Quando lo usi
- Quando scopri che in ufficio si usano tre strumenti diversi, per esempio ChatGPT, Copilot e Claude, con account personali, e nessuno sa dirti chi usa cosa.
- Quando un cliente, un revisore o un questionario ti chiede «quali regole avete sull’uso dell’intelligenza artificiale» e la risposta onesta è «nessuna scritta».
- Quando hai scelto lo strumento aziendale e vuoi che il divieto di usare gli altri funzioni davvero, invece di spostare l’uso sul telefono.
Come si usa
Queste dieci regole sono una bozza fatta apposta per essere contestata. Si leggono in riunione una alla volta, e per ciascuna chi dirige dice una parola: teniamo, cambiamo, togliamo. Chi propone di cambiare dice come, e la riscrittura si fa in diretta. A fine riunione si vede quali regole vengono dalla bozza e quali dal gruppo: le seconde durano di più. Una volta firmate, diventano la Carta dell’azienda sull’AI.
Ogni regola deve superare tre prove, in quest’ordine. Si può mettere in pratica? Deve dire chi fa cosa: «i dati riservati vanno trattati con attenzione» non lo dice. Se qualcuno la viola, ce ne accorgiamo? Se no, o si trova il modo di accorgersene, o la regola diventa un semplice consiglio. Rispettarla costa meno che aggirarla? Se per venti minuti di lavoro servono tre autorizzazioni, quel lavoro finisce sul telefono personale.
Vietare tutto non è prudenza: sposta l’uso dove non lo vedi. E le regole restano dieci: se ne aggiungi una, ne togli un’altra.
Le dieci regole
- 01
Quattro livelli di informazione
Pubblico, interno, riservato, segreto. I primi due entrano negli strumenti autorizzati. Il riservato entra solo dopo che il dirigente che ne è responsabile ha verificato che nessun contratto lo vieta. Il segreto non entra. Quello che lo strumento produce ha lo stesso livello di quello che gli hai dato, e la regola vale anche per il testo che scrivi, non solo per i file.
- Sì
- Far riscrivere una procedura interna.
- No
- Far tradurre due paragrafi di una specifica con tre parametri di prestazione.
- Risponde
- Chi è responsabile dell’informazione; nel dubbio, chi si occupa di sicurezza.
- 02
Solo strumenti autorizzati e account aziendali
Chi gestisce i sistemi tiene l’elenco degli strumenti autorizzati, e per ciascuno scrive fino a quale livello di informazione può arrivare. Si usano con l’account aziendale. Quello personale è vietato anche se il prodotto è lo stesso, perché è l’account a decidere dove finiscono i dati. Chi vuole uno strumento che non è in elenco lo chiede, e riceve risposta entro un termine scritto.
- Sì
- Chiedere a chi gestisce i sistemi di valutare uno strumento prima di una gara d’acquisto.
- No
- Incollare un capitolato coperto da accordo di riservatezza in un assistente gratuito.
- Risponde
- Chi gestisce i sistemi per l’elenco; il dirigente per la sua funzione.
- 03
Niente entra in una decisione senza verifica
Prima che un contenuto prodotto con l’AI entri in una decisione, in un documento o in una comunicazione verso l’esterno, una persona lo verifica contro la fonte: risale al dato, controlla che il numero coincida e che non manchi nulla. Lo fa chi userà quel contenuto, più un secondo verificatore per tutto quello che esce dalla funzione.
- Sì
- Usare lo smistamento automatico dei documenti dopo averne controllato un campione, e scrivere quanti errori c’erano.
- No
- Portare al vertice una previsione generata senza sapere su quali ipotesi si regge.
- Risponde
- Chi firma, più il secondo verificatore.
- 04
Le decisioni che non si delegano
Restano a una persona le decisioni che impegnano l’azienda verso l’esterno: una data di consegna, un prezzo, un’offerta, una risposta contrattuale. Restano a una persona quelle che incidono su una qualifica o su un fascicolo, quelle sulle persone, e quelle che non si possono annullare. Lo strumento prepara e propone: la firma resta a qualcuno.
- Sì
- Uno strumento che segnala un problema e apre una scheda, perché una scheda aperta per sbaglio si chiude.
- No
- Un programma che conferma da solo le date di consegna ai clienti.
- Risponde
- Il dirigente, che mette per iscritto cosa non delega.
- 05
Si dichiara dove si è usata l’AI
Quando un contenuto prodotto con l’AI entra in un documento che orienta una decisione, il documento lo dice: una nota con quale strumento, su quali dati, chi ha verificato. Per gli usi diventati abituali si conservano i registri di chi ha fatto cosa, per il periodo previsto da regole interne e contratti.
