Policy aziendale sull'intelligenza artificiale: modello e prompt

Una policy aziendale sull'intelligenza artificiale è un documento interno di una o due pagine che dice quali strumenti di AI si possono usare, per cosa, con quali dati e con quali controlli. Serve a evitare che ognuno usi l'account personale che preferisce caricando dati dei clienti, e aiuta a rispettare le regole europee e italiane: il Regolamento UE sull'AI chiede a chi usa sistemi di AI di sostenere la formazione del personale, e la legge italiana 132/2025 impone trasparenza verso lavoratori e, per i professionisti, verso i clienti.

In questa guida trovi le dieci sezioni da scrivere, il prompt che prepara la bozza su misura e la policy di esempio che abbiamo ottenuto per uno studio tecnico inventato. È un punto di partenza pratico, non consulenza legale: la versione finale va controllata da un consulente.

Cosa ti serve

• Un account Claude, anche gratuito, oppure quello aziendale se lo avete già
• L'elenco degli strumenti di AI che usate o volete usare, e per cosa
• L'elenco dei tipi di dati che l'azienda tratta (clienti, dipendenti, offerte, progetti)
• I nomi dei ruoli che decidono e controllano (non servono nomi di persone nel prompt)

Prompt pronto da copiare

Aiutami a scrivere la policy interna sull'uso dell'intelligenza artificiale per la mia azienda. È un punto di partenza da far controllare a un consulente, non un documento legale definitivo.

L'azienda: [SETTORE, NUMERO DI PERSONE, CITTÀ]
Strumenti AI che usiamo o vogliamo usare: [PER ESEMPIO CLAUDE CON PIANO TEAM, TRADUTTORE NEL PROGRAMMA DI POSTA]
Per cosa li usiamo: [EMAIL, PREVENTIVI, TRADUZIONI, CODICE, ANALISI DI DATI...]
Dati che trattiamo: [DATI DI CLIENTI, DATI DI DIPENDENTI, OFFERTE RISERVATE, PROGETTI...]
Chi decide e chi controlla: [RUOLO DEL RESPONSABILE E DEL REFERENTE]

Scrivi la policy in italiano semplice, massimo 2 pagine, con queste sezioni: scopo e a chi si applica; strumenti ammessi e come si attivano; cosa si può fare; cosa non si può fare; dati che non si caricano mai e come anonimizzarli; controllo umano dei risultati; trasparenza verso clienti e colleghi; formazione; segnalazione dei problemi; aggiornamento della policy.
Alla fine elenca in una tabella le regole di legge da verificare con il consulente (Regolamento UE sull'AI, legge italiana 132/2025, GDPR), senza citare articoli di cui non sei sicuro.
Non inventare strumenti, procedure o persone che non ti ho indicato: dove manca un'informazione lascia un campo [DA COMPLETARE].

I campi [DA COMPLETARE] sono una caratteristica, non un difetto: ti mostrano quali decisioni l'azienda deve ancora prendere.

Perché un'azienda deve avere una policy sull'AI?

Perché l'AI si usa già, anche dove nessuno l'ha deciso: un collaboratore traduce un contratto con un servizio gratuito, un altro incolla in una chat l'elenco dei clienti per fare una tabella. Una policy trasforma queste abitudini in regole chiare: quali strumenti, quali dati mai, chi controlla i risultati, a chi chiedere. È anche il modo più semplice per dimostrare di aver pensato alla formazione e alla trasparenza che la legge richiede.

Cosa dice la legge: AI Act e legge 132/2025

Le regole principali da conoscere, verificate sui testi ufficiali il 21 ottobre 2026:

Per una piccola azienda che usa l'AI per scrivere, tradurre e riassumere, la parte più concreta è questa: formare le persone, decidere quali dati non entrano negli strumenti, informare dove la legge lo chiede. Gli usi per selezionare, valutare o controllare le persone sono un'altra storia, che richiede un'analisi specifica: noi li lasciamo fuori dalla policy, come nell'esempio.

Passo 1: Fai l'elenco di strumenti, usi e dati

Prima di scrivere, chiedi ai colleghi quali strumenti di AI usano davvero, anche quelli gratuiti e quelli integrati nei programmi (traduttori, assistenti nella posta, correttori). Poi scrivi i tipi di dati che l'azienda tratta. Sono le due liste che il prompt ti chiede.

