Policy aziendale sull'uso di ChatGPT e degli strumenti AI: cosa scriverci e un modello da adattare

Una policy aziendale sull'uso di ChatGPT e degli strumenti AI è un documento di una o due pagine che dice ai dipendenti quali strumenti possono usare, quali dati non devono mai inserirci, come si controlla un risultato prima di usarlo e chi risponde di cosa. Si scrive in sei sezioni, si firma in direzione e si spiega a voce: senza formazione resta un PDF in una cartella.

Sotto trovi le sei sezioni, un modello da copiare e il legame con AI Act e GDPR, con le fonti. Aggiornato al 12 novembre 2026.

Perché serve una policy scritta, anche in un'azienda piccola

Le persone usano già gli assistenti AI, con o senza il permesso dell'azienda. Spesso lo fanno con un account personale, incollando un'offerta, un contratto o l'elenco dei clienti per fare prima. Nessuna cattiva intenzione: manca una regola.

Vietare tutto non funziona. Il divieto sposta l'uso dove non lo vedi, ed è il meccanismo che abbiamo descritto parlando di shadow AI nelle aziende italiane. Una policy fa il contrario: indica la strada permessa e la rende più comoda di quella vietata.

Cosa deve contenere: le sei sezioni

Sezione	A quale domanda risponde	Cosa scrivere
Strumenti ammessi	Cosa posso usare?	L'elenco degli strumenti approvati, con l'account aziendale, e chi approva uno strumento nuovo
Dati vietati	Cosa non devo mai inserire?	Le categorie di dati che non entrano in nessun assistente, e quelle ammesse solo negli strumenti approvati
Verifica dei risultati	Posso fidarmi della risposta?	Quando serve il controllo di una persona e come si fa
Responsabilità	Chi risponde se qualcosa va storto?	Chi usa lo strumento risponde del risultato; chi è il referente in azienda
Trasparenza	Devo dire che ho usato l'AI?	I casi in cui si dichiara, verso i clienti e verso i colleghi
Formazione e aggiornamento	Come imparo, e quando cambia la regola?	Chi viene formato, come si registra, ogni quanto si rivede il documento

Sei sezioni bastano: una policy di venti pagine non la legge nessuno.

Strumenti ammessi

Scrivi i nomi, non le categorie. "ChatGPT con l'account aziendale" è una regola; "strumenti di AI generativa conformi" non lo è.

La distinzione che conta è fra account aziendale e account personale. Sui piani per le aziende i fornitori si impegnano per contratto su come trattano i dati: OpenAI, per esempio, dichiara di non usare per impostazione predefinita i dati dei piani ChatGPT Business, Enterprise e della piattaforma API per addestrare i modelli, e offre un addendum sul trattamento dei dati. Negli account personali valgono altre condizioni e dipendono dalle impostazioni di ogni singolo utente, che l'azienda non controlla.

Dati vietati

È la sezione che le persone consultano di più, quindi va scritta per esempi. Tre livelli sono sufficienti:

• Mai, in nessuno strumento: password e credenziali, dati sanitari, dati giudiziari, documenti d'identità.
• Solo negli strumenti approvati: dati personali di clienti, fornitori e dipendenti; contratti, listini, offerte, bilanci non pubblici.
• Liberi: testi già pubblici, materiale di marketing, domande generiche senza riferimenti a persone o aziende.

Verifica dei risultati

Un assistente AI può scrivere una cosa falsa con lo stesso tono con cui ne scrive una vera. La regola da mettere per iscritto: tutto ciò che esce dall'azienda, entra in un documento ufficiale o porta a una decisione su una persona viene riletto da chi lo firma. Numeri, norme citate e nomi propri si controllano sulla fonte.

Responsabilità

Chi usa lo strumento risponde del risultato come se l'avesse scritto da solo. La policy indica anche un referente a cui fare domande e a cui segnalare un errore o un dato inserito per sbaglio.

Un modello di policy da copiare e adattare

Sostituisci le parti fra parentesi quadre. È un punto di partenza, da far rileggere a chi segue privacy e lavoro in azienda.

Policy sull'uso degli strumenti di intelligenza artificiale - [nome azienda] - versione [data]

1. A chi si applica. A tutti i dipendenti e collaboratori che usano strumenti AI per il lavoro, su qualsiasi dispositivo.

2. Strumenti ammessi. Si usano solo [elenco strumenti] con l'account aziendale. Per chiedere uno strumento nuovo si scrive a [referente]. Gli account personali non si usano per attività di lavoro.

