Regolamento aziendale sull’uso dell’intelligenza artificiale: cosa scrivere.

Perché una PMI ha bisogno di un regolamento sull’uso dell’AI?

In molte piccole imprese l’intelligenza artificiale arriva prima delle regole. Una persona usa un assistente per riscrivere un’email, un’altra per riassumere un capitolato o tradurre una scheda tecnica, spesso con l’account personale aperto sul telefono, e il titolare lo scopre per caso. Il fenomeno ha un nome, shadow AI, e il rischio principale riguarda i dati: un documento incollato in un servizio non approvato esce dal perimetro dell’azienda, e dopo è difficile ricostruire dove sia finito e con quali condizioni.

Il regolamento sull’uso dell’AI è un documento interno breve che dice alle persone cosa possono fare con questi strumenti, su quali dati e con quali controlli. Chi lavora smette di dover indovinare cosa è permesso. L’azienda, dal canto suo, può dimostrare di aver dato istruzioni a chi tratta dati personali sotto la sua autorità, come prevede il GDPR (art. 29), e documenta una delle misure con cui sostiene l’alfabetizzazione AI del personale.

Nessuna norma impone a una PMI un documento con questo nome. Le FAQ della Commissione europea sull’alfabetizzazione AI precisano che non è richiesta una struttura di governance specifica. Conviene scriverlo perché raccoglie in un solo posto istruzioni che l’azienda deve dare comunque, e perché una regola scritta si può correggere quando non funziona.

Un limite va messo in chiaro subito. Se gli strumenti approvati sono scomodi o mancano del tutto, le persone continueranno a usare quelli personali, con o senza regolamento. Per questo il documento si scrive nel momento in cui si scelgono gli strumenti e si attivano gli account aziendali.

Cosa deve contenere un regolamento sull’AI?

Un regolamento utile sta in due o tre pagine. Le voci essenziali sono poche, e ognuna risponde a un dubbio concreto di chi usa gli strumenti.

L’ambito dice a chi si applica e a cosa. Di solito riguarda dipendenti, collaboratori e stagisti che usano strumenti di AI per conto dell’azienda, su dispositivi aziendali o personali. La definizione di strumento di AI conviene tenerla larga: assistenti conversazionali, funzioni AI dentro programmi già in uso come posta, videoscrittura, gestionale e CRM, estensioni del browser, trascrizione automatica delle riunioni, generatori di immagini.

L’elenco degli strumenti ammessi è la parte più pratica. Per ciascuno si indicano il piano sottoscritto, chi lo può usare e per quali attività. Quello che non è in elenco non si usa con dati aziendali finché il responsabile non l’ha valutato. La regola sugli account va scritta in modo esplicito: si lavora con l’account aziendale, creato e gestito dall’azienda, anche quando lo strumento è lo stesso che la persona usa a casa. Con un account aziendale l’amministratore può togliere l’accesso a chi lascia l’impresa e, secondo le condizioni del piano, gestire impostazioni e conversazioni.

Il responsabile è la persona che tiene aggiornato l’elenco, risponde ai dubbi e riceve le segnalazioni. In una PMI può essere il titolare o un referente interno, affiancato dal consulente privacy o dal fornitore IT. La revisione periodica fissa quando il documento va riletto: a una scadenza scritta, per esempio una volta l’anno, e in ogni caso quando entra un nuovo strumento, cambia un contratto o succede un incidente.

Quali dati si possono inserire negli strumenti di AI?

La regola sui dati previene la maggior parte dei problemi, e funziona meglio se divide le informazioni in classi facili da ricordare. Tre classi bastano quasi sempre.

La prima contiene i dati che non si inseriscono mai in uno strumento di AI generativa, nemmeno in quelli approvati, salvo un progetto specifico valutato con il consulente privacy: credenziali e password, dati sanitari e le altre categorie particolari dell’art. 9 del GDPR, dati relativi a condanne e reati, documenti d’identità, coordinate bancarie, informazioni coperte da accordi di riservatezza che ne vietano la comunicazione a terzi.

La seconda raccoglie i dati che si possono usare solo con gli strumenti approvati e con l’account aziendale: dati personali di clienti, fornitori e dipendenti, offerte e listini, contratti, progetti tecnici, dati economici non pubblici. Anche qui vale il principio di minimizzazione. Si inserisce solo quello che serve al compito, e se il risultato si ottiene togliendo nomi e riferimenti, si tolgono.

La terza comprende le informazioni libere, come i testi che l’azienda ha già pubblicato e i contenuti senza dati personali né riservati. Su queste si può usare qualsiasi strumento in elenco.

Gli esempi vanno adattati al settore. Un’azienda alimentare avrà ricette e schede di processo da proteggere, uno studio tecnico i disegni dei clienti, un’impresa di logistica gli indirizzi di consegna e i dati degli autisti. Per compilare le classi in fretta si può chiedere a ogni reparto quali documenti apre più spesso e decidere insieme dove collocarli.

Chi controlla quello che produce l’AI?

