare queste intestazioni non rende una policy conforme ad alcuna legge né approvata da NIST.

Inserisci nella policy il nome del responsabile e di un sostituto, non solo una qualifica. Nelle piccole aziende, le qualifiche cambiano più in fretta dei documenti, e un percorso di segnalazione che rimanda a un ruolo non ricoperto da nessuno non serve a nulla.

Come registrare gli strumenti approvati?

Registra il servizio esatto, il piano e l'uso consentito, perché il solo nome del marchio nasconde differenze importanti. Un account personale per privati, uno spazio di lavoro aziendale e un'integrazione tramite API dello stesso prodotto possono prevedere condizioni diverse per conservazione dei dati, addestramento e controllo da parte degli amministratori. Registra le impostazioni e le condizioni pertinenti anziché presumere che un'unica dichiarazione valga per tutte le versioni.

Chiedi separatamente informazioni sull'addestramento dei modelli, sulla conservazione dei dati, sull'accesso, sui luoghi di trattamento e sulla cancellazione. Una dichiarazione di non utilizzo per l'addestramento non implica che non venga memorizzato nulla né che sia consentito caricare un documento di un cliente. Per fare un esempio di come i fornitori descrivono questi aspetti, la documentazione di Microsoft relativa a Copilot Chat usato dalle organizzazioni afferma che le istruzioni e le risposte sono coperte dal suo addendum sulla protezione dei dati e non vengono utilizzate per addestrare i modelli di base, e che i controlli specifici variano in base al piano di abbonamento. È questo il tipo di dichiarazione specifica per il piano che va registrata, insieme alla data della verifica.

Assegnate a ogni approvazione un responsabile e una data di revisione, così l'elenco potrà cambiare quando cambia il servizio o il flusso di lavoro. La guida al quadro di governance mostra un modello di registro che sta in una pagina.

Cosa possono incollare i dipendenti in uno strumento di IA?

Non esiste una risposta universale che prescinda dallo strumento, dai dati e dagli obblighi dell'azienda, quindi la politica deve fornirne una adatta al tuo contesto. Inizia suddividendo le informazioni in poche categorie chiare: pubbliche, interne, materiale aziendale o dei clienti riservato e informazioni personali. Poi indica, per ogni strumento approvato, quali categorie sono consentite. Rimuovere un nome non rende di per sé un documento anonimo o autorizzato al caricamento.

Le indicazioni del centro nazionale britannico per la sicurezza informatica sui modelli linguistici di grandi dimensioni sono esplicite sul punto generale: una richiesta è visibile all'organizzazione che fornisce il modello. Raccomandano di non includere informazioni sensibili nelle richieste ai modelli pubblici e di leggere le condizioni d'uso e l'informativa sulla privacy prima di porre domande su argomenti sensibili. La tua policy può tradurre queste indicazioni in istruzioni specifiche per gli account che hai approvato.

Fornite ai dipendenti esempi concreti di materiali consentiti e soggetti a restrizioni per ogni flusso di lavoro approvato. Durante la formazione usate dati fittizi oppure dati a basso rischio esplicitamente approvati. In caso di dubbio, il personale deve fermarsi e contattare il responsabile designato, anziché improvvisare una valutazione sulla riservatezza nel bel mezzo di un'attività.

Cosa dovrebbe avvenire prima di usare un risultato?

Ogni contenuto prodotto con l'assistenza dell'IA richiede una verifica adeguata all'uso previsto, e la politica dovrebbe indicare chi la esegue. Per una bozza di email può bastare una rilettura confrontandola con i dati forniti. Una spiegazione numerica richiede un calcolo indipendente. Un'affermazione su diritto, salute, denaro o sicurezza richiede una persona qualificata che la verifichi. La politica dovrebbe mantenere le approvazioni esistenti, anziché lasciare intendere che l'assistenza dell'IA le renda superflue.

