Una politica sull'IA in una pagina

Nota Questo articolo descrive una struttura di base praticabile e non sostituisce una consulenza legale. Se per voi esistano obblighi ulteriori — per esempio dal Regolamento sull'IA, da norme di settore o da contratti con i clienti — va verificato caso per caso.

In breve

Bastano sei sezioni su una pagina: accessi, input vietati, obbligo di verifica, responsabilità, casi di esclusione, persona di riferimento.
La sezione più importante è quella sui casi di esclusione, formulata in concreto e non come avvertimento generico.
Un divieto senza un accesso aziendale messo a disposizione porta ad accessi privati, non a meno uso.
La politica va all'inizio dell'introduzione, non alla fine.

Perché una pagina

Un regolamento ampio viene approvato una volta e poi non si legge più. Una pagina viene letta davvero, e solo ciò che si legge produce effetto.

La brevità costringe inoltre a decidere: chi vuole regolare tutto non regola nulla in modo vincolante. Sei sezioni coprono i casi che si presentano davvero nel quotidiano.

Le sei sezioni

1. Quali accessi

Accessi aziendali nominali, messi a disposizione dall'azienda. Gli accessi privati sono esclusi per scopi di lavoro.

Motivazione nel testo: nelle tariffe aziendali l'uso degli input per l'addestramento è di norma escluso, in quelle private non sempre.

2. Che cosa non si inserisce

Dati personali dei clienti senza una base chiarita, credenziali e chiavi, cifre di bilancio non pubblicate, documenti coperti da accordi di riservatezza.

Concreto invece che generico: nominare esempi del vostro quotidiano, non categorie.

3. Che cosa si verifica sempre

Ogni dato verificabile prima dell'uso: numeri, studi, riferimenti normativi, termini, prezzi, citazioni, nomi.

Aggiunta importante: il tono sicuro di una risposta non dice nulla sulla sua correttezza.

4. Chi risponde

Chi pubblica o invia qualcosa risponde del contenuto, a prescindere da come sia nato. Come per qualsiasi altro testo.

5. Dove non si usa affatto

Cinque casi concreti del vostro campo. La sezione più importante, e l'unica che non si può copiare.

Esempi: informazioni giuridiche ai clienti senza la verifica di un professionista; temi senza competenza propria in casa; tutto ciò in cui un errore non si noterebbe.

6. A chi si chiede

Una persona indicata per nome per domande e casi limite. Senza quella riga ciascuno decide per conto proprio e in modo diverso.

Lo sapevi?

La sezione cinque è l'unica che non si può riprendere da un modello, e proprio per questo è la più preziosa. Richiede di decidere dove, nella vostra azienda, un errore non si noterebbe.

Quella domanda è scomoda, perché presuppone di nominare i propri punti ciechi. Ma è il nocciolo di ogni politica utilizzabile: quasi tutti i casi problematici nascono dove nessuno ha la competenza tecnica per riconoscere come sbagliata una risposta sbagliata.

Che cosa non deve entrare

Da non includere	Perché
Un elenco di prodotti ammessi	diventa obsoleto in mesi; meglio: accessi nominali
Istruzioni di prompting	appartengono alla formazione, non alla norma
Spiegazioni tecniche sul funzionamento	interessanti, ma non cambiano alcun comportamento
Un divieto generale senza alternativa	porta ad accessi privati invece che a meno uso
Obbligo di dichiarare ogni impiego	non viene rispettato; meglio: nominare la responsabilità

Dalla pratica

L'errore di costruzione più frequente è la quarta riga: un divieto senza che sia disponibile un accesso aziendale utilizzabile. Il risultato non è mai meno uso: è uso tramite accessi privati, senza visione d'insieme e in altre condizioni.

Chi prende sul serio la questione dei dati mette perciò prima a disposizione un accesso e poi regola. L'ordine è decisivo: accesso, poi norma, poi formazione, non il contrario.

Il rapporto con il Regolamento sull'IA

Per la maggior parte delle aziende piccole che usano modelli di linguaggio per testi e analisi, dal Regolamento sull'IA non derivano obblighi di ampia portata: di norma sono utilizzatrici e non fornitrici di un sistema di IA.

