ChatGPT in azienda: le regole per i dipendenti (come facevano i vetrai di Murano)

Se nella tua azienda nessuno ha mai detto per iscritto come si usa ChatGPT, è molto probabile che lo si stia già usando in dieci modi diversi, con account personali e dati che non dovrebbero uscire dall'ufficio. Una policy sull'uso dell'intelligenza artificiale risolve il problema in una pagina: cosa si può fare, con quali strumenti, quali dati sono vietati e chi controlla. In fondo trovi un modello in otto punti pronto da adattare.

I vetrai di Venezia e il loro regolamento

Venezia, seconda metà del Duecento. Il vetro è una delle industrie più preziose della città, e i suoi maestri, i fioleri, si danno regole scritte. Il più antico Capitolare dell'arte vetraria che conosciamo risale al 1271: uno statuto che stabilisce chi può lavorare, come, con quali materiali. Sarà aggiornato per secoli.

Nel 1291 il governo veneziano ordina di trasferire le fornaci a Murano. Il motivo dichiarato più citato è il rischio di incendi in una città costruita in gran parte di legno; ma molti storici notano che concentrare la produzione su un'isola rendeva anche più facile controllare chi entrava, chi usciva e dove andavano i segreti del mestiere (una sintesi è nella voce sul vetro veneziano e nei materiali del Corning Museum of Glass). Nei secoli successivi le regole sui vetrai si fecero sempre più severe, fino a limitare la loro libertà di lasciare la Repubblica.

E voi direte: ma noi non vogliamo chiudere i dipendenti su un'isola! Ci mancherebbe. Il punto è un altro: Venezia aveva capito che il valore di un'arte sta nel sapere delle persone, e che quel sapere va protetto con regole chiare, scritte e conosciute da tutti. Non con il sospetto.

Ecco, la vostra azienda oggi ha lo stesso problema dei vetrai, ma rovesciato. I segreti di bottega non escono più su una barca diretta in terraferma: escono da un campo di testo. Listini, offerte, contratti, dati dei clienti, codice sorgente, strategie: basta un copia e incolla in un chatbot con un account personale. Non serve un'isola. Serve un capitolare moderno: una policy sull'AI.

Perché una policy, e non un divieto

Vietare ChatGPT di solito non funziona. Le persone lo usano comunque, dal telefono, e l'azienda perde ogni visibilità: è la cosiddetta shadow AI. Una policy ben scritta fa tre cose che un divieto non fa:

• porta l'uso alla luce, con strumenti aziendali e contratti adeguati;
• protegge i dati dei clienti e il know-how;
• dà sicurezza alle persone, che sanno cosa possono fare senza timore di sbagliare.

C'è poi una ragione normativa. L'articolo 4 dell'AI Act, riscritto dal Regolamento (UE) 2026/1744, chiede a chi usa sistemi di AI di adottare misure per sostenere l'alfabetizzazione del personale: una policy accompagnata da una breve formazione è il modo più semplice per farlo. E la legge 132/2025, all'articolo 11, chiede al datore di lavoro di informare i lavoratori sull'uso dell'intelligenza artificiale nei casi previsti dalla legge.

Il semaforo dei dati: cosa si può inserire

Il cuore di ogni policy è una classificazione semplice dei dati. Noi suggeriamo un semaforo.

Il semaforo funziona perché si ricorda in tre secondi. Una policy di venti pagine non la legge nessuno; un'immagine con tre colori, appesa in ufficio o fissata nella chat aziendale, sì.

Gli strumenti ammessi

La policy deve dire quali strumenti si possono usare e con quali account. Regole pratiche:

• solo account aziendali, creati dall'azienda, con l'email aziendale;
• piani business o enterprise con contratto di trattamento dei dati e addestramento sui contenuti disattivato (verificalo nelle condizioni del fornitore);
• un elenco breve di strumenti approvati, aggiornato da una persona responsabile;
• una procedura semplice per chiedere di aggiungere uno strumento nuovo (un modulo, una email), così nessuno è tentato di fare da sé.

Sugli aspetti privacy, contratti e trasferimenti di dati trovi tutto nel nostro dossier GDPR e intelligenza artificiale.

