Policy sull'IA per i dipendenti: un modello pronto da usare

Una policy sull’intelligenza artificiale per i dipendenti è un foglio che dice quali servizi si usano, quali dati non ci entrano e a chi si telefona quando qualcosa scappa. In Italia regge solo se sta in piedi su norme precise: codice civile, Statuto dei lavoratori, GDPR e, negli studi, deontologia.

Diffido dei regolamenti copiati e firmati in fretta: se nessuno li affigge, alla prima contestazione disciplinare restano carta. Accanto al modello trovi quindi chi vincola, come si consegna e se puoi controllarne il rispetto. Che cosa togliere da un atto prima della chat lo spiega la guida su ChatGPT e segreto professionale.

Policy sull’intelligenza artificiale per i dipendenti: il modello da adattare

Il testo è scritto per uno studio o una piccola azienda, dove la regola la firma il titolare. Le parti tra parentesi quadre si sostituiscono e i punti che non servono si tagliano. Dove un punto offre due versioni, ne tieni una.

Dieci punti su un foglio solo, ed è voluto: una regola che non si legge in due minuti davanti alla bacheca non la rilegge nessuno. Il punto 8 lo compilerei per ultimo. Al punto 2 conta l’account più del marchio, e con Gemini personale e di lavoro sono due regimi diversi.

REGOLAMENTO INTERNO SULL'USO DELL'INTELLIGENZA ARTIFICIALE
Studio [nome] · versione [n.] del [data]

1. A chi si applica
   Dipendenti, praticanti, tirocinanti, collaboratori e consulenti
   che trattano dati dello Studio sotto l'autorità del titolare.

2. Strumenti autorizzati
   Solo [nome del servizio], con l'account intestato allo Studio.
   Nessun account personale, nessuna estensione installata da sé.

3. Dati che non entrano mai
   Codice fiscale, partita IVA, IBAN, numeri di carta, documenti
   d'identità, dati sanitari, dati giudiziari, credenziali.

4. Dati che entrano solo trasformati
   Nomi, indirizzi, ragioni sociali, numeri di pratica e di R.G.
   si sostituiscono nel testo con omissis o con un segnaposto stabile.
   Importi e date si arrotondano quando il dato esatto non serve.
   Oscurare vuol dire togliere il dato dal testo, non coprirlo.

5. Pratiche escluse
   [clienti o materie per cui lo Studio non usa l'IA in nessun caso]

6. Revisione
   Nessun testo prodotto con l'IA esce dallo Studio senza la
   rilettura di un professionista.

7. Dati usciti
   Chi si accorge che un dato è uscito lo dice subito a [nome],
   anche se è stato un errore. Prima di cancellare la conversazione,
   la si esporta.

8. Controlli (scegliere una sola versione)
   A. Lo Studio non effettua controlli sull'uso degli strumenti.
   B. Lo Studio verifica l'uso con [strumento], nei modi descritti
      nell'informativa consegnata il [data].

9. Conseguenze
   Per i dipendenti la violazione rileva secondo il codice
   disciplinare affisso; per gli altri, secondo il rispettivo rapporto.

10. Aggiornamento
   Il regolamento si rilegge ogni [sei] mesi e a ogni nuovo strumento.

Per presa visione: [nome] · [data] · [firma]

Chi deve rispettarla: dipendente, praticante e collaboratore non sono la stessa cosa

Un regolamento «per i dipendenti» rischia di lasciare fuori mezza scrivania. Per l’articolo 41, comma 11, della legge 247/2012 il tirocinio forense non crea di diritto un rapporto di lavoro subordinato, e il DPR 137/2012, all’articolo 6, dice lo stesso per le altre professioni ordinistiche.

Per questo il punto 1 parla di chi tratta dati «sotto l’autorità del titolare»: è la formula dell’articolo 29 del GDPR, che arriva anche dove un contratto di lavoro non c’è. La figura che mi preme di più è il collaboratore a partita IVA: non è dipendente né praticante, eppure apre gli stessi fascicoli.

Il punto 9 poi separa le conseguenze, perché lo stesso errore si sanziona per vie diverse. Per un praticante che lavora sugli atti c’è anche un aiuto pratico: un tasto che copre i codici dell’assistito prima che il testo arrivi alla chat.

Segreto professionale: cosa chiedono i codici deontologici a chi lavora nello studio

Per chi è iscritto a un Ordine la regola interna nasce prima nel proprio codice. L’articolo 28, comma 3, del codice deontologico forense chiede all’avvocato di adoperarsi perché segreto e riserbo siano rispettati anche da dipendenti, praticanti, consulenti e collaboratori, compresi quelli occasionali.

Il comma 5 prevede la censura e, quando la violazione tocca il segreto professionale, la sospensione da uno a tre anni. Il codice dei commercialisti usa un altro verbo, vigilare, agli articoli 10 e 33; e l’articolo 21, modificato nel 2025, pretende che anche dipendenti e collaboratori conoscano il funzionamento dell’IA usata.

