Modello di policy sull’uso dell’AI: 9 clausole e il passaggio che tutti saltano

La maggior parte delle policy sull’AI viene scritta per essere archiviata, non per essere seguita. Un modello di policy sull’uso dell’AI che funziona richiede nove clausole in linguaggio chiaro su strumenti approvati, dati vietati, un dovere di verifica, trasparenza e registrazioni, e potete adattare lo scheletro completo qui sotto in meno di otto ore. Il modello, però, è la metà facile. Dal 2 agosto 2026 le autorità nazionali iniziano anche a vigilare sull’obbligo dell’EU AI Act di rendere il personale competente in AI, e un documento parcheggiato sulla intranet non basta a raggiungerlo. La formazione AI per i dipendenti sì, e questo articolo mostra come consegnare entrambe in una settimana.

Cosa deve contenere un modello di policy sull’uso dell’AI?

Un modello di policy sull’uso dell’AI deve contenere nove clausole brevi che dicano ai dipendenti quali strumenti possono usare, quali dati non devono mai uscire dall’azienda, chi controlla gli output dell’AI, quando l’uso dell’AI va dichiarato e come l’azienda conserva le registrazioni. Copiate lo scheletro qui sotto, sostituite il responsabile tra parentesi con un nome vero e cancellate tutto ciò che non riguarda la vostra attività.

1. Strumenti approvati. Usiamo solo gli strumenti di AI presenti nell’elenco approvato tenuto da [responsabile]. Qualsiasi altro strumento richiede un’autorizzazione scritta prima del primo utilizzo.
2. Solo account aziendali. Usate il vostro account aziendale sugli strumenti approvati, mai un account personale, così l’utilizzo resta visibile e valgono le impostazioni corrette sui dati.
3. Dati vietati. Non inserite mai dati personali di clienti o dipendenti, documenti finanziari, password o credenziali, codice sorgente riservato o segreti commerciali in uno strumento di AI, a meno che quello strumento non sia esplicitamente approvato per quella categoria di dati.
4. Dovere di verifica. Rispondete di tutto ciò che consegnate. Controllate ogni fatto, cifra, citazione, calcolo e riga di codice generati dall’AI prima che arrivino a un collega, a un cliente o a un sistema.
5. Trasparenza. Informate il vostro responsabile, e il cliente dove il contratto lo richiede, quando l’AI ha prodotto una parte sostanziale di un deliverable.
6. Decisioni ad alto impatto. Uno strumento di AI non prende mai, e non decide di fatto, assunzioni, licenziamenti, valutazioni creditizie, esiti medici o legali. Decide una persona qualificata, in grado di spiegare il perché.
7. Segnalazione degli incidenti. Segnalate a [responsabile] entro 24 ore ogni sospetta fuga di dati o output dannoso dell’AI. Segnalare un errore in buona fede non viene mai sanzionato.
8. Formazione. Ogni dipendente completa la formazione AI aziendale entro 30 giorni dall’ingresso, conferma di aver letto questa policy e ripete la formazione quando la policy cambia in modo sostanziale.
9. Revisione. [Responsabile] rivede questa policy ogni sei mesi e ogni volta che adottiamo un nuovo strumento di AI o entriamo in un nuovo mercato.

Questo è l’intero documento. Una pagina batte dodici, perché una policy sull’AI per i dipendenti funziona solo se le regole si ricordano esattamente nel momento in cui si sta per incollare qualcosa in una finestra di chat.

Perché una policy di uso accettabile dell’AI fallisce senza formazione?

Una policy di uso accettabile dell’AI fallisce senza formazione perché dice alle persone cosa fare ma non come farlo, e la maggior parte delle violazioni nasce dall’ignoranza più che dalla disobbedienza. La clausola 3 qui sopra presuppone che un dipendente sappia riconoscere i dati personali sepolti in un foglio di calcolo disordinato prima di caricarlo. La clausola 4 presuppone che sappia verificare una risposta che suona sicura ed è sbagliata. Nessuna delle due competenze è ovvia per chi non se l’è mai vista spiegare, ed è per questo che le policy firmate convivono così spesso con violazioni quotidiane.

C’è un secondo modo di fallire: regole rigide senza competenze spingono l’uso in clandestinità. Quando ai dipendenti si dice solo cosa non devono fare e non si insegna mai cosa possono fare bene, molti passano in silenzio ad account personali su telefoni privati, ricreando esattamente il problema della shadow AI al lavoro che la policy doveva prevenire.

Vale anche il contrario. La formazione senza policy non ha mordente: non c’è un elenco di strumenti approvati a cui appellarsi, nessuna regola condivisa da far rispettare e nessun documento unico da mostrare a un cliente o a un’autorità che chieda come è governato l’uso dell’AI. Policy e formazione sono due metà dello stesso controllo, e da sole valgono quasi nulla.

