Prima di scrivere le regole, guardate cosa succede già
È l’errore di sequenza più comune: si scrive la policy, la si archivia, e nessuno scopre che metà dell’azienda usava già l’intelligenza artificiale in modi che quella policy non aveva previsto.
Nella quasi totalità delle aziende che visitiamo qualcuno ha già cominciato per conto suo. Non c’è stata una decisione: c’è una persona che ha un documento lungo da riassumere, o un testo da riscrivere, e ha usato lo strumento gratuito che tutti conoscono. Con dentro il contratto di un cliente, o un elenco di dipendenti.
Non è disobbedienza. È un bisogno reale a cui l’azienda non ha ancora dato risposta. Ma significa che dati aziendali stanno già uscendo senza che nessuno lo sappia, e nessuna policy scritta al buio lo intercetta.
Il primo passo quindi non è scrivere: è chiedere. Un giro di conversazioni, non un’indagine tecnica. Le persone lo dicono volentieri, se la domanda non è posta come un’accusa.
Le quattro cose che deve dire
Nessuna richiede linguaggio giuridico, e questo è il punto: una policy scritta in avvocatese viene archiviata, non letta.
Quali strumenti si possono usare. Con i nomi. «Strumenti approvati dall’azienda» non significa niente per chi deve decidere adesso se aprire una pagina.
Che cosa non deve uscire, mai. Dati di clienti, informazioni riservate, documenti coperti da segreto professionale, dati sulla salute, credenziali. Un elenco corto e concreto batte un principio generale.
Chi verifica prima che il risultato venga usato. L’AI produce testi plausibili anche quando sono sbagliati — riferimenti normativi inesistenti, numeri verosimili, citazioni inventate. La verifica non è una formalità: è dove si evita il danno.
A chi ci si rivolge nel dubbio. È la parte che manca quasi sempre ed evita metà dei problemi. Una persona che non sa se può fare una cosa, e non ha nessuno a cui chiedere, decide da sola.
Perché una pagina e non venti
Una policy lunga viene approvata, firmata e non riaperta. Una pagina che una persona legge in tre minuti mentre prende il caffè cambia i comportamenti.
Se serve un documento più esteso per ragioni contrattuali o di conformità, si tengono separati: la pagina che circola e l’allegato completo. Confonderli significa non avere né l’una né l’altro.
Il divieto senza alternativa non regge
È la reazione istintiva della direzione ed è comprensibile: se non sappiamo controllarlo, vietiamolo.
Non funziona, per una ragione pratica. Il bisogno che ha spinto quella persona a usare lo strumento resta lì il giorno dopo il divieto. Se non c’è un modo ufficiale di riassumere un documento lungo, chi ha quel documento continuerà a farlo — solo senza dirlo, e senza che nessuno possa più aiutarlo a farlo bene.
Il metodo che funziona è in tre tempi: censire cosa si usa, sostituire con uno strumento ufficiale che faccia lo stesso lavoro con garanzie sui dati, e solo a quel punto chiudere l’alternativa.
Che cosa dice la norma, in breve
Il regolamento europeo sull’intelligenza artificiale non impone una policy con quel nome. Chiede però a chi usa questi sistemi di sapere quali sono e di garantire che le persone che li adoperano abbiano una competenza adeguata al contesto. Una policy scritta più un momento di formazione sono il modo più semplice di dimostrare entrambe le cose.
A questo si somma il GDPR, che si applica ogni volta che nei contenuti immessi compaiono dati personali — cioè quasi sempre. Ne parliamo in AI Act, GDPR e governance dell’AI.
Il resto
Vedi anche la formazione AI literacy, che è l’altra metà del lavoro, la DPIA per i sistemi di AI quando il trattamento lo richiede, e la consulenza AI per aziende per la parte di adozione.
Il primo passo
Un giro di conversazioni per capire quali strumenti sono già in uso, e la bozza della pagina di regole. Gratuitamente e senza impegno.