Gli assistenti generativi producono testi plausibili che possono contenere errori, riferimenti inesistenti o calcoli sbagliati. Il regolamento deve dire che chi usa lo strumento resta responsabile del risultato e lo verifica prima di usarlo. La verifica va proporzionata al rischio: una bozza di email interna richiede una rilettura, mentre un’offerta economica o una risposta tecnica a un cliente richiedono il controllo di cifre, norme e riferimenti sulle fonti originali. Per alcune attività, come reclami, preventivi o comunicazioni con enti pubblici, conviene scrivere che l’AI prepara una bozza e la decisione resta a una persona.

La trasparenza riguarda sia i clienti sia i colleghi. Verso l’esterno, l’AI Act chiede di dichiarare i deepfake, cioè immagini, audio o video realistici generati o manipolati, e i testi generati pubblicati per informare il pubblico su questioni di interesse pubblico, salvo che ci sia una revisione umana con responsabilità editoriale. Per la normale corrispondenza commerciale il regolamento può fissare una regola propria, per esempio dichiarare l’uso dell’AI quando il cliente lo chiede o il contratto lo prevede. I professionisti hanno un obbligo in più: per la legge 132/2025 (art. 13) possono usare l’AI solo per attività di supporto, comunicando al cliente quali sistemi usano. Tra colleghi basta poco: chi passa un documento preparato con l’AI lo dice, così chi lo riceve sa cosa controllare.

Sulla proprietà intellettuale servono due regole. Una riguarda quello che entra nello strumento: materiali di terzi protetti da diritti o da accordi di riservatezza si caricano solo se licenza e contratti lo consentono. L’altra riguarda quello che esce. Con la legge 132/2025 (art. 25) la legge sul diritto d’autore protegge le opere create con l’ausilio dell’AI «purché costituenti risultato del lavoro intellettuale dell’autore». Se un testo, un logo o un manuale deve poter essere tutelato, conviene conservare bozze e revisioni che documentano le scelte fatte da una persona.

Sicurezza, incidenti e formazione: cosa scrivere?

Le regole di sicurezza applicano ai nuovi strumenti quelle che l’azienda dovrebbe già avere. Gli account AI vanno protetti con l’autenticazione a due fattori. Estensioni del browser e app che leggono pagine e documenti si installano solo se approvate. Particolare attenzione meritano i collegamenti tra assistente e casella di posta, cartelle condivise o gestionale: danno all’AI accesso a molti più dati di quelli che una persona incollerebbe a mano, quindi li attiva solo il responsabile.

Un incidente può essere banale: un elenco di clienti caricato per errore in un account personale, una risposta sbagliata inviata a un cliente, un’estensione che si comporta in modo strano. Il regolamento indica a chi si segnala e con quale urgenza, e chiarisce che chi segnala in buona fede non viene sanzionato per averlo fatto. La rapidità conta soprattutto quando l’incidente riguarda dati personali: il titolare deve valutare se si tratta di una violazione da notificare al Garante, e il termine è di 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per le persone.

Sulla formazione il riferimento è l’art. 4 dell’AI Act. Dopo le modifiche del Reg. (UE) 2026/1744, in vigore dal 27 luglio 2026, chiede a fornitori e deployer di adottare misure per sostenere lo sviluppo dell’alfabetizzazione AI del personale e di chi usa i sistemi per loro conto. Secondo le FAQ della Commissione non servono corsi obbligatori o certificati: conta che le persone sappiano usare gli strumenti in modo consapevole rispetto al loro ruolo. Una sessione breve sulle attività reali, con la lettura del regolamento e qualche esempio di errore tipico, è un inizio ragionevole. Data, partecipanti e materiali vanno conservati.

Come cambiano le regole a seconda dello strumento?

Lo stesso nome commerciale può indicare prodotti con condizioni molto diverse. Prima di inserire uno strumento nell’elenco servono tre verifiche, e conviene annotarne l’esito accanto al nome.

La prima riguarda il piano, consumer o aziendale. Nelle versioni per uso personale le conversazioni possono essere usate per migliorare i modelli, salvo che l’utente disattivi l’opzione, e l’azienda non ha un contratto di trattamento con il fornitore. I piani aziendali dei principali fornitori prevedono in genere un accordo sul trattamento dei dati ai sensi dell’art. 28 del GDPR e una console da cui l’amministratore gestisce utenti e impostazioni. Le condizioni vanno lette e conservate, perché cambiano nel tempo e differiscono da un fornitore all’altro.

La seconda riguarda l’addestramento. Per ogni strumento il regolamento dice se i dati inseriti possono essere usati per addestrare i modelli e, se l’opzione si può disattivare, chi la disattiva e da quale pannello. Un’impostazione affidata all’iniziativa del singolo utente si perde facilmente con un cambio di dispositivo o di versione.

La terza riguarda il luogo di trattamento. Se i dati sono trattati fuori dallo Spazio economico europeo, l’azienda deve verificare le garanzie previste dal Capo V del GDPR. Le opzioni di conservazione dei dati in Europa variano tra fornitori e tra piani, e vanno lette nelle condizioni contrattuali. Il caso DeepSeek mostra che la verifica ha conseguenze pratiche: nel gennaio 2025 il Garante ha limitato il trattamento dei dati degli utenti italiani da parte di DeepSeek.

