Modello di policy aziendale per l’uso dell’AI (Word)

In breve: una policy per l’uso dell’AI dice al personale quali strumenti di AI può usare, quali informazioni non devono mai entrarvi, quando una persona deve controllare l’output e a chi rivolgersi quando qualcosa va storto. Il modello gratuito in Word qui sopra offre tutto questo alle aziende italiane del mid-market, allineato ad AI Act, GDPR e legge 132/2025, pronto da adattare.

La lacuna più comune che vedo nelle aziende del mid-market non è la mancanza di AI. È che il personale la usa già, spesso con account personali, senza regole sui dati dell’azienda o dei clienti. Una policy risolve il problema in fretta, ed è la prima cosa che metto in atto come Fractional Chief AI Officer.

Ho scritto questo modello per aziende italiane di circa 50–500 persone, adattando al diritto europeo e italiano il modello che avevo scritto per le aziende australiane. È abbastanza lungo da coprire ciò che conta e abbastanza breve da essere letto.

Questa è un’informazione di carattere generale, non una consulenza legale. Adattate il modello con i vostri consulenti legali, il DPO e il consulente del lavoro prima di adottarlo.

Perché serve una policy sull’AI

Nessuna norma impone un documento chiamato “policy sull’AI”. Ma diverse regole già in vigore presuppongono che l’azienda sappia dove usa l’AI e abbia dato istruzioni chiare al personale.

L’AI Act vieta dal 2 febbraio 2025 alcune pratiche, come i sistemi che inferiscono le emozioni delle persone sul luogo di lavoro, e chiede a chi usa sistemi di AI di adottare misure per sostenere l’alfabetizzazione in materia di AI del personale. Dopo il regolamento (UE) 2026/1744 l’obbligo non impone di garantire un livello specifico di competenza, ma la Commissione ricorda che le autorità nazionali vigilano dal 2 agosto 2026 e suggerisce di conservare traccia della formazione. Dalla stessa data valgono gli obblighi di trasparenza: i deepfake vanno dichiarati.

La legge 132/2025 chiede al datore di lavoro di informare i lavoratori dell’uso dell’AI, nei casi e con le modalità dell’articolo 1-bis del d.lgs. 152/1997. E il GDPR si applica a ogni uso dell’AI che coinvolge dati personali: il Garante privacy include i sistemi di intelligenza artificiale tra le tecnologie per cui la valutazione d’impatto può essere obbligatoria.

C’è anche una data che riguarda direttamente le risorse umane. Dal 23 ottobre 2026, con il d.lgs. 7 ottobre 2026, n. 179, le decisioni finali sul rapporto di lavoro, dall’assunzione al licenziamento, compresi provvedimenti disciplinari e valutazioni delle prestazioni, non possono basarsi unicamente su un trattamento automatizzato: la decisione spetta a una persona con un potere effettivo e autonomo, altrimenti è nulla. Lo stesso decreto chiede di considerare nella valutazione dei rischi per la sicurezza i sistemi di AI che incidono sull’organizzazione del lavoro. Il 2 dicembre 2027 arriveranno poi gli obblighi per i sistemi ad alto rischio, come quelli per la selezione del personale o il merito creditizio.

Una policy è il modo in cui trasformate questi obblighi in regole che le persone possono seguire in una giornata di lavoro intensa. E non potete rispettarli se non sapete dove l’AI viene usata.

Che cosa contiene il modello

Il modello ha 19 sezioni brevi e un blocco di approvazione. Sostituite tutto ciò che è tra [parentesi quadre] con i vostri dati. Queste sono le parti che fanno la maggior parte del lavoro.

Ruoli. Un dirigente responsabile, di solito l’amministratore delegato o il direttore generale, risponde dell’uso dell’AI. Un responsabile AI gestisce la policy nel quotidiano. Ogni sistema di AI ha un proprio responsabile, il consiglio di amministrazione riceve un report periodico, e collegio sindacale e organismo di vigilanza 231 ricevono le informazioni che servono loro. Se nessuna persona senior ha tempo per questo, è il primo problema da risolvere.

Strumenti approvati. Il personale usa solo gli strumenti dell’elenco approvato, con account aziendali. Nuovi strumenti, e nuovi usi di quelli esistenti, passano da una richiesta semplice. Ci sono tre livelli di approvazione: rischio basso, che approva il responsabile AI; rischio medio, che richiede verifiche su privacy e sicurezza; rischio alto, come qualsiasi uso ad alto rischio secondo l’AI Act o che riguarda decisioni sulle persone, che richiede la firma del dirigente responsabile. Le funzioni di AI che compaiono nel software che già pagate contano come nuovi strumenti.

Classificazione secondo l’AI Act. Ogni uso viene classificato in una di quattro categorie: vietato, alto rischio, soggetto a obblighi di trasparenza o a rischio minimo. Il modello elenca le pratiche vietate e gli usi ad alto rischio più comuni in un’azienda, e anticipa fin da ora come buona prassi gli obblighi del deployer che si applicheranno dal 2 dicembre 2027.

Un semaforo per i dati. È la sezione che il personale userà di più:

• Verde: informazioni pubbliche o non sensibili. Consentite in qualsiasi strumento approvato.
• Ambra: informazioni interne o riservate, o dati personali limitati. Solo strumenti aziendali approvati, per una finalità approvata, e solo se i contratti con i clienti lo consentono.
• Rosso: categorie particolari di dati personali, dati giudiziari, documenti d’identità, IBAN e dati di pagamento, password e chiavi API, pareri legali riservati, informazioni privilegiate e dati di clienti quando il contratto lo vieta. Mai, senza approvazione scritta.