- Sì
- Una nota come «riassunto fatto con l’AI su dati già calcolati».
- No
- Far generare documentazione soggetta a certificazione, dove ogni riga deve avere un autore.
- Risponde
- Chi produce il documento; chi gestisce i sistemi per i registri.
- 06
Il dirigente risponde dell’uso nella sua funzione
Ogni dirigente sa quali strumenti usano le sue persone, su quali attività e con quali dati. Se non sa rispondere a «chi usa cosa», il controllo non esiste. Autorizza gli usi entro i limiti di questa Carta, e chiede a chi si occupa di sicurezza quando c’è informazione riservata con un vincolo verso l’esterno.
- Sì
- Autorizzare uno strumento in elenco su documenti interni, e segnarlo.
- No
- Un foglio con costi, margini e destinazioni caricato su uno strumento gratuito da chi non sapeva quale colonna fosse delicata.
- Risponde
- Il dirigente. Non l’amministratore delegato.
- 07
Nessuno usa uno strumento su cui non è stato formato
La formazione è proporzionata a quello che la persona ci farà: cosa lo strumento fa e non fa, quali dati può ricevere, come si verifica un risultato. Per l’informazione riservata comprende i livelli e i vincoli contrattuali. Prima di introdurre uno strumento che cambia l’organizzazione del lavoro si informano le rappresentanze dei lavoratori.
- Sì
- Attivare uno strumento dopo mezza giornata di formazione.
- No
- «Diamo l’AI a tutti» senza sapere per quali usi.
- Risponde
- Il dirigente; l’ufficio del personale tiene traccia di chi è stato formato.
- 08
Quando si sbaglia, si dice subito
Chi si accorge di aver immesso un’informazione che non doveva entrare, o di aver usato un risultato sbagliato, lo segnala entro la giornata al dirigente e a chi si occupa di sicurezza. La segnalazione tempestiva e in buona fede non ha conseguenze disciplinari: le ha il silenzio. Se la regola violata non era rispettabile, si cambia la regola.
- Sì
- Segnalare il lunedì un errore fatto il venerdì.
- No
- Non dirlo.
- Risponde
- Chi ha sbagliato; chi si occupa di sicurezza valuta il caso.
- 09
La Carta si rivede a data fissa
Ogni sei mesi, in una riunione già in calendario con una data e un responsabile, e ogni volta che cambiano l’elenco degli strumenti o le norme. Ogni revisione lascia un documento con la data. Quando una regola viene violata più di una volta, non ci si chiede «come la facciamo rispettare?», ma «perché non si riesce a rispettarla?».
- Sì
- Togliere una regola che in sei mesi non ha impedito nulla.
- No
- Una bozza ferma per mesi mentre gli strumenti entrano dagli account personali.
- Risponde
- L’amministratore convoca la riunione; chi si occupa di sicurezza la prepara.
- 10
Sicurezza aziendale e contratti vengono prima
La Carta non sostituisce le regole di sicurezza né gli obblighi dei contratti: si aggiunge, e dove sono in contrasto valgono loro. Prima di un uso su informazione riservata con un vincolo verso l’esterno si chiede al responsabile della sicurezza, che risponde per iscritto e nel merito. Alcuni accordi di riservatezza vietano il trattamento da parte di terzi, e uno strumento esterno è un terzo.
- Sì
- Verificare che l’accordo di riservatezza non vieti il trattamento da terzi, e scrivere l’esito.
- No
- Trattare come permesso tutto ciò che non è vietato.
- Risponde
- Chi si occupa di sicurezza dà il parere; il dirigente risponde di averlo chiesto prima.
Ogni dirigente firma per la sua funzione: con la firma dice che conosce la Carta, la applica e ne risponde. In fondo alla pagina stampata ci sono una riga per funzione con nome, firma e data, la data della prossima revisione e il nome di chi la convoca.
| Funzione | Nome | Firma | Data |
|---|---|---|---|
Prossima revisione: ________ · Chi la convoca: ________
Vertesa: com’è andata la riunione
Vertesa è l’azienda immaginaria che usiamo in tutto il sito: meccanica di precisione, centoventi persone, tre prodotti, ventiquattro fornitori. Cinque dirigenti hanno letto la bozza in una mattina. Questo è il verbale, in quattro righe.
- Tenute così
- Sette regole su dieci. La più discussa è stata la numero quattro: il responsabile della produzione voleva che lo strumento potesse confermare le date di consegna «almeno per i clienti piccoli». È rimasta com’era, perché una data confermata è un impegno, e un impegno lo firma una persona.
