Come scrivere il regolamento AI della tua azienda: guida pratica in 8 passi
L'AI è già entrata negli uffici, spesso senza regole. Un regolamento interno serve a mettere ordine, proteggere l'azienda e rispettare gli obblighi di legge. Ecco gli 8 elementi che non possono mancare, con esempi concreti e un template gratuito da compilare.
L'intelligenza artificiale è già entrata negli uffici. Il problema è che, nella maggior parte delle aziende, ci è entrata senza regole. Chi usa ChatGPT per scrivere una mail, chi carica un documento su un traduttore automatico, chi genera immagini per i social: tutto molto utile, ma senza un quadro condiviso il rischio è dietro l'angolo — dati riservati che finiscono in strumenti pubblici, contenuti sbagliati pubblicati come veri, decisioni delicate delegate a un software.
Un regolamento interno sull'uso dell'AI serve esattamente a questo: mettere ordine, proteggere l'azienda e le persone, e rispettare gli obblighi di legge. In questa guida vediamo, passo per passo, come costruirne uno che funzioni davvero — con esempi concreti e le domande giuste da porsi.
Ti va di partire subito? In fondo all'articolo trovi un template gratuito: le 8 sezioni del regolamento con le domande guida da compilare. Rispondi alle domande e avrai già l'ossatura del tuo documento.
Prima di iniziare: cosa NON è un regolamento AI
Sgombriamo il campo da un equivoco. Un regolamento AI non è un documento tecnico per informatici, e non è un contratto legale da far firmare e dimenticare. È un insieme di poche regole chiare, scritte in un linguaggio che tutti in azienda capiscono, che dicono: cosa si può fare con l'AI, cosa no, con quali strumenti e con quali dati. Se il tuo team non lo capisce, non lo applicherà — e allora non serve a niente.
Perché ti serve (e perché è anche un obbligo)
Dal punto di vista normativo il riferimento è il Regolamento UE 2024/1689, l'AI Act, in vigore dal 1° agosto 2024. È la prima legge organica al mondo sull'intelligenza artificiale e segue un principio semplice: più un uso dell'AI è rischioso per le persone, più regole ha. Due obblighi ti riguardano fin da subito, a prescindere dal settore:
- Formazione del personale (art. 4): dal 2 febbraio 2025 chi usa sistemi di AI deve avere un livello adeguato di «alfabetizzazione» (in inglese AI literacy). Tradotto: le persone devono capire cosa stanno usando, cosa può andare storto e quali sono i limiti. Non serve renderle esperte, serve che sappiano usare l'AI con consapevolezza.
- Trasparenza (art. 50): i contenuti generati o modificati in modo significativo con l'AI e diffusi all'esterno devono essere riconoscibili come tali, e va reso chiaro all'utente quando sta parlando con un chatbot e non con una persona.
A questi si aggiunge, in Italia, la Legge 132/2025 sull'intelligenza artificiale (in vigore dal 10 ottobre 2025), che rafforza principi e governance a livello nazionale. E tutto si intreccia con il GDPR ogni volta che entrano in gioco dati personali — cioè quasi sempre.
Tradotto: un regolamento AI non è «burocrazia in più», è lo strumento con cui dimostri di aver fatto le cose per bene. Ecco gli otto elementi che non possono mancare.
1. Scopo e ambito di applicazione
Parti dalle basi: perché esiste il documento e a chi si applica. La formula più efficace è quella ampia — dipendenti, collaboratori, consulenti, stagisti — sia con gli strumenti forniti dall'azienda sia con quelli personali usati per lavoro. È proprio l'uso «personale ma per lavoro» la zona grigia dove nascono i problemi.
Esempio pratico. Un collaboratore esterno usa il suo account ChatGPT personale per farsi riassumere un contratto di un vostro cliente. Se il regolamento copre solo «gli strumenti aziendali», quel dato riservato è appena uscito dal vostro controllo — e formalmente non avete violato nessuna regola, perché la regola non esisteva. Per questo l'ambito va scritto largo.
Formula tipo: «Il presente regolamento si applica a tutte le persone che operano per conto di [Azienda] — dipendenti, collaboratori, consulenti e stagisti — quando utilizzano strumenti di AI per attività lavorative, sia messi a disposizione dall'azienda sia di uso personale impiegati per il lavoro.»
