Cosa non incollare in ChatGPT: la policy AI che serve in azienda

In quasi tutte le aziende in cui entriamo l'intelligenza artificiale è già in uso, solo che nessuno l'ha decisa. Qualcuno riassume i verbali delle riunioni, qualcun altro fa riscrivere le email ai clienti, in amministrazione si prova a far leggere un contratto a un assistente per capirci qualcosa. Succede dai telefoni personali, con account personali, senza che esista una riga scritta su cosa sia consentito. È il tipo di situazione che diventa un problema solo quando è già successo qualcosa.

Perché adesso conta più di prima

Due ragioni, entrambe concrete. La prima è che dal 2 agosto 2026 sono operativi gli obblighi di trasparenza dell'AI Act, quindi l'uso dell'AI verso l'esterno ha regole precise. La seconda è che il Garante per la protezione dei dati personali ha approvato un piano ispettivo che prevede decine di verifiche nel corso del 2026, con attenzione esplicita all'uso degli strumenti di intelligenza artificiale nei contesti di lavoro.

Non è teoria: in un provvedimento del maggio 2026 il Garante si è occupato di un plug-in integrabile nelle piattaforme di messaggistica aziendale, capace di analizzare i messaggi scambiati dai lavoratori su strumenti come Teams e Slack per restituire indicatori sul loro stato emotivo. Ne è uscito un avvertimento e due paletti che valgono per chiunque introduca strumenti simili. Il messaggio di fondo è che l'AI non sospende né il GDPR né le tutele sul controllo a distanza dei lavoratori.

Le cose che non vanno incollate, punto

C'è una regola pratica che funziona meglio di qualsiasi trattato: non inserire in uno strumento AI pubblico nulla che non manderesti per email a uno sconosciuto competente ma non vincolato da alcun contratto.

In concreto significa tenere fuori i dati personali dei clienti e dei dipendenti, a maggior ragione quelli sensibili come informazioni sanitarie o giudiziarie. Fuori le credenziali e le chiavi di accesso, che ogni tanto viaggiano dentro incollate per sbaglio insieme a un file di configurazione. Fuori i contratti e i documenti coperti da riservatezza verso terzi, perché l'obbligo di riservatezza non ammette la scusa dello strumento. Fuori i dati che identificano una singola persona quando quello che ti serve è un'analisi aggregata: nella maggior parte dei casi il lavoro si può fare benissimo su dati resi anonimi.

I due rischi che si materializzano più spesso sono il riutilizzo dei contenuti per l'addestramento dei modelli, che dipende dal piano e dalle impostazioni del servizio, e il trasferimento dei dati fuori dall'Unione europea senza le garanzie necessarie.

La policy che serve davvero sta in una pagina

Le policy lunghe non le legge nessuno e non cambiano il comportamento di nessuno. Quella che funziona risponde a cinque domande, in modo che un collaboratore possa consultarla in trenta secondi.

• Quali strumenti sono autorizzati, con quale account aziendale, e quali non lo sono.
• Quali categorie di dati non devono mai essere inserite.
• Per quali attività l'uso è incoraggiato, perché una policy che vieta e basta viene aggirata il primo giorno.
• Chi controlla l'output prima che esca dall'azienda: la responsabilità di quello che mandi al cliente resta tua, sempre.
• A chi si chiede quando non è chiaro, che è la domanda più importante di tutte.

Aggiungici la formazione di base sull'uso dell'AI, che tra l'altro l'AI Act richiede espressamente per il personale che usa questi strumenti, e hai coperto la parte che conta.

L'alternativa migliore al divieto

Vietare l'AI in azienda oggi produce un solo risultato: la gente continua a usarla, ma dal telefono personale, dove non vedi niente e non controlli niente. La strada che funziona è dare uno strumento aziendale decente, configurato in modo che i dati non vengano riutilizzati per l'addestramento, con account nominali e con accesso ai documenti interni giusti. Quando lo strumento ufficiale è migliore di quello clandestino, la policy si applica da sola.

Come ci muoviamo noi

Progettiamo le integrazioni AI in modo che i dati restino dove devono restare, con il minimo indispensabile che esce dall'azienda, e affianchiamo la parte organizzativa: la pagina di regole scritta in italiano comprensibile e la formazione al team. È lo stesso approccio con cui costruiamo gli assistenti interni, dove il vincolo di partenza è sempre quale informazione può uscire e quale no.

Nota: questa guida ha scopo informativo e non sostituisce una consulenza legale; per i casi specifici della tua attività conviene un parere professionale.