Che cos'è una politica di utilizzo accettabile dell'IA?
Una politica di uso accettabile dell’IA, spesso abbreviata in PUA dell’IA, definisce i comportamenti specifici attesi da chiunque utilizzi strumenti di IA per l’azienda. Ha un ambito più ristretto rispetto a una politica completa sull’IA. Non spiega chi approva i fornitori o come viene riesaminato il registro; dice al dipendente, nel momento in cui apre uno strumento, che cosa può e non può fare.
Molte aziende hanno già una politica di utilizzo accettabile delle risorse informatiche che copre posta elettronica, dispositivi e internet. Una politica di utilizzo accettabile dell'IA può essere una nuova sezione di quel documento oppure una pagina separata che vi rimanda. L'importante è che parli di attività ed esempi, non di concetti astratti. "Usa l'IA in modo responsabile" non aiuta nessuno a decidere; "non incollare contratti dei clienti in alcuno strumento di IA" sì.
Questa pagina fornisce informazioni generali, non consulenza legale. Fai esaminare la versione che adotti a un consulente qualificato, soprattutto se tratti dati personali o sei soggetto a obblighi di riservatezza verso i clienti.
Come si decide quali usi dell'IA consentire?
Classificate gli usi in tre livelli in base alle informazioni coinvolte e alle conseguenze di un errore: consentito, consentito previa approvazione e non consentito. Un uso non è rischioso perché coinvolge l'IA, ma per ciò che viene inserito e per l'uso che si fa del risultato. Lo stesso strumento può andare bene per riscrivere un articolo pubblico di un blog ed essere inaccettabile per riassumere un fascicolo disciplinare.
Definisci i livelli partendo da un elenco di attività reali. Chiedi a ogni responsabile di gruppo cinque attività per cui le persone usano già l'IA o vorrebbero usarla. Assegna ciascuna a un livello: così i livelli avranno esempi concreti fin dal primo giorno.
| Fascia | Esempi tipici | Che cosa fa il dipendente |
|---|---|---|
| Consentito | Riformulare una propria bozza, riassumere un articolo pubblico, proporre idee per i titoli, spiegare una formula di un foglio di calcolo | Usa un account approvato e verifica il risultato |
| Consentito previa approvazione | Riassumere il materiale dei clienti, preparare bozze di risposta ai clienti a partire dallo storico delle richieste di assistenza, analizzare i dati interni di vendita | Usa solo se il flusso di lavoro è nel registro, oppure chiedi prima al responsabile |
| Non consentito | Inserire password o chiavi, inserire dati personali di dipendenti o candidati senza un flusso di lavoro approvato, prendere decisioni su assunzioni o retribuzioni con l'IA, generare immagini di persone reali | Non farlo; chiedi se ritieni necessaria un’eccezione |
Come devono essere formulate delle buone clausole sull'uso accettabile?
Le clausole ben formulate indicano lo strumento, l'attività e le informazioni, e specificano cosa fare in alternativa. Di seguito trovi esempi di clausole per un'azienda di software fittizia con 40 dipendenti, Northgate Apps, che dispone di uno spazio di lavoro aziendale su un assistente conversazionale e usa le funzioni di IA della piattaforma che ospita il codice e della suite per l'ufficio.
Ogni clausola è abbastanza breve da essere ricordata e abbastanza specifica da poter essere applicata. Notate che nessuna dice "fare attenzione": ciascuna indica un comportamento.
Amministrazione contabile
"Usa l'IA solo tramite gli account aziendali Northgate elencati nel registro. Non usare account personali, piani gratuiti o estensioni del browser non approvate per alcuna attività di Northgate, nemmeno per domande veloci."
Codice
"Puoi usare l'assistente di programmazione approvato sui repository di Northgate. Non incollare in alcuno strumento di IA dati dei clienti, registri di produzione contenenti dati personali o informazioni segrete come le chiavi API. Il codice generato viene revisionato come qualsiasi altro codice prima dell'integrazione."
Clienti
"Il personale di assistenza può usare l'assistente approvato per preparare bozze di risposta. Prima deve rimuovere i numeri di conto e i dettagli di pagamento. Ogni risposta viene letta e modificata da una persona prima dell'invio."
Affermazioni
"Non pubblicare statistiche, parametri di riferimento o risultati dei clienti prodotti da uno strumento di IA senza aver consultato e verificato la fonte originale."
Decisioni sul personale
"Non usare l'IA per classificare, selezionare o valutare candidati o dipendenti. Puoi usarla per migliorare la formulazione di un annuncio di lavoro che hai scritto."
Reportistica
"Se hai inserito qualcosa che non avresti dovuto inserire, informa il responsabile operativo il giorno stesso. Segnalarlo tempestivamente è considerato il comportamento corretto."
Quali informazioni dovrebbe limitare una politica sull'uso accettabile dell'IA?
Limita le informazioni per categoria anziché elencare ogni tipo di documento e associa ciascuna categoria agli account in cui è consentito usarla. Le categorie abituali sono informazioni pubbliche, interne, riservate o dei clienti, dati personali e segreti come password e chiavi. Per i segreti, la regola è la più semplice da scrivere: mai, in nessuno strumento.
Le indicazioni del centro nazionale britannico per la sicurezza informatica sui modelli linguistici di grandi dimensioni sottolineano il principio generale secondo cui una richiesta è visibile all'organizzazione che fornisce il modello e raccomandano di non includere informazioni sensibili nelle richieste ai modelli pubblici. Uno spazio di lavoro aziendale può avere condizioni contrattuali diverse: annota quindi ciò che prevede il tuo piano. La documentazione di Microsoft, per esempio, afferma che Copilot Chat usato dalle organizzazioni è soggetto alla sua appendice sulla protezione dei dati e che prompt e risposte non vengono usati per addestrare i modelli di base, precisando che i controlli variano in base al piano di abbonamento. La tua policy di utilizzo accettabile può quindi specificare quali categorie sono ammesse in quello spazio di lavoro e quali non sono ammesse in nessun caso.