2. Riferimenti normativi e principi guida
Cita le norme che stai rispettando (AI Act, GDPR, Legge 132/2025) e fissa 4-5 principi guida semplici, che sono la bussola quando il regolamento non prevede il caso specifico. I più ricorrenti nelle policy migliori — con un esempio per capirli davvero:
- Supervisione umana: l'AI supporta, non decide. Esempio: l'AI scrive la bozza di risposta a un cliente, ma è una persona a rileggerla, correggerla e inviarla.
- Uso lecito e proporzionato: solo per finalità di lavoro legittime.
- Tutela dei dati: niente dati personali o riservati in strumenti non approvati. Esempio: non si incolla l'elenco clienti in un traduttore online gratuito.
- Verifica degli output: si controlla sempre accuratezza e correttezza. Esempio: l'AI «inventa» una norma o un dato che sembra vero — va sempre verificato prima di usarlo.
Un tocco in più che distingue i documenti più maturi: il richiamo agli standard tecnici di settore, ad esempio la ISO/IEC 42001 (lo standard sui sistemi di gestione dell'AI) e il NIST AI Risk Management Framework (un modello americano per gestire i rischi dell'AI). Non sono obbligatori, ma danno autorevolezza e struttura.
3. Classificazione del rischio
Questo è il passaggio che molte aziende saltano — ed è invece il cuore dell'AI Act, che è basato sul rischio. L'idea: non tutti gli usi dell'AI sono uguali. La legge distingue quattro livelli:
- Rischio minimo: la stragrande maggioranza degli usi da ufficio (farsi aiutare a scrivere un testo, riassumere un documento pubblico). Nessun obbligo particolare oltre alla formazione.
- Rischio limitato: qui scatta l'obbligo di trasparenza (art. 50). Esempi: un chatbot sul sito (va dichiarato che è un'AI), un'immagine generata dall'AI e pubblicata (va marcata come tale).
- Alto rischio: usi che incidono su diritti o opportunità delle persone. Sono elencati nell'Allegato III dell'AI Act — cioè la lista ufficiale delle aree «ad alto rischio»: tra queste la selezione del personale (es. screening automatico dei CV), la valutazione dei lavoratori, l'accesso al credito, l'istruzione. Richiedono cautele forti e supervisione umana rafforzata.
- Vietato: pratiche proibite in assoluto (es. sistemi di social scoring o di riconoscimento delle emozioni sul posto di lavoro).
La cosa concreta da fare è mappare gli strumenti che usi e assegnare a ciascuno la sua classe. Non serve un documento complesso: basta un foglio di calcolo, un registro dei sistemi di AI in uso.
Esempio di mini-registro:
| Strumento | A cosa lo usiamo | Classe di rischio |
|---|---|---|
| ChatGPT | bozze di email e testi | Rischio minimo |
| Generatore di immagini | contenuti social pubblicati | Rischio limitato (art. 50) |
| AI per lo screening dei CV | prima scrematura candidati | Alto rischio (Allegato III) |
I regolamenti pubblici più solidi dedicano una sezione intera a questa mappatura e tengono aggiornato il registro. È un'ottima pratica anche per una PMI.
4. Strumenti ammessi e non ammessi
Elenca in modo esplicito gli strumenti approvati dall'azienda e stabilisci che tutto ciò che non è in lista va autorizzato prima dell'uso. È così che si combatte lo shadow AI: l'uso spontaneo e incontrollato di strumenti mai valutati sotto il profilo sicurezza e privacy.
Esempio. Elenco approvato: Microsoft 365 Copilot, ChatGPT, Google Gemini, Claude, Canva, DeepL, funzioni AI del CRM aziendale. Shadow AI da evitare: un dipendente scarica un'app gratuita per «riassumere PDF» e ci carica un contratto — un tool che nessuno ha verificato, con dati che finiscono chissà dove.
Come si chiede l'autorizzazione (esempio di processo semplice): si scrive al Responsabile AI indicando lo strumento, a cosa serve e che tipo di dati tratterà; il Responsabile valuta e aggiorna l'elenco.
Regola d'oro: la lista non è scolpita nella pietra. Nomina un referente che la aggiorna nel tempo (ne riparliamo al punto 7).
5. Regole sul trattamento dei dati
È la sezione più importante nella pratica quotidiana. Definisci cosa non va mai inserito nei prompt di strumenti pubblici o non approvati: dati personali di clienti e dipendenti, dati sensibili (salute, ecc.), contratti e offerte non pubbliche, credenziali, segreti aziendali.