Chiedi ai dipendenti di tenere separata la bozza generata dalla versione approvata per l’uso. Per i lavori importanti, conserva una traccia delle revisioni sufficiente a mostrare quale fonte è stata usata, che cosa è cambiato e chi ha preso la decisione finale. Una risposta scorrevole, o la rassicurazione del modello stesso sulla sua correttezza, non costituisce una verifica indipendente.

Indica esplicitamente quali decisioni restano alle persone. Un esempio comune di clausola: gli strumenti di IA possono aiutare a redigere bozze o riassunti, ma non devono costituire la base di una decisione su assunzioni, retribuzioni, prestazioni, credito o reclami dei clienti senza che una persona designata esamini le informazioni su cui si fonda.

Come si presenta un regolamento completo per un team di dimensioni reali?

Ecco un esempio svolto per un'agenzia di marketing fittizia di 25 persone, Harbour Lane Studio. Il personale usa uno spazio di lavoro aziendale di un assistente conversazionale e le funzioni di IA della propria suite per ufficio. Alcune persone avevano anche account personali. La persona che ha fondato l'agenzia è responsabile della policy e chi dirige i servizi ai clienti approva tutto ciò che coinvolge materiale dei clienti.

Clausola di esempio, strumenti approvati: "Usa solo lo spazio di lavoro aziendale di Harbour Lane su [assistente] e le funzioni di IA della nostra suite per ufficio, accedendo con il tuo account aziendale. Non usare account personali per alcun lavoro aziendale o per i clienti."

Clausola di esempio, informazioni: "Puoi usare informazioni pubbliche e interne negli strumenti approvati. Non inserire documenti dei clienti, prezzi applicati ai clienti o contenuti contrassegnati come riservati, a meno che il responsabile dei servizi ai clienti non abbia approvato quel cliente e quell'attività nel registro. Non inserire mai informazioni personali su candidati, dipendenti o clienti."

Clausola di esempio, revisione: "Prima che un lavoro realizzato con l'assistenza dell'IA venga inviato a un cliente, il responsabile del cliente verifica ogni affermazione fattuale confrontandola con le indicazioni ricevute o con una fonte identificata e rimuove qualsiasi statistica, risultato o dichiarazione di sostegno di cui non sia possibile risalire alla fonte. Il lavoro realizzato con l'assistenza dell'IA è soggetto agli stessi standard di qualsiasi altra bozza."

Clausola di esempio, segnalazione al responsabile: "Se hai dubbi, fermati e chiedi a [nome del fondatore], oppure a [nome del sostituto] in sua assenza. Se pensi che informazioni riservate siano state inserite nello strumento sbagliato, avvisa queste persone il giorno stesso. Non subirai penalizzazioni per aver segnalato tempestivamente il problema."

Harbour Lane ha poi messo alla prova la policy su un'attività reale, un riepilogo di campagna ricavato dal brief di un cliente, prima di chiedere a qualcuno di firmarla. Il test ha evidenziato una lacuna: nessuno sapeva se la guida all'identità del marchio di un cliente fosse da considerare riservata. La persona a capo dell'azienda ha aggiunto una voce al registro, anziché lasciare la decisione a ciascun responsabile cliente.

Come dovrebbe trattare le incertezze e gli errori la policy?

La politica dovrebbe indicare chiaramente come segnalare una divulgazione accidentale, un risultato privo di riscontri o un flusso di lavoro che non rispetta più le condizioni dell'approvazione, e dovrebbe consentire di segnalare senza timori. Il personale deve sapere che cosa interrompere, chi contattare e quali prove conservare per la persona responsabile. Non inventare una procedura generica di gestione degli incidenti in conflitto con quella già esistente per i problemi relativi ai dati o alla sicurezza; rimanda a quella.

Prima di adottare la policy, prova una breve simulazione: qualcuno ha incollato un documento riservato in un account personale non approvato. Il dipendente riesce a trovare il canale per segnalare l'accaduto? Il responsabile sa quali servizio e account sono stati usati e quali opzioni di eliminazione offre il fornitore? Usa le lacune emerse per migliorare la procedura effettiva con il coinvolgimento dei revisori competenti.

