I dipendenti, con ogni probabilità, già usano strumenti di intelligenza artificiale: per redigere email, riassumere documenti, scrivere codice, tradurre. Spesso lo fanno senza regole e senza che l’azienda lo sappia. È il cosiddetto shadow AI, e comporta rischi concreti su dati, riservatezza e qualità. Una policy interna sull’uso dell’IA serve proprio a trasformare un uso spontaneo in un uso governato.
Perché serve una policy
Senza regole, l’uso dell’IA in azienda espone a rischi precisi: l’inserimento di dati riservati o personali nei prompt di servizi esterni; output errati o inventati (le cosiddette «allucinazioni») presi per buoni; possibili violazioni di proprietà intellettuale; decisioni automatizzate adottate senza controllo. Una policy chiara riduce questi rischi e, al tempo stesso, abilita un uso consapevole e produttivo degli strumenti.
Il raccordo con l’AI Act
La policy è anche uno strumento di conformità. Il Regolamento (UE) 2024/1689 — l’AI Act — impone, tra l’altro, obblighi di alfabetizzazione in materia di IA (art. 4: un livello adeguato di competenza di chi sviluppa e utilizza i sistemi), applicabili già dal 2 febbraio 2025, e obblighi di trasparenza ed etichettatura dei contenuti sintetici (art. 50), applicabili dal 2 agosto 2026. Su questi ultimi la Commissione ha pubblicato, il 10 giugno 2026, il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA: un utile riferimento operativo. Una policy interna, con la relativa formazione, è il modo naturale per assolvere questi obblighi.
Il raccordo con la legge 132/2025
Sul piano nazionale va considerata anche la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: impone tra l’altro obblighi di informativa ai lavoratori sull’utilizzo di sistemi di IA in ambito lavorativo. È un punto che la policy aziendale deve recepire espressamente.
Il raccordo con il GDPR
Ogni volta che nei prompt finiscono dati personali, si applica integralmente il GDPR: serve una base giuridica e vanno rispettati i principi di minimizzazione e trasparenza. Un presidio particolare meritano le decisioni automatizzate: l’art. 22 GDPR non pone un divieto generale, ma riguarda le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativo sulla persona; le eccezioni (contratto, consenso esplicito, previsione di legge) richiedono comunque garanzie minime, come l’intervento umano e la possibilità di contestare la decisione. Il tema è approfondito nella guida su intelligenza artificiale e GDPR.
Cosa deve contenere la policy
- Strumenti ammessi e vietati: quali soluzioni si possono usare e quali no (con un elenco aggiornato).
- Dati che non possono entrare nei prompt: informazioni riservate, dati personali, segreti aziendali e di terzi.
- Verifica umana degli output: nessuna decisione rilevante affidata acriticamente alla macchina.
- Proprietà intellettuale: regole su titolarità e uso dei contenuti generati.
- Trasparenza: quando e come segnalare a clienti e utenti l’uso dell’IA e dei contenuti sintetici.
- Ruoli e referenti: a chi rivolgersi per dubbi e autorizzazioni.
- Conseguenze: il richiamo agli effetti disciplinari delle violazioni.
Come si adotta
Una policy efficace nasce dal coinvolgimento di IT, legale e risorse umane, si accompagna a una formazione concreta (esempi, casi d’uso, errori da evitare) e va aggiornata con l’evolvere degli strumenti e del quadro normativo. Un documento scritto e mai comunicato non protegge nessuno.
Cosa dice la giurisprudenza
Che l’uso di sistemi di IA in azienda vada governato lo conferma la prassi del Garante privacy. Con il provvedimento del 13 novembre 2024 nei confronti di Foodinho (gruppo Glovo) l’Autorità ha irrogato una sanzione di 5 milioni di euro per il trattamento illecito dei dati di oltre 35.000 rider gestiti tramite sistemi decisionali automatizzati: è stato ritenuto illegittimo l’uso di un algoritmo che non garantiva ai lavoratori il diritto all’intervento umano, a esprimere la propria opinione e a contestare le decisioni automatizzate (come la disattivazione dell’account). Il principio vale ben oltre il food delivery: ogni volta che un sistema automatizzato incide su persone — dipendenti, clienti, utenti — servono sorveglianza umana, trasparenza e una base giuridica. È esattamente ciò che una policy interna sull’uso dell’IA deve mettere nero su bianco.
Domande frequenti
Una piccola impresa ha bisogno di una policy sull’IA? Sì: il rischio non dipende dalle dimensioni ma dall’uso. Anche poche righe chiare su dati ammessi e verifica degli output fanno la differenza.
La policy basta per essere conformi all’AI Act? È un tassello importante (alfabetizzazione, trasparenza, governance), ma va calata negli obblighi specifici applicabili ai sistemi effettivamente utilizzati.
Posso vietare del tutto l’uso dell’IA? Si può, ma spesso è più efficace governarlo che proibirlo: il divieto totale tende a spingere verso un uso «sommerso» e incontrollato.
Dotarsi di una policy sull’uso dell’IA è un modo semplice per ridurre i rischi e cogliere i vantaggi degli strumenti, in linea con AI Act e GDPR. Offriamo supporto nella redazione della policy nell’ambito della consulenza in materia di compliance.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.