I tuoi dipendenti stanno usando l’IA proprio adesso. Alcuni hanno il permesso. La maggior parte probabilmente no.

La ricerca racconta una storia coerente: i lavoratori adottano gli strumenti di IA più in fretta di quanto le aziende riescano a scrivere policy su di essi, e il 68% dei dipendenti che usa ChatGPT al lavoro lo fa senza dirlo al proprio responsabile. Questo crea una situazione in cui le organizzazioni affrontano rischi legali concreti mentre fingono che il problema non esista.

L’istinto è vietare tutto. Blindare. Problema risolto.

Peccato che questo approccio non abbia mai funzionato con nessuna tecnologia, e non funzionerà nemmeno qui. Le persone trovano scappatoie perché gli strumenti sono troppo utili per essere ignorati, e l’informatica ombra diventa IA ombra, operando completamente fuori dalla tua visibilità.

Quindi serve una policy. Ma ecco la verità scomoda che la maggior parte delle guide non ti dirà: la policy in sé conta molto meno del fatto che le persone la seguiranno davvero. Un documento perfetto che resta ignorato in SharePoint non protegge nulla.

I due estremi della policy che falliscono entrambi

Le organizzazioni tendono a oscillare tra due poli. Nessuno dei due funziona.

Il divieto totale

Samsung ha notoriamente vietato tutti gli strumenti di IA generativa in tutta l’azienda dopo che alcuni dipendenti hanno accidentalmente divulgato codice sorgente riservato chiedendo a ChatGPT di revisionarlo. L’incidente è finito sui giornali e ha scatenato il panico aziendale in molti settori.

I divieti sembrano sicuri. Creano regole chiare ed eliminano le zone grigie che fanno innervosire gli avvocati. Spingono anche l’uso dell’IA sottotraccia, dove diventa invisibile e ingestibile.

Un commentatore su Hacker News ha colto questa tensione senza mezzi termini: “We are forcing non-use because of compliance. There is a fear that the models will scan and steal our proprietary code.”

Quella paura è reale. Ma un divieto indiscriminato crea rischi propri quando i dipendenti usano dispositivi personali e strumenti di IA per consumatori per aggirare le restrizioni, creando un’esposizione dei dati che il tuo team IT non riesce nemmeno a vedere.

Il liberi tutti

L’estremo opposto è nessuna policy. Lascia che ognuno se la cavi da solo, fidati del loro giudizio, muoviti veloce e poi adattati.

Questo approccio tratta l’IA come una scelta personale di produttività invece che come un rischio organizzativo. Ignora che i dipendenti prendono decisioni sulla gestione dei dati ogni volta che incollano informazioni in un prompt, e la maggior parte non ha mai pensato alle policy sui dati di addestramento o a dove potrebbero finire i loro input.

Alcune aziende sono andate oltre il laissez-faire. Un altro utente su Hacker News ha riferito il mandato del proprio datore di lavoro: “At least 20% of code must be AI generated with the goal of at least 80% by the end of the year.”

Obiettivi di adozione aggressivi senza paletti corrispondenti creano pressione a usare l’IA ovunque, a prescindere dall’adeguatezza. Quando la metrica è l’uso dell’IA invece della qualità dell’output, le persone trovano modi per raggiungere il numero che abbia senso o meno per il loro lavoro specifico.

Cosa dovrebbero coprire davvero le policy

Le policy sull’IA efficaci condividono elementi comuni, ma l’enfasi varia in base al tuo settore, alla tolleranza al rischio e alla cultura organizzativa. Parti da queste cinque aree e personalizza da lì.

Strumenti approvati e accesso

Sii specifico su quali strumenti di IA sono autorizzati per l’uso aziendale. Le versioni per le aziende degli strumenti di IA spesso hanno condizioni di gestione dei dati diverse rispetto alle versioni consumer, e questa distinzione conta.