- Cambiate
- La numero due: non c’era un termine per rispondere a chi chiede uno strumento fuori elenco. Ora sono cinque giorni lavorativi, e se la risposta non arriva vale come un no motivato per iscritto. Nella numero sette hanno aggiunto la riga sulle rappresentanze dei lavoratori, che nella bozza mancava.
- Tolta e sostituita
- La numero cinque, nella prima versione, chiedeva la nota su ogni documento. In produzione voleva dire cento note al giorno, che nessuno avrebbe letto. Ora vale solo per i documenti che orientano una decisione, e la parola «decisione» l’hanno scritta loro.
- Il caso che ha chiuso la discussione
- Un mese prima, un capitolato con una tabella di parametri di prestazione era stato tradotto con uno strumento gratuito dal telefono. Nessuno se n’era accorto, e questo era il problema. La regola otto è passata senza obiezioni.
Da notare. Le regole sono scritte in italiano corrente, senza nomi di prodotto, perché devono sopravvivere al cambio di strumento. Ogni regola ha un responsabile con nome e cognome, che nell’esempio abbiamo omesso.
Da lunedì
| Chi | Cosa |
|---|---|
| Tu | Stampi le dieci regole e le metti in calendario: una riunione di due ore con i responsabili di funzione, entro due settimane. |
| Chi gestisce i sistemi | Arriva in riunione con l’elenco degli strumenti in uso oggi, compresi quelli che nessuno ha autorizzato. |
| Ogni responsabile di funzione | Porta un esempio vero per ogni livello di informazione della sua area: pubblico, interno, riservato, segreto. |
| Chi si occupa di sicurezza o legale | Segna quali accordi in corso vietano il trattamento da parte di terzi. |
| Tu | A fine riunione fai firmare la versione riscritta e fissi la data della prima revisione. |
Chiedi a un responsabile di funzione «chi usa cosa, da voi?» e segna se sa rispondere.
Regolamento UE 2024/1689 sull’intelligenza artificiale, art. 4: chi usa questi strumenti va formato. Regolamento UE 2016/679, art. 24: dei dati che carichi resti responsabile tu.
La conversazione, parola per parola
Un manager mette alla prova lo strumento come farebbe in riunione; Raffaele risponde. Qui il dialogo da leggere.
Leggi il dialogo
- Il manager
Ho scoperto che in ufficio usano tre strumenti diversi: ChatGPT, Copilot e uno che non conoscevo, con account personali, da mesi. E io non ho mai scritto una riga di regole. Da dove comincio?
- Raffaele
Da dieci regole già scritte. Le stampi, le porti in riunione e le fai discutere, anche contestare.
- Il manager
Contestare? Io vorrei che le rispettassero.
- Raffaele
Le rispettano se le hanno riscritte loro. Una regola calata dall’alto dura un mese. Una regola che il responsabile della produzione ha cambiato con le sue parole dura anni. Per questo la bozza è fatta per essere discussa.
- Il manager
E come si fa questa riunione?
- Raffaele
Una regola alla volta. Per ciascuna, ogni dirigente dice una parola sola: teniamo, cambiamo, togliamo. Chi dice cambiamo deve dire come, e si riscrive lì, sullo schermo. In due ore, in cinque, uscite con una Carta firmata.
- Il manager
Facciamone una adesso. La prima.
- Raffaele
Quattro livelli di informazione: pubblico, interno, riservato, segreto. I primi due entrano negli strumenti autorizzati. Il riservato entra solo se chi lo possiede ha controllato che nessun contratto lo vieti. Il segreto non entra mai.
- Il manager
Teniamo. Mi sembra ovvia.
- Raffaele
Aspetta. Fammi una prova. Il tuo ufficio commerciale riceve una specifica da un cliente con tre parametri di prestazione. Deve tradurla in inglese entro domani. Può usare lo strumento?
- Il manager
È una traduzione. Direi di sì.
- Raffaele
Quei tre parametri dicono cosa fa il pezzo. Sono riservati, e probabilmente coperti da un accordo. Prima di tradurli, il responsabile commerciale apre l’accordo e controlla. Se non lo fa, la regola non è ovvia: è violata.
- Il manager
Va bene, ma allora la regola deve dire chi controlla. Cambiamo: aggiungiamo che risponde chi possiede l’informazione.
- Raffaele
Ecco. Hai appena fatto quello che fa la riunione. Ora c’è un soggetto, e c’è qualcuno che risponde. Seconda regola: solo strumenti autorizzati, con account aziendali. Chi gestisce i sistemi tiene l’elenco, e uno strumento che non è in elenco si chiede.
