Perché servono regole specifiche per gli strumenti di IA generativa nelle politiche aziendali?
Gli strumenti generativi producono nuovi testi, immagini, audio o codice, anziché limitarsi a recuperare o ordinare informazioni esistenti, quindi il rischio principale si sposta da ciò che viene inserito a ciò che viene prodotto. Uno strumento di ricerca restituisce pagine che potete esaminare; uno strumento generativo restituisce una bozza dal tono sicuro che può contenere fatti inventati, formulazioni riprese da altri o un'impostazione distorta. Una politica deve coprire entrambe le direzioni.
Il profilo NIST sull'IA generativa elenca dodici rischi specifici dell'IA generativa o da essa aggravati. Per una normale piccola impresa, cinque sono particolarmente rilevanti in una policy: allucinazioni (contenuti falsi presentati con sicurezza), riservatezza dei dati (fughe di dati o divulgazione non autorizzata), proprietà intellettuale (riproduzione di contenuti protetti o esposizione di segreti commerciali), integrità delle informazioni (contenuti che non distinguono i fatti dalle opinioni o non riconoscono l'incertezza) e ciò che NIST definisce configurazione dell'interazione tra esseri umani e IA, che comprende il pregiudizio da automazione e l'eccessivo affidamento.
Puoi inserire queste regole nello stesso documento delle regole di utilizzo accettabile. Molte piccole aziende lo fanno. Questa pagina si concentra sulle clausole specifiche relative ai contenuti. Fornisce informazioni generali, non consulenza legale.
| Il rischio nel profilo NIST | Come si presenta nel lavoro quotidiano | Regola della policy che disciplina il caso |
|---|---|---|
| Confabulazione | Una statistica inventata o un riferimento a una pagina che non riporta quanto affermato | Prima dell'uso, verifica ogni affermazione fattuale consultando direttamente una fonte |
| Riservatezza dei dati | L'elenco dei contatti di un cliente incollato per preparare una stampa unione | Categorie di informazioni associate agli account approvati |
| Proprietà intellettuale | Un’immagine nello stile di un artista riconoscibile o codice copiato da un progetto soggetto a licenza | Regole sulle istruzioni di stile, sul riutilizzo e sulle verifiche delle licenze |
| Integrità delle informazioni | Una sintesi che presenta una supposizione come un fatto | Richiedi che l'incertezza resti visibile nelle bozze revisionate |
| Dipendenza eccessiva | Accettare un'analisi generata senza leggere i dati | Indica quali decisioni restano alle persone |
Che cosa dovrebbe prevedere una politica aziendale sull'uso di ChatGPT da parte dei dipendenti?
Una policy su ChatGPT per i dipendenti dovrebbe indicare quale account usare, cosa non inserire mai in un'istruzione, come controllare la risposta e a chi rivolgersi; le stesse regole dovrebbero valere per Claude, Gemini, Copilot e assistenti simili. Citare un prodotto nel titolo va bene per chiarezza, ma scrivi le regole in modo da non doverle riscrivere quando il gruppo aggiunge un altro strumento.
La distinzione più importante è tra account personali e aziendali. I piani per privati e quelli aziendali dello stesso assistente possono avere condizioni diverse per l'addestramento, la conservazione dei dati e il controllo da parte dell'amministratore. La documentazione Microsoft, per esempio, afferma che Copilot Chat usato dalle organizzazioni è coperto dal relativo addendum sulla protezione dei dati e che le istruzioni e le risposte non vengono usate per addestrare i modelli di base, con controlli che variano in base al piano. Registra la dichiarazione equivalente per ogni strumento che approvi, insieme alla data della verifica, anziché darla per scontata.
Clausola di esempio: "Usa [assistente] solo tramite il tuo account aziendale di [Azienda]. Non usare un account personale per il lavoro aziendale, nemmeno per una domanda veloce, perché gli account personali non sono coperti dal nostro accordo con il fornitore."
Cosa non dovrebbe mai inserire il personale in un'istruzione per l'IA generativa?
