Un modello di politica sull’IA per i dipendenti

Come usare questo modello?

Copia le clausole qui sotto nel tuo documento, sostituisci tutti i campi tra parentesi quadre e discuti ogni clausola con la persona responsabile del relativo flusso di lavoro. Non adottare il documento come policy aziendale senza verificare gli strumenti, le informazioni e gli obblighi effettivamente coinvolti. Il testo evita deliberatamente di inventare un'autorizzazione generale a caricare dati aziendali.

Usa un'attività familiare per verificare se un dipendente sa applicare il documento definitivo. Per esempio, sa distinguere quale account è autorizzato per preparare un'email a partire da informazioni pubbliche e a chi chiedere prima di condividere una relazione su un cliente? Se la risposta non è chiara, migliora la policy prima di chiedere al personale di confermare di averne preso visione.

Questo modello fornisce informazioni generali, non consulenza legale. Le norme sulla protezione dei dati, sul lavoro e sui singoli settori variano da paese a paese: fai esaminare la versione che adotti a un consulente qualificato.

Cosa includere nelle clausole su finalità, ambito di applicazione e responsabilità?

Le prime tre clausole spiegano perché esiste la politica, a chi si applica e chi decide in caso di dubbi. Mantienile brevi: servono a orientare, non a produrre effetti giuridici.

Clausola 1, finalità: "[Azienda] usa strumenti di IA per aiutare il personale a redigere testi, sintetizzare, fare ricerche e analizzare. Questa policy spiega quali strumenti sono approvati, quali informazioni si possono usare con essi, come vengono verificati i risultati e a chi rivolgersi. Affianca, senza sostituirle, le nostre policy in materia di [sicurezza delle informazioni / protezione dei dati / riservatezza]."

Clausola 2, ambito di applicazione: "Questa policy si applica a tutti i dipendenti, collaboratori esterni e [liberi professionisti / tirocinanti] che lavorano per [Azienda], su qualsiasi dispositivo, comprese le funzionalità di IA integrate nei software che già utilizziamo, come [suite per ufficio, strumento di progettazione, CRM]."

Clausola 3, responsabilità: "[Nome, ruolo] è responsabile di questa policy e del registro degli strumenti approvati. [Nome del sostituto] ne fa le veci in caso di assenza. Le domande vanno inviate a [email o canale]. [Nome, ruolo] approva qualsiasi flusso di lavoro che coinvolga dati personali."

Come si compilano le clausole sugli strumenti e sulle informazioni?

Le clausole 4 e 5 riguardano la maggior parte dei rischi, quindi richiedono le risposte più specifiche. La clausola 4 identifica gli account precisi; la clausola 5 indica quali categorie di informazioni possono essere inserite in ciascuno di essi.

Clausola 4, strumenti approvati: "Usa solo gli strumenti elencati nel registro degli strumenti approvati, accedendo con il tuo account di [Azienda]. Gli account personali, i piani gratuiti e le estensioni del browser non presenti nel registro non devono essere usati per il lavoro di [Azienda] o dei clienti. Per richiedere un nuovo strumento, invia un'email a [responsabile] indicando lo strumento, il piano, l'attività e le informazioni che verrebbero utilizzate."

Clausola 5, informazioni: "Puoi usare informazioni pubbliche e [informazioni interne] negli strumenti approvati. Non devi inserire [materiale riservato dei clienti / prezzi / dati finanziari non pubblicati / codice sorgente / credenziali] a meno che il registro non autorizzi quello strumento per quell'attività. Non inserire dati personali di dipendenti, candidati o clienti a meno che [nome] non abbia approvato lo specifico flusso di lavoro. Eliminare i nomi, da solo, non rende sicura la condivisione delle informazioni."

