Policy AI aziendale: il modello pronto per le piccole imprese

In un'impresa da 5 a 200 persone, una policy AI aziendale deve chiarire le scelte di ogni giorno: quali account si possono usare, quali dati non vanno inseriti e chi controlla il risultato. Per iniziare bastano una pagina di regole, l'accesso a un servizio aziendale approvato e una persona a cui rivolgersi per i dubbi. Il lavoro svolto con l'AI resta una bozza finché una persona responsabile non lo ha verificato.

Policy AI aziendale: un modello da adattare

Copia il testo qui sotto nel manuale aziendale o in un documento condiviso. Compila i campi tra parentesi quadre, inserisci soltanto gli account approvati e rendi il documento accessibile a tutti prima che entri in vigore. Il modello è pensato per stare in una pagina: controlla l'impaginazione dopo aver aggiunto i dettagli della tua azienda.

Prima di adottarlo, fallo esaminare da un legale alla luce dei contratti e degli obblighi dell'azienda.

Uso dell'AI in [Azienda]

In vigore dal: [data]. Responsabile: [nome e ruolo]. Dubbi o incidenti: [contatto]. Prossima revisione: [data]. Account approvati e dati ammessi: [link all'elenco aggiornato].

1. A chi si applica. Queste regole valgono per chiunque lavori per noi, inclusi dipendenti, responsabili e collaboratori esterni. Riguardano gli strumenti AI per chat, scrittura, programmazione, immagini, riunioni e ricerca, comprese le funzioni AI integrate in altri software.

2. Usare gli account approvati. Sono consentiti soltanto strumenti, piani e spazi di lavoro aziendali presenti nell'elenco approvato. Un abbonamento personale o un indirizzo email di lavoro, da soli, non costituiscono un'autorizzazione. Senza il consenso del responsabile non si possono aggiungere collegamenti ad altre app, estensioni del browser, registrazioni delle riunioni, azioni automatiche o opzioni di condivisione dei dati. Non condividere mai le credenziali di accesso.

3. Attività consentite. Negli account approvati si possono usare informazioni pubbliche e materiali interni ammessi per sviluppare idee, scrivere bozze, riassumere o preparare un lavoro. Utilizzare soltanto materiali che si è autorizzati a condividere. Ogni attività deve avere una persona responsabile. È vietato usare l'AI per ingannare, molestare, discriminare o aggirare i controlli di accesso.

4. Dati da non inserire mai. Questa policy vieta di inserire negli strumenti password, token di accesso, chiavi private, dati completi delle carte di pagamento, numeri identificativi rilasciati dalle autorità pubbliche, cartelle cliniche o documenti riservati sul personale. Non caricare segreti commerciali, dati finanziari non ancora pubblicati o codice sorgente privato, salvo che l'elenco approvato autorizzi espressamente quei materiali. Le stesse regole valgono per file, screenshot, registrazioni e cartelle collegate.

5. Dati dei clienti. Quando possibile, usare esempi inventati o eliminare i dettagli identificativi. Prima di utilizzare informazioni che consentono di identificare un cliente, ottenere un'autorizzazione scritta riferita all'attività, allo strumento, all'account e ai dati specifici. Il responsabile deve verificare gli impegni verso i clienti, il diritto di condividere i dati, le condizioni del fornitore e le impostazioni di accesso e conservazione. Inviare solo i dati necessari all'attività. Se l'autorizzazione manca o non è chiara, fermarsi e chiedere.

6. Verificare prima dell'uso. Prima di fare affidamento su un risultato, inviarlo o pubblicarlo, controllare fatti, fonti, calcoli, riservatezza, diritti d'uso dei materiali ed eventuali contenuti iniqui o fuorvianti. La responsabilità resta di chi lo invia. Il codice deve superare le normali revisioni e i test previsti. Non lasciare che l'AI invii messaggi, spenda denaro, modifichi i dati nei sistemi o prenda decisioni su assunzioni, retribuzioni, credito o altri ambiti con conseguenze rilevanti in autonomia. Questi utilizzi richiedono un processo approvato separatamente.

7. Essere trasparenti sull'uso dell'AI. Informare chi svolge la revisione interna quando l'AI ha contribuito in modo sostanziale alla stesura o all'analisi del lavoro. Informare i clienti quando lo prevede l'accordo, quando interagiscono direttamente con l'AI o quando nasconderne il ruolo potrebbe trarli in inganno. Non presentare un risultato dell'AI come un'intervista condotta da una persona, una ricerca originale o un lavoro verificato personalmente, a meno che non lo sia davvero. In caso di dubbio, rivolgersi al responsabile.

