Policy sull'AI generativa: cosa deve prevedere un'organizzazione

In molte organizzazioni l'intelligenza artificiale generativa è arrivata dal basso. Qualcuno ha iniziato a usare un chatbot per riassumere documenti, qualcun altro per scrivere email o tradurre testi, e in pochi mesi è diventata una pratica diffusa. Spesso con account personali, senza che nessuno abbia deciso quali dati si possano inserire e quali no.

Per chi guida un'azienda o un ente, la domanda non è più se il personale usi l'AI, ma come. Una policy serve a rispondere in modo chiaro.

Perché vietare non basta

La tentazione di bloccare tutto è comprensibile, ma raramente efficace. Se gli strumenti utili sono vietati senza alternative, le persone continueranno a usarli dal telefono personale o da casa, fuori da ogni controllo. Il risultato è il peggiore possibile: i rischi restano, la visibilità sparisce.

Una policy efficace riconosce il valore degli strumenti e ne indirizza l'uso.

Gli elementi essenziali

Strumenti ammessi. Indica quali servizi di AI si possono usare per lavoro, con quali account e in quale versione. Le versioni professionali, con contratti che regolano conservazione e uso dei dati, offrono garanzie molto diverse da quelle gratuite per uso personale. Chi vuole usare un nuovo strumento deve sapere a chi chiedere l'autorizzazione.

Dati e informazioni. Stabilisci cosa non si può inserire, eventualmente distinguendo per strumento: dati personali, in particolare quelli sanitari e giudiziari; informazioni riservate su clienti, contratti, offerte e strategie; credenziali e dettagli tecnici dei sistemi; codice sorgente; atti non ancora pubblici. Esempi concreti aiutano più delle definizioni.

Usi consentiti e usi vietati. Elenca gli usi incoraggiati, come bozze, sintesi, traduzioni e ricerca di idee, e quelli esclusi o soggetti ad approvazione: decisioni che riguardano persone, valutazioni del personale, pareri legali o medici, comunicazioni ufficiali inviate senza revisione.

Verifica umana. Ogni contenuto prodotto dall'AI va controllato da una persona prima di essere usato, inviato o pubblicato. Gli assistenti possono inventare dati, riferimenti e citazioni con grande sicurezza: la policy deve dire chiaramente che la responsabilità resta di chi firma.

Trasparenza. Chiarisci quando va dichiarato l'uso dell'AI, ad esempio nei rapporti con clienti e cittadini o per contenuti pubblicati.

Estensioni e integrazioni. Le applicazioni che si collegano a posta, documenti e calendario richiedono permessi ampi. Prevedi che vengano autorizzate prima dell'installazione.

Segnalazioni. Indica cosa fare se si inseriscono per errore dati riservati in uno strumento non autorizzato: chi avvisare e in quanto tempo. In alcuni casi può trattarsi di una violazione di dati personali da valutare.

Coerenza con le norme

La policy deve dialogare con il resto delle regole dell'organizzazione: protezione dei dati personali, sicurezza informatica, gestione documentale, codice di comportamento. Il regolamento europeo sull'intelligenza artificiale, l'AI Act, chiede inoltre a chi usa sistemi di AI di garantire che il personale abbia competenze adeguate. Formazione e policy vanno quindi di pari passo.

Coinvolgere fin dall'inizio il responsabile della protezione dei dati, chi si occupa di sicurezza informatica e l'ufficio legale evita contraddizioni e riscritture.

Renderla viva

Una policy di dieci pagine che nessuno legge non protegge. Funziona meglio un documento breve, accompagnato da:

• una sintesi di una pagina con le regole principali;
• esempi pratici per i diversi uffici;
• una sessione di formazione e un referente per i dubbi;
• una revisione periodica, almeno annuale, perché strumenti e rischi cambiano rapidamente.

Il punto di partenza

Se la tua organizzazione non ha ancora regole, puoi iniziare da tre decisioni: quali strumenti sono autorizzati, quali dati non vanno mai inseriti, chi verifica i contenuti prodotti. Il resto si costruisce con l'esperienza.