In molte PMI italiane l’intelligenza artificiale è già entrata in azienda, ma dalla porta di servizio. C’è chi incolla il testo di un contratto in un chatbot gratuito per farselo riassumere, chi traduce un’offerta con uno strumento online, chi genera una presentazione partendo dai dati di vendita. Ognuno con il proprio account personale, ognuno con le proprie abitudini, nessuno con una regola scritta. È il fenomeno noto come shadow AI: strumenti di intelligenza artificiale usati per lavoro fuori da ogni controllo aziendale.
Il problema non è l’entusiasmo delle persone — quello è un capitale da proteggere. Il problema è che, senza regole, i dati aziendali finiscono dove non dovrebbero: in servizi consumer che possono conservare le conversazioni, fuori dal perimetro del tenant, talvolta fuori dall’Unione Europea. E insieme ai dati viaggiano informazioni sui clienti, condizioni commerciali, dati personali dei dipendenti. A questo si aggiunge la qualità: un testo generato dall’AI può contenere errori fattuali presentati con assoluta sicurezza, e se nessuno ha l’obbligo di verificarlo prima di inviarlo a un cliente, prima o poi l’errore arriva a destinazione.
La risposta non è vietare l’AI: non funziona, e spinge l’uso ancora più nell’ombra. La risposta è una policy di utilizzo dell’AI: un documento breve, chiaro, approvato dalla direzione, che dice cosa si può fare, con quali strumenti, con quali dati e con quali responsabilità. Questa guida presenta un template Word scaricabile pensato per le PMI italiane, da personalizzare e adottare in pochi giorni. Fa parte della serie “Template Word per PMI” di SynSphere.
Scarica il template
Scarica il template “Policy uso AI in azienda” (.docx)
Il documento è organizzato in quattordici sezioni numerate, con tutti i punti da compilare segnalati tra parentesi quadre — nome azienda, responsabile interno, strumenti approvati — e si chiude con un modulo di presa visione da far firmare a ogni dipendente. Una precisazione doverosa: non è un parere legale. È una base di lavoro concreta, da far validare al proprio consulente o DPO prima dell’adozione formale.
Perché un template e non un foglio bianco
Una policy AI efficace per una PMI sta in poche pagine. Il difficile non è la lunghezza: è decidere cosa metterci. Chi parte dal foglio bianco oscilla tra due estremi — il divieto generico (“è vietato usare l’AI senza autorizzazione”) che nessuno rispetta, e il trattato di quaranta pagine che nessuno legge. Il template risolve il problema di struttura: le sezioni giuste, nell’ordine giusto, con il livello di dettaglio adatto a un’azienda di dimensioni PMI. A te restano le decisioni: quali strumenti approvare, chi nominare come responsabile, quali dati classificare come vietati.
C’è un secondo vantaggio, meno ovvio: un documento già strutturato è molto più rapido da validare. Il consulente legale o il DPO che riceve una bozza ordinata con i punti aperti evidenziati lavora di revisione, non di stesura — e la differenza si vede su tempi e costi.
Cosa contiene il template, sezione per sezione
Le quattordici sezioni coprono l’intero ciclo di vita della policy, dallo scopo al modulo di presa visione; qui le presentiamo raggruppate per tema. L’impostazione è la stessa della policy di sicurezza informatica della serie: regole operative, non principi astratti.
Scopo, ambito e definizioni
Definisce a chi si applica la policy (dipendenti, collaboratori, fornitori che operano su dati aziendali) e cosa si intende per “strumento di AI”: non solo i chatbot, ma anche gli assistenti integrati nelle applicazioni, i generatori di immagini, gli strumenti di trascrizione e traduzione automatica. È la sezione che chiude la scappatoia più comune: “ma io non usavo quel chatbot, usavo un’altra app”. Segue un breve glossario di definizioni — prompt, output, account consumer, tenant, shadow AI, allucinazione — con un’avvertenza che da sola vale il documento: anche i file allegati e i testi incollati fanno parte del prompt.