8. Chiedere e segnalare subito. Inviare al responsabile le richieste per nuovi strumenti o deroghe prima dell'utilizzo. Segnalare immediatamente sospette esposizioni di dati, azioni non sicure o risultati dannosi al contatto indicato sopra, senza copiare contenuti sensibili in un canale aperto. Interrompere l'attività interessata e seguire le istruzioni del responsabile. Confermare la presa visione della policy; le violazioni sono gestite attraverso le procedure già in vigore per il personale o i collaboratori esterni. Il responsabile riesamina la policy ogni trimestre e quando cambiano strumenti, condizioni o flussi di lavoro.

Per mantenere breve la policy, gestisci l'elenco degli account approvati in un documento separato. Ogni voce deve indicare il prodotto e il piano esatti, lo spazio di lavoro aziendale, i dati ammessi, l'attività consentita, il responsabile e la data di approvazione. Una voce vuota indica che lo strumento è in attesa di approvazione.

Perché i piani aziendali contano nell'uso dell'AI al lavoro

Approva l'account e le relative condizioni sul trattamento dei dati prima che il personale utilizzi materiali aziendali riservati. L'impegno di un fornitore a escludere i dati aziendali dall'addestramento dei modelli è utile, ma non autorizza di per sé a condividere i documenti di un cliente.

Verificato sulla documentazione online dei produttori il 19 ottobre 2026: i servizi aziendali elencati di seguito si impegnano a non addestrare i modelli sui dati dei clienti coperti dalle rispettive condizioni, per impostazione predefinita o in assenza di autorizzazione. Ambito ed eccezioni variano. Addestrare un modello significa usare i dati per migliorare l'AI sottostante; è una cosa distinta dal conservare una conversazione o elaborarla per rispondere a una richiesta.

OpenAI ChatGPT: usare lo spazio di lavoro aziendale approvato

ChatGPT di OpenAI è un assistente AI conversazionale. Per impostazione predefinita, i contenuti dei clienti di ChatGPT Business e ChatGPT Enterprise sono esclusi dall'addestramento dei modelli. La documentazione di OpenAI sulla governance dei dati conferma questo impegno e tratta separatamente la conservazione della cronologia delle chat. Quando approvi un account, esamina sia le condizioni sull'addestramento sia quelle sulla conservazione.

Rimborsare un abbonamento personale e approvare uno spazio di lavoro aziendale sono due decisioni distinte. L'elenco degli account deve identificare lo spazio autorizzato, e il personale deve saperlo riconoscere prima di incollarvi qualsiasi contenuto interno.

La guida a ChatGPT per le aziende approfondisce la scelta dell'account.

Anthropic Claude: prevedere una regola per i feedback

Claude di Anthropic è un assistente AI per la scrittura e l'analisi. Per impostazione predefinita, i dati in ingresso e in uscita dei prodotti commerciali non vengono usati per l'addestramento. Per chi usa Claude Team o Enterprise, però, c'è un'eccezione importante: il feedback. Anthropic dichiara che i feedback o le segnalazioni di bug inviati esplicitamente, così come altre forme di condivisione volontaria, possono consentire l'uso di chat e sessioni di programmazione per addestrare i modelli. La policy di Anthropic sui dati dei prodotti commerciali chiarisce entrambi gli aspetti.

La condivisione dei feedback va decisa dal responsabile. Anthropic documenta un controllo per il proprietario dell'organizzazione in Organization settings > Data and Privacy > Rate chats, che permette di disattivare i feedback con pollice in su o in giù per i membri di Team ed Enterprise. A questa impostazione va affiancata una regola per il personale: «Non condividere conversazioni aziendali come feedback».

Microsoft Copilot: verificare la protezione dei dati aziendali

Microsoft Copilot, l'assistente per il lavoro di Microsoft precedentemente chiamato Microsoft 365 Copilot, e Microsoft Copilot Chat prevedono protezioni per i dati delle organizzazioni. Microsoft dichiara che prompt, risposte e dati accessibili tramite Microsoft Graph, il sistema che collega l'assistente alle informazioni di lavoro, non vengono usati per addestrare i modelli di base. La documentazione precisa che durante la transizione possono ancora comparire i vecchi nomi dei prodotti. La pagina di Microsoft sulla protezione dei dati aziendali ne definisce l'ambito.