La versione gratuita di ChatGPT e quella aziendale hanno garanzie di privacy fondamentalmente diverse. La versione gratuita potrebbe usare i tuoi input per addestrare modelli futuri. Quella aziendale in genere no. La tua policy dovrebbe riflettere quali versioni sono accettabili e quali sono vietate.

Includi un processo per richiedere nuovi strumenti. Le capacità dell’IA cambiano rapidamente, e l’elenco degli strumenti approvati avrà bisogno di aggiornamenti. Costruisci un processo di valutazione leggero invece di costringere le persone a usare strumenti superati o ad aggirare le restrizioni.

Classificazione dei dati

È qui che la maggior parte delle policy riesce o fallisce. Servono regole chiare e specifiche su quali informazioni si possono condividere con gli strumenti di IA e quali no.

Linee guida vaghe come “usa il buon senso con i dati sensibili” non danno alcuna indicazione reale. Le persone hanno bisogno di categorie concrete che possano applicare senza chiamare il legale ogni volta che vogliono scrivere la bozza di un’email.

Considera un approccio a livelli: dati che non si possono mai condividere con l’IA indipendentemente dallo strumento (PII dei clienti, credenziali, dati finanziari non pubblicati), dati che si possono condividere solo con strumenti aziendali approvati (documenti interni, informazioni aziendali generiche) e dati che si possono condividere liberamente (informazioni pubbliche, domande di cultura generale).

L’obiettivo non è eliminare ogni rischio. L’obiettivo è rendere il calcolo del rischio abbastanza semplice da permettere alle persone di seguire le regole senza frizioni eccessive.

Casi d’uso accettabili

Quali attività può supportare l’IA e cosa è vietato?

L’IA è eccellente nel creare bozze, riassumere, fare brainstorming e gestire manipolazioni testuali di routine. Fa fatica con l’accuratezza fattuale, il giudizio sfumato e tutto ciò che richiede una comprensione autentica del contesto specifico della tua azienda.

La maggior parte delle policy dovrebbe vietare all’IA di prendere decisioni che influenzano le persone: assunzioni, licenziamenti, valutazioni delle prestazioni, decisioni di credito. La combinazione tra la tendenza dell’IA a errori sicuri di sé e la posta in gioco di queste decisioni crea un rischio inaccettabile.

Allo stesso modo, documenti legali, adempimenti normativi e qualsiasi comunicazione in cui devi garantire accuratezza dovrebbero richiedere una creazione umana, non assistenza dell’IA. L’IA può aiutare nella ricerca e nella stesura, ma gli esseri umani devono essere responsabili del prodotto finale.

Criteri di qualità

Ogni policy dovrebbe affrontare il fatto che l’IA sbaglia. Le allucinazioni non sono difetti che i fornitori alla fine correggeranno. Sono intrinseche al modo in cui funzionano i modelli linguistici di grandi dimensioni.

Definisci requisiti di revisione in base alla posta in gioco dell’output. Note interne per il brainstorming potrebbero richiedere solo un’autorevisione. Le comunicazioni verso i clienti dovrebbero richiedere la revisione di un collega o di un responsabile. Qualsiasi cosa con implicazioni legali o di conformità richiede la verifica di un esperto di materia.

Sii esplicito: statistiche, citazioni e fonti generate dall’IA vanno verificate in modo indipendente. L’IA inventa con sicurezza fonti che non esistono e statistiche che non sono mai state pubblicate. Chiunque abbia fatto fact-checking dell’output dell’IA sa che succede continuamente.

Obblighi di dichiarazione

Quando va dichiarato l’uso dell’IA? Questa domanda non ha una risposta universale, ma la tua policy dovrebbe darne una per la tua organizzazione.

Alcuni contesti richiedono chiaramente una dichiarazione: qualsiasi situazione in cui qualcuno si aspetterebbe ragionevolmente di interagire con un essere umano, qualsiasi contenuto in cui l’attribuzione conta, qualsiasi comunicazione regolamentata in cui la dichiarazione potrebbe essere richiesta per legge.