Per le aziende del Regno Unito che trattano dati personali, le indicazioni dell'ICO sull'IA e sulla protezione dei dati sono il riferimento ufficiale. Al momento, le sue pagine precisano che le indicazioni sono in fase di revisione a seguito della legge sui dati (uso e accesso), quindi controlla la versione attuale prima di fare affidamento su un punto specifico.
Vuoi vedere come si collega a un ruolo?
Scopri la prova per i team prevista ↗Cosa dovrebbero verificare i dipendenti prima di usare un risultato generato dall'IA?
I dipendenti dovrebbero verificare ogni affermazione fattuale, cifra, citazione e riferimento prima di trasmetterli ad altri, ed eliminare tutto ciò che non riescono a ricondurre a una fonte. Il profilo NIST sull'IA generativa descrive la confabulazione come la produzione di contenuti espressi con sicurezza ma errati o falsi; una risposta scorrevole non è una prova. La politica di utilizzo accettabile dovrebbe attribuire la responsabilità dei contenuti a chi li utilizza.
Un esempio svolto: un addetto marketing di Northgate chiede all'assistente un breve paragrafo sui motivi per cui i piccoli team adottano strumenti di gestione dei progetti. La bozza contiene una frase secondo cui la maggior parte delle piccole imprese ha cambiato strumenti nell'ultimo anno, accompagnata dal nome di una fonte. L'addetto marketing non riesce a trovare quel dato nella fonte indicata. In base alla clausola della politica di utilizzo accettabile sulle affermazioni, la frase viene eliminata e il paragrafo riscritto per descrivere i motivi indicati dai clienti nelle richieste di assistenza ricevute da Northgate, senza riportare cifre.
Versione debole: "La maggior parte dei piccoli team ha cambiato strumenti di gestione dei progetti l'anno scorso, secondo una recente indagine di settore." Versione rivista: "I team che ci contattano di solito indicano due motivi per cambiare: passaggi di consegne mancati e troppi strumenti." La seconda è meno eclatante e pienamente sostenibile.
I dipendenti dovrebbero firmare una policy sull'uso accettabile dell'IA?
Una firma o una conferma di presa visione sono ragionevoli, ma dimostrano soltanto che la persona ha ricevuto la policy. Affiancale a una spiegazione di dieci minuti su tre casi tratti dal vostro lavoro, uno per livello, e chiedi a ogni persona di classificarli e spiegare perché. In questo modo ottieni una prova della capacità di applicare le regole, che vale più di una firma se qualcosa va storto.
Le domande e risposte della Commissione europea sull'alfabetizzazione in materia di IA, relative all'articolo 4 dell'EU AI Act, precisano che non sono richiesti certificati e che è sufficiente un registro interno della formazione o di altre iniziative. Se le norme dell'UE si applicano alla tua attività, è buona prassi annotare brevemente chi ha completato la dimostrazione guidata e quando. Richiedi una consulenza per capire se e come il regolamento si applica alla tua impresa.
Come si fa rispettare una politica di uso accettabile dell'IA senza sorvegliare i dipendenti?
La maggior parte delle piccole aziende fa rispettare una politica di utilizzo accettabile dell'IA attraverso account approvati, impostazioni predefinite ragionevoli e una cultura in cui le persone segnalano gli errori, non monitorando ogni prompt. Fornisci un account aziendale approvato, in modo che il percorso più comodo sia anche quello consentito. Attiva le impostazioni di amministrazione offerte dal tuo piano. Crea un clima in cui si possa segnalare un errore senza timore e affronta le violazioni ripetute delle regole come una normale questione di prestazioni lavorative.
Se esamini i registri di utilizzo disponibili in un piano aziendale, dichiaralo nelle regole e verifica le norme applicabili in materia di lavoro e riservatezza. Il monitoraggio nascosto tende a danneggiare la cultura della segnalazione da cui dipende l'efficacia delle regole.
Il progetto di Tosheo.ai segue lo stesso principio: i responsabili vedono i progressi nelle competenze e il completamento dei percorsi, mai le conversazioni integrali dei partecipanti.
Quando una politica di utilizzo accettabile non basta?
Una politica di utilizzo accettabile disciplina il comportamento dei dipendenti; non stabilisce quali fornitori siano sicuri, se un flusso di lavoro richieda una valutazione d’impatto sulla protezione dei dati o come integrare l’IA in un prodotto che vendete. Se la vostra azienda sviluppa funzionalità di IA, automatizza decisioni sulle persone o opera in una professione regolamentata, servono anche un sistema di governance e una verifica specialistica.
Non è nemmeno formazione. Una regola come "verifica ogni affermazione" è facile da condividere e difficile da applicare bene quando i tempi sono stretti. Le persone hanno bisogno di esercitarsi su attività realistiche per acquisire questa abitudine: è a questo che servono le esercitazioni specifiche per ruolo.
Fonti e ambito
NCSC, ChatGPT e i modelli linguistici di grandi dimensioni: qual è il rischio?, 14 marzo 2023 ↗
ICO, Linee guida su IA e protezione dei dati (in fase di revisione), verificate il 16 ottobre 2026 ↗
NIST, Profilo dell'IA generativa (NIST IA 600-1), July 2024 ↗