Strumenti approvati e strumenti vietati
Il cuore operativo: una tabella che classifica ogni strumento con uno stato — approvato, approvato con cautele (per esempio solo con account aziendale e senza dati riservati) o vietato per i dati aziendali — e la motivazione accanto a ogni riga. Il criterio guida è uno solo: lo strumento è utilizzabile con dati aziendali solo se un accordo contrattuale fra azienda e fornitore garantisce dove vengono trattati i dati, per quanto tempo e con quali finalità — quindi versioni business che escludono l’addestramento dei modelli e account aziendali, mai personali. L’elenco aggiornato è mantenuto da un responsabile interno indicato per nome — una policy senza un nome e un cognome non funziona — a cui passa la valutazione di ogni nuovo strumento.
Regole d’uso dei dati
La sezione più importante per la protezione dell’azienda. Elenca le categorie di informazioni che non vanno inserite in strumenti non approvati: dati personali di clienti e dipendenti, dati particolari come quelli sulla salute, credenziali e chiavi di accesso, codice sorgente proprietario, informazioni coperte da NDA, dati economici non pubblici. Anche sugli strumenti approvati vale poi il principio di minimizzazione — solo i dati necessari al compito, meglio se anonimizzati — con una tabella riassuntiva per categoria di dato. Su tutto ciò che tocca dati personali la regola del template è prudente: in caso di dubbio si chiede prima al responsabile, e la classificazione va comunque verificata con il consulente privacy o il DPO.
Esempi pratici di utilizzo
Otto scenari quotidiani — dal verbale riassunto con Copilot per preparare una riunione al contratto firmato caricato su un sito gratuito che “riassume i PDF” — ciascuno con la valutazione e il comportamento corretto. È la sezione che rende la policy comprensibile anche a chi non si occupa di IT, perché il divieto astratto si dimentica e l’esempio concreto no.
Verifica umana degli output
L’AI sbaglia, e sbaglia in modo convincente. Questa sezione fissa il principio cardine: la responsabilità dell’output è di chi lo usa, non dello strumento. Prima di inviare a un cliente, pubblicare o usare per una decisione un contenuto generato dall’AI, la persona deve verificarne fatti, numeri e riferimenti, con una checklist che rende il controllo rapido e ripetibile. Per i documenti ad alto impatto — offerte economiche, comunicazioni legali — è prevista una seconda revisione; le decisioni con effetti significativi sulle persone non si delegano all’AI.
Trasparenza e proprietà intellettuale
Quando dichiarare che un contenuto è stato generato o assistito dall’AI — verso i clienti, in gare e bandi, nei materiali pubblici — e come trattare i diritti sui contenuti generati, evitando di caricare materiali di terzi senza averne titolo. Anche qui il tono è prudente: per i casi non standard il template rimanda esplicitamente al consulente.
Alfabetizzazione AI, formazione e quadro normativo
Il template recepisce il principio di alfabetizzazione AI del regolamento europeo: chi utilizza sistemi di AI si impegna a garantire al personale un livello adeguato di competenza. In concreto: formazione iniziale su strumenti approvati, scrittura dei prompt e rischi, aggiornamento periodico, partecipazione registrata, neoassunti formati entro un termine definito. Per le PMI il tema non è più solo di opportunità ma anche di conformità: ne abbiamo parlato nella guida su cosa cambia per le PMI italiane con l’AI Act.
Segnalazione degli incidenti, sanzioni e presa visione
Chi inserisce per errore dati riservati in uno strumento non approvato deve poterlo dire subito, senza paura: la segnalazione in buona fede non ha conseguenze disciplinari, perché l’obiettivo è contenere i danni — e, se sono coinvolti dati personali, valutare in tempo gli obblighi di notifica al Garante. Le violazioni vere e proprie seguono una gestione proporzionata alla gravità, con rinvio al CCNL applicato e al consulente del lavoro. Chiudono il documento la revisione almeno annuale — il mercato degli strumenti AI cambia in fretta, e una policy mai aggiornata torna a essere carta — e il modulo di presa visione e accettazione da far firmare: la pagina che trasforma la policy in un impegno tracciato.
Come usare il template, passo per passo
- Censisci l’esistente. Prima di scrivere regole, scopri cosa le persone usano davvero: una breve survey anonima o qualche conversazione informale bastano. Una policy che ignora la realtà parte già scollegata.
- Compila i segnaposto. Nome azienda, responsabile interno, strumenti approvati, canale per le segnalazioni. I campi tra parentesi quadre indicano dove serve una decisione e dove basta adattare il testo.
- Decidi la lista degli strumenti. È la scelta che condiziona tutto il resto. Meglio una lista corta di strumenti verificati che un elenco lungo e incerto: aggiungere è facile, togliere è doloroso.
