POLICY PER L'UTILIZZO DELL'IA ============================= Azienda: [Azienda] Responsabile della policy: [Nome, ruolo, ad es. CIO o CISO] Approvata da: [Organo di amministrazione] Versione: 1.0. In vigore dal: [data]. Prossima revisione: [data] 1. Finalità e ambito di applicazione ------------------------------------ 1.1 Questa policy stabilisce le regole per l'uso degli strumenti di intelligenza artificiale (IA) in [Azienda]: assistenti di chat, funzioni di IA integrate in altri software, agenti di coding e modelli di IA richiamati tramite API. 1.2 Si applica a tutti i dipendenti, collaboratori esterni e lavoratori temporanei che usano l'IA per attività di [Azienda], su dispositivi aziendali o personali. 1.3 Integra le nostre policy sulla sicurezza delle informazioni, sulla protezione dei dati e sull'uso accettabile degli strumenti informatici. In caso di conflitto prevale la regola più restrittiva. 1.4 Le domande su questa policy vanno indirizzate a [responsabile della policy, e-mail]. 2. Strumenti approvati e accesso -------------------------------- 2.1 Usate solo gli strumenti di IA presenti nell'elenco degli strumenti approvati su [link intranet]. L'elenco indica per ogni strumento a cosa può servire e la classe di dati più alta ammessa (sezione 3). 2.2 Accedete agli strumenti approvati con il vostro account di lavoro [Azienda] tramite single sign-on (SSO) con [Microsoft Entra ID / Google Workspace / Okta]. Account e abbonamenti personali non possono essere usati per il lavoro di [Azienda]. 2.3 L'accesso viene concesso tramite [appartenenza a un gruppo nel provider di identità / richiesta all'help desk IT]. Chi lascia [Azienda] o cambia ruolo perde l'accesso attraverso gli stessi gruppi. 2.4 Le chiavi API sono assegnate per persona o per applicazione, non vengono mai condivise e sono conservate in [gestore di segreti]. 2.5 Per proporre un nuovo strumento, inviate [modulo di richiesta] a [responsabile della policy]. Sicurezza, protezione dei dati e acquisti lo valutano prima che entri nell'elenco. Anche una prova gratuita di uno strumento non approvato conta come utilizzo. 3. Dati nei prompt ------------------ 3.1 Tutto ciò che digitate, incollate, caricate o lasciate leggere a uno strumento (file, schermate, repository, e-mail, audio di riunioni) è un prompt. 3.2 Classificate i dati secondo il nostro schema di classificazione. La tabella indica cosa può entrare in un prompt in uno strumento approvato. Classe di dati: Pubblici Esempi: Testi pubblicati sul sito, comunicati stampa, documentazione pubblica In uno strumento approvato: Consentito Classe di dati: Interni Esempi: Processi interni, verbali di riunione senza dati personali, codice non sensibile In uno strumento approvato: Consentito Classe di dati: Riservati Esempi: Contratti con i clienti, dati finanziari non pubblicati, codice sorgente, piani di prodotto In uno strumento approvato: Solo in strumenti approvati per dati riservati, con le condizioni del fornitore della sezione 4 Classe di dati: Dati personali Esempi: Nomi, indirizzi e-mail, anagrafiche clienti, fascicoli del personale In uno strumento approvato: Solo se una base giuridica e un accordo sul trattamento dei dati coprono lo strumento. Usate il minimo necessario e pseudonimizzate quando possibile Classe di dati: Categorie particolari e dati regolamentati Esempi: Dati sanitari, appartenenza sindacale, precedenti penali, dati delle carte di pagamento, dati dei clienti coperti da segreto professionale In uno strumento approvato: Non consentito, salvo approvazione scritta di un uso specifico da parte di [responsabile della protezione dei dati] Classe di dati: Segreti Esempi: Password, chiavi API, token, chiavi private, stringhe di connessione In uno strumento approvato: Mai 3.3 Se non siete sicuri della classe, trattate i dati come appartenenti alla classe superiore o chiedete a [responsabile della policy]. 3.4 Non usate strumenti di IA per dedurre caratteristiche sensibili delle persone, per monitorare i dipendenti o per decidere su una persona senza la revisione umana prevista dalla sezione 7. 4. Modelli e fornitori approvati -------------------------------- 4.1 [Azienda] tiene un elenco dei modelli di IA consentiti e dei fornitori che possono eseguirli. Un modello o un fornitore non presente nell'elenco non può trattare dati di [Azienda]. 4.2 Un fornitore entra nell'elenco solo dopo una verifica di: dove avviene l'inferenza [ad es. solo in Europa], se conserva prompt e risultati (per i dati riservati e superiori richiediamo la conservazione zero dei dati), se addestra modelli sui nostri dati (non può farlo), i suoi sub-responsabili e un accordo sul trattamento dei dati firmato. 