Chiedi all'amministratore di verificare l'account aziendale e il servizio coperto dalle protezioni. Microsoft documenta la presenza di uno scudo verde in Copilot Chat quando si applica la protezione dei dati aziendali. Documenta anche la registrazione delle conversazioni: il personale non deve quindi interpretare l'esclusione dall'addestramento come «non viene conservato nulla». La pagina su privacy e protezioni di Copilot Chat spiega queste verifiche.

Le query di ricerca web inviate a Bing sono soggette a condizioni separate sul trattamento dei dati, e anche le condizioni degli agenti vanno verificate singolarmente. Indica se queste funzioni sono consentite in ciascun flusso di lavoro approvato. Approvare l'assistente principale non deve autorizzare implicitamente ogni servizio collegato.

Google Gemini: controllare l'edizione di Workspace

Gemini, l'assistente AI di Google, offre protezioni aziendali quando viene utilizzato attraverso i servizi Google Workspace appropriati. Google dichiara che i dati dei clienti Workspace non vengono usati per addestrare modelli di AI generativa senza la previa autorizzazione o istruzione del cliente. L'impegno include i prompt e i contenuti coperti dal centro privacy di Google Workspace per l'AI generativa.

Per l'app Gemini, verifica che la licenza Workspace la includa come servizio principale, cioè un servizio coperto dalle relative condizioni di Workspace. L'elenco attuale di Google comprende Business Starter, Business Standard e Business Plus. Altre configurazioni di account possono prevedere protezioni diverse: consulta la tabella delle edizioni per gli account di lavoro, senza approvare indistintamente tutto ciò a cui si accede con un account Google.

Se devi ancora scegliere il servizio da adottare in azienda, trovi un confronto dei prodotti negli articoli Gemini vs Claude e Copilot vs Gemini. La policy per il personale deve rimandare alle scelte già approvate.

Come funziona una policy sull'uso dell'AI generativa?

Una policy sull'uso dell'AI definisce le regole aziendali per il lavoro svolto con questi strumenti. Per «AI generativa» si intendono strumenti che producono testi, immagini, codice o altri contenuti a partire da istruzioni. Pensa alle regole di una cucina condivisa: gli utensili possono essere a disposizione di tutti, mentre alcuni ingredienti restano sotto chiave e qualcuno controlla ciò che esce dalla cucina.

Chi dirige l'azienda deve autorizzare gli strumenti e nominare la persona a cui spettano le decisioni. Il responsabile operativo deve tradurre quelle scelte in un elenco di account facile da consultare e rispondere alle domande. Ogni dipendente deve controllare ciò che inserisce e assumersi la responsabilità del risultato.

Distinguere materiali pubblici, interni e riservati

Fornisci esempi che il personale possa riconoscere. La descrizione pubblicata di un prodotto è un'informazione pubblica. Una checklist operativa non pubblicata è un materiale interno e può essere usata soltanto in un account approvato per quel tipo di contenuto. Un'esportazione dei dati delle buste paga contiene informazioni riservate sul personale e resta esclusa da questa policy di base.

Controlla anche gli allegati. Lo screenshot di un errore apparentemente innocuo può contenere l'indirizzo email di un cliente o un token di accesso. Caricare l'immagine significa condividere anche quei dettagli. Una regola limitata ai prompt digitati non copre il lavoro che le persone svolgono davvero.

I dati dei clienti vanno approvati per l'attività specifica

«Togliere il nome» è un buon primo passo, ma possono restare un indirizzo, un numero d'ordine, un reclamo riconoscibile o una combinazione di dettagli che permette di identificare la persona. Quando l'identità del cliente non serve, preferisci un esempio inventato.

Per rispondere a un ritardo nella consegna, un responsabile dell'assistenza può chiedere una formulazione riferita a «un cliente la cui consegna è in ritardo», usando le condizioni di consegna pubblicate. Aggiungerà poi i dati corretti del cliente nel consueto sistema di assistenza. Caricare l'intero scambio relativo al reclamo è un utilizzo diverso e richiede un'approvazione esplicita.

Quando l'identità è necessaria, il responsabile deve annotare quali campi si possono condividere, per quale scopo, in quale account, chi può accedervi e per quanto tempo verranno conservati. L'autorizzazione già esistente a detenere i dati dei clienti non va considerata un via libera automatico a un nuovo flusso di lavoro con l'AI.