Il personale non deve mai inserire password, chiavi o altri segreti in un prompt e deve inserire informazioni riservate, relative ai clienti o personali solo quando una procedura approvata lo consente. Le indicazioni del Centro nazionale per la sicurezza informatica del Regno Unito ricordano che le richieste sono visibili all'organizzazione che fornisce il modello e raccomandano di non inviare richieste che potrebbero causare problemi se rese pubbliche.
I file caricati fanno parte delle istruzioni fornite all'IA. Un foglio di calcolo allegato per chiedere un grafico include tutte le sue colonne, anche quelle non necessarie per la richiesta. Una clausola della policy che dice "rimuovi le colonne non necessarie prima di caricare il file" è facile da seguire ed evita un incidente comune.
Clausola di esempio: "Prima di incollare o caricare contenuti, rimuovi tutto ciò che non serve per l'attività. Non includere mai informazioni segrete. Non includere informazioni sui clienti o informazioni personali, a meno che il registro non autorizzi quello strumento per quell'attività. Se hai dubbi, chiedi prima a [responsabile]."
Come dovrebbero essere verificati i contenuti generati prima dell'uso?
I contenuti generati vanno controllati in misura proporzionata alla loro destinazione: per una raccolta privata di idee basta una rapida occhiata, per un elaborato destinato a un cliente occorre risalire alla fonte di ogni affermazione, e tutto ciò che riguarda aspetti legali, finanziari o di sicurezza richiede un revisore qualificato. La politica deve indicare chi controlla ciascun tipo di risultato, di solito la persona che lo invierà o pubblicherà.
Un esempio svolto tratto da Fenwick Talent, una società fittizia di consulenza per la selezione del personale con 15 persone. Un consulente inserisce il prompt: "Scrivi un aggiornamento di mercato di 150 parole per i direttori finanziari sulle assunzioni di addetti al controllo di gestione a Leeds." La bozza afferma che la domanda è aumentata nettamente quest’anno e che gli stipendi sono cresciuti di una percentuale specifica, citando per nome un’indagine retributiva. Il consulente non riesce a trovare né l’indagine né il dato.
Risultato debole lasciato invariato: "La domanda di esperti di controllo di gestione a Leeds è aumentata nettamente quest'anno, con stipendi in crescita del [dato] secondo [indagine]." Versione rivista: "Per le posizioni che abbiamo coperto in questo trimestre, i direttori finanziari hanno chiesto soprattutto informazioni sui periodi di preavviso e sulle condizioni del lavoro ibrido. Stiamo riscontrando più controfferte nella fase di offerta." La versione rivista usa solo ciò che Fenwick ha osservato direttamente. La clausola della policy alla base della modifica: "Elimina qualsiasi statistica, indagine o risultato che non puoi consultare e verificare."
Vuoi vedere come si collega a un ruolo?
Scopri la prova per i team prevista ↗Quando i dipendenti dovrebbero dichiarare che un contenuto è stato generato dall'IA?
Come minimo, i dipendenti dovrebbero informare chi revisiona il loro lavoro quando una bozza è stata generata in larga parte dall'IA e rispettare qualsiasi contratto con il cliente, regola della piattaforma o norma di pubblicazione che imponga di dichiararlo. Oltre a questo, la dichiarazione d'uso è una scelta aziendale che dipende dal pubblico e dal contesto.
Gli esempi pubblici variano. Le linee guida provvisorie per il personale della città di Boston, pubblicate a May 2023, chiedono ai dipendenti di dichiarare l'uso dell'IA e di indicare il modello utilizzato, e suggeriscono una dicitura come "Questa descrizione è stata generata da ChatGPT 3.5 e modificata da", seguita dal nome del dipendente. È una soluzione adatta a un ente pubblico. Una piccola agenzia può decidere che, per i normali testi, sia sufficiente informare internamente chi li revisiona, indicando invece all'esterno le immagini generate o le voci sintetiche.
Clausola di esempio: "Informa chi revisiona il testo quando una parte sostanziale di una bozza è stata prodotta dall'IA. Etichetta le immagini, i contenuti audio o i video destinati ai clienti e generati dall'IA con la dicitura [testo]. Segui le eventuali istruzioni del cliente sull'uso dell'IA, che hanno la precedenza su questa clausola."