4.3 I modelli open-weight sono approvati per singola applicazione, per gli usi indicati nell'elenco dei consentiti. 4.4 Nuovi tentativi e fallback devono restare all'interno dell'elenco dei consentiti. Uno strumento che instrada le richieste verso altri fornitori senza dichiararlo non è approvato. 4.5 [Responsabile della policy] gestisce l'elenco dei consentiti su [link] e lo rivede insieme a questa policy. 5. Agenti di coding ------------------- 5.1 Gli agenti di coding (ad esempio Claude Code, Codex, Cursor, GitHub Copilot o Cline) possono essere usati sui repository elencati su [link]. 5.2 Non inserite mai segreti in prompt, istruzioni dell'agente o codice sottoposto a commit. Tenete i file .env e le credenziali fuori dalla portata dell'agente ed eseguite [strumento di scansione dei segreti] a ogni commit. 5.3 Gli agenti operano con i privilegi minimi necessari: nessuna credenziale di produzione, nessun accesso in scrittura ai sistemi di produzione e nessuna approvazione automatica di comandi che cancellano dati, modificano l'infrastruttura o fanno push su branch protetti. 5.4 Tutto il codice scritto dall'IA passa dalla normale revisione della pull request da parte di una persona diversa da chi lo ha generato, e dagli stessi test e controlli di sicurezza di qualsiasi altro codice. L'autore della pull request è responsabile del codice. 5.5 Verificate le licenze delle dipendenze aggiunte dall'agente e di ogni passaggio lungo che riproduce alla lettera. 5.6 Server MCP, plugin ed estensioni sono strumenti ai sensi della sezione 2 e vanno approvati prima dell'uso. 6. Conservazione e registrazione -------------------------------- 6.1 Gli strumenti approvati sono configurati in modo che i fornitori non conservino copia di prompt e risultati oltre quanto necessario per servire ogni richiesta, ovunque il fornitore lo consenta. 6.2 [Azienda] registra i metadati di utilizzo dell'IA: chi, quale strumento o chiave, quale modello e fornitore, quando e con quale costo. Questi registri sono conservati per [12 mesi]. 6.3 Il contenuto di prompt e risultati non viene registrato centralmente, salvo [obbligo di legge o caso d'uso approvato]. Quando viene registrato, è protetto come la classe di dati più alta che contiene. 6.4 Le cronologie delle chat negli strumenti approvati vengono cancellate dopo [periodo]. I risultati che costituiscono documenti aziendali vengono salvati in [sistema documentale], non solo nello strumento di IA. 6.5 I registri di utilizzo servono per sicurezza, controllo dei costi e conformità, come descritto in [informativa privacy per i dipendenti]. 7. Revisione umana dei risultati -------------------------------- 7.1 Siete responsabili di ogni risultato dell'IA che utilizzate. Verificate fatti, cifre, citazioni, fonti, codice e affermazioni giuridiche prima di farvi affidamento. 7.2 Una persona qualificata rivede il risultato dell'IA prima che venga inviato a un cliente, pubblicato, usato in un contratto o usato in una decisione su una persona, come un'assunzione, una valutazione delle prestazioni, un credito o l'accesso a un servizio. 7.3 L'IA non prende decisioni finali che producono effetti giuridici o effetti analogamente significativi su una persona. [Elencate gli usi vietati o che richiedono una valutazione del rischio separata.] 7.4 Quando la vostra professione lo richiede, registrate in [sistema] se l'IA ha contribuito in modo sostanziale alla consulenza fornita a un cliente. 8. Dichiarazione dei contenuti generati dall'IA ----------------------------------------------- 8.1 Quando [Azienda] pubblica contenuti di immagine, audio o video che costituiscono un deep fake (contenuti che somigliano a persone, oggetti, luoghi o eventi reali e che apparirebbero falsamente autentici), dichiariamo che sono stati generati o manipolati artificialmente. È un obbligo del deployer ai sensi dell'articolo 50, paragrafo 4, dell'AI Act, dal 2 agosto 2026. 8.2 Quando pubblichiamo testo generato o manipolato dall'IA allo scopo di informare il pubblico su questioni di interesse pubblico, lo dichiariamo ugualmente, a meno che una persona abbia rivisto o modificato il testo e [Azienda] ne detenga la responsabilità editoriale. 8.3 La marcatura leggibile da macchina dei risultati dell'IA (filigrane, metadati) è un obbligo del fornitore del sistema di IA ai sensi dell'articolo 50, paragrafo 2. Non rimuovete tali marcature. 