La revisione umana deve essere una verifica effettiva

Chi controlla deve avere a disposizione i materiali originali e le competenze necessarie per mettere in discussione la risposta. Un testo scorrevole può comunque promettere un rimborso che l'azienda non offre; un riepilogo plausibile di un foglio di calcolo può comunque basarsi sulla colonna sbagliata.

Prima di inviare o pubblicare il lavoro, confronta le affermazioni con le fonti, ricalcola i totali importanti e controlla destinatari e allegati finali. Per le attività con conseguenze rilevanti, individua una persona qualificata per la revisione. Se nessuno è in grado di valutare il risultato, lascialo in bozza e sottoponilo a chi può occuparsene.

Per dichiarare l'uso dell'AI, scegli una frase semplice come «L'AI ha contribuito alla stesura di questo riepilogo; l'ho verificato sui documenti originali», ma solo se descrive ciò che è accaduto davvero. Una correzione ortografica marginale e un'analisi scritta dall'AI richiedono livelli diversi di trasparenza. Gli accordi con il cliente e il rischio di trarre in inganno il destinatario determinano che cosa comunicare all'esterno.

Esempi di applicazione della policy AI nel lavoro quotidiano

Puoi avviare subito le normali attività di scrittura quando account, dati e revisore sono chiaramente definiti. Per caricare dati identificativi dei clienti o consentire azioni autonome, aspetta autorizzazioni esplicite. Ecco alcuni esempi di applicazione del modello:

• Un titolare che prepara un annuncio: usa l'assistente approvato per riformulare informazioni sul prodotto già pubbliche. Verifica ogni promessa e ogni data prima di pubblicare. Non c'è motivo di caricare il budget riservato del lancio.
• Un responsabile operativo che gestisce l'assistenza: prepara una risposta a partire da una situazione inventata e dalle condizioni di servizio approvate. Mantiene i dati del cliente nel sistema di assistenza, salvo che un flusso di lavoro specifico ne consenta l'utilizzo altrove.
• Un account manager di un'agenzia: informa il revisore interno che l'AI ha contribuito alla stesura del report per il cliente. Controlla l'accordo con il cliente prima di elaborarne i materiali o decidere quale dichiarazione sull'uso dell'AI inserire nel lavoro consegnato.
• Uno sviluppatore: usa soltanto un flusso di programmazione approvato per i dati del repository. Esamina le modifiche ed esegue i normali controlli del progetto. Il permesso di scrivere codice non autorizza l'assistente a effettuarne il deployment.

Chi fa ricerche su un argomento pubblico nel rispetto delle regole approvate può continuare a lavorare. Chi sta per collegare la cartella condivisa dei clienti deve prima chiedere. La policy deve rendere semplice questa distinzione.

Come presentare la policy sull'uso dell'AI in 20 minuti

Dedica una breve riunione alle decisioni che il personale dovrà prendere nella pratica. La scaletta qui sotto propone un incontro di 20 minuti: non significa che basti quel tempo per acquistare gli account, esaminare i contratti e configurare gli accessi.

Prima della riunione, il responsabile completa la policy, conferma gli account approvati, nomina un referente di riserva e pubblica l'elenco degli account. L'amministratore verifica gli accessi e le impostazioni pertinenti per la condivisione dei dati. I responsabili dei team individuano chi deve controllare il lavoro destinato ai clienti e quello con conseguenze rilevanti.

1. 1

   5 minuti: spiegare le regole

   Mostra la policy e chiarisci quali attività il personale può svolgere da subito. Richiama l'elenco dei dati vietati e indica chi può autorizzare un utilizzo non ancora previsto. Per rendere concreto il confine, confronta un paragrafo pubblico su un prodotto con un'esportazione dei dati dei clienti.

2. 2

   5 minuti: verificare gli account

   Chiedi a tutti di individuare lo spazio di lavoro o il servizio aziendale approvato. Mostra dove si trova l'elenco degli account autorizzati. Annota i problemi di accesso per risolverli in seguito; chi non ha accesso deve attendere prima di svolgere attività che richiedono quell'account.

3. 3

   7 minuti: esercitarsi sulle decisioni

   Esamina tre casi: un annuncio pubblico, il reclamo di un cliente e un'esportazione dei dati delle buste paga. Chiedi quali materiali si possono usare, quali informazioni vanno rimosse o escluse e chi verifica il risultato. Questa policy di base non consente di usare l'esportazione delle buste paga. Mostra un prompt con dettagli inventati.