3. Dati. Non si inseriscono mai: credenziali, dati sanitari o giudiziari, documenti d'identità. Dati personali e documenti riservati si inseriscono solo negli strumenti ammessi e solo se servono all'attività. Quando è possibile si tolgono nomi e riferimenti.

4. Verifica. Ogni risultato viene riletto prima dell'uso. Dati, citazioni e riferimenti normativi si controllano sulla fonte. Nessuna decisione che riguarda una persona si prende sulla sola base di un risultato dell'AI.

5. Responsabilità. Chi usa lo strumento risponde del contenuto che invia o firma. Errori e inserimenti di dati per sbaglio si segnalano subito a [referente].

6. Trasparenza. Si dichiara l'uso dell'AI quando un cliente parla con un sistema automatico e quando si pubblicano immagini, audio o video generati.

7. Formazione. Chi usa gli strumenti partecipa alla formazione prevista da [nome azienda]. Le sessioni sono registrate in [registro].

8. Aggiornamento. La policy si rivede ogni [sei mesi] e a ogni nuovo strumento. Approvata da [nome e ruolo] il [data].

Cosa c'entrano l'AI Act e il GDPR

L'articolo 4 dell'AI Act

L'articolo 4 del regolamento europeo sull'AI chiede a chi usa sistemi di AI di adottare misure a sostegno dell'alfabetizzazione del personale. Si applica dal 2 febbraio 2025. Il regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, lo ha modificato nell'estate 2026: l'obbligo resta, ma non è più richiesto un livello specifico o "sufficiente" da garantire.

La Commissione europea, nelle sue domande e risposte aggiornate al 20 ottobre 2026, precisa tre punti utili a chi scrive una policy. Non serve un certificato. L'organizzazione può tenere un registro interno delle formazioni e delle altre iniziative di guida. La vigilanza spetta alle autorità nazionali di sorveglianza del mercato, dal 2 agosto 2026.

La policy è una di queste "iniziative di guida", ma da sola non è formazione. Il lavoro completo lo fanno insieme il documento, le sessioni in cui lo si spiega sui casi veri dell'azienda e il registro di chi ha partecipato. È il modo in cui impostiamo i percorsi di formazione AI e regole d'uso.

Il GDPR

Se in un assistente entrano dati personali, quello è un trattamento e valgono le regole di sempre. Tre articoli del regolamento (UE) 2016/679 toccano direttamente la policy: l'articolo 5 (si usano solo i dati necessari allo scopo), l'articolo 28 (il fornitore che tratta dati per conto dell'azienda va nominato responsabile con un contratto) e l'articolo 32 (misure di sicurezza adeguate). Per questo la sezione sugli strumenti ammessi e quella sui dati vietati vanno scritte insieme a chi segue la privacy.

Come farla rispettare senza fare il poliziotto

Tre cose pesano più del testo.

La prima: dare lo strumento giusto. Se l'azienda mette a disposizione un assistente approvato e comodo, la tentazione dell'account personale cala da sola.

La seconda: spiegarla a voce, reparto per reparto, sugli esempi di quel reparto.

La terza: partire dalla direzione. Se i primi a usare gli strumenti approvati e a rispettare le regole sono i titolari e i responsabili, il resto dell'azienda segue. È lo stesso ordine con cui lavoriamo in azienda: prima le persone, poi i processi, la tecnologia per ultima.

Domande frequenti

La policy sull'uso dell'AI è obbligatoria per legge?

Nessuna norma impone un documento con questo nome. L'articolo 4 dell'AI Act chiede misure a sostegno dell'alfabetizzazione del personale e il GDPR chiede istruzioni a chi tratta dati personali: una policy scritta, insieme alla formazione, è il modo più semplice per rispondere a entrambi e dimostrarlo.

Ogni quanto va aggiornata?

Almeno ogni sei mesi, e ogni volta che entra uno strumento nuovo o cambia una norma. Gli strumenti cambiano più in fretta delle regole che li riguardano.

Fonti

• Commissione europea, AI Literacy - Questions & Answers, aggiornamento del 20 ottobre 2026
• Regolamento (UE) 2024/1689 (AI Act), articolo 4, come modificato dal regolamento (UE) 2026/1744
• Regolamento (UE) 2016/679 (GDPR), articoli 5, 28 e 32
• OpenAI, Privacy, sicurezza e conformità dei dati aziendali, consultata l'11 novembre 2026

Ultimo aggiornamento: 12 novembre 2026. Il modello è un punto di partenza e non sostituisce una valutazione legale sul caso concreto.