Policy AI aziendale e registro degli strumenti: un documento che vale davvero

Ognuno usa l’AI a modo suo, finché qualcuno chiede le regole

In molte piccole aziende l’AI è entrata dalla porta di servizio. Un commerciale ha aperto ChatGPT per riscrivere un’offerta in inglese, l’amministrazione ha trovato Copilot dentro Office, qualcuno traduce i contratti dei fornitori con un servizio gratuito trovato su Google. Nessuno ha deciso niente, ognuno fa a modo suo, e nel frattempo dati aziendali, e a volte dati dei clienti, finiscono in strumenti di cui non si sa dove conservano le informazioni.

Il momento in cui la cosa diventa un problema è quasi sempre lo stesso: qualcuno da fuori chiede «la vostra policy sull’AI». Un cliente grande che sta censendo i fornitori (i soggetti NIS2, secondo il D.lgs. 138/2024, lo fanno per obbligo), il consulente privacy nella visita annuale, un revisore, un bando che vuole allegati. La policy non esiste, e quella scaricata dal web è scritta per una multinazionale.

C’è anche un quadro normativo, senza drammi. L’art. 4 dell’AI Act (Reg. UE 2024/1689) si applica dal 2 febbraio 2025 e chiede a chi usa sistemi AI, compresi i chatbot generici, di adottare misure per l’alfabetizzazione del personale; il Digital Omnibus (Reg. UE 2026/1744, in vigore dal 24 luglio 2026) lo ha ammorbidito: restano le misure di sostegno, «senza dover dimostrare un livello specifico». Una policy scritta e un registro degli strumenti sono la prova più semplice che quelle misure esistono. Per gli studi professionali la Legge 132/2025, in vigore dal 10 ottobre 2025, aggiunge il dovere di informare i clienti sull’uso dell’AI nella prestazione: anche questo va scritto da qualche parte, e la policy è il posto giusto.

Cosa ti lascio: policy, registro, presa visione

Alla fine del lavoro hai in mano tre documenti, in Word e PDF, con i riferimenti della tua azienda.

• La policy AI: due-quattro pagine che dicono quali strumenti si possono usare, con quali dati e con quali mai (dati sanitari, coordinate bancarie dei clienti, listini riservati, segreti industriali), chi risponde di cosa, come si controlla un risultato prima di usarlo, cosa non si fa. Niente premessa di cinque pagine su cos’è l’intelligenza artificiale.
• Il registro degli strumenti AI in uso: una tabella con nome dello strumento, fornitore, piano (gratuito o a pagamento), dati che ci passano, dove vengono conservati secondo le condizioni del fornitore, responsabile interno, data dell’ultima revisione. È la parte che chi ti fa domande vuole vedere per prima.
• Il modulo di presa visione: una pagina che ogni persona firma. Così la policy non resta in un cassetto e tu hai una traccia da esibire.

Cosa copre il prezzo fisso e cosa lascio ad altri

Compreso: l’intervista di circa un’ora con il titolare, in azienda a Verona e dintorni o in videochiamata da tutta Italia; un breve giro tra le persone per censire gli strumenti che usano davvero; la lettura delle condizioni sui dati dei fornitori censiti; la stesura dei tre documenti; un giro di correzioni con te; venti minuti in cui la spiego al personale, se vuoi.

Non compreso: il parere legale (non sono un avvocato, la policy è un documento organizzativo), la valutazione d’impatto privacy (DPIA), le modifiche all’informativa o ai contratti con i clienti, il registro dei trattamenti GDPR. Se ti servono, li scrive il tuo consulente privacy, e la mia policy gli arriva come base già ordinata. Non compresa neanche la formazione: per quella c’è l’alfabetizzazione AI documentata a 1.200 €, che include già policy e registro. Se scegli quella, questo servizio non lo paghi due volte.

Cosa devo sapere della tua azienda prima di scrivere

Poco, ma vero. Un’ora di chi decide cosa si può fare in azienda. L’elenco delle persone che usano strumenti AI, anche solo «credo che in ufficio qualcuno usi ChatGPT». Se ci sono piani aziendali (Copilot in Microsoft 365, Gemini in Google Workspace, ChatGPT Team), il contatto di chi amministra gli account, per leggere le condizioni sul trattamento dei dati. Se esiste, l’informativa privacy attuale e il nome del consulente privacy, così non scrivo regole in contrasto con le sue. Non mi servono password né accessi ai vostri dati.

