I tuoi dipendenti usano ChatGPT. Ti serve una policy

In breve Se in azienda qualcuno usa ChatGPT o strumenti simili, servono due cose: una regola scritta che dica cosa si può inserire e cosa no, e la formazione di chi li usa, che è un obbligo di legge in vigore dal 2 febbraio 2025. Dal 2 agosto 2026 sono pienamente applicabili anche gli obblighi di trasparenza e le sanzioni previste dal regolamento europeo. Una policy si scrive in due settimane e costa molto meno di quello che si rischia senza.

Il problema che quasi nessuno ha affrontato

Facciamo un giro nella tua azienda. Chi usa ChatGPT? Nella maggior parte delle PMI italiane la risposta è: qualcuno sì, ma nessuno l'ha deciso.

L'addetto commerciale ci incolla l'email del cliente per farsi riscrivere la risposta. Chi si occupa del personale ci mette il curriculum del candidato. Qualcuno in amministrazione ci ha caricato un elenco per farselo riordinare.

Ognuno di questi gesti manda dati fuori dall'azienda, su account personali, senza nessun contratto e senza che nessuno lo sappia. Non per cattiva volontà: perché non c'è una regola, e in mancanza di regole ognuno fa come gli sembra sensato.

Vietare non funziona: chi lo usa continua a usarlo dal telefono. Quello che funziona è dare uno strumento aziendale e scrivere le regole.

Cosa dice davvero la legge nel 2026

Le date che contano, senza allarmismi e senza minimizzare.

2 febbraio 2025. In vigore i divieti sulle pratiche vietate e l'obbligo di garantire un livello adeguato di alfabetizzazione sull'intelligenza artificiale al personale che usa questi sistemi per conto dell'azienda. Questo riguarda praticamente tutti.

2 agosto 2025. Regole per chi fornisce i modelli di uso generale.

2 agosto 2026. Si applicano gli obblighi di trasparenza (articolo 50): quando un sistema dialoga con le persone o produce contenuti generati, va dichiarato. Diventa pienamente operativo anche il regime sanzionatorio, con le autorità nazionali dotate di pieni poteri.

2 dicembre 2026. Scatta la marcatura tecnica leggibile dalle macchine dei contenuti generati o modificati dall'intelligenza artificiale, e due nuovi divieti aggiunti dal pacchetto di modifica.

2 dicembre 2027 e 2 agosto 2028. Gli obblighi per i sistemi ad alto rischio, rinviati dal Digital Omnibus approvato dal Consiglio UE il 29 giugno 2026.

Quest'ultimo punto va detto chiaramente, perché in giro si legge il contrario: gli obblighi pesanti sull'alto rischio non sono scattati il 2 agosto 2026, sono stati rinviati. Se qualcuno prova a venderti un progetto urgente dicendo che sei già fuori norma su quel fronte, sta esagerando.

Quello che è scattato riguarda trasparenza, sanzioni e vigilanza. E la formazione era già obbligatoria da un anno e mezzo.

La tua azienda è ad alto rischio?

Quasi certamente no, ma vale la pena controllare. Rientrano nella categoria i sistemi usati per selezionare il personale, valutare il merito creditizio, decidere su istruzione o accesso a servizi essenziali, riconoscimento biometrico.

Se usi l'intelligenza artificiale per scrivere testi, riassumere email, fare report o rispondere ai clienti, sei fuori da quella categoria. Restano validi gli obblighi di trasparenza e di formazione.

Attenzione a un caso comune: se usi uno strumento che filtra o classifica i curriculum, ci finisci dentro. È il caso più frequente di alto rischio in una PMI e vale la pena verificarlo.

Cosa deve contenere la policy

Non serve un documento da quaranta pagine. Serve un documento che le persone leggano davvero. I punti sono nove.

1. Quali strumenti sono ammessi, con nome e cognome. Quelli aziendali sì, gli account personali no.
2. Cosa non si inserisce mai: dati personali di clienti e dipendenti, listini riservati, contratti, credenziali, informazioni coperte da riservatezza.
3. Cosa si può inserire: testi generici, bozze proprie, documenti pubblici, dati resi anonimi.
4. Chi controlla il risultato. Nessun output va usato senza che una persona lo verifichi. Vale soprattutto per numeri, riferimenti normativi e comunicazioni ai clienti.
5. Quando va dichiarato al cliente che c'è di mezzo un sistema automatico.
6. Chi è il referente interno a cui si chiede quando si è in dubbio.
7. Cosa si fa se succede un errore: a chi si segnala e in che tempi.
8. La formazione: chi la fa, ogni quanto, e come si registra che è stata fatta.
9. La data e la firma per presa visione. Senza questa, non hai modo di dimostrare nulla.

Cosa serve oltre alla policy

La policy da sola non basta, ma è il pezzo che si fa per primo perché costa poco e vale subito.

L'elenco dei sistemi in uso. Un foglio con: quale strumento, chi lo usa, per cosa, quali dati tocca, chi è il fornitore. Serve per sapere cosa si ha in casa, e in caso di controllo è la prima cosa che viene chiesta.

La formazione registrata. Un paio d'ore per chi usa questi strumenti, con l'elenco dei presenti e la data. È l'obbligo più semplice da rispettare e il più trascurato.

Gli avvisi ai clienti dove serve: chat automatiche, email generate, contenuti prodotti da sistemi.

La traccia di cosa fa il sistema, quando l'intelligenza artificiale è dentro un processo aziendale e non solo sulla scrivania di qualcuno.

Quanto rischi davvero

Le sanzioni previste dal regolamento europeo arrivano, per le violazioni più gravi, a cifre che nessuna PMI vuole vedere. Per la maggior parte delle piccole imprese però il rischio concreto oggi non è la multa europea: è più prosaico.

È il dato di un cliente finito su un servizio esterno senza base giuridica, con il cliente che se ne accorge. È il candidato scartato da un filtro automatico che chiede conto della decisione. È la comunicazione sbagliata partita perché nessuno ha controllato quello che il sistema aveva scritto.

Sono tutte cose che una pagina di regole scritte evita.

Vuoi la policy pronta per la tua azienda? La prepariamo su misura in due settimane, insieme all'elenco dei sistemi e alla formazione del personale. Parliamone in mezz'ora, gratis.

La checklist in dieci punti

Stampala e segna quello che manca.

• So chi in azienda usa strumenti di intelligenza artificiale e per cosa
• Esiste un documento scritto con le regole d'uso
• Il documento è stato consegnato e firmato per presa visione
• Le persone che li usano hanno ricevuto una formazione, con data e presenze
• Gli strumenti usati sono aziendali, non account personali
• È chiaro cosa non si può mai inserire in questi strumenti
• Se un sistema parla con i clienti, è dichiarato che è automatico
• Ho verificato di non usare sistemi che ricadono nell'alto rischio (selezione del personale in primis)
• Ho un elenco dei fornitori e dei contratti relativi al trattamento dei dati
• C'è un referente a cui chiedere in caso di dubbio

Sotto i sette segni, conviene mettersi in pari.

Quanto costa mettersi in regola

Il servizio completo comprende tutto, e i sistemi che consegniamo sono conformi fin dalla progettazione.