In pratica conviene scrivere, accanto a ogni strumento, la classe di dati più alta ammessa. Lo stesso assistente può comparire due volte nell’elenco: nella versione gratuita solo per le informazioni libere, nel piano aziendale con contratto di trattamento anche per i dati della seconda classe. Le integrazioni via API e gli agenti collegati ai sistemi aziendali vanno trattati come progetti a sé, con una valutazione dedicata.

Cosa dicono GDPR, AI Act e legge 132/2025?

Il regolamento interno traduce in istruzioni operative obblighi che esistono già. Il GDPR si applica ogni volta che nello strumento entrano dati personali. L’azienda resta titolare del trattamento: deve avere una base giuridica per usare quei dati in quel modo (art. 6), nominare il fornitore responsabile con un contratto (art. 28), verificare le garanzie se i dati vanno fuori dall’UE (Capo V) e informare le persone. Se l’uso è nuovo e può incidere sui diritti delle persone, va valutata una DPIA (art. 35).

Per l’AI Act quasi tutte le PMI sono deployer, cioè usano sistemi di AI sotto la propria autorità. Oggi le riguardano soprattutto l’alfabetizzazione dell’art. 4 e gli obblighi di trasparenza dell’art. 50, applicabili dal 2 agosto 2026, descritti sopra. Gli usi ad alto rischio elencati nell’Allegato III, tra cui alcuni sistemi per selezionare o valutare i lavoratori, avranno obblighi dal 2 dicembre 2027. Un regolamento prudente può già escludere questi usi finché non sono stati valutati.

La legge 132/2025 è in vigore dal 10 ottobre 2025. All’art. 11 chiede al datore di lavoro di informare i lavoratori quando usa l’AI nei casi previsti dall’art. 1-bis del D.Lgs. 152/1997, che riguarda sistemi decisionali o di monitoraggio integralmente automatizzati rilevanti per assunzione, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza e valutazione. Un assistente usato per scrivere email di norma non rientra in questi casi. Uno strumento che assegna turni o filtra candidature in modo automatico può rientrarvi, e allora le informazioni vanno date prima dell’inizio dell’attività e comunicate anche alle rappresentanze sindacali aziendali, dove ci sono.

Se il regolamento prevede controlli sull’uso degli strumenti, per esempio la lettura dei registri delle conversazioni, entra in gioco l’art. 4 dello Statuto dei lavoratori: le informazioni raccolte si possono usare ai fini del rapporto di lavoro solo se il lavoratore è stato adeguatamente informato sulle modalità d’uso degli strumenti e dei controlli, nel rispetto della normativa privacy. Il regolamento è il documento adatto a dare questa informazione.

Come introdurre il regolamento senza burocrazia?

Nelle piccole imprese conviene partire da quello che succede già. Il primo passo è un censimento: chiedere a ciascuno, senza toni da inchiesta, quali strumenti di AI usa, per fare cosa e con quale account. Le risposte indicano quali strumenti mettere in elenco e quali dati sono già usciti dall’azienda.

Si scrive poi una prima versione partendo da un modello, come quello scaricabile da questa pagina, e la si fa leggere a due o tre persone che usano l’AI ogni giorno. Le loro obiezioni mostrano dove una regola è impraticabile, e una regola che nessuno riesce a rispettare riporta le persone verso gli account personali.

Prima della consegna vanno sistemati gli strumenti: account aziendali attivati, impostazioni sull’addestramento verificate, contratti di trattamento scaricati e archiviati. Il regolamento si consegna insieme a una breve sessione di formazione e a una presa visione, firmata o registrata. La stessa traccia documenta l’alfabetizzazione AI e, se sono previsti controlli, l’informazione richiesta dallo Statuto dei lavoratori.

La prima revisione conviene fissarla a pochi mesi dalla consegna. In quel periodo emergono i casi che nessuno aveva previsto, e chi usa gli strumenti vede che le sue osservazioni entrano nel documento.

Quando un modello di regolamento non basta?

Il modello proposto qui è pensato per una PMI che usa assistenti generativi nel lavoro d’ufficio. Va adattato all’organizzazione e non sostituisce il parere di un legale, del consulente del lavoro o del consulente privacy.

Alcune situazioni richiedono un approfondimento specifico: il trattamento su larga scala di dati sanitari o di altre categorie particolari; l’uso dell’AI nella selezione, valutazione o organizzazione del personale; la presenza di rappresentanze sindacali o di accordi aziendali sugli strumenti di controllo; lo sviluppo o la messa a disposizione di un proprio sistema di AI, per esempio un chatbot sul sito, che può far scattare alcuni obblighi del fornitore; i settori con regole proprie, come le professioni ordinistiche o i servizi finanziari. In questi casi il regolamento resta utile, accanto ad altri documenti come la DPIA, le informative e i contratti con i fornitori.