L’EU AI Act impone una policy sull’AI e la formazione?

L’EU AI Act non impone una policy sull’uso dell’AI scritta, ma Article 4 del Regolamento (UE) 2024/1689 richiede dal 2 febbraio 2025 alle aziende il cui personale usa strumenti di AI come ChatGPT di adottare misure che garantiscano un livello sufficiente di alfabetizzazione AI, senza esenzioni per le piccole imprese. Le autorità nazionali iniziano a vigilare e a far rispettare quell’obbligo il 2 agosto 2026, poche settimane dopo la pubblicazione di questo articolo, e a luglio 2026 nessuna azienda era stata sanzionata in base a Article 4.

Contano due sfumature. Primo, il Digital Omnibus del 2026 ha attenuato Article 4 trasformandolo in un’obbligazione di mezzi: le aziende devono adottare misure appropriate per sostenere l’alfabetizzazione AI anziché garantire un risultato, ma l’obbligo in sé resta pienamente in vigore. Secondo, le linee guida della Commissione europea affermano che le sole istruzioni per l’uso non bastano e indicano la formazione come la misura pratica attesa. Nessun certificato è richiesto per legge e le registrazioni interne della formazione sono sufficienti, anche se i certificati restano un modo comodo per documentare quanto fatto. Le sanzioni per le violazioni di Article 4 sono fissate da ciascuno Stato membro e devono essere proporzionate, quindi ignorate chiunque colleghi all’alfabetizzazione AI le cifre da titolo di giornale delle multe dell’AI Act. Per il quadro completo, leggete la nostra guida su Article 4 e l’obbligo di alfabetizzazione AI.

La lettura pratica nel 2026: una policy di una pagina più formazione documentata è la risposta proporzionata più semplice che un’azienda normale possa dare.

Come si lanciano policy e formazione AI in una settimana?

Potete lanciare una policy sull’uso dell’AI e una formazione AI per i dipendenti su tutta l’azienda in cinque giorni lavorativi trattandole come un unico lancio anziché come due progetti. Il primo giorno adattate il modello a nove clausole qui sopra, nominate il responsabile e scrivete l’elenco degli strumenti approvati. Il secondo giorno ottenete l’approvazione della direzione e, se esiste, dell’ufficio legale. Il terzo giorno inviate una sola e-mail per dipendente contenente insieme la policy e l’invito alla formazione, così regole e competenze arrivano in un unico pacchetto. Il quarto e il quinto giorno le persone completano la formazione al proprio ritmo, e il responsabile sollecita i ritardatari e archivia le registrazioni di completamento.

La parte formativa è più leggera di quanto la maggior parte dei team si aspetti. Learnery è una piattaforma di formazione AI che funziona nel browser e certifica un dipendente in circa otto ore a 39 euro a postazione con pagamento una tantum, senza abbonamento, senza installazione e con contenuti che si adattano al vostro settore e al ruolo di ciascuno. Gli sconti a volume rendono il conto semplice: un’azienda di 25 persone paga 39 euro a postazione meno il 20 per cento di sconto oltre le 10 postazioni, cioè 31,20 euro a persona e 780 euro in tutto per un rollout documentato e certificato. La nostra guida su come estendere la formazione AI a tutta l’azienda tratta inviti, solleciti e monitoraggio dei completamenti nel dettaglio, e potete creare un account e inviare i primi inviti lo stesso giorno.

Come si evita che le regole sull’AI in azienda invecchino?

Le regole sull’AI in azienda restano attuali quando una persona nominata rivede la policy ogni sei mesi, aggiorna l’elenco degli strumenti approvati ogni volta che se ne adotta uno nuovo e fa formare ogni nuovo assunto entro 30 giorni. La revisione in sé è rapida: controllare se l’elenco degli strumenti corrisponde ancora alla realtà, se qualche segnalazione di incidente indica una clausola mancante e se le registrazioni della formazione sono complete.

Le registrazioni sono la parte che auditor e clienti chiedono davvero. Tenete le conferme di lettura firmate accanto alle prove della formazione in un’unica cartella. La dashboard di amministrazione di Learnery traccia i completamenti e rilascia a ogni persona che finisce un certificato con un codice verificabile online da chiunque, il che trasforma la domanda imbarazzante sulle prove in un link. Se dovete ancora giustificare il budget internamente, il calcolatore di ROI gratuito converte i minuti risparmiati per dipendente in una cifra in euro in circa due minuti. Una policy, persone formate e registrazioni: questo è l’intero sistema, e sta in una settimana e in una pagina.