Diventa rilevante in tre casi: se offrite voi stessi un sistema di IA o lo modificate in modo sostanziale, se lo impiegate in un ambito classificato ad alto rischio — per esempio nelle decisioni sul personale — o se gestite sistemi che interagiscono direttamente con le persone. In quei casi la valutazione spetta a un professionista.

A prescindere da ciò, il Regolamento sull'IA richiede agli utilizzatori un minimo di competenza nell'uso, il che in pratica depone a favore della formazione che serve comunque.

Prompt

Aiutami a formulare una politica sull'IA di una pagina per la
nostra azienda.

La nostra situazione:
- Settore: [dato]
- Persone che usano strumenti IA: [numero e ruoli]
- Per che cosa dovranno essere impiegati: [compiti]
- Lavoriamo con dati personali? [sì / no / in parte]
- Abbiamo clienti con accordi di riservatezza? [sì/no]
- Quali accessi mettiamo a disposizione? [dato o "ancora
  nessuno"]
- Ambiti in cui non abbiamo competenza propria ma riceviamo
  domande: [elenco]

Compiti:
1. Formula le sei sezioni: accessi, input vietati, obbligo di
   verifica, responsabilità, casi di esclusione, persona di
   riferimento. In tutto al massimo una pagina.
2. Formula la sezione 2 con esempi concreti del nostro settore,
   non con categorie generiche.
3. Formula la sezione 5 — dove non si usa affatto — come cinque
   casi concreti. Usa per questo il mio elenco degli ambiti senza
   competenza propria.
4. Se non mettiamo ancora a disposizione degli accessi: di' con
   chiarezza perché una norma senza un accesso disponibile non
   funziona.
5. Indica i punti per cui, per il nostro settore, dovremmo
   rivolgerci a un professionista.

Non inventare articoli di legge né termini.

Conclusione

Sei sezioni, una pagina, leggibile in cinque minuti. Cinque si formulano in mezz'ora; la sesta — dove non si usa affatto — richiede uno sguardo onesto ai propri punti ciechi ed è il vero valore del documento.

E l'ordine conta: prima mettere a disposizione un accesso utilizzabile, poi regolare. Un divieto senza alternativa sposta soltanto l'uso dove nessuno lo vede.

Domande frequenti

Che cosa deve contenere una politica sull'IA?

Sei sezioni: quali accessi si usano, che cosa non si può inserire, che cosa va sempre verificato, chi risponde del contenuto pubblicato, in quali casi concreti non si usa affatto, e a chi si chiede nei casi limite. Tutto insieme su una pagina.

Perché basta una pagina?

Perché funziona solo ciò che viene letto. Un regolamento ampio viene approvato una volta e poi non guardato più. La brevità costringe inoltre a decidere: chi vuole regolare tutto non regola nulla in modo vincolante.

Qual è la sezione più importante?

Quella sui casi di esclusione, perché non si può riprendere da un modello. Richiede di decidere dove, nella propria azienda, un errore non si noterebbe, e quasi tutti i casi problematici nascono proprio dove nessuno ha la competenza per riconoscere come sbagliata una risposta sbagliata.

Conviene semplicemente vietare gli strumenti IA?

Un divieto senza un accesso aziendale disponibile non porta a meno uso, ma a un uso tramite accessi privati, senza visione d'insieme e in altre condizioni, per esempio riguardo all'uso degli input per l'addestramento. Sensato è l'ordine accesso, norma, formazione.

Che cosa significa il Regolamento sull'IA per le aziende piccole?

Chi usa modelli di linguaggio per testi e analisi è di norma utilizzatore e non fornitore, e da lì non derivano di solito obblighi di ampia portata. Diventa rilevante quando si offre o si modifica in modo sostanziale un sistema proprio, quando lo si impiega in ambiti ad alto rischio come le decisioni sul personale, e nei sistemi con interazione diretta con le persone. Quei casi spettano a un professionista.