Passo 2: Genera la bozza con il prompt

Incolla il prompt compilato. Nel prompt usa i ruoli ("titolare", "responsabile amministrativa") invece dei nomi delle persone, e non incollare documenti interni: per la bozza non servono.

Quali dati non caricare e come anonimizzarli?

La sezione sui dati è la più importante della policy. Di solito restano fuori da qualsiasi strumento di AI:

• password, credenziali e codici di accesso;
• dati di salute, documenti d'identità, coordinate bancarie di clienti e dipendenti;
• offerte economiche riservate e condizioni commerciali;
• documenti che permettono di riconoscere una persona o un immobile, se il dato non serve al compito.

Quando un documento serve, si anonimizza prima di caricarlo: nomi e ragioni sociali diventano "Cliente A", gli indirizzi diventano descrizioni generiche ("villetta in provincia di Modena"), i numeri non necessari si arrotondano, intestazioni e timbri si tolgono. La regola pratica da scrivere nella policy: nel dubbio non si carica e si chiede al referente.

Conta anche il piano che usate. Secondo il Privacy Center di Anthropic, con i prodotti commerciali (piani Team ed Enterprise e API) i contenuti non vengono usati per addestrare i modelli, salvo che l'azienda invii un feedback o scelga di partecipare. Con i piani personali Free, Pro e Max la scelta spetta a ogni utente, con l'interruttore in Impostazioni > Privacy. Per il lavoro conviene un account aziendale gestito, invece degli account personali dei singoli.

Passo 3: Completa i campi e decidi chi controlla

Riempi i [DA COMPLETARE] con le decisioni vere: chi approva un nuovo strumento, come si chiede l'accesso, ogni quanto si rivede la policy, dove si segnala un errore. Se una decisione non è ancora presa, lasciala in evidenza invece di scrivere qualcosa di generico.

Passo 4: Fai controllare la bozza al consulente

Porta al consulente la bozza con la tabella delle norme, le condizioni contrattuali degli strumenti che usate e le informative privacy esistenti. Le domande da fare sono già nella tabella finale: cosa comunicare ai lavoratori, come informare i clienti se siete professionisti, come documentare la formazione.

Passo 5: Presenta la policy e fai la formazione

Una policy che nessuno legge non serve. Presentala in una riunione breve, con esempi concreti di cosa si può e non si può fare, e fai una prima formazione su come funzionano gli strumenti, i loro errori tipici e l'anonimizzazione. Tieni traccia di chi ha partecipato: è il modo più semplice per dimostrare le misure sull'alfabetizzazione.

Il risultato della nostra prova

Abbiamo usato il prompt per un'azienda inventata: uno studio di ingegneria di Modena con 14 persone, che usa Claude con il piano Team e il traduttore integrato nel programma di posta, per bozze di email e relazioni, riassunti di normative e capitolati, traduzioni di schede tecniche e piccoli script di calcolo. Dati trattati: nomi, indirizzi degli immobili e consumi dei clienti, planimetrie, offerte riservate.

Claude ha prodotto una policy in dieci sezioni, con una tabella degli strumenti ammessi e la regola che ogni altro strumento, anche gratuito, resta vietato finché il titolare non lo approva per iscritto. Ha lasciato 13 campi [DA COMPLETARE], tra cui la data, la procedura di attivazione degli account, il nome del programma di posta e dove elabora i testi tradotti, il testo dell'informativa ai clienti, il canale per le segnalazioni e la frequenza di revisione. Non ha inventato persone né procedure.

Tre scelte ci sono sembrate utili e non le avevamo chieste esplicitamente: provare gli script generati dall'AI su casi di cui si conosce già il risultato prima di usarli sui lavori dei clienti; il divieto di usare l'AI per valutare o controllare colleghi e candidati; la regola che chi segnala in buona fede un proprio errore non viene penalizzato per la segnalazione. Nella tabella finale ha collegato l'art. 13 della legge 132/2025 all'informativa da inserire nel preventivo o nell'incarico, e ha chiesto di verificare con il consulente se vale anche per i tecnici non iscritti all'albo.