Revisione umana. Chi produce un lavoro con l’AI ne risponde come se lo avesse scritto da solo. Il livello di controllo è proporzionato alla posta in gioco, e l’AI non prende mai una decisione finale che incide in modo significativo su una persona senza che qualcuno la verifichi.

Trasparenza. I chatbot si presentano come AI, i deepfake sono dichiarati e le persone sanno quando l’AI prende o contribuisce in modo sostanziale a una decisione che le riguarda. Per chi svolge professioni intellettuali c’è una clausola opzionale sull’obbligo di informare i clienti dei sistemi di AI usati.

Privacy. Nessun dato personale negli strumenti pubblici o gratuiti; base giuridica, minimizzazione e informative aggiornate; accordo sul trattamento dei dati con ogni fornitore e verifica dei trasferimenti fuori dallo Spazio economico europeo; regole sulle decisioni automatizzate dell’articolo 22 del GDPR; valutazione d’impatto, sempre per gli usi ad alto rischio.

Lavoro e dipendenti. Informativa scritta ai lavoratori e alle rappresentanze sindacali prima di usare sistemi automatizzati su assunzione, gestione e valutazione; verifica delle regole sui controlli a distanza dello Statuto dei lavoratori; decisione finale sempre a una persona, con diritto del lavoratore a una motivazione comprensibile; aggiornamento della valutazione dei rischi per la sicurezza.

Sicurezza, proprietà intellettuale ed equità. Nessun plug-in o agente di AI non approvato collegato ai sistemi aziendali, attenzione al codice generato dall’AI, verifiche prima di pubblicare output dell’AI a fini commerciali e test per individuare esiti iniqui prima di usare l’AI in decisioni sulle persone.

Il registro dell’AI. Un elenco semplice di ogni strumento e uso approvato: che cosa fa, chi ne risponde, quali dati tocca, la classe di rischio e come una persona può intervenire. Basta un foglio di calcolo.

Incidenti, formazione, violazioni e revisione. Un canale chiaro per segnalare gli errori, senza sanzioni per chi segnala subito un errore in buona fede, e la verifica con il DPO dell’eventuale notifica al Garante entro 72 ore. Formazione entro 30 giorni, documentata come misura di alfabetizzazione. Provvedimenti disciplinari nel rispetto dello Statuto dei lavoratori e del CCNL. Una revisione annuale, o prima se cambia qualcosa di significativo.

Il modello affianca le vostre policy esistenti, non le sostituisce: policy privacy e registro dei trattamenti, regolamento per l’uso degli strumenti informatici, Modello 231 e codice etico, documento di valutazione dei rischi.

Come introdurla in 30 giorni

Una policy funziona solo se le persone sanno che esiste. Questa è l’introduzione che suggerirei a un’azienda del mid-market.

Settimana 1: capire che cosa succede. Nominate il dirigente responsabile e il responsabile AI. Fate un breve sondaggio, senza colpe, per chiedere al personale quali strumenti di AI usa e per che cosa. Verificate quali piattaforme software già in uso hanno attivato funzioni di AI. Troverete quasi sempre più di quanto vi aspettavate.

Settimana 2: decidere le regole. Scegliete i due o tre strumenti da approvare, idealmente in versione business, con l’addestramento sui vostri dati disattivato e un accordo sul trattamento dei dati. Compilate il modello, partendo dall’elenco degli strumenti approvati e dal semaforo. Verificate i contratti con i clienti per eventuali limiti sull’AI. Chiedete al DPO di esaminare le sezioni 6 e 9, e al consulente del lavoro la sezione 10.

Settimana 3: approvare e organizzare. Fate approvare la policy dal dirigente responsabile e portatela al consiglio di amministrazione o al comitato controllo e rischi. Informate collegio sindacale e organismo di vigilanza 231. Avviate il registro dell’AI con ciò che avete trovato nella settimana 1. Predisponete gli account aziendali e pianificate come spostare le persone dagli account personali. Dove servono, preparate l’informativa ai lavoratori e alle rappresentanze sindacali.

Settimana 4: lanciare e formare. Organizzate una breve sessione per tutto il personale, con esempi reali della vostra azienda, registrate le presenze e chiedete a tutti di firmare la presa visione. Date ai manager una sintesi di una pagina. Poi fissate in agenda la prima revisione fra tre mesi, e verificate che selezione, valutazioni e provvedimenti disciplinari rispettino la regola della decisione finale presa da una persona.

Non aspettate la perfezione. Una policy chiara e breve in vigore questo mese vale più di una completa fra sei mesi, mentre il personale continua a lavorare senza regole.

Dove si colloca

Una policy sull’uso dell’AI è uno dei quattro elementi di base da cui suggerisco di partire in ogni azienda del mid-market, insieme a un responsabile con un nome, a un registro dell’AI e a una verifica del rischio prima di ogni go-live. La mia checklist di AI governance per il consiglio di amministrazione copre il resto, sotto forma di domande che il board dovrebbe porre.

La policy deve anche sostenere la realizzazione, non rallentarla. I team esitano quando non sanno che cosa è consentito, e corrono rischi quando nessuno l’ha detto. Regole chiare su che cosa entra negli strumenti e su chi controlla ciò che ne esce sono ciò che vi permette di andare più veloci. Conta ancora di più quando l’AI inizia a compiere azioni invece di limitarsi a scrivere bozze, come spiego in workflow di AI agentica per il mid-market.

Per capire a che punto siete sulla governance e sulle altre quattro aree della AI readiness, provate il mio AI Readiness Scorecard, gratuito: richiede circa cinque minuti. Se volete aiuto per adattare la policy e portare l’AI in produzione in sicurezza, lavoro con i team di leadership del mid-market come Fractional Chief AI Officer, a tempo parziale. Gli incarichi si svolgono in inglese, in presenza in Italia o da remoto. Potete prenotare una call di 30 minuti o scrivermi per parlarne.