Ogni approvazione nel registro deve indicare il servizio e il piano, l'attività consentita, le informazioni ammesse, il revisore e una data di revisione. Chiedete separatamente ai fornitori informazioni sull'uso dei vostri dati per l'addestramento, sulla conservazione, sull'accesso degli amministratori e sulla cancellazione, e registrate ciò che prevedono le condizioni attuali insieme alla data della verifica. Dichiarare che i dati non vengono usati per l'addestramento non significa che non vengano conservati.

Cosa dovrebbero prevedere le clausole sulla revisione dei risultati e sulle decisioni che riguardano le persone?

La clausola 6 attribuisce a chi usa un risultato la responsabilità di verificarlo; la clausola 7 mantiene in capo alle persone le decisioni che riguardano altre persone. Entrambe devono essere coerenti con le approvazioni già in vigore, non sostituirle.

Clausola 6, verifica dei risultati: "Sei responsabile di qualsiasi lavoro realizzato con l'ausilio dell'IA che utilizzi o invii. Prima di utilizzarlo, verifica fatti, cifre, citazioni e riferimenti confrontandoli con il materiale di origine o con una fonte identificata. Elimina qualsiasi statistica, risultato, dichiarazione di sostegno o riferimento di cui non riesci a risalire alla fonte. Il lavoro che normalmente viene verificato da [ufficio legale / ufficio finanziario / un responsabile] continua a essere sottoposto alla loro verifica."

Clausola 7, decisioni sulle persone: "Gli strumenti di IA non devono essere usati come base per decisioni relative ad assunzioni, retribuzioni, prestazioni, provvedimenti disciplinari, credito o reclami dei clienti. Possono aiutare a redigere o organizzare il materiale, ma una persona identificata deve verificare le informazioni alla base e prendere la decisione."

Se il tuo team gestisce attività ad alto volume, come le risposte di assistenza, aggiungi una frase sui controlli a campione: chi controlla un campione delle risposte preparate con l’IA, con quale frequenza e cosa succede quando emergono errori ricorrenti.

Come funzionano le clausole sugli obblighi di comunicazione, segnalazione e revisione?

Le ultime tre clausole spiegano quando dichiarare l'uso dell'IA, cosa fare quando qualcosa va storto e come mantenere aggiornata la politica.

Clausola 8, trasparenza: "Informa chi verifica il tuo lavoro quando una bozza è stata prodotta in larga parte con l'IA. Rispetta i contratti con i clienti e le eventuali regole delle piattaforme o delle pubblicazioni sui contenuti generati dall'IA. [Facoltativo: le immagini o i testi destinati ai clienti e generati dall'IA riportano l'indicazione [dicitura].]"

Clausola 9, segnalazioni: "Se informazioni soggette a restrizioni potrebbero essere state inserite in uno strumento non approvato, oppure un risultato prodotto con l'ausilio dell'IA ha causato o rischiato di causare un problema, informa [responsabile] il giorno stesso, indicando lo strumento, l'account e ciò che è stato condiviso. Segui la [procedura esistente per la gestione degli incidenti] ove applicabile. Una segnalazione tempestiva non sarà considerata una violazione disciplinare."

Clausola 10, revisione: "[Responsabile] riesamina questa policy e il registro almeno ogni [sei / dodici] mesi e ogni volta che cambia uno strumento, un piano, un contratto o un flusso di lavoro. Versione [numero], approvata da [nome] il [data]."

Quali segnaposto richiedono decisioni concrete?

Ogni campo tra parentesi rappresenta una decisione ancora da prendere, non un'opzione predefinita sicura: segnala quindi gli elementi sconosciuti per la revisione, invece di completarli con una regola che sembri plausibile. L'azienda deve indicare il responsabile della politica, i servizi e i piani approvati, le attività consentite, le informazioni soggette a restrizioni, le responsabilità di verifica, il canale di segnalazione e la data di revisione.

Registra perché uno strumento è approvato per una determinata attività. Le impostazioni per l'addestramento dei modelli, la conservazione dei dati, i controlli di accesso e l'autorizzazione contrattuale sono aspetti distinti. Uno strumento può avere un uso accettabile e un altro che richiede un'approvazione aggiuntiva. Mantieni visibile questa distinzione nel registro.

