Sicurezza e privacy quando si usa l’AI in ufficio: le regole minime che scrivo sempre

Sei domande, sì o no: dove sei oggi

Rispondi in un minuto.

1. Sai quali strumenti AI usano le persone in ufficio, e con quale account?
2. Esiste un foglio scritto che dice cosa si può incollare e cosa no?
3. Chi usa l’AI per lavoro ha un account aziendale, non quello personale con la Gmail di casa?
4. Qualcuno ha controllato le impostazioni su addestramento e conservazione delle conversazioni?
5. I dati dei clienti (nomi, contratti, referti, bilanci) passano solo da strumenti autorizzati?
6. Se registri o trascrivi una riunione, chi partecipa lo sa e ha detto sì?

Zero o un sì: è la situazione normale nel 2026, ma il rischio lo porti senza saperlo. Da due a quattro sì: hai le fondamenta, manca la carta che le rende una regola. Cinque o sei sì: la policy la scrivi in un pomeriggio.

Cosa chiede la legge, senza gonfiarlo

Due testi contano, e nessuno dei due chiede l’impossibile.

L’articolo 4 dell’AI Act, il Regolamento UE 2024/1689 applicabile dal 2 febbraio 2025, dice che chi usa sistemi AI «adotta misure» per garantire un livello sufficiente di alfabetizzazione del personale. Il Digital Omnibus, Regolamento UE 2026/1744 in vigore dal 24 luglio 2026, ha attenuato il testo: resta l’obbligo di adottare misure, «senza dover dimostrare un livello specifico», come ricostruisce FiscoeTasse nella scheda sulle modifiche. Al 30 settembre 2026 non risulta nessuna sanzione a una PMI per l’art. 4. Le regole di questa guida sono una di quelle «misure». Ne parlo per esteso nella guida sull’art. 4.

La legge italiana 132 del 23 settembre 2025, in vigore dal 10 ottobre 2025, chiede a chi usa l’AI competenze adeguate e ai professionisti intellettuali di informare i clienti sull’uso di sistemi AI nella prestazione; le sanzioni sono rinviate ai decreti attuativi. Per uno studio significa una riga in più nell’incarico. Il dettaglio sta nella guida sulla legge 132.

Poi c’è il GDPR, che non è nuovo: incollare l’anagrafica di un cliente in uno strumento AI è un trattamento come un altro, con un fornitore in mezzo. Serve sapere chi è e cosa fa con il dato.

Le sei regole che metto in ogni policy

1. Cosa non si incolla. Con un account personale, niente che riguardi una persona identificabile o un affare riservato: nomi e codici fiscali, contratti, offerte, bilanci, referti, password, chiavi di accesso, codice sorgente proprietario. Vale anche per gli screenshot. Un testo senza nomi, una formula, una traduzione generica vanno bene. La regola pratica: prima di incollare, chiediti se lo manderesti a uno sconosciuto per email.

2. Account aziendale, non personale. L’account personale è il problema più diffuso e il meno visibile: il titolare non sa che esiste, non lo chiude quando la persona se ne va, non sa cosa contiene. Chi usa l’AI per lavoro ha un account intestato all’azienda, con controllo sugli accessi.

3. Addestramento e conservazione, controllati a mano. In molti strumenti c’è un’impostazione che decide se le conversazioni possono servire ad addestrare i modelli e per quanto restano salvate, e la risposta cambia tra piano personale e piano aziendale. Non fidarti di un articolo, nemmeno di questo: la apri, la leggi, la scrivi nel registro con la data, e la ricontrolli ogni sei mesi.

4. Dati dei clienti solo dove è autorizzato. Il segreto professionale non ha una casella «AI»: il fascicolo di un cliente entra solo in strumenti che hai messo nel registro, con un contratto in cui il fornitore dice cosa fa con il dato e dove lo tiene. Per i casi in cui nessun fornitore va bene c’è il locale, sotto.

5. Registrazioni e trascrizioni con consenso. Gli assistenti che trascrivono le riunioni sono utili, e li uso per i verbali automatici. La regola è una: chi partecipa lo sa prima e dice sì, e tu sai dove finisce la registrazione e quando viene cancellata. Lo scrivi nell’invito, lo ripeti all’inizio.

6. Un foglio scritto e un registro. Le cinque regole sopra, su una pagina, firmata da chi usa gli strumenti; accanto, un registro con strumento, piano, chi lo usa, per cosa, impostazioni controllate e data. È il documento che mostri al cliente o al consulente privacy. Lo preparo come policy AI con registro degli strumenti.

Cosa cambia in pratica: un ufficio da otto persone

Esempio dimostrativo — Immagina uno studio di consulenza con otto persone. Tre usano ChatGPT con l’account personale per riscrivere email e riassumere documenti dei clienti; una usa un’app che trascrive le chiamate; il titolare non lo sa. Il primo passo non è vietare: è il registro, che fa emergere quattro strumenti in un’ora. Il secondo è aprire account aziendali al posto dei personali e controllare le impostazioni. Il terzo è la pagina di regole, letta insieme in una mattina di formazione sui loro documenti. Dopo un mese le persone usano l’AI più di prima, perché sanno cosa possono fare senza chiedere il permesso ogni volta. (esempio, non un caso reale)

Quando le regole non bastano e serve il locale

Ci sono dati che non devono uscire: referti, fascicoli legali e notarili, disegni tecnici riservati, dati di produzione. Lì la policy da sola non basta, perché la regola sarebbe «nessuno strumento», e la gente lo usa lo stesso. La risposta è un modello che gira su un computer in azienda: le domande e i documenti non lasciano la rete interna. Con me l’AI locale parte da 2.900 € più IVA, hardware escluso; quando conviene e quando no lo spiego nella guida locale o cloud.

Cosa faccio io

Tre cose, separate, a prezzo scritto (IVA esclusa):

• Policy AI aziendale con registro degli strumenti: 600 € più IVA. Faccio emergere gli strumenti in uso, scrivo la pagina di regole con i vostri esempi, compilo il registro.
• Alfabetizzazione AI documentata (AI Act art. 4): 1.200 € più IVA fino a 10 persone, 60 € a persona oltre. Una mattina di formazione sul vostro lavoro, con dentro policy, registro, attestati e verbale.
• AI e GDPR in azienda: quando servono le carte con il fornitore e il consulente privacy vuole risposte precise.

Non faccio il consulente privacy e non sostituisco il DPO: scrivo le regole tecniche e le insegno; le valutazioni giuridiche restano a chi le firma.

Errori da evitare

• Vietare tutto. Il divieto sposta l’uso sul telefono personale, dove non vedi niente.
• Fidarsi della parola «enterprise». Il piano aziendale dà controlli, non li applica da solo: le impostazioni vanno aperte e verificate.
• Una policy di venti pagine. Nessuno la legge. Una pagina con tre elenchi e una firma basta.
• Fare la formazione generica. Un video sull’AI non dice al tuo impiegato cosa fare con il PDF del cliente che ha davanti.
• Scrivere le regole e non aggiornare il registro. Gli strumenti cambiano ogni pochi mesi; un registro fermo a un anno fa dice che non lo guardi.

Come si parte

Scrivimi su WhatsApp con due righe su quante persone siete e quali strumenti usate già, oppure mandami un esempio via email a info@cangrandeai.it: una email o un documento che oggi qualcuno incollerebbe in ChatGPT. Nel primo confronto, gratuito, ti dico se basta la policy o se serve altro.