Una regola pratica che funziona con tutti:
«Se non lo scriveresti in una mail a un fornitore esterno, non metterlo in un prompt.»
E quando un documento ti serve davvero, anonimizzalo prima. Cosa vuol dire in concreto? Togliere o sostituire i dati che identificano le persone.
Esempio di anonimizzazione. Invece di incollare il CV di «Mario Rossi, nato a…, residente in…» e chiedere all'AI di riassumerlo, sostituisci i dati identificativi: «Candidato, X anni di esperienza in [settore], competenze in…». All'AI serve il contenuto, non l'identità della persona.
6. Trasparenza e usi vietati
Traduci l'art. 50 in comportamenti concreti.
Esempi di trasparenza:
- Un'immagine o un video creati con l'AI e pubblicati: aggiungi un'indicazione tipo «contenuto generato con l'intelligenza artificiale».
- Un chatbot sul sito: fallo aprire con una frase tipo «Ciao, sono un assistente virtuale», così l'utente sa di non parlare con una persona.
Poi elenca gli usi vietati: finalità illecite, discriminatorie o ingannevoli, contenuti lesivi dell'immagine aziendale o che espongono a responsabilità legali.
7. Formazione e governance
Rendi la formazione obbligatoria e documentata (art. 4): un corso di AI literacy con attestato per tutti quelli che usano l'AI. «Documentata» è la parola chiave: in caso di controllo, devi poter dimostrare chi ha fatto la formazione e quando.
Poi definisci la governance, cioè chi fa cosa.
Esempio. Responsabile AI: [nome e ruolo] — è il punto di riferimento, autorizza i nuovi strumenti, raccoglie le segnalazioni, tiene aggiornati elenco e registro. Per un dubbio o per segnalare un problema: si scrive a [email]. Segnalare non è una colpa: è ciò che permette di correggere in fretta.
Le organizzazioni più strutturate aggiungono audit e monitoraggi periodici (una verifica ogni tot mesi che le regole siano davvero applicate) e una revisione del ciclo di vita dei sistemi.
8. Violazioni, entrata in vigore e revisione
Chiudi con tre cose:
- Conseguenze del mancato rispetto, richiamando il sistema disciplinare e il CCNL applicabile. Attenzione: perché una sanzione sia valida, il regolamento va comunicato correttamente a tutti (in Italia lo prevede l'art. 7 dello Statuto dei Lavoratori) — non basta lasciarlo in una cartella.
- Data di entrata in vigore e chi lo ha approvato.
- Impegno a rivederlo almeno una volta l'anno o al cambiare di normativa e strumenti. L'AI corre veloce: un documento fermo invecchia in fretta.
Gli errori più comuni da evitare
- Copiare un template e basta. Un regolamento generico che non riflette i tuoi strumenti e processi reali non serve a niente. (Il template serve a guidarti, non a sostituirti: le risposte le metti tu.)
- Scriverlo troppo tecnico. Se le persone non lo capiscono, non lo applicano. Poche regole chiare battono venti pagine di legalese.
- Dimenticare la privacy. Regolamento AI e GDPR vanno tenuti insieme, soprattutto per gli usi ad alto rischio.
- Farlo una volta e archiviarlo. Senza aggiornamenti e senza formazione, resta un file in una cartella.
In sintesi
Un buon regolamento AI è chiaro, concreto e vivo: dice cosa si può fare, cosa no, con quali strumenti e con quali dati, e affida a qualcuno il compito di tenerlo aggiornato. Non protegge solo l'azienda dalle sanzioni — che con l'AI Act possono arrivare fino a 15 milioni di euro o il 3% del fatturato per gli obblighi rilevanti — ma mette le persone nelle condizioni di usare l'AI con serenità.
Preferisci farlo con noi?
Costruire un regolamento AI su misura richiede tempo, competenze normative e una buona conoscenza dei tuoi processi. Noi lo facciamo per te: dall'assessment degli strumenti in uso alla mappatura dei rischi, fino al regolamento, alla policy d'uso e alla formazione del personale, con la validazione legale.
Il percorso naturale è l'Assessment Compliance AI Act per la parte documentale e il Corso AI Act per chiudere l'obbligo di formazione dell'art. 4 con attestato nominativo. Se invece vuoi governare l'intera adozione dell'AI in azienda — non solo l'aspetto normativo — guarda AI Governance.
Parliamone in una call · Scopri l'assessment · Scopri il corso
Questo articolo ha finalità informative e non costituisce parere legale.