I tuoi dipendenti stanno già usando l’intelligenza artificiale. Non serve una verifica per saperlo: basta chiedere in riunione chi ha aperto ChatGPT almeno una volta per lavoro nell’ultimo mese, e guardare quante mani si alzano dopo un attimo di esitazione. L’esitazione è il punto. Nella maggior parte delle PMI che incontriamo nessuno ha vietato nulla, ma nessuno ha nemmeno autorizzato niente: si va avanti in una zona grigia dove ognuno decide da sé cosa può incollare dentro un chatbot. Una policy aziendale sull’AI serve a togliere quella zona grigia. Non è un regolamento punitivo ed è più corta di quanto immagini: in molte aziende sta in due pagine.
Che cos’è una policy aziendale sull’AI (e cosa non è)
È il documento che dice chi può usare quali strumenti di intelligenza artificiale, su quali dati e con quale responsabilità sul risultato. Tre domande, tre risposte scritte.
Non è un documento tecnico e non deve elencare gli strumenti uno per uno: fra sei mesi l’elenco è vecchio. Non è nemmeno un divieto generalizzato — vietare l’AI nel 2026 significa solo spostarla sui telefoni personali, dove non la vedi più. Una policy che funziona definisce i confini e lascia libertà dentro quei confini.
Perché serve adesso, anche se nessuno te l’ha chiesta
Il rischio che si materializza per primo non è quello di cui si parla nei convegni. È banale: un collaboratore incolla in un chatbot pubblico un listino, un contratto o l’anagrafica di un cliente, perché deve riassumerlo in fretta. In quel momento quel dato è uscito dall’azienda, e nella maggior parte dei casi nessuno lo saprà mai.
Il secondo rischio è la qualità. Un testo generato e non riletto arriva al cliente con un numero sbagliato, un riferimento normativo inventato, un tono che non è il vostro. Non è colpa dello strumento: è l’assenza di una regola su chi firma il risultato.
Il terzo è il più scomodo: se qualcosa va storto, non è chiaro di chi sia la responsabilità. Senza una regola scritta, la risposta diventa una discussione.
Le sei cose che la policy deve dire
1. Quali strumenti sono ammessi, e in che versione
La distinzione che conta non è fra strumento e strumento, ma fra account aziendale e account personale. Gli strumenti con piano business non usano i vostri dati per addestrare i modelli; le versioni gratuite spesso sì. La regola minima: per il lavoro si usano solo account aziendali.
2. Quali dati non escono mai
Un elenco corto e concreto: dati personali di clienti e dipendenti, listini e condizioni economiche, contratti, codice sorgente, documenti coperti da riservatezza. Se l’elenco supera le otto voci nessuno se lo ricorda.
3. Chi è responsabile dell’output
La regola più semplice e più efficace: chi usa lo strumento risponde del risultato come se l’avesse scritto a mano. L’AI non è un collega a cui dare la colpa.
4. Quando va dichiarato l’uso dell’AI
Verso i clienti, nei documenti ufficiali, nelle comunicazioni istituzionali. Non serve dichiararlo per una mail interna.
5. Cosa fare quando qualcosa va storto
A chi si segnala un dato uscito per errore, e in quanto tempo. Senza questa riga, chi sbaglia tace.
6. Chi aggiorna il documento e ogni quanto
Un nome e una cadenza — semestrale è ragionevole. Una policy senza un proprietario invecchia in un cassetto.
Come si scrive, in una settimana
Il modo più veloce che abbiamo visto funzionare non parte dal documento. Parte da una mappatura di quello che già succede: due o tre giorni in cui si chiede alle persone, senza conseguenze, quali strumenti usano e per cosa. Quasi sempre emergono usi che nessuno in direzione immaginava, ed è da lì che si capisce quali regole servono davvero.
Poi si scrive la bozza — due pagine — la si fa leggere a chi usa l’AI tutti i giorni, non solo alla direzione, e si corregge. Infine la si presenta in una riunione di mezz’ora. Una policy consegnata via mail senza spiegazione viene letta dal venti per cento delle persone.
Gli errori che rendono la policy carta straccia
Il primo: scriverla al negativo. Un documento fatto solo di divieti viene letto come diffidenza e aggirato in silenzio.
Il secondo: farla scrivere a chi l’AI non la usa. Esce un testo corretto e inapplicabile, perché non tocca nessuno dei casi reali.
Il terzo: non collegarla a nulla. Una policy che non si appoggia agli altri documenti aziendali — privacy, sicurezza informatica, codice di condotta — resta un foglio isolato, e il primo caso dubbio lo dimostra.
La policy da sola non basta: serve la formazione
È l’errore più comune. Il documento c’è, è stato firmato, e sei mesi dopo nessuno lo applica — perché le persone non sanno come usare bene lo strumento, solo cosa non devono farci. La formazione sull’intelligenza artificiale non è un corso di prompt engineering: è far vedere, sui processi veri dell’azienda, dove l’AI fa risparmiare tempo e dove invece fa danni. Su come si imposta un percorso che lasci un segno abbiamo scritto cosa serve davvero nella formazione digitale in azienda, e il ragionamento vale identico qui.
Vale anche il contrario: una policy troppo restrittiva, scritta per paura, blocca gli usi che darebbero il ritorno maggiore. Su quali siano, e su come l’intelligenza artificiale in azienda produce risultati misurabili, trovi un quadro più ampio nell’articolo su come l’AI accelera la crescita delle PMI.
Domande frequenti
Serve davvero anche a un’azienda di dieci persone?
Sì, e costa meno: dieci persone si mettono d’accordo in una riunione. Il documento serve a mettere per iscritto l’accordo, perché l’undicesima persona che entra lo trovi già fatto.
Possiamo usare un modello scaricato da internet?
Come traccia sì. Come documento finale no: i modelli generici non conoscono i vostri dati né i vostri processi, e la parte che conta — quali dati non escono — è esattamente quella che va scritta su misura.
La policy è un obbligo di legge?
In quanto tale no, ma il trattamento dei dati personali resta soggetto al GDPR anche quando passa da uno strumento di AI, e l’AI Act europeo introduce obblighi di alfabetizzazione del personale. Avere una policy scritta è il modo più semplice per dimostrare di aver governato la cosa.
Chi la scrive, se non abbiamo un ufficio legale?
Chi conosce i processi, con una revisione legale alla fine. L’errore è l’opposto: farla scrivere solo a un consulente esterno, che produce un documento corretto e inapplicabile.
Vuoi partire da qualcosa di già scritto?
Accompagniamo le PMI nell’introduzione dell’AI partendo da dove il tempo si perde davvero, non dallo strumento di moda: mappatura degli usi, policy, formazione e ottimizzazione dei processi. Se vuoi capire da dove conviene cominciare nel tuo caso, guarda come lavoriamo sulla consulenza AI oppure scrivici: mezz’ora di confronto chiarisce più di un preventivo.
Se invece la domanda è come farsi trovare dai motori di ricerca AI, è un tema diverso e un servizio diverso: se ne occupa Full Power® Start.