«Adoperarsi» e «vigilare» sono verbi d’azione, e un avvertimento dato a voce in corridoio non lascia traccia. Davanti a un consiglio di disciplina vorrei mostrare un foglio firmato e datato. Ai commercialisti il comma 10 dello stesso articolo 21 chiede poi l’informazione al cliente.

Vietare ChatGPT ai dipendenti: codice civile e codice disciplinare affisso

L’articolo 2104 del codice civile obbliga il lavoratore a osservare le disposizioni sull’esecuzione e sulla disciplina del lavoro. Quale servizio usare, e con quali dati, è una disposizione di questo tipo. L’articolo 2239 estende la regola ai rapporti fuori dall’impresa, quindi anche allo studio professionale.

Farla valere è un’altra storia. L’articolo 7 dello Statuto vuole le norme disciplinari affisse in un luogo accessibile a tutti, la contestazione dell’addebito e l’ascolto del lavoratore, che può farsi assistere da un sindacalista. Prima di cinque giorni dalla contestazione scritta, niente più del rimprovero verbale.

La firma per presa visione prova la consegna, non l’affissione. Il posto del foglio è accanto al codice disciplinare, non in una cartella condivisa. E un divieto senza un servizio autorizzato spinge verso l’account privato, la prima delle porte da cui escono i dati.

Disciplinare interno e istruzioni al personale: Garante e articolo 29 GDPR

Il Garante ha dato la cornice nel 2007, con le linee guida su posta elettronica e internet nel rapporto di lavoro. Al paragrafo 3.1 il datore deve indicare «in ogni caso» quali usi degli strumenti sono corretti e se, come e quanto controlla. Al 3.2 suggerisce un disciplinare chiaro, pubblicizzato e aggiornato.

Valgono ancora: l’articolo 22, comma 4, del d.lgs. 101/2018 tiene in vita i provvedimenti del Garante compatibili con il GDPR. Il paragrafo 3.1 ammette anche modi di informare diversi a seconda delle dimensioni, pensando alle piccole realtà. In un ente pubblico serve un tassello in più, la traccia nel fascicolo.

Chi non è dipendente si raggiunge con le istruzioni. L’articolo 29 del GDPR vieta a chi agisce sotto l’autorità del titolare di trattare dati senza istruzioni, l’articolo 32, paragrafo 4, lo ripete fra le misure di sicurezza, e l’articolo 2-quaterdecies del Codice privacy lascia al titolare la forma dell’autorizzazione.

Se esiste già una lettera di autorizzazione al trattamento, aprire un secondo documento per l’IA è tempo perso: bastano tre righe in coda, e quel foglio arriva anche al praticante. Il blocco qui sotto si copia e si adatta.

Controlli sull’uso dell’IA e sindacati: l’articolo 4 dello Statuto

Il punto 8 è dove il regolamento smette di essere solo organizzazione. Se lo studio verifica l’uso con uno strumento che consente anche un controllo a distanza, e che non serve al collega per lavorare, l’articolo 4 dello Statuto chiede un passaggio con il sindacato.

L’accordo si firma con la RSU o con le RSA; con sedi in più province, anche con i sindacati comparativamente più rappresentativi a livello nazionale. Senza accordo serve l’autorizzazione dell’Ispettorato nazionale del lavoro, sede territoriale o centrale a seconda dei casi. Come leggere un registro per utente lo spiega la guida sull’AI gateway.

La versione B non la sceglierei per fretta. Scriverla senza un’informativa già consegnata significa raccogliere dati che, per il comma 3, non potrai usare ai fini del rapporto. La A è onesta finché è vera: se domani installi un controllo, il regolamento va riscritto prima.

Informare i dipendenti sull’IA: legge 132/2025, articolo 1-bis e AI Act

L’articolo 11, comma 2, della legge 132/2025 obbliga datore e committente a informare il lavoratore dell’uso dell’IA nei casi dell’articolo 1-bis del d.lgs. 152/1997. Riguarda i sistemi integralmente automatizzati che decidono o monitorano su assunzioni, compiti, sorveglianza e valutazione.

Quell’informazione va data per iscritto prima di iniziare, anche a RSA o RSU, e ogni modifica almeno 24 ore prima. L’AI Act aggiunge l’alfabetizzazione dell’articolo 4 e, dal 2 dicembre 2027, l’articolo 26, paragrafo 7, per l’alto rischio sul posto di lavoro.

Un assistente che aiuta a scrivere una lettera non è un sistema di monitoraggio. Un prodotto che dà un voto a ogni collega per come usa l’IA lo diventa subito, e un cruscotto simile resta fuori dallo studio finché il consulente del lavoro non l’ha qualificato.