Se nessuno sa davvero cosa usano i colleghi, il giro di raccolta lo faccio io: cinque minuti a persona, senza colpevolizzare nessuno. Le regole minime da cui parto le ho messe per iscritto nella guida su sicurezza e privacy dell’AI in ufficio: la policy le adatta al tuo caso.

Una settimana di lavoro, se il registro non nasconde sorprese

Dall’intervista alla bozza passano di norma cinque-sette giorni lavorativi; la consegna definitiva dipende dai tuoi tempi di rilettura. Allungano il lavoro gli strumenti di cui nessuno conosce il fornitore, un consulente privacy da coinvolgere sulle formulazioni, più sedi con abitudini diverse. Lo accorciano un elenco già pronto e un titolare che decide in fretta.

La policy non è eterna. Ogni volta che entra uno strumento nuovo o cambia un piano va aggiornato il registro: è una riga di tabella, e la può fare la persona responsabile indicata nel documento. Consiglio una rilettura all’anno.

600 € una volta sola, poi la policy è tua

Il servizio costa 600 € più IVA, prezzo fisso: 50% alla partenza, 50% alla consegna. Nessun canone e nessun rinnovo obbligatorio: i documenti sono tuoi e li aggiorni tu. Se tra un anno vuoi che la rilegga io, o se un cliente ti manda un questionario fornitori di quaranta domande e vuoi una mano a rispondere, si lavora a ore, 80 € l’ora, oppure con un blocco di assistenza a chiamata da 10 ore a 750 €, da consumare quando serve. Niente abbonamenti.

Esempio dimostrativo: nove persone e quattro strumenti che nessuno aveva censito

Esempio dimostrativo — Immagina un’azienda commerciale di nove persone a San Martino Buon Albergo: due in amministrazione, quattro commerciali, una persona in magazzino, una al marketing e il titolare. Un grossista del Nord Europa manda il questionario fornitori annuale e, per la prima volta, una sezione chiede se esiste una policy sull’uso dell’AI e quali strumenti trattano dati del cliente.

Nell’ora con il titolare e nel giro tra le scrivanie escono quattro strumenti: ChatGPT gratuito usato dai commerciali per le email in inglese, Copilot incluso in Microsoft 365, un traduttore online per le schede prodotto, e un servizio di trascrizione delle riunioni che qualcuno ha attivato con la carta aziendale. Solo Copilot ha condizioni chiare sui dati; il traduttore gratuito conserva i testi e li usa per addestrare il servizio.

La policy che ne esce dice tre cose semplici: per testi con nomi di clienti e prezzi si usa solo Copilot con l’account aziendale; il traduttore gratuito va bene per testi già pubblici; la trascrizione delle riunioni si sospende finché non si leggono le condizioni. Il registro elenca i quattro strumenti con responsabile e data. Nove firme sul modulo di presa visione, la risposta al questionario si compila in mezz’ora e il titolare scopre un abbonamento che nessuno usava più (esempio, non un caso reale).

Quando bastano tre righe e un foglio

Se sei da solo o siete in due e usate un solo strumento, una policy formale è più carta di quanta ne serva: tre regole scritte in un’email a te stesso e il registro su un foglio li fai da solo in mezz’ora. Non serve nemmeno se hai già una policy scritta dal consulente privacy o dal gruppo di cui fai parte: semmai ti aiuto ad applicarla. E non è la risposta giusta se il vero problema è che il personale non sa usare gli strumenti: lì la policy da sola non cambia niente, serve la formazione, e nella guida sull’art. 4 dell’AI Act spiego cosa chiede davvero la norma e cosa no.

Una cosa resta a carico tuo in ogni caso: farla rispettare. Io scrivo regole chiare e realistiche; se poi nessuno le guarda, il documento vale quanto la carta su cui è stampato. E il controllo di quello che l’AI produce resta di chi lo usa, con o senza policy.

Per partire: tre righe su WhatsApp o via email

Scrivimi su WhatsApp o mandami un’email a info@cangrandeai.it con tre righe: quante persone siete, quali strumenti AI pensi che si usino (anche se non sei sicuro) e chi ti ha chiesto la policy, se qualcuno l’ha chiesta. Il primo confronto è gratuito e ti dico subito se ti serve questo servizio, la formazione, o solo mezz’ora con un foglio.