- Il manager
Qui ho un’obiezione vera. Se per avere uno strumento nuovo bisogna chiedere e aspettare, la gente non chiede. Usa il telefono.
- Raffaele
È l’obiezione giusta, e la regola deve reggerla. Quanto ci mette oggi il tuo ufficio sistemi a rispondere?
- Il manager
Quando gli va. Anche un mese.
- Raffaele
Allora la regola non è rispettabile. Cambiamo: la risposta arriva entro cinque giorni lavorativi, e se non arriva vale come un no scritto, con il motivo. Adesso chi chiede sa cosa aspettarsi, e chi risponde ha una scadenza.
- Il manager
E l’account personale? Se uno paga di tasca sua la versione a pagamento?
- Raffaele
È vietato lo stesso. Non conta il prodotto, conta l’account. È l’account che decide dove finiscono i dati. Con quello aziendale l’azienda ha un contratto e può spegnere l’addestramento. Con quello personale non ha niente.
- Il manager
Chiaro. Terza.
- Raffaele
Niente entra in una decisione senza verifica. Prima che un contenuto prodotto con l’AI finisca in una decisione, in un documento o in una comunicazione verso l’esterno, una persona lo confronta con la fonte: risale al dato e controlla che il numero coincida.
- Il manager
Questa la togliamo. È troppo. Se devo verificare tutto, tanto vale farlo a mano.
- Raffaele
Guarda bene cosa dice. Non tutto: quello che entra in una decisione. Un riassunto che leggi e butti, nessuna verifica. Una previsione di vendita che porti in consiglio, sì. Perché quella, se è sbagliata, la difendi tu.
- Il manager
E chi la fa questa verifica?
- Raffaele
Chi userà il contenuto, più una seconda persona per tutto quello che esce dalla funzione. Il commerciale che manda un’offerta non la verifica da solo.
- Il manager
Allora teniamo, ma voglio scritto che vale per le decisioni, non per le bozze.
- Raffaele
È già scritto così. Ma se lo riscrivi con le tue parole, meglio. Ora ti dico la regola che passa sempre senza discussione, e ti dico perché.
- Il manager
Quale?
- Raffaele
La numero otto: quando si sbaglia, si dice subito. Chi si accorge di aver caricato una cosa che non doveva entrare, lo dice entro la giornata. Chi lo segnala non rischia niente. Chi tace, sì.
- Il manager
E perché passa sempre?
- Raffaele
Perché in ogni azienda c’è già stato il caso. Un capitolato tradotto dal telefono, un foglio con i margini caricato per riordinarlo. Nessuno l’ha detto, e il dirigente l’ha scoperto per caso mesi dopo. Quando lo racconti in riunione, tutti sanno di quale episodio parli.
- Il manager
E se invece lo scopro e lo punisco?
- Raffaele
Il prossimo non te lo dice. La regola serve a sapere, non a punire. Se la regola violata non era rispettabile, cambi la regola, non la persona.
- Il manager
Dieci regole. Perché non venti? Ci sono altri casi.
- Raffaele
Perché venti non le legge nessuno. Se in riunione ne aggiungete una, ne togliete una. Avere un limite vi obbliga a scegliere quelle che contano.
- Il manager
E poi? Le firmiamo e ce le dimentichiamo.
- Raffaele
La numero nove lo impedisce. La Carta si rivede ogni sei mesi, in una riunione già in calendario, con il nome di chi la convoca. E quando una regola viene violata più di una volta, ci si chiede perché non si riesce a rispettarla, non come imporla.
- Il manager
Lunedì mattina. Cosa faccio?
- Raffaele
Stampi le dieci regole e fissi la riunione entro due settimane. Chi gestisce i sistemi porta l’elenco degli strumenti in uso, anche quelli mai autorizzati. Ogni responsabile porta un esempio vero per ciascun livello di informazione della sua area. A fine riunione si firma, e si scrive la data della prima revisione.
- Il manager
E oggi, una cosa sola.
- Raffaele
Chiama un responsabile di funzione e chiedigli: chi usa cosa, da voi? Segna se sa rispondere. Se non lo sa, hai appena trovato il motivo per cui la Carta serve.
- Il manager
Quindi non scrivo io le regole di notte. Porto una bozza, la faccio riscrivere a loro, e poi la firmano. E oggi comincio con una domanda a un responsabile.
Se vuoi, ne parliamo in venti minuti.
Una call breve per capire da quale strumento partire nel tuo caso. Senza preventivo e senza slide.
Prenota venti minuti