Puoi leggere la policy di esempio completa, copiarla o salvarla in PDF.

Varianti del prompt

Per un'azienda che non ha ancora scelto gli strumenti:

Non abbiamo ancora scelto gli strumenti di AI. Prima della policy, fammi una tabella con i criteri da valutare per scegliere un servizio per [USI]: dove vengono trattati i dati, se vengono usati per l'addestramento, gestione degli account, contratto sul trattamento dei dati. Non indicare prezzi o condizioni di servizi specifici: dimmi dove verificarli.

Una versione breve da appendere o mandare a tutti:

Dalla policy che hai scritto, ricava un promemoria di massimo 10 righe per i colleghi: cosa si può fare, cosa mai, a chi chiedere. Linguaggio diretto, niente termini legali. Non aggiungere regole che non sono nella policy.

Esempi pratici per la formazione:

Scrivi 8 casi pratici per la formazione sulla policy, presi dalla vita del nostro ufficio ([USI]): per ognuno una situazione, la domanda "si può fare?" e la risposta secondo la policy, con la sezione di riferimento. Usa solo le regole della policy.

Errori da evitare

• Copiare una policy di un'altra azienda. Strumenti, dati e rischi sono diversi: parti dai tuoi elenchi.
• Vietare tutto. Una policy troppo restrittiva spinge le persone a usare l'AI di nascosto, con account personali.
• Dimenticare gli strumenti integrati. Traduttori e assistenti dentro posta, documenti e gestionali sono strumenti di AI anche se nessuno li ha "installati".
• Caricare dati veri per scrivere la policy. Al prompt servono categorie di dati, non i dati.
• Considerarla definitiva. Le regole cambiano, come ha mostrato la modifica dell'AI Act del 2026: rivedila almeno una volta l'anno e quando arriva un nuovo strumento.

Domande frequenti

La policy sull'AI è obbligatoria per legge?

Se nel tuo caso sia un obbligo dipende dagli usi e va valutato con il consulente. Quello che le norme chiedono è chiaro: l'AI Act vuole misure per l'alfabetizzazione del personale, la legge 132/2025 trasparenza verso i lavoratori e, nelle professioni intellettuali, verso i clienti. Una policy scritta è il modo più ordinato per organizzare e dimostrare queste misure.

Cosa deve contenere una policy aziendale sull'AI?

Almeno: a chi si applica, strumenti ammessi, usi consentiti e vietati, dati da non caricare e come anonimizzarli, controllo umano dei risultati, trasparenza, formazione, segnalazione dei problemi e aggiornamento. Sono le dieci sezioni del prompt.

Anche i professionisti devono informare i clienti dell'uso dell'AI?

Sì: per le professioni intellettuali l'art. 13 della legge 132/2025 chiede di comunicare al cliente le informazioni sui sistemi di AI usati, con linguaggio chiaro, semplice ed esaustivo. Come e quando farlo è una delle domande da portare al consulente.

Posso usare Claude con i dati dei clienti?

Solo se la policy e il consulente lo consentono, con un account aziendale gestito e caricando solo i dati necessari, anonimizzati quando possibile. Per lavori ripetitivi su documenti, come nella guida su come estrarre i dati dalle fatture PDF in Excel, conviene sempre togliere ciò che non serve.

La policy vale anche per i connettori e le app collegate a Claude?

Sì, ed è bene scriverlo: collegare posta, calendario o documenti a Claude significa dargli accesso a dati aziendali. La guida su MCP e connettori di Claude spiega come funzionano e quali regole darsi.

Quale piano di Claude conviene a un'azienda?

Dipende da quante persone lo usano e da quali controlli servono all'amministratore. Le differenze tra piani e assistenti sono nella guida Claude o ChatGPT, e la scelta del modello in quella sui modelli di Claude. Altri prompt per aziende e professionisti sono nella raccolta di prompt per Claude.

Prompt provato il 21 ottobre 2026 con un'azienda inventata. Norme verificate sulla Gazzetta Ufficiale e su EUR-Lex, informazioni su Claude sul Privacy Center ufficiale, il 21 ottobre 2026. Questa guida non è consulenza legale.