Un’azienda deve adottare regole interne se dipendenti e collaboratori usano ChatGPT, Copilot o Gemini?
Sì, quando gli strumenti di intelligenza artificiale vengono usati per attività di lavoro è opportuno definire almeno quali applicazioni sono autorizzate, quali dati non possono essere inseriti, quando l’output deve essere verificato e chi risponde del suo utilizzo. Non serve partire da una policy complessa: serve evitare che ogni persona stabilisca da sola il confine tra uso utile e rischio aziendale.
In molte imprese l’intelligenza artificiale è già al lavoro, anche se nessuno ha mai deciso formalmente di adottarla.
Un collaboratore migliora una mail con ChatGPT. L’ufficio commerciale prepara un’offerta con Copilot. Il marketing genera una prima bozza, l’amministrazione sintetizza un documento e le risorse umane rielaborano un annuncio.
Il problema non è che queste attività esistano. Il problema è che spesso esistono senza che l’azienda sappia quali strumenti vengono usati, quali informazioni vi entrano e come vengono controllati i risultati.
L’AI entra dal basso, mentre le regole arrivano tardi
Gli strumenti generativi sono accessibili, intuitivi e spesso efficaci. Per questo si diffondono attraverso iniziative individuali, non attraverso progetti approvati dalla direzione.
L’impresa se ne accorge quando un cliente domanda come sono stati trattati i suoi documenti, quando un testo contiene un errore importante o quando informazioni riservate sono state inserite in un servizio esterno.
A quel punto non basta chiedere chi abbia sbagliato. Occorre riconoscere che l’organizzazione non aveva stabilito cosa fosse consentito.
Il rischio non è soltanto la privacy
Inserire dati personali in uno strumento AI può porre problemi di protezione dei dati. Ma limitare la questione alla privacy è riduttivo.
Un contenuto può essere riservato anche senza identificare una persona. Per esempio:
- una bozza di contratto non ancora condivisa;
- un listino o un’offerta economica;
- una strategia di negoziazione;
- una lista clienti o fornitori;
- un report finanziario;
- un progetto tecnico o commerciale;
- una contestazione ricevuta da un cliente.
Prima di consentire l’uso di uno strumento, l’azienda dovrebbe sapere come il fornitore tratta input e output, quali impostazioni sono disponibili e se l’account utilizzato è personale o aziendale.
Un testo convincente può essere sbagliato
L’AI generativa produce risposte fluide e plausibili. È proprio questa qualità a rendere pericolosa una fiducia eccessiva.
Un output può contenere dati inventati, riferimenti non aggiornati, omissioni, formulazioni incompatibili con il contratto o promesse che l’impresa non intende assumere.
La regola essenziale è semplice: ciò che viene usato verso clienti, dipendenti, fornitori, autorità o pubblico deve essere verificato da una persona competente.
Il controllo umano non è una firma automatica in fondo al documento. È la verifica sostanziale di correttezza, completezza, tono e coerenza con la posizione dell’azienda.
Cosa chiede oggi l’AI Act alle organizzazioni
Il Regolamento europeo sull’intelligenza artificiale, noto come AI Act, si applica per fasi. Gli obblighi relativi all’alfabetizzazione in materia di AI sono applicabili dal 2 febbraio 2025; gran parte del regolamento si applica dal 2 agosto 2026.
Per molte PMI che utilizzano comuni strumenti generativi, la prima esigenza non è classificare sistemi complessi. È assicurarsi che le persone abbiano conoscenze adeguate rispetto agli strumenti utilizzati, al contesto e ai rischi.
Una breve formazione pratica, collegata a regole interne comprensibili, può essere più utile di una policy lunga e mai letta.
Le cinque regole minime da definire
- Strumenti autorizzati: indicare quali servizi e quali account possono essere usati per lavoro.
- Dati vietati o soggetti ad autorizzazione: distinguere dati personali, informazioni riservate e documenti coperti da obblighi contrattuali.
- Attività consentite: chiarire per quali compiti l’AI può essere usata e quali decisioni non possono essere delegate.
- Verifica degli output: stabilire chi controlla testi, analisi, immagini e risposte prima dell’utilizzo.
- Responsabilità ed escalation: indicare a chi rivolgersi quando l’uso è dubbio o il materiale è particolarmente delicato.
Vietare tutto non risolve il problema
Un divieto assoluto, se non realistico, può spingere le persone a utilizzare strumenti personali senza dirlo. L’azienda perde così visibilità proprio sugli usi che vorrebbe controllare.
Regole troppo permissive, al contrario, lasciano aperti rischi non necessari.
La soluzione è proporzionata: autorizzare gli usi a basso rischio, proteggere i dati, richiedere il controllo umano e prevedere un’autorizzazione per le attività più sensibili.
Una policy generica può essere quasi inutile
Copiare un modello trovato online non dice nulla su come lavora davvero l’impresa.
Le regole devono considerare almeno le funzioni coinvolte, i documenti trattati, gli strumenti già in uso, il rapporto con fornitori esterni e il tipo di output prodotto.
Una società di servizi, un’impresa manifatturiera e uno studio professionale possono usare lo stesso chatbot, ma espongono informazioni e processi molto diversi.
Da dove iniziare: prima la mappa, poi la policy
Prima di scrivere regole, conviene rispondere a poche domande concrete:
- Quali strumenti vengono già utilizzati?
- Da quali persone e funzioni?
- Per quali attività?
- Quali dati o documenti vengono inseriti?
- Gli output restano interni o vengono inviati all’esterno?
- I fornitori usano AI per conto dell’azienda?
- Esiste già una verifica umana?
Questa ricognizione permette di distinguere gli usi utili da quelli che richiedono cautele, autorizzazioni o strumenti diversi.
Domande frequenti sull’uso dell’AI in azienda
Un dipendente può usare liberamente il proprio account ChatGPT per lavorare?
Non dovrebbe essere lasciato alla sola iniziativa individuale. L’azienda deve valutare lo strumento, le impostazioni, i dati trattati e l’opportunità di usare account aziendali.
Basta anonimizzare i nomi per eliminare ogni rischio?
No. Il documento può restare riconoscibile o contenere informazioni riservate, commerciali o contrattuali anche senza nomi.
Ogni output dell’AI deve essere controllato?
Il livello di controllo dipende dall’uso. Tutto ciò che produce effetti verso l’esterno o supporta decisioni rilevanti dovrebbe essere verificato da una persona competente.
Una PMI deve adottare subito un sistema complesso di compliance AI?
Non necessariamente. Può iniziare con una mappatura degli usi, regole essenziali, formazione proporzionata e un processo di revisione periodica.
L’AI non va fermata: va riportata dentro l’organizzazione
Quando ogni collaboratore usa l’intelligenza artificiale secondo criteri propri, l’azienda non sta innovando: sta delegando in modo inconsapevole decisioni su dati, riservatezza e qualità.
Poche regole chiare consentono invece di usare gli strumenti con maggiore sicurezza, senza trasformare la compliance in burocrazia.
Lo Studio assiste imprese e studi professionali nella ricognizione degli usi di AI, nella valutazione dei rischi e nella predisposizione di policy interne proporzionate all’organizzazione.
L’articolo offre informazioni generali. Gli obblighi applicabili dipendono dagli strumenti, dagli usi concreti, dai dati trattati e dal ruolo assunto dall’organizzazione ai sensi della normativa europea.