In sintesi
- Una policy sull'IA efficace sta in due pagine e ha regole verificabili.
- Il documento comprende ambito, strumenti ammessi, dati vietati, uso corretto, responsabilità, formazione e incidenti.
- Il registro dei sistemi in uso è la base per la futura classificazione AI Act.
- Offrire alternative approvate evita l'uso nascosto degli strumenti.
L'intelligenza artificiale entra in azienda dal basso: un account personale, un riassunto veloce, un testo incollato in una finestra di chat. Una policy uso intelligenza artificiale serve a trasformare questo uso spontaneo in un uso governato, senza fermare nessuno. Il documento che propongo sta in due pagine.
Perché serve una policy
Tre ragioni, tutte pratiche. L'articolo 4 dell'AI Act chiede misure per sostenere l'alfabetizzazione del personale, come ricorda la Commissione europea; una policy è il primo documento che dimostra di aver impostato quelle misure. Poi i dati: ciò che si incolla in uno strumento esterno esce dal perimetro aziendale. Infine le responsabilità: chi risponde di un errore generato dall'IA?
Lo scheletro del documento
I modelli più usabili che conosco hanno quasi sempre le stesse sezioni.
| Sezione | Contenuto minimo |
|---|---|
| Scopo e ambito | A chi si applica (dipendenti, collaboratori) e a quali strumenti |
| Strumenti ammessi | Elenco degli strumenti approvati e di quelli vietati |
| Dati | Cosa non si inserisce mai: dati personali, segreti industriali, credenziali |
| Uso corretto | Verifica umana dell'output, citazione delle fonti, divieto di decisioni automatiche su persone |
| Responsabilità | Chi approva nuovi strumenti, chi risponde delle violazioni |
| Formazione | Percorso obbligatorio e aggiornamenti |
| Incidenti | Come segnalare un uso improprio o una fuga di dati |
Le regole essenziali
Le regole che non mancano mai nelle mie policy sono poche e verificabili.
- Si usano solo gli strumenti approvati dall'azienda, con account aziendali.
- Dati personali, informazioni riservate e codice proprietario non si inseriscono in strumenti non autorizzati.
- Ogni output usato all'esterno viene verificato da una persona, che ne risponde.
- Nessuna decisione su persone (assunzioni, valutazioni, accessi al credito) si affida a un sistema di IA senza supervisione umana e senza verifica degli obblighi di legge.
- Chi scopre un uso improprio lo segnala subito, senza timore di sanzioni per la segnalazione in sé.
Policy uso intelligenza artificiale: casi d'uso tipici
Una regola generale è più facile da applicare se accompagnata da esempi. Nella policy aggiungo una tabella con i casi che le persone incontrano ogni giorno.
| Caso d'uso | Cosa è ammesso | Cosa è vietato |
|---|---|---|
| Riassumere un documento interno | Con strumento approvato, dopo aver tolto dati personali | Incollare il documento in uno strumento non approvato |
| Scrivere un testo di marketing | Bozza generata e rivista da una persona | Pubblicare senza revisione né verifica dei fatti |
| Generare o rivedere codice | Con repository privati e revisione di un collega | Inserire credenziali o codice riservato in strumenti esterni |
| Analizzare dati di vendita | Dati aggregati o anonimizzati | Caricare anagrafiche di clienti con dati personali |
| Valutare candidati o dipendenti | Solo come supporto, con revisione umana e verifica degli obblighi di legge | Decisioni basate solo sull'output del sistema |
| Preparare verbali di riunione | Con consenso dei partecipanti e strumento approvato | Registrare senza informare |
L'IA generativa produce testi plausibili anche quando sono sbagliati. La regola che insegno è la verifica proporzionale: più l'output ha conseguenze (un contratto, un numero in un bilancio, un messaggio a un cliente), più controlli servono prima di usarlo.
Il registro dei sistemi
La policy regge se esiste un registro dei sistemi in uso: strumento, fornitore, scopo, categorie di dati trattati, responsabile interno. Prima di approvare uno strumento chiedi dove vengono trattati i dati, se servono ad addestrare i modelli e come si cancellano a fine rapporto. Per l'AI Act, quando entreranno in applicazione gli obblighi sui sistemi ad alto rischio dell'allegato III, oggi fissati al 2 dicembre 2027 secondo il riepilogo di Baldi & Partners, quel registro sarà la base per la classificazione.
Come farla rispettare
Una policy che resta nella cartella condivisa non cambia nulla. Prevedo sempre un lancio con una sessione di mezz'ora, una pagina di domande frequenti e un canale dove chiedere se uno strumento è ammesso. Se dire «no» è l'unica risposta, le persone usano comunque lo strumento di nascosto: meglio offrire un'alternativa approvata. La policy si rivede ogni sei mesi, perché gli strumenti cambiano in fretta.
Cosa fare adesso
Parti dal registro: chiedi ai responsabili di funzione quali strumenti usano davvero. Poi scrivi le due pagine e fissa la formazione, come descritto nell'articolo sulla formazione obbligatoria IA. Verifica il tuo livello con l'autovalutazione AI Act e scarica la checklist AI Act. Per un supporto sul metodo guarda la pagina consulenza AI Act e la voce deployer del glossario.
Domande frequenti
La policy sull'IA è obbligatoria?
Nessuna norma impone un documento con questo nome, ma l'AI Act chiede misure di alfabetizzazione e una policy aiuta a dimostrarle.
Cosa non va mai inserito in uno strumento di IA?
Dati personali, informazioni riservate, segreti industriali e credenziali, salvo strumenti approvati con garanzie adeguate.
Chi risponde di un errore dell'IA?
La policy deve indicare che l'output è verificato e usato sotto la responsabilità della persona che lo impiega.
Serve un registro dei sistemi?
È molto utile: elenca strumento, fornitore, scopo, dati e responsabile, e prepara la classificazione futura.