Policy aziendale sull’IA in 5 passi: come fermare la «shadow AI» in azienda

In molte aziende l’intelligenza artificiale è già al lavoro, ma nessuno l’ha deciso. Un’analisi di Aidapt, pubblicata a luglio 2026, indica che il 65% delle imprese italiane non ha fornito direttive ai dipendenti sull’uso dell’IA e che circa il 27% dei lavoratori usa strumenti non autorizzati: è la cosiddetta shadow AI. Solo il 20% delle imprese ha avviato percorsi di formazione.

È un problema pratico (dati dei clienti inseriti in chatbot personali) e normativo: l’obbligo di alfabetizzazione sull’IA previsto dall’articolo 4 dell’AI Act è in vigore dal 2 febbraio 2025.

Cosa è cambiato con l’«Omnibus digitale»

Il Regolamento UE 2026/1744 ha rinviato gli obblighi sui sistemi ad alto rischio (al 2 dicembre 2027 e al 2 agosto 2028) e ha reso meno rigido l’obbligo di formazione: le imprese devono adottare misure concrete, senza dover dimostrare un livello di competenza predefinito. Restano invece in vigore le regole già applicabili e, dal 2 dicembre 2026, i nuovi divieti sui deepfake intimi. Il rinvio, quindi, non è un via libera: una policy interna resta la base di una gestione seria.

I 5 passi

1. Mappa gli strumenti già in uso

Un breve sondaggio anonimo tra i collaboratori: quali strumenti di IA usate, per quali attività, con quali dati? Senza una fotografia reale, ogni regola resta teorica.

2. Sostituisci gli account personali con licenze aziendali

Gli account gratuiti personali non danno garanzie sul trattamento dei dati. Scegli uno o due strumenti ufficiali, con impostazioni di privacy verificate.

3. Definisci cosa non si inserisce mai

Dati personali di clienti, contratti riservati, informazioni finanziarie, credenziali. Una lista di cinque righe, scritta in modo chiaro, basta.

4. Forma il team e documenta

Due o tre ore pratiche: riconoscere i dati sensibili, verificare le risposte dell’IA, non delegarle decisioni. Conserva data, partecipanti e contenuti: è la prova che hai adottato misure concrete.

5. Verifica dove finiscono i dati e rivedi ogni sei mesi

Controlla informative e impostazioni GDPR dei fornitori e aggiorna la policy quando cambiano strumenti o norme.

Un modello di policy in dieci righe

• Usiamo solo gli strumenti di IA approvati dall’azienda.
• Non inseriamo dati personali, riservati o credenziali.
• Verifichiamo sempre l’output prima di usarlo.
• Le decisioni che riguardano persone restano umane.
• Segnaliamo a un referente dubbi e incidenti.

Per il quadro generale delle scadenze leggi anche AI Act dal 2 agosto 2026: cosa cambia per la tua impresa.

Fonti: analisi Aidapt (QN, 7 luglio 2026); Regolamento UE 2026/1744 come commentato da FiscoeTasse. Questo articolo ha finalità informative e non costituisce consulenza legale.