Policy AI aziendale: cosa scriverci, e cosa lasciarne fuori

Una politica interna d'uso dell'intelligenza artificiale che le persone leggono e applicano: poche pagine, regole verificabili, e una data in cui si riguarda.

Guida operativa6 minutiAggiornata il 25 settembre 2026Grace & Partners

La maggior parte delle policy sull'AI che girano oggi ha lo stesso difetto: sono scritte per essere mostrate, non per essere seguite. Dodici pagine, un glossario, tre richiami ai principi etici, e nessuna riga che dica a chi deve consegnare un preventivo entro sera cosa può fare e cosa no.

Una policy utile risponde a tre domande, e sta in tre pagine: cosa si può usare, con quali dati, e chi decide quando il caso non è previsto. Tutto il resto è contorno — utile, ma non è quello che cambia i comportamenti.

C'è anche una ragione pratica per tenerla corta: una policy va riguardata quando cambiano gli strumenti, cioè spesso. Dodici pagine non le riguarda nessuno.

01
Scrivila dopo il censimento, non prima
Una policy scritta sul vuoto vieta cose che nessuno fa e tace su quelle che tutti fanno. Prima l'elenco degli strumenti in uso — il censimento — poi le regole, costruite su quello che c'è.
Cosa resta · Il riferimento all'elenco degli strumenti su cui la policy è stata scritta.
02
Dividi per tipo di dato, non per tipo di strumento
Gli strumenti cambiano ogni sei mesi, le categorie di dati no. «Nessun dato identificativo di clienti in strumenti non approvati» resta valido quando il software cambia nome; «vietato usare quel prodotto» invecchia al primo concorrente.
Cosa resta · La tabella delle categorie di dati con, per ognuna, cosa è ammesso.
03
Metti per iscritto cosa succede quando il caso non è previsto
È la riga che salva la policy dall'irrilevanza. Ogni settimana si presenta un caso che non rientra: senza un punto a cui chiedere, la persona decide da sola e la policy diventa carta.
Cosa resta · Il nome del riferimento interno, e come lo si raggiunge.
04
Dì cosa resta in capo alla persona
Il punto che manca quasi sempre: chi firma, invia o pubblica un risultato prodotto con uno strumento di AI ne risponde come di qualunque altro suo lavoro. Non è una clausola difensiva — è la regola che rende inutile discutere su cosa «ha detto il sistema».
05
Fai in modo che sia letta, e tieni la prova
Una policy pubblicata su una cartella condivisa non è comunicata. Serve un passaggio esplicito e una traccia di chi l'ha ricevuta: non per sanzionare, ma perché senza quella traccia, sei mesi dopo, non è dimostrabile nulla.
Cosa resta · L'elenco di chi l'ha ricevuta, con la data e la versione.
06
Datala, versionala, e fissa quando la riguardi
Versione, data di approvazione, chi l'ha approvata, prossima revisione. Quattro righe in prima pagina che distinguono un documento vivo da uno che ha smesso di descrivere l'azienda.
Cosa resta · Il documento con versione e data della prossima revisione.

Le domande che arrivano

Siamo in ritardo se non ne abbiamo ancora una?: Una policy interna non è di per sé un adempimento del regolamento: è il modo ordinario di dare istruzioni a chi lavora, e su questa materia serve perché le istruzioni oggi mancano. Il ritardo vero, semmai, è non sapere quali strumenti sono in uso — la policy viene dopo.
Possiamo partire da un modello?: Sì, purché il modello sia il punto di partenza e non di arrivo. Le due sezioni che nessun modello può scrivere al posto vostro sono l'elenco degli strumenti ammessi e il nome di chi decide sui casi nuovi: sono anche le uniche due che cambiano i comportamenti.
Ogni quanto va rivista?: Alla scadenza che vi siete dati, e comunque ogni volta che entra uno strumento nuovo o ne cambia l'uso. Una revisione senza occasione è un rito; un'occasione senza revisione è il modo in cui le policy invecchiano.

Cosa dice la norma

Questa guida descrive un metodo di lavoro: non stabilisce quali obblighi riguardino la vostra azienda, che dipendono da cosa usate, con quali dati e per quali finalità. I riferimenti normativi stanno qui, riportati con le fonti ufficiali:

Con [H]AIdafare

Le bozze dei documenti sono composte con i dati del registro secondo modelli fissi: dove un dato manca, il testo lo dichiara invece di riempirlo.

Da leggere dopo