8.4 Oltre a quanto richiesto dalla legge, [Azienda] [indica come IA i chatbot rivolti ai clienti / lo dichiara nella comunicazione con i clienti quando il contenuto è in gran parte generato dall'IA]. 9. Formazione sull'alfabetizzazione in materia di IA ---------------------------------------------------- 9.1 [Azienda] adotta misure per sostenere l'alfabetizzazione in materia di IA del proprio personale e delle altre persone che usano sistemi di IA per suo conto, tenendo conto delle loro conoscenze tecniche, esperienza, istruzione e formazione e del contesto in cui gli strumenti sono usati. È l'obbligo previsto dall'articolo 4 dell'AI Act, che si applica dal 2 febbraio 2025. 9.2 Tutti completano [formazione di base sull'IA] prima di ricevere l'accesso a uno strumento approvato, e [un aggiornamento ogni 12 mesi]. 9.3 La formazione copre questa policy, le classi di dati, i modi in cui i modelli possono sbagliare, la prompt injection e gli usi approvati di ogni strumento. Gli sviluppatori che usano agenti di coding e i team che usano l'IA in decisioni sulle persone ricevono una formazione aggiuntiva specifica per il ruolo. 9.4 [Risorse umane / responsabile della policy] registra chi ha completato quale formazione. 10. Segnalazione degli incidenti -------------------------------- 10.1 Segnalate a [contatto o canale di sicurezza] entro [24 ore]: dati inseriti in uno strumento in cui non erano consentiti, un segreto esposto a uno strumento di IA, un risultato dannoso o discriminatorio arrivato a un cliente, un'azione di un agente che ha modificato o cancellato qualcosa in modo inatteso o una sospetta prompt injection. 10.2 Segnalare tempestivamente un errore è ciò che ci aspettiamo e non comporta conseguenze disciplinari. Nasconderlo è una violazione di questa policy. 10.3 Sostituite subito qualsiasi segreto esposto. [Sicurezza / responsabile della protezione dei dati] valuta se la normativa sulla protezione dei dati richiede di notificare l'autorità di controllo o le persone interessate. 11. Budget e approvazione dell'uso a pagamento ---------------------------------------------- 11.1 Abbonamenti, licenze e utilizzo di API di IA a pagamento richiedono l'approvazione di [responsabile del budget] prima dell'acquisto. Gli strumenti di IA non si acquistano con carte personali senza [approvazione della spesa]. 11.2 Ogni persona e ogni applicazione con utilizzo a pagamento ha un budget mensile fissato da [responsabile del budget]. Raggiunto il budget, l'utilizzo si ferma finché [responsabile del budget] non approva un importo aggiuntivo. 11.3 [Amministrazione e finanza] esamina ogni [mese] la spesa per l'IA per persona, applicazione e centro di costo. 11.4 Licenze e chiavi inutilizzate vengono annullate nella revisione [trimestrale]. 12. Revisione periodica e responsabilità ---------------------------------------- 12.1 [Responsabile della policy] è titolare di questa policy, dell'elenco degli strumenti approvati e dell'elenco dei modelli e fornitori consentiti. 12.2 La policy viene rivista ogni [6 mesi], e subito dopo un incidente significativo, l'arrivo di un nuovo tipo di strumento o una modifica della legge. 12.3 Le violazioni di questa policy sono gestite secondo [il codice disciplinare / le condizioni contrattuali]. 12.4 Cronologia delle versioni: [data, versione, modifica, approvata da]. Riferimenti normativi --------------------- - Articolo 4 (alfabetizzazione in materia di IA) e articolo 50 (trasparenza) del regolamento (UE) 2024/1689, il regolamento sull'IA (AI Act) (https://eur-lex.europa.eu/eli/reg/2024/1689/oj). L'articolo 4 si applica dal 2 febbraio 2025; l'articolo 50 si applica dal 2 agosto 2026. - Articolo 4 come sostituito dal regolamento (UE) 2026/1744, l'Omnibus digitale sull'IA (https://eur-lex.europa.eu/eli/reg/2026/1744/oj), pubblicato nella Gazzetta ufficiale il 24 luglio 2026: fornitori e deployer adottano misure per sostenere l'alfabetizzazione in materia di IA del proprio personale, senza dover garantire un livello specifico di alfabetizzazione per nessuna persona. - Questo modello è un'indicazione generale e non costituisce consulenza legale. Fatelo verificare dal vostro responsabile della protezione dei dati o dal vostro legale alla luce delle regole del vostro settore. Basata sul modello gratuito di policy per l'utilizzo dell'IA disponibile su https://standardcompute.com/modello-policy-utilizzo-ia (versione del 9 novembre 2026). Liberamente copiabile e modificabile. Non costituisce consulenza legale.