Un caso svolto: uno studio contabile fittizio di 18 persone ha iniziato dalla clausola 5 e ha scoperto di non saper rispondere, perché le lettere d’incarico dei clienti non dicevano nulla sull’IA. Anziché tirare a indovinare, il titolare ha indicato come non consentito l’uso del materiale dei clienti in attesa di verifica, ha approvato subito l’uso di materiale pubblico e interno e ha fissato un colloquio con il proprio consulente per aggiornare le lettere d’incarico.

Che cosa dovrebbe controllare chi effettua la revisione?

Chi effettua la revisione dovrebbe verificare che la procedura sia coerente con i processi esistenti in materia di sicurezza delle informazioni, privacy, lavoro e pubblicazione e che non li sostituisca implicitamente. Un breve documento sull'IA non dovrebbe allentare una regola che già disciplina i dati riservati o le decisioni con conseguenze rilevanti. Le persone adatte alla revisione dipendono dall'organizzazione, dal flusso di lavoro e dalla giurisdizione.

Il materiale sulla funzione di governo del manuale operativo NIST per la gestione dei rischi dell'IA tratta ruoli, responsabilità, formazione e rischi legati a terzi; questo modello è il nostro adattamento pratico per piccoli gruppi di lavoro. Le indicazioni dell'ICO su IA e protezione dei dati sono una risorsa ufficiale del Regno Unito per le questioni relative ai dati personali. Le relative pagine segnalano attualmente una revisione a seguito della legge sui dati, sul loro uso e accesso: verifica quindi la versione disponibile online. Il modello non è un certificato di conformità né una dichiarazione che la tua azienda abbia attuato i controlli.

Come si presenta la politica al team?

Presenta la regola con esempi tratti dal vostro lavoro, non assegnando un testo da leggere. Esamina un esempio consentito, uno soggetto a restrizioni e un caso dubbio. Chiedi alle persone di spiegare la differenza e di individuare a chi rivolgersi in caso di dubbi. Lascia loro il tempo di fare domande sugli strumenti e sugli account che usano davvero. Una semplice conferma di presa visione non dimostra che una persona sappia rispettare un limite nell'uso delle informazioni.

Torna alle regole dopo la prima sessione pratica. Aggiungi gli esempi che hanno chiarito una decisione e correggi le istruzioni che non corrispondevano al flusso di lavoro. Mantieni un numero di versione e un responsabile, così il personale sa dove trovare le regole aggiornate.

Se vuoi esercitarti in modo strutturato, Tosheo.ai è in fase di progettazione per offrire a ogni ruolo lezioni brevi che terminano con un’attività pratica in un vero strumento di IA, valutata secondo una griglia di criteri visibile. Non scrive né approva la tua policy.

Quando un modello generico è il punto di partenza sbagliato?

Un modello generico non è il punto di partenza adatto se integri l'IA in un prodotto che vendi, tratti categorie particolari di dati personali, eserciti una professione regolamentata o hai contratti che già stabiliscono condizioni sull'IA. Parti da questi obblighi con un consulente qualificato e usa questa struttura solo come lista degli argomenti da verificare.

È una scelta sbagliata anche se nessuno se ne assumerà la responsabilità. Un modello compilato una volta e mai più rivisto diventa un elenco di regole su strumenti che il team non usa più. Nomina il responsabile prima di compilare la clausola 4.

Fonti e ambito

Manuale operativo NIST per la gestione dei rischi dell'IA: governare, verificato il 16 October 2026 ↗

ICO, Linee guida su IA e protezione dei dati (in fase di revisione), verificate il 16 ottobre 2026 ↗

ICO, strumenti per valutare i rischi legati all'IA e alla protezione dei dati (in fase di revisione), verificato il 16 ottobre 2026 ↗