Altri contesti non richiedono necessariamente una dichiarazione: IA usata come strumento per bozze con una forte revisione umana, IA usata per ricerca o preparazione che informa il lavoro umano, uso di produttività di routine in cui l’output finale riflette il giudizio umano.

La linea tra queste categorie comporta scelte di giudizio in cui la tua policy dovrebbe aiutare le persone a orientarsi.

Gli errori che ammazzano le policy

Le buone intenzioni producono continuamente policy scadenti. Tieni d’occhio questi schemi di fallimento.

Scrivere per gli avvocati invece che per gli utenti

Le policy scritte dai team legali spesso sembrano documenti legali. Coprono ogni caso limite, usano terminologia precisa e offrono una protezione completa contro la responsabilità.

E poi restano non lette perché i dipendenti non riescono a estrarre indicazioni operative dal legalese denso. Se la tua policy richiede l’interpretazione di qualcuno con una laurea in giurisprudenza, verrà ignorata da chiunque non l’abbia.

Scrivi per la persona che deve prendere una decisione rapida se può incollare qualcosa in ChatGPT. Rendi quella decisione semplice. Tieni il quadro legale completo per la documentazione interna che il tuo team legale mantiene.

Fingere che la tecnologia stia ferma

Le capacità dell’IA cambiano ogni mese. Claude, GPT, Gemini e decine di altri strumenti rilasciano aggiornamenti di continuo. Funzioni che erano sperimentali diventano standard. Nuovi rischi emergono mentre quelli vecchi vengono affrontati.

Le policy scritte per ChatGPT nel 2023 potrebbero non adattarsi al panorama dell’IA nel 2026. Inserisci cicli di revisione nella tua policy e assegna la responsabilità a qualcuno che li farà davvero. Una volta l’anno probabilmente è troppo lento. Ogni trimestre può essere appropriato per organizzazioni che si muovono in fretta.

Saltare del tutto la formazione

Una policy che esiste solo nella documentazione è una policy che non esiste. Le persone hanno bisogno di formazione per capire le regole, di contesto per capire il perché e di pratica per applicare le linee guida in situazioni reali.

Una ricerca SHRM ha rilevato che il 75% dei lavoratori si aspetta che il proprio ruolo cambi a causa dell’IA nei prossimi cinque anni, ma solo il 45% ha ricevuto recentemente riqualificazione. Quel divario tra aspettativa e preparazione crea confusione, paura e violazioni delle policy nate dall’ignoranza più che dalla malizia.

Metti a budget tempo per la formazione. Rendila interattiva invece di limitarti a distribuire un documento. Includi scenari reali che le persone incontreranno davvero.

Creare regole che nessuno fa rispettare

Le policy senza conseguenze sono suggerimenti. Decidi prima di pubblicare come verranno gestite le violazioni e comunicalo chiaramente.

Questo non significa trattare ogni errore come motivo di licenziamento. Funzionano meglio risposte proporzionate: correzione informale per violazioni minori, documentazione formale per problemi ripetuti, conseguenze serie per l’esposizione intenzionale di dati.

Ciò che uccide la credibilità della policy è l’incoerenza. Se i dirigenti ignorano regole che valgono per tutti gli altri, o se le violazioni vengono gestite in modo diverso a seconda di chi le commette, la tua policy perde tutta l’autorità.

Ignorare la realtà dell’IA ombra

Fingere che i dipendenti non stiano usando strumenti di IA personali non lo rende vero. Qualsiasi policy onesta riconosce questa realtà e offre percorsi che la affrontano.

Se gli strumenti approvati sono significativamente peggiori delle alternative consumer, le persone useranno le alternative consumer. Se il processo di approvazione richiede mesi, le persone aggireranno. Se le restrizioni creano frizioni eccessive per attività di routine, le persone troveranno modi per ridurre quelle frizioni.