Verifica, responsabilità e trasparenza

L'AI generativa scrive con grande sicurezza anche quando sbaglia. La policy deve dirlo senza giri di parole:

• chi usa l'AI è responsabile del risultato, come se l'avesse scritto da sé;
• ogni testo che esce dall'azienda (email ai clienti, offerte, documenti tecnici) viene riletto da una persona;
• numeri, citazioni, riferimenti normativi e dati tecnici si verificano sulla fonte;
• se lavori in uno studio professionale, ricorda che la legge 132/2025 (articolo 13) chiede di informare il cliente sui sistemi di AI utilizzati, con linguaggio chiaro e semplice;
• se l'azienda usa un chatbot per parlare con i clienti, dal 2 agosto 2026 l'AI Act chiede che le persone sappiano di parlare con una macchina.

Il modello di policy in 8 punti

Ecco una struttura che puoi copiare e adattare. Sta in una o due pagine.

1. Scopo. "L'azienda incoraggia l'uso dell'intelligenza artificiale per lavorare meglio, nel rispetto dei dati dei clienti, dei colleghi e del know-how aziendale."
2. Strumenti ammessi. Elenco degli strumenti approvati e obbligo di usare solo account aziendali.
3. Dati. Il semaforo verde/giallo/rosso, con esempi concreti presi dal vostro lavoro.
4. Usi consentiti. Bozze, riassunti, traduzioni, ricerca di idee, analisi di documenti non riservati, supporto alla scrittura di codice.
5. Usi non consentiti. Decisioni su persone (assunzioni, valutazioni, sanzioni) affidate all'AI senza controllo umano; inserimento di dati "rossi"; creazione di contenuti ingannevoli; uso di account personali per attività di lavoro.
6. Verifica e responsabilità. Ogni output è rivisto da una persona, che ne resta responsabile.
7. Riferimenti. Chi contattare per dubbi, nuovi strumenti o errori (una persona con nome e cognome, non "l'IT").
8. Formazione e aggiornamento. Breve formazione all'ingresso e revisione della policy almeno una volta l'anno.

Un consiglio da professore: scrivi gli esempi con le parole della tua azienda. "Non incollare l'anagrafica clienti del gestionale" funziona meglio di "non inserire dati personali".

E se qualcuno sbaglia?

Prevedi una regola di segnalazione senza colpa: chi si accorge di aver inserito un dato sbagliato lo dice subito al referente. Se le persone hanno paura di essere punite, nasconderanno gli errori, e un errore nascosto è quello che fa più danni. Le conseguenze disciplinari vanno lasciate ai casi di violazione consapevole e ripetuta, nel rispetto del contratto collettivo.

Attenzione anche al rovescio della medaglia: se per controllare l'uso degli strumenti pensi di monitorare l'attività dei dipendenti, ricorda che in Italia valgono i limiti sui controlli a distanza dell'articolo 4 dello Statuto dei lavoratori. In quel caso è meglio coinvolgere il consulente del lavoro prima di accendere qualsiasi sistema.

Scenario tipo: uno studio tecnico di 8 persone

Immagina uno studio di progettazione impiantistica con otto persone. Due ingegneri usano ChatGPT dal proprio account per scrivere relazioni; una collega in amministrazione ci ha caricato un estratto conto per "capire le voci". Nessuno ha fatto nulla di male intenzionalmente, ma dati dei clienti e informazioni bancarie sono finiti in account privati.

La soluzione: un piano aziendale per chi ne ha bisogno, la policy in otto punti presentata in una riunione di un'ora, il semaforo appeso in ufficio e un referente interno. Costo modesto, rischio molto più basso, e le persone continuano a usare l'AI, ma alla luce del sole.

Il passo successivo

Una policy funziona se le persone sanno usare gli strumenti. Per questo il passo naturale è la formazione sull'intelligenza artificiale per i dipendenti. Se vuoi il quadro completo, parti dalla nostra guida all'intelligenza artificiale per PMI.

Noi di Penzai aiutiamo imprenditori e PMI a scrivere regole d'uso su misura e a formare le persone sui casi reali. Scopri i nostri servizi o prenota una call conoscitiva gratuita: in mezz'ora capiamo insieme da dove partire.