Come dovrebbe una politica sull'IA generativa trattare il diritto d'autore e le immagini?
La politica dovrebbe vietare al personale di riprodurre deliberatamente opere protette, richiedere la verifica delle licenze prima di riutilizzare codice o risorse generati e vietare immagini o voci generate di persone reali senza il loro consenso. Il profilo del NIST include tra i rischi dell'IA generativa la maggiore facilità di riprodurre contenuti protetti da diritto d'autore, marchi registrati o licenze e di divulgare segreti commerciali.
La normativa sul diritto d'autore applicata ai materiali generati dall'IA varia da paese a paese ed è ancora in evoluzione, quindi la policy non dovrebbe promettere che l'azienda possieda o possa registrare tutti i contenuti generati. Dovrebbe spiegare come l'azienda gestisce l'incertezza: per esempio, le immagini generate si possono usare liberamente per bozze interne, ma qualsiasi contenuto destinato alla campagna di un cliente va prima verificato rispetto alle condizioni di licenza dello strumento e alle istruzioni del cliente.
Clausole di esempio: "Non chiedere contenuti nello stile di un artista vivente o di un marchio specifico, né chiedere a uno strumento di riprodurre testi protetti dal diritto d'autore. Non creare immagini, contenuti audio o video di una persona reale senza il suo consenso scritto. Verifica le condizioni d'uso commerciale dello strumento prima di inserire i materiali generati nei lavori per i clienti." Chiedi una consulenza sulle norme applicabili nella tua giurisdizione.
Quali decisioni dovrebbero restare a una persona?
Le decisioni che hanno un effetto significativo su una persona, come quelle relative ad assunzioni, retribuzione, prestazioni, credito, reclami e qualsiasi questione riguardante salute o sicurezza, devono restare di competenza di una persona designata che esamini le informazioni su cui si basano. Gli strumenti generativi possono aiutare a redigere testi, strutturare informazioni o riassumerle a supporto di queste decisioni; non devono prenderle.
Il profilo del NIST descrive il pregiudizio di automazione e l'eccessivo affidamento come parte del rischio legato alla configurazione dell'interazione tra persone e IA. Una policy li contrasta con una semplice verifica: chi prende una decisione deve saperla spiegare senza fare riferimento a ciò che ha detto lo strumento. Quando sono coinvolti dati personali, le linee guida dell'ICO su IA e protezione dei dati sono il riferimento ufficiale nel Regno Unito; le relative pagine indicano attualmente che le linee guida sono in revisione a seguito della legge sui dati (uso e accesso).
Quando una politica sull’IA generativa è lo strumento sbagliato?
Una policy sull'IA generativa rivolta al personale non basta se integri funzionalità generative in un prodotto, perfezioni modelli sui dati dei clienti o utilizzi un chatbot che dialoga con il pubblico per tuo conto. Queste attività richiedono verifiche di prodotto, sicurezza e aspetti legali che vanno ben oltre le regole per i dipendenti.
Inoltre, non può sostituire la pratica. Sapere che una bozza potrebbe contenere un dato inventato è diverso dal riuscire a individuarlo quando si ha una scadenza da rispettare. Tosheo.ai è in fase di sviluppo proprio per questa fase pratica: i percorsi previsti per ciascun ruolo concludono ogni lezione con un compito pratico da svolgere in uno strumento di IA reale, valutato secondo una griglia con criteri visibili. Non redige la tua policy né ne impone il rispetto.
Fonti e ambito
NIST, Profilo dell'IA generativa (NIST IA 600-1), July 2024 ↗
NCSC, ChatGPT e i modelli linguistici di grandi dimensioni: qual è il rischio?, 14 marzo 2023 ↗
Comune di Boston, Linee guida provvisorie per l'uso dell'IA generativa, versione 1.1, 18 May 2023 ↗
ICO, Linee guida su IA e protezione dei dati (in fase di revisione), verificate il 16 ottobre 2026 ↗