- Fai validare la bozza. Consulente legale, DPO se presente, consulente del lavoro per la parte disciplinare. Con un documento già strutturato la validazione è un lavoro di ore, non di settimane.
- Approva e comunica. La direzione firma, le persone ricevono il documento e firmano il modulo di presa visione incluso nel template. Una policy distribuita via email e mai richiamata ha vita breve.
- Forma le persone. Un incontro breve, con esempi concreti di cosa si può fare e cosa no, vale più di dieci pagine di regole. È anche il momento in cui emergono i casi d’uso reali.
- Metti in calendario la revisione. Strumenti nuovi, funzioni nuove, regole nuove: il responsabile della policy propone gli aggiornamenti, la direzione approva.
Gli errori più comuni
- Vietare tutto. Il divieto totale non elimina l’uso dell’AI: lo nasconde. Le persone continuano con gli account personali, ma senza più alcun motivo di dichiararlo.
- Adottare una policy fotocopia. Un documento generico scaricato e firmato senza adattamento non protegge: cita strumenti che non usi, ignora quelli che usi davvero, e al primo caso concreto si rivela inapplicabile.
- Vietare senza offrire alternative. Se la policy elenca solo divieti e l’azienda non mette a disposizione nessuno strumento approvato, lo shadow AI è garantito. La lista degli strumenti consentiti è importante quanto quella dei vietati.
- Saltare la formazione. La policy firmata e mai spiegata vale come informativa, non come comportamento. I dieci minuti di esempi pratici sono la parte che cambia le abitudini.
- Trattarla come un documento statico. Gli strumenti AI evolvono di mese in mese: una policy senza revisione programmata invecchia più in fretta di qualunque altro documento aziendale.
- Dimenticare i fornitori. Agenzie, consulenti e sviluppatori esterni lavorano sui tuoi dati: se la policy non li copre, il perimetro ha un buco proprio dove passano le informazioni più delicate.
Quando la policy non basta più
Una policy scritta definisce le regole, ma non le fa rispettare da sola. Quando l’uso dell’AI in azienda cresce, servono due mosse complementari sul piano tecnico.
La prima è dare alle persone un’alternativa ufficiale. La causa principale dello shadow AI è l’assenza di uno strumento aziendale: Microsoft 365 Copilot lavora dentro il perimetro del tenant, rispetta i permessi già assegnati a documenti e siti e non usa i dati aziendali per addestrare i modelli. Con uno strumento approvato e davvero utile, la policy smette di essere un elenco di divieti e diventa la cornice di un uso incoraggiato. Su come impostare il percorso senza bruciare le tappe, può aiutarti la nostra roadmap di adozione dell’AI in quattro fasi.
La seconda è la visibilità: sapere quali servizi AI vengono effettivamente usati. Microsoft Defender for Cloud Apps, parte della famiglia Microsoft Defender, consente di scoprire le app cloud in uso nell’organizzazione e di applicare controlli su quelle non approvate, trasformando la tabella degli strumenti approvati della policy da dichiarazione di intenti a regola applicata. In parallelo, la classificazione dei dati prevista dalla policy può diventare tecnica con le etichette di riservatezza di Microsoft Purview, che seguono il documento ovunque vada.
Il momento giusto per il salto non è una soglia precisa: sono segnali. Più persone che usano l’AI ogni giorno, dati sensibili che circolano nei prompt, un responsabile che non riesce più a presidiare il perimetro a mano.
Cosa fare adesso
- Scarica il template “Policy uso AI in azienda” (.docx) e leggilo una volta per intero: venti minuti ben spesi.
- Censisci gli strumenti già in uso con una survey informale: è il dato che rende la policy realistica.
- Compila i segnaposto e decidi la lista degli strumenti approvati, poi passa la bozza al consulente o al DPO per la validazione.
- Comunica, forma e raccogli le prese visione: la policy esiste quando le persone la conoscono.
- Quando l’uso cresce, affianca alle regole gli strumenti tecnici: un’AI aziendale dentro il tenant e la visibilità sulle app effettivamente usate.
Per impostare un percorso di adozione dell’AI sicuro sul tuo stack Microsoft — dalla policy agli strumenti tecnici di controllo, fino al rollout di Copilot — contattaci: valutazione gratuita iniziale e piano d’azione concreto.