In breve
Una policy aziendale sull’intelligenza artificiale è il documento interno che stabilisce quali strumenti le persone possono usare, quali dati non devono caricare, chi controlla i risultati e a chi segnalare un problema. Nessuna norma la impone con questo nome. Serve a rendere gestibili obblighi che già esistono, e in una PMI può stare in poche pagine.
Aggiornato all’08/11/2026. Questa guida serve a orientarti: fai validare il testo finale dal tuo legale e dal consulente del lavoro.
Perché scrivere una policy se la legge non la chiede?
Se la tua azienda usa sistemi di AI per lavoro, per l’AI Act è un deployer. Alcuni obblighi richiedono comportamenti coerenti da parte di tutti, e li ottieni solo mettendoli per iscritto:
| Obbligo | Fonte | Cosa deve dire la policy |
|---|---|---|
| Misure per sostenere l’alfabetizzazione di chi usa i sistemi | AI Act, art. 4 | Chi riceve quale formazione e dove la registri |
| Pratiche vietate | AI Act, art. 5 | Gli usi esclusi, per esempio inferire le emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza |
| Dichiarare deepfake e testi di interesse pubblico non rivisti | AI Act, art. 50, dal 2 agosto 2026 | Chi decide e come si etichetta |
| Informare il lavoratore nei casi dell’art. 1-bis del d.lgs. 152/1997 | L. 132/2025, art. 11 | Chi prepara l’informativa |
| Decisione finale sul rapporto di lavoro riservata a una persona | D.Lgs. 179/2026, art. 41 | Quali decisioni non vanno mai lasciate al sistema |
| Valutazione dei rischi e formazione sui rischi specifici | D.Lgs. 179/2026, art. 42 | Il collegamento con il documento di valutazione dei rischi |
| Informare il cliente sui sistemi usati, per i professionisti | L. 132/2025, art. 13 | Il testo da inserire in preventivi e mandati |
Il quadro completo di date e sanzioni è nella guida all’AI Act per le PMI.
Cosa fare prima di scrivere?
Parti da un inventario, altrimenti scrivi regole per un’azienda che non esiste. Per ogni strumento segna nome, fornitore, tipo di account, reparto, dati trattati e finalità. Comprendi le funzioni AI attivate dentro software che usi da anni e gli account personali usati per lavoro. La checklist di AI readiness ti aiuta a fare il punto.
Poi fai due domande a ogni reparto: per cosa usate l’AI oggi, e cosa vorreste poter fare. Le risposte ti danno i casi d’uso da citare nel testo.
Cosa scrivere nella policy, voce per voce
1. Scopo e destinatari
Dichiara a chi si applica. L’articolo 4 comprende il personale e chi usa i sistemi per conto dell’azienda: la Commissione europea cita anche collaboratori esterni e fornitori di servizi. Includi chi lavora con i tuoi strumenti o con i tuoi dati.
2. Strumenti ammessi
Una tabella con tre colonne: approvati, approvati con limiti, non ammessi. Indica se serve l’account aziendale. Spiega come si chiede l’approvazione di uno strumento nuovo e chi risponde.
3. Dati che non si caricano
È la voce che le persone leggono per prima. Sii concreto con esempi presi dal lavoro quotidiano:
- dati personali di clienti, dipendenti e candidati, salvo strumenti e finalità approvati;
- categorie particolari di dati, come quelli sulla salute;
- contratti, offerte, listini e progetti riservati;
- credenziali, chiavi di accesso, configurazioni dei sistemi;
- codice sorgente non destinato alla pubblicazione.
Se il fornitore tratta dati personali per tuo conto, il GDPR richiede un contratto con il responsabile del trattamento (art. 28). Il tuo consulente privacy o DPO deve vedere questa sezione.
4. Revisione umana
Stabilisci chi controlla cosa, prima che il contenuto esca dall’azienda. Offerte, testi legali, numeri, citazioni e risposte ai clienti passano da una persona che ne risponde. Scrivi anche quali controlli fare: confrontare le fonti, ricalcolare i numeri, rileggere i nomi.
5. Trasparenza verso l’esterno
Tre casi da trattare. Il chatbot deve far capire che è un sistema di AI: l’obbligo di progettazione spetta al fornitore, tu controlli come si presenta. Per i deepfake devi dichiarare che il contenuto è generato o manipolato. I testi pubblicati per informare il pubblico su temi di interesse pubblico vanno dichiarati, salvo revisione umana e responsabilità editoriale (art. 50).
6. Persone e lavoro
Questa sezione ha cambiato peso con il d.lgs. 179/2026, in vigore dal 23 ottobre 2026. Se usi sistemi di AI nei processi decisionali sul rapporto di lavoro, una persona fisica deve prendere la decisione finale su assunzione, modifica, cessazione, provvedimenti disciplinari e valutazioni delle prestazioni (art. 41). Il licenziamento intimato in violazione di questa regola è nullo, e la stessa norma esclude dalle decisioni finali la ricerca e selezione delle candidature.
L’art. 42 porta nella valutazione dei rischi i sistemi di AI che incidono su organizzazione del lavoro, ritmi produttivi, modalità di esecuzione o decisioni rilevanti per la sicurezza. Coinvolgi RSPP e consulente del lavoro.
Per i software di selezione del personale e di valutazione controlla anche se rientrano nell’allegato III dell’AI Act: dal 2 dicembre 2027 valgono gli obblighi dell’articolo 26.
7. Sicurezza e incidenti
Definisci cosa si intende per incidente: un dato caricato per errore, un contenuto sbagliato arrivato a un cliente, un account violato. Indica a chi scrivere e in quanto tempo. Se colleghi strumenti di AI a posta e gestionale, parti dalle misure base della guida sulla cybersecurity per le PMI.
8. Formazione
Rimanda al piano di alfabetizzazione e al registro interno. La Commissione scrive che non serve un certificato e che basta documentare internamente formazioni e iniziative. Una policy senza formazione resta un documento in una cartella: per organizzarla c’è la pagina sulla formazione AI Act.
9. Ruoli e aggiornamento
Nomina un referente interno, indica chi approva nuovi strumenti e chi decide sulle eccezioni. Metti data e versione. Fissa la revisione almeno annuale e ogni volta che entra uno strumento nuovo.
Quali errori evitare?
Copiare un modello trovato online
Senza adattarlo: elenca strumenti che non usate e ignora quelli che usate.
Vietare tutto
Le persone continuano con account personali e tu perdi la visibilità.
Scrivere solo principi
“usare l’AI in modo responsabile” non aiuta chi sta per caricare un contratto su un assistente.
Dimenticare i fornitori
Un’agenzia che scrive i tuoi contenuti con l’AI lavora anche con i tuoi dati.
Se un giorno vorrai una struttura più ampia, con ruoli, rischi e controlli, leggi ISO/IEC 42001 spiegata a una PMI. L’adozione è volontaria.
Come ti posso aiutare?
Sono ingegnere e Innovation Manager certificato UNI 11814. Nella consulenza sulla governance dell’intelligenza artificiale preparo con te inventario, policy e piano di formazione, sul lato tecnico e organizzativo. La validazione legale spetta al tuo avvocato e al tuo consulente del lavoro.
Prenota una call conoscitiva dalla pagina contatti: mi dici quali strumenti usate e quante persone coinvolgere, e ti preparo un preventivo scritto.
