Una Policy AI aziendale (Internal AI Use Policy) è il documento che traduce in regole concrete cosa i dipendenti possono e non possono fare con gli strumenti di intelligenza artificiale: quali sono consentiti, quali dati non vanno mai condivisi, cosa fare in caso di incidente. È il punto di atterraggio pratico dell'alfabetizzazione richiesta dall'Art. 4 dell'AI Act — sapere che esistono dei rischi non basta, se non c'è una regola scritta su come comportarsi.

Cosa deve contenere

Una policy efficace non è un elenco generico di buone intenzioni. Copre, come minimo, questi punti:

  • Strumenti consentiti e vietati — quali tool AI sono autorizzati (di norma solo tramite account aziendali) e quali no, incluso il divieto di account personali per attività lavorative.
  • Gestione dei dati — quali categorie di dati (personali, di clienti, know-how proprietario) non vanno mai condivise con strumenti non espressamente autorizzati.
  • Gestione degli incidenti — a chi segnalare un uso anomalo, una sospetta fuga di dati, o un output dannoso (contenuto discriminatorio, informazioni false presentate come vere).
  • Uso di AI coding assistant — se in azienda si sviluppa software, regole specifiche su licenze, segreti e proprietà intellettuale del codice generato.
  • Supervisione umana — quali decisioni che riguardano persone (selezione del personale, valutazioni) devono restare sotto controllo umano prima di produrre effetti.
  • Fornitori — cosa verificare prima di adottare un nuovo strumento AI di terze parti.

Perché un PDF statico non basta

Un documento scritto e distribuito una volta, senza un vero processo di accettazione, ha un problema pratico: in caso di controllo, "lo abbiamo scritto" non è la stessa cosa di "possiamo dimostrare che ogni dipendente l'ha letto e accettato, con data e firma". Serve inoltre che la policy resti coerente con gli strumenti effettivamente in uso: una policy che vieta un tool ancora attivo, o che non menziona uno strumento adottato di recente, perde credibilità come prova di governance reale.

Come funziona in aiACT

La Policy AI aziendale è inclusa in ogni percorso e pacchetto — non un servizio separato. Il CompanyAdmin la compone da un builder guidato, selezionando le clausole modulari pertinenti (non serve scrivere da zero), e pubblica una versione. Ogni dipendente la accetta digitalmente — nome e data registrati, idempotente per versione — prima di poter scaricare il proprio attestato di formazione. Accanto al testo firmato, i dipendenti vedono anche lo stato attuale del Registro dei Sistemi AI — un'appendice informativa aggiornata in tempo reale, così un nuovo strumento adottato dall'azienda non richiede automaticamente una nuova versione della policy per restare coerente.

Cosa significa per la tua azienda

In caso di controllo, di un incidente, o semplicemente di una due diligence richiesta da un cliente o partner, poter esibire una policy versionata con l'evidenza di chi l'ha accettata e quando è un'evidenza concreta di governance — molto più solida di un documento generico allegato a un'email aziendale, mai più riletto da nessuno.