Le regole scritte per chi usa l'AI in azienda

Uno studio di consulenza del lavoro con 45 persone e tre sedi. Anna, responsabile del personale, scopre per caso che una collega ha incollato in un assistente pubblico l'elenco dei dipendenti di un cliente, con stipendi e codici fiscali, per farsi preparare una tabella.

Non è un caso isolato. Due praticanti riassumono circolari con uno strumento gratuito trovato in rete. Un consulente traduce le lettere per i clienti stranieri con un altro. Nessuno ha cattive intenzioni: vogliono solo lavorare più in fretta.

Il titolare chiede ad Anna di «vietare tutto». Anna sa che non funzionerebbe: gli strumenti si userebbero di nascosto, dal telefono. Serve invece dire cosa si può fare, con quali strumenti e su quali dati.

Scriviamo con lo studio un documento breve, in italiano semplice, che ogni persona legge in dieci minuti. Contiene:

1. Gli strumenti approvati: quali assistenti si possono usare, con quale account aziendale, e perché quelli e non altri.
2. I dati che non escono mai: dati dei dipendenti dei clienti, documenti d'identità, dati sanitari, informazioni riservate sui contratti. Si possono trattare solo con gli strumenti interni, sui server approvati.
3. Gli usi ammessi: riassumere un testo pubblico, preparare una bozza da rileggere, tradurre un documento senza dati personali.
4. Gli usi vietati: decisioni sulle persone affidate alla macchina, testi mandati ai clienti senza rilettura, qualsiasi pratica vietata dalla legge europea.
5. Chi risponde: la persona che firma un documento ne risponde, anche se una parte l'ha scritta un assistente.
6. Cosa fare in caso di errore: a chi segnalare un dato finito nel posto sbagliato, entro quando.

Accanto alle regole c'è una formazione breve, per ruolo, con esempi presi dal lavoro dello studio.

• Controlliamo, con il vostro IT, quali strumenti sono in uso davvero: accessi dalla rete aziendale, abbonamenti a carico dello studio, risposte a un questionario anonimo.
• Controlliamo per ogni strumento dove finiscono i dati, se vengono usati per addestrare modelli e quali garanzie contrattuali esistono.
• Controlliamo che le regole siano coerenti con l'informativa privacy e con il regolamento interno già esistente.
• Decide il titolare, con il responsabile della protezione dei dati, quali strumenti approvare e quali dati escludere.
• Decide Anna i tempi della formazione e come informare le persone e i loro rappresentanti, dove previsti.

• AI Act, la legge europea sull'intelligenza artificiale: vieta dal 2 febbraio 2025 alcune pratiche, tra cui il riconoscimento delle emozioni sul luogo di lavoro. La formazione di base di chi usa l'AI è raccomandata a tutti e, per chi usa sistemi delicati, necessaria.
• Legge italiana sull'intelligenza artificiale (Legge 23 settembre 2025, n. 132): chiede al datore di lavoro di informare i lavoratori quando usa sistemi di AI che li riguardano.
• GDPR, la legge europea sulla privacy: ogni strumento che tratta dati personali deve avere una base giuridica, un contratto con il fornitore e, se serve, una valutazione d'impatto.
• Il documento non è un parere legale: lo validate con il vostro consulente o con il responsabile della protezione dei dati.

Le regole interne sono il primo passo per rifare bene i processi che si ripetono in ogni reparto, dalla contabilità ai turni: trovate gli esempi in cosa possiamo fare.

Per la formazione delle persone leggete formare le persone; per il rapporto tra AI e privacy, GDPR e intelligenza artificiale. Le domande del responsabile del personale sono nella pagina per le risorse umane.