Come si fa a garantire che le persone possano effettivamente seguirla?

Una dichiarazione di presa visione firmata dimostra che la persona ha ricevuto la policy, non che sappia applicarla. Le persone imparano a rispettare un limite esercitandosi su un'attività realistica: decidere cosa escludere da un prompt, verificare un'affermazione generata confrontandola con la fonte e spiegare la modifica apportata. È anche ciò che descrivono le domande e risposte della Commissione europea quando parlano di informare il personale sui rischi specifici del lavoro che svolge.

Esamina insieme al team un esempio consentito, uno soggetto a restrizioni e un caso incerto tratti dal vostro lavoro. Chiedi a ogni persona di spiegare la differenza e individuare a chi rivolgersi in caso di dubbi. Poi riprendi la policy e aggiungi gli esempi che hanno reso più chiare le decisioni.

Tosheo.ai è in fase di progettazione per questa fase di esercitazione. Per il lancio è previsto che un responsabile scelga i ruoli e gli strumenti di IA usati dal team, che ogni partecipante svolga una breve verifica iniziale e che le lezioni si concludano con un esercizio pratico in uno strumento reale, valutato secondo una griglia visibile. È previsto che i responsabili vedano i progressi nelle competenze e il completamento, non le cronologie integrali delle chat. Non scrive né fa rispettare le tue regole interne; serve ad aiutare le persone a mettere in pratica i comportamenti richiesti da quelle regole.

Come si mantiene utile la policy?

Rivedi la policy ogni volta che cambiano strumenti, piani, contratti o flussi di lavoro, e a una data prestabilita almeno una volta all'anno. Chiedi ai dipendenti quali decisioni restano difficili da prendere. Una policy che nessuno riesce ad applicare ha bisogno di esempi più chiari o di un percorso migliore per sottoporre i dubbi a un responsabile, non di un'altra casella da spuntare per presa visione.

Mantieni in alto la data della versione e una nota sulle modifiche, così tutti sanno quale regola è in vigore. Quando un fornitore cambia le condizioni o un cliente aggiunge una clausola sull'IA a un contratto, aggiorna la voce nel registro e informa le persone interessate, senza aspettare la revisione annuale.

Quando questa guida non è la soluzione giusta?

Questo approccio è pensato per team di circa 5–200 persone che usano assistenti di IA disponibili sul mercato per le normali attività intellettuali d'ufficio. Da solo non basta se sviluppate o vendete sistemi di IA, prendete decisioni automatizzate sulle persone, operate in un settore fortemente regolamentato come la sanità, la consulenza finanziaria o i servizi legali, oppure avete contratti con i clienti che prevedono clausole specifiche sull'IA. In questi casi, prima di finalizzare la policy, servono una verifica qualificata degli aspetti legali e di protezione dei dati e, possibilmente, una valutazione formale dei rischi.

Non sostituisce nemmeno un programma di sicurezza delle informazioni. Se la tua azienda non ha regole di base per password, sicurezza dei dispositivi o classificazione dei dati, occupati prima di quelle; una politica sull'IA senza queste fondamenta non reggerà.

Fonti e ambito

Manuale operativo NIST per la gestione dei rischi dell'IA: governare, verificato il 16 October 2026 ↗

ICO, Linee guida su IA e protezione dei dati (in fase di revisione), verificate il 16 ottobre 2026 ↗

ICO, strumenti per valutare i rischi legati all'IA e alla protezione dei dati (in fase di revisione), verificato il 16 ottobre 2026 ↗

Commissione europea, alfabetizzazione in materia di IA - Domande e risposte, ultimo aggiornamento 27 July 2026 ↗

NCSC, ChatGPT e i modelli linguistici di grandi dimensioni: qual è il rischio?, 14 marzo 2023 ↗

Microsoft Learn, protezione dei dati aziendali in Microsoft Copilot e Copilot Chat, verificato il 16 October 2026 ↗