4. 4

   3 minuti: confermare responsabilità e segnalazioni

   Chiedi a ogni persona di confermare la presa visione della policy e di individuare il contatto per dubbi e incidenti. Conferma chi controlla il suo lavoro abituale. Spiega che segnalare subito un errore aiuta a contenerne le conseguenze; nasconderlo rende più difficile intervenire.

Dopo la prima settimana, passa in rassegna le domande ricevute. Correggi le formulazioni ambigue, elimina le autorizzazioni inutilizzate e aggiungi esempi utili. Mantieni la revisione trimestrale prevista e riesamina la policy ogni volta che una nuova integrazione o un nuovo flusso di lavoro modifica i dati a cui l'assistente può accedere o le azioni che può compiere.

Che cosa non può risolvere, da sola, una policy sull'AI?

Una policy firmata non configura un account, non revoca un connettore e non blocca un invio automatico. Incarica qualcuno di allineare impostazioni e permessi al documento.

Anche gli impegni sui dati aziendali hanno un ambito più limitato di «sicuro per qualsiasi uso». Addestramento, conservazione, accesso, servizi di terzi e diritto di condividere i materiali sono questioni separate. I piani aziendali sono un buon punto di partenza; deve poi seguire l'approvazione dell'attività concreta.

Non valutare l'uso consentito in base a quanto testo ha scritto l'AI. Una bozza destinata al pubblico, realizzata in gran parte con l'AI, può essere appropriata dopo un'attenta revisione; un prompt breve che contiene un segreto può violare subito la policy. Valuta dati, azioni e responsabilità.

Domande frequenti

Che cos'è la regola del 30% nell'AI?

Questa policy non adotta una quota del 30%. La percentuale di testo scritto dall'AI non stabilisce se sia consentito condividere i dati dei clienti o se un risultato sia corretto. Applica invece le regole sugli account approvati, sui dati ammessi e sulla revisione umana.

Quali sono alcuni usi consentiti dell'AI?

Per esempio, sviluppare idee a partire da informazioni pubbliche, scrivere bozze usando materiali interni ammessi e riassumere documenti autorizzati per quell'account. Prima di usare il risultato, una persona responsabile deve verificarlo.

Fino a che punto si può usare l'AI?

Fin dove lo consente l'attività approvata e una persona può verificare il lavoro in modo responsabile. Bisogna fermarsi se i dati sono vietati, l'azione non è autorizzata o nessuno è in grado di valutare il risultato.

Qual è un esempio di policy sull'uso consentito?

«Usare gli account AI aziendali approvati per le attività consentite, escludere i dati soggetti a restrizioni e verificare ogni risultato prima di farvi affidamento o condividerlo». Il modello qui sopra aggiunge le regole su responsabile, trasparenza e segnalazioni necessarie per applicare questa indicazione.

Che cosa vieta la policy sull'uso dell'AI?

Il modello vieta di inserire credenziali e gli altri dati sensibili elencati, caricare dati dei clienti senza autorizzazione, usare l'AI per ingannare o discriminare e consentire azioni autonome con conseguenze rilevanti al di fuori di un processo approvato separatamente. La presenza di uno strumento nell'elenco non annulla questi divieti.

Quali sono le cinque regole più comuni nelle policy sull'uso consentito?

Qui non si fa riferimento a una classifica universale. Per questa policy destinata alle piccole imprese, le priorità sono cinque: usare account approvati, proteggere i dati, controllare i risultati, dichiarare in modo appropriato il contributo sostanziale dell'AI e segnalare tempestivamente i problemi.

Quali sono i tre elementi essenziali di una policy efficace?

Usi consentiti definiti con chiarezza, limiti precisi sui dati e una persona responsabile della revisione o a cui rivolgersi quando serve un intervento. I dipendenti devono poter applicare ogni elemento a un'attività che svolgono.

Qual è un esempio concreto di regola aziendale?

Una regola pratica è: «Gli scambi relativi ai reclami dei clienti possono essere inseriti in uno strumento AI solo quando il responsabile ha approvato l'attività, l'account e i dati; altrimenti si usa un esempio inventato». Copia il modello completo qui sopra per avere anche le regole che la accompagnano.

Come ottenere un esempio in PDF di policy sull'uso degli strumenti informatici?

Per un documento dedicato all'AI, copia il modello qui sopra nel tuo editor di documenti, compila i campi tra parentesi quadre ed esportalo in PDF. Il testo riguarda l'uso dell'AI e va affiancato alla policy informatica più ampia su dispositivi, email, accessi e sicurezza.

Per scoprire modi pratici di usare l'AI in una piccola impresa, iscriviti alla newsletter.