La policy di cui hai bisogno è quella che rende il comportamento conforme la strada di minima resistenza, non quella che dipende dal fatto che le persone scelgano la strada più difficile perché un documento glielo ha detto.

Tenere le policy pratiche

Le migliori policy sull’IA hanno una qualità difficile da definire ma facile da riconoscere: sembrano ragionevoli. Riconoscono preoccupazioni legittime senza creare ostacoli burocratici che non servono a niente di concreto.

Parti dai principi, poi aggiungi le regole

Prima di scrivere regole specifiche, esplicita i principi che ci stanno dietro. Le persone possono applicare i principi a situazioni nuove che le regole non possono prevedere.

Il principio potrebbe essere: vogliamo che le nostre persone traggano beneficio dall’IA proteggendo al tempo stesso i dati che potrebbero danneggiare i clienti o l’azienda se venissero esposti. Quel principio guida il processo decisionale quando il regolamento non ha una risposta.

Le regole diventano quindi esempi dei principi in azione invece di un elenco esaustivo che implica che tutto ciò che non è vietato è permesso.

Rendere facile essere in regola

Ogni punto di frizione nella tua policy è un’opportunità di violazione. Ogni volta che qualcuno deve fermarsi, pensare, passare per un processo di approvazione o usare uno strumento peggiore, crei un incentivo ad aggirare le regole.

Controlla la tua policy dalla prospettiva di chi la usa. Che cosa serve davvero per essere in regola? Se il rispetto richiede uno sforzo significativo, chiediti se quello sforzo produce una riduzione del rischio proporzionata. A volte la risposta è sì. Spesso no.

Crea cicli di riscontro

La tua policy avrà lacune ed errori. Le persone che ci vivono dentro sanno dove sono quei problemi. Crea modi perché possano segnalarli senza paura.

Sondaggi regolari, canali anonimi per inviare riscontri, ore di ricevimento in cui le persone possono fare domande senza giudizio: questi meccanismi intercettano i problemi prima che causino incidenti e fanno sentire le persone ascoltate invece che sorvegliate.

Accetta l’imperfezione

Nessuna policy elimina ogni rischio. La conformità perfetta non è raggiungibile o, forse, nemmeno desiderabile se ha il costo di distruggere la produttività.

L’obiettivo è ridurre il rischio a livelli accettabili, non eliminarlo. Definisci cosa significa accettabile per la tua organizzazione e progetta una policy che lo raggiunga senza richiedere perfezione da tutti, sempre.

Iniziare senza ricominciare da zero

Se non hai alcuna policy, parti in piccolo. Copri prima gli scenari a rischio più alto: quali dati non si possono mai condividere, quali decisioni l’IA non può prendere, quale revisione è richiesta per le comunicazioni esterne. Da lì puoi espandere.

Se hai una policy che non funziona, resisti all’impulso di ricostruire da zero. Parla con le persone di cosa sta fallendo. Spesso i problemi sono risolvibili senza una sostituzione totale.

La policy non è un documento. È una conversazione continua tra l’organizzazione e le persone che ci lavorano su come usare strumenti potenti in modo responsabile. Il documento cattura solo dove è arrivata quella conversazione finora.

Le organizzazioni che fanno bene la policy sull’IA la trattano come una cosa viva: rivista regolarmente, discussa apertamente, aggiustata in base all’esperienza. Quelle che la fanno male producono un documento e se ne dimenticano finché un incidente non costringe a farci caso.

Il tuo team sta già usando l’IA. La domanda è se lo stia facendo in modo sicuro e se tu abbia reso la sicurezza la scelta più facile. Questo è ciò che una buona policy ottiene. Non restrizioni fine a se stesse, ma paletti che permettono alle persone di muoversi in fretta senza finire fuori strada.

Che tipo di policy hai?