La policy AI aziendale è il documento di una o due pagine che dice quali strumenti di intelligenza artificiale sono ammessi, quali dati non entrano mai in un prompt, chi decide sui casi nuovi e come si tiene traccia degli usi. È il primo documento da scrivere, prima ancora di scegliere gli strumenti, e viene subito dopo l'inventario degli strumenti di AI.
Che cosa deve contenere una policy AI?
Una policy AI efficace ha sette parti, e nessuna richiede più di qualche riga.
| Parte | Che cosa dice | Esempio |
|---|---|---|
| Strumenti ammessi | quali strumenti e piani si possono usare | Copilot per Microsoft 365, piano aziendale |
| Dati vietati | che cosa non entra mai in un prompt | dati personali di clienti e dipendenti, documenti sotto riservatezza |
| Usi da dichiarare | quali usi vanno segnalati prima | testi pubblicati all'esterno, decisioni su persone |
| Controllo | come si verifica un risultato prima di usarlo | numeri, nomi e date confrontati con la fonte |
| Ruoli | chi approva strumenti e casi nuovi | un referente AI e la direzione |
| Registro | dove si annotano strumenti, usi e persone formate | un foglio condiviso aggiornato ogni trimestre |
| Aggiornamento | ogni quanto si rivede | ogni sei mesi o quando cambia uno strumento |
Gli esempi della tabella sono di esempio: ogni azienda li adatta ai propri strumenti.
Perché serve se gli strumenti sono già scelti?
Perché senza policy le persone si arrangiano. Solo il 19% di chi usa l'AI al lavoro in Italia si serve esclusivamente di strumenti forniti dall'azienda (Osservatorio Artificial Intelligence del Politecnico di Milano, comunicato del 5 febbraio 2026). Una policy chiara riduce l'uso di account personali più di un divieto, perché indica un'alternativa ammessa.
Chi la scrive e chi la approva?
La scrive chi conosce gli usi reali, di solito un referente AI insieme all'IT, e la approva la direzione. Conviene farla rileggere a chi si occupa di protezione dei dati e, se c'è, al legale dell'azienda. Una policy scritta senza sapere come le persone usano già l'AI resta sulla carta: il punto di partenza è l'inventario degli strumenti.
Come si collega alla formazione?
La policy è il contenuto minimo della formazione richiesta dall'articolo 4 dell'AI Act: chi usa l'AI deve sapere quali strumenti sono ammessi e quali dati restano fuori. Conviene presentarla in aula, con esempi sui documenti dell'azienda, e conservarla insieme al registro della formazione.
Domande frequenti su AI Act
La policy AI è obbligatoria?
L'AI Act non usa il termine policy, ma gli obblighi di formazione e, per gli usi ad alto rischio, di sorveglianza e documentazione sono difficili da dimostrare senza regole scritte. In Italia la legge 132/2025 rafforza l'attenzione su regole interne e responsabilità. Per un'azienda che usa l'AI la policy è il modo più semplice per mettere in ordine strumenti, dati e ruoli.
Quanto deve essere lunga una policy AI?
Una o due pagine bastano per la parte che leggono tutti. Il dettaglio, come l'elenco degli strumenti con i piani e i contratti, può stare in un allegato che aggiorna il referente. Una policy lunga dieci pagine non la legge nessuno, e una regola che nessuno conosce non protegge.
Ogni quanto si aggiorna?
Almeno ogni sei mesi, e ogni volta che si aggiunge uno strumento, cambia un piano o arriva una norma nuova. Gli strumenti di AI cambiano funzioni ogni trimestre, e una policy ferma da un anno rischia di vietare cose innocue e di ignorare quelle nuove.
Fonti
Scritto da
Founder e CEO di Deepelse
Matteo Scutifero è founder e CEO di Deepelse.
