Modello di policy aziendale sull'uso dell'intelligenza artificiale
Un modello pronto da adattare: strumenti autorizzati, dati vietati, verifica umana, trasparenza, decisioni sulle persone, formazione e segnalazione di incidenti. Aggiornato ad AI Act (come modificato dal Reg. 2026/1744) e D.Lgs. 179/2026.
Aggiornato al 19 ottobre 2026
Scarica il modello
Il testo è scaricabile in formato .doc (apribile con Word e LibreOffice) oppure copiabile. Sostituisci i campi tra parentesi quadre.
Il testo del modello
Policy aziendale sull'uso dell'intelligenza artificiale
1. Scopo e ambito di applicazione
[NOME AZIENDA] adotta la presente policy per un uso responsabile, sicuro e conforme dei sistemi di intelligenza artificiale (IA). Si applica a dipendenti, collaboratori, consulenti e a chiunque utilizzi sistemi di IA per conto dell'azienda, in sede e da remoto.
2. Strumenti autorizzati
Possono essere utilizzati solo gli strumenti di IA approvati dall'azienda e riportati nel Registro degli strumenti di IA, tenuto da [FUNZIONE RESPONSABILE]. L'uso di strumenti non autorizzati richiede una richiesta preventiva. Elenco attuale: [ELENCO STRUMENTI].
3. Dati che non possono essere inseriti
È vietato inserire negli strumenti di IA: dati personali di clienti, dipendenti o terzi, salvo strumenti e basi giuridiche espressamente approvati; informazioni riservate, segreti commerciali e codice sorgente proprietario; credenziali e dati di accesso; documenti coperti da obblighi di riservatezza. In caso di dubbio, non inserire il dato e chiedere a [FUNZIONE RESPONSABILE].
4. Verifica umana degli output
L'IA è uno strumento di supporto. Ogni persona resta responsabile dei contenuti che utilizza e deve verificarne correttezza, completezza e assenza di bias prima di usarli. Gli output non verificati non possono essere utilizzati in documenti ufficiali, comunicazioni a clienti o decisioni aziendali.
5. Trasparenza
Quando richiesto dalla legge o dal contesto, l'uso dell'IA è dichiarato a clienti, utenti e destinatari dei contenuti (ad esempio nelle interazioni con chatbot o nei contenuti generati o modificati da IA). Le comunicazioni esterne prodotte con l'IA sono approvate da una persona prima della pubblicazione.
6. Decisioni che riguardano le persone
È vietato basare decisioni su assunzione, valutazione, promozione, assegnazione di compiti o provvedimenti disciplinari esclusivamente sull'output di un sistema di IA. La decisione finale è sempre assunta da una persona con potere decisionale autonomo, che ne risponde. L'introduzione di sistemi di IA che incidono sull'organizzazione del lavoro è valutata preventivamente con [RSPP/HR/DPO] e, ove necessario, con le rappresentanze.
7. Formazione
L'azienda adotta misure per sostenere lo sviluppo dell'alfabetizzazione in materia di IA del personale e delle persone che operano per suo conto, proporzionate a ruolo e contesto d'uso, e le documenta in un registro delle attività formative. È inoltre assicurata l'informazione e la formazione sui rischi specifici connessi ai sistemi di IA in uso.
8. Registro degli strumenti e valutazione dei rischi
Ogni nuovo strumento di IA è censito nel Registro prima dell'uso, con finalità, fornitore, dati trattati e responsabile. [FUNZIONE RESPONSABILE] valuta i rischi e, ove necessario, coinvolge il DPO per gli aspetti di protezione dei dati e l'RSPP per gli aspetti di salute e sicurezza.
9. Segnalazione di incidenti
Errori rilevanti, usi impropri, fughe di dati o comportamenti anomali dei sistemi di IA vanno segnalati senza ritardo a [CONTATTO/INDIRIZZO EMAIL]. Le segnalazioni sono registrate e gestite.
10. Violazioni
Il mancato rispetto della policy può comportare provvedimenti nel rispetto del CCNL e della normativa applicabile.
11. Revisione
La policy è riesaminata almeno ogni [12] mesi e ogni volta che cambiano strumenti, processi o normativa. Versione: [N.]. Data: [GG/MM/AAAA]. Approvata da: [NOME E RUOLO].
Come usarlo bene
- Nomina un responsabile e aggiorna il registro degli strumenti prima di diffondere la policy.
- Abbina la policy a un percorso di formazione: vedi Alfabetizzazione IA: cosa chiede l'art. 4.
- Fai leggere e firmare il documento e conserva le evidenze.
- Rivedila a ogni cambio di strumenti o normativa: consulta il calendario delle scadenze.
Domande frequenti
La policy è obbligatoria?
L'AI Act non impone una policy aziendale come documento specifico, ma una policy rende concrete le regole d'uso e aiuta a dimostrare le misure adottate (ad esempio sull'alfabetizzazione, art. 4).
Posso usare il modello così com'è?
No: è un punto di partenza. Va adattato a strumenti, processi e settore, e verificato con il proprio consulente legale e, per gli aspetti privacy, con il DPO.
Come faccio a far leggere e firmare la policy ai dipendenti?
Il generatore di policy della piattaforma consente di pubblicare una versione e raccogliere le firme del personale.
Fonti ufficiali
Approfondimenti correlati
- Alfabetizzazione IA: cosa chiede l'art. 4 dell'AI Act dopo il Reg. UE 2026/1744
- AI Act per PMI: la checklist operativa per mettersi in regola nel 2026
- Sanzioni AI Act in Italia: cosa prevede il D.Lgs. 179/2026 e cosa rischia chi non forma i dipendenti
- Formazione dei lavoratori sui rischi dell'IA e DVR: cosa prevede l'art. 42 del D.Lgs. 179/2026
- Scadenze AI Act 2026–2028: il calendario aggiornato dopo il Digital Omnibus
Contenuto a scopo informativo: non costituisce consulenza legale. Le norme possono essere modificate da interventi successivi; verifica sempre i testi ufficiali.