Regolamento IA per gli studi dei commercialisti: il modello CNDCEC e cosa aggiungere

Un modello ufficiale esiste: è l’Allegato 1 della Guida operativa di intelligenza artificiale n. 3 di CNDCEC e Fondazione Nazionale dei Commercialisti, del 24 ottobre 2025. Tre pagine con ruoli, un «Responsabile AI», registro dei sistemi, audit almeno annuali o semestrali e formazione periodica di tutto il personale.

Fra le regole d’uso ci sono due divieti: dati personali o riservati non strettamente necessari, e strumenti non autorizzati. Al paragrafo 3.10.2 la Guida separa identificatori diretti, da sopprimere, e quasi identificatori, da generalizzare: i nostri punti 3 e 4 seguono quella linea. L’elenco completo è in quali dati togliere da un documento.

Per un commercialista con dipendenti il punto di partenza naturale resta l’Allegato 1. Ci aggiungerei i due pezzi che mancano, Statuto e tirocinanti, e cambierei il «non strettamente necessari» con un elenco: è una formula che ognuno legge a modo suo.

Codice fiscale, IBAN e partita IVA: la prova del punto 3

Il punto 3 elenca i dati che non entrano mai, il punto 4 quelli che entrano solo trasformati. È il punto 4 a non lasciarmi tranquillo: un nome sostituito nel corpo del testo e rimasto nell’intestazione vale come non sostituito. E «oscurare», nel regolamento, significa togliere.

Un rettangolo nero su un PDF lascia il testo sotto, e chiunque lo seleziona lo ritrova: la guida per oscurare un PDF mostra come eliminarlo davvero. Prima di incollare, il controllo qui sotto ti dice se nel testo resta un dato del punto 3 con formato riconoscibile.

Dati usciti per errore: il punto 7 e la segnalazione interna

Per l’articolo 33 del GDPR la notifica al Garante va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare sa della violazione, salvo rischio improbabile per le persone. Dal 1° luglio 2021 passa da una procedura telematica.

Del punto 7 tengo soprattutto a «anche se è stato un errore». Le 72 ore partono quando il titolare lo sa, e chi teme una punizione tace. Come si valuta se un copia e incolla sbagliato sia una violazione da notificare lo trovi nella guida dedicata alle violazioni dei dati con l’IA.

Dal regolamento alla postazione: i dati dei clienti coperti prima della chat

Il regolamento dice cosa non fare; la postazione decide cosa succede alle sei di sera, con la fretta. Un divieto scritto regge meglio se accanto c’è qualcosa che copre i dati prima dell’invio: su questo non ho dubbi. In studio può installarlo l’IT interna o un system integrator.

Nonimo lavora sul computer di chi scrive, senza proxy né certificati radice. L’app per Mac e Windows sostituisce i dati del testo selezionato con un tasto; l’estensione installata dall’IT li copre nelle chat prima dell’invio, come descrive la pagina per le organizzazioni.

Del testo a noi non arriva niente. Se il punto 4 ti sembra impossibile da rispettare a mano, guarda come lavora Nonimo su un testo di prova.

Fonti

• Legge 20 maggio 1970, n. 300, Statuto dei lavoratori, Normattiva: art. 4 sugli strumenti di controllo a distanza; art. 7 su affissione, contestazione, cinque giorni e tetti delle sanzioni.
• Legge 23 settembre 2025, n. 132, art. 11, Normattiva: l’informazione al lavoratore nei casi dell’art. 1-bis del d.lgs. 152/1997.
• Decreto legislativo 27 giugno 2022, n. 104, Gazzetta Ufficiale: il decreto che ha introdotto l’art. 1-bis sui sistemi automatizzati.
• Regolamento (UE) 2016/679, EUR-Lex: artt. 28 e 29, art. 32, par. 4, e le 72 ore dell’art. 33.
• Regolamento (UE) 2024/1689, testo consolidato al 27 luglio 2026, EUR-Lex: art. 4 sostituito, art. 26, par. 7, allegato III, punto 4, e date dell’art. 113.
• Garante, linee guida per posta elettronica e internet, deliberazione n. 13 del 1° marzo 2007: parr. 3.1 e 3.2, onere di indicare usi e controlli e disciplinare interno.
• Garante, pagina sul data breach: notifica entro 72 ore e procedura telematica dal 1° luglio 2021.
• Codice deontologico forense, testo aggiornato al 2026, CNF: art. 2, c. 2, e art. 28, cc. 3 e 5.
• CNDCEC, codice deontologico con le modifiche del 2025: art. 10, c. 3, art. 21, c. 9, e art. 33.
• CNDCEC e FNC, Guida operativa di intelligenza artificiale n. 3: par. 3.10.2 a p. 29 e Allegato 1, pp. 43-45.

Consultate il 10 novembre 2026.