Le policy sull’intelligenza artificiale che circolano sono scritte per aziende con un ufficio legale interno: venti pagine, definizioni, matrici di rischio, ruoli. In uno studio di tre persone un documento così non viene letto, e una regola che nessuno ha letto non è una misura organizzativa: è un file.
Quello che segue è la struttura minima che funziona. Sta in una pagina, e la sua qualità dipende quasi tutta dall’ultima riga.
0. Prima di scrivere: sapere che cosa c’è già
Il passaggio che si salta sempre viene prima del primo punto, e senza di lui la policy descrive uno studio che non esiste. Prima di decidere che cosa è ammesso bisogna sapere che cosa c’è, e la risposta quasi mai coincide con quello che il titolare crede.
Quattro posti dove guardare, in mezz’ora. Gli abbonamenti personali: quasi ogni studio ne ha due o tre, attivati con una carta di credito e senza che nessuno lo abbia chiesto, ed è la voce che produce le sorprese. Le estensioni del browser, che hanno il permesso di leggere le pagine aperte e quindi anche il gestionale. I componenti aggiuntivi del programma di scrittura e del foglio di calcolo. E le funzioni nuove dei programmi che già usate: il pulsante «riassumi» comparso in un aggiornamento del gestionale è uno strumento di intelligenza artificiale a tutti gli effetti, e nessuno l’ha scelto.
Questo elenco serve due volte. È il punto di partenza della policy, ed è anche la prima delle misure chel’articolo 4 dell’AI Actsi apre in una scheda nuova chiede sotto il nome di alfabetizzazione: sapere quali strumenti entrano e chi li usa. Conviene scriverlo una volta e tenerlo accanto alla policy, non dentro: cambia più spesso di lei.
1. Che cosa è ammesso, con i nomi
Un elenco di strumenti, per nome e per versione: «l’assistente X, piano aziendale, account dello studio». Non «strumenti di intelligenza artificiale approvati dal titolare», che rimanda a una decisione che non esiste. Se qualcuno vuole aggiungerne uno, lo chiede, e l’elenco si aggiorna.
Il motivo per cui i nomi contano è che le condizioni contrattuali cambiano fra la versione gratuita e quella di lavoro, e la differenza è esattamente quella che decide se i vostri documenti finiscono in un addestramento.
2. Che cosa non esce mai
Una riga, e conviene che sia larga: nessun documento che riguarda un cliente esce da uno strumento che non gira sui computer dello studio, se non dopo la sostituzione dei dati identificativi. Poi le eccezioni, se ci sono, scritte.
3. Che cosa si verifica sempre
Numeri di sentenza, articoli di legge, date di entrata in vigore, importi di soglia: tutto quello che ha un numero si apre alla fonte prima di finire in un atto. È la regola che il Tribunale di Firenze, con ordinanza del 14 marzo 2025, ha ricordato in un caso di sentenze inventate.
4. Chi si informa, e come
L’articolo 13 della legge 132/2025si apre in una scheda nuova chiede di informare il cliente in modo chiaro, semplice ed esaustivo. La policy dice dove sta il testo e chi lo consegna, non lo ripete: il testo vive nel mandato o nell’informativa, e che cosa deve dire è scritto altrove.
5. Che cosa si scrive quando succede qualcosa
Due righe su che cosa fare se un documento è uscito per sbaglio: a chi si dice, entro quando, e che cosa si annota. Non è burocrazia difensiva: è che senza una procedura scritta, la reazione naturale è non dirlo a nessuno, e il ritardo è la parte che peggiora tutto.
6. Chi l’ha letta
L’ultima riga è la sola che trasforma il documento in una misura. L’articolo 29 del GDPRsi apre in una scheda nuova dice che chi tratta dati sotto l’autorità del titolare lo fa secondo le sue istruzioni; l’istruzione bisogna averla data, e il titolare deve poterlo dimostrare. Una data e una firma in fondo, per ognuno.
Le tre righe da non scrivere
Ci sono tre formule che compaiono in quasi tutte le prime bozze e che è meglio togliere, perché ciascuna produce l’effetto opposto a quello che cerca.
«È vietato l’uso di sistemi di intelligenza artificiale.» Non verrà rispettato: chi ha una scadenza domani userà lo strumento e non lo dirà a nessuno, e il divieto avrà prodotto un uso invisibile invece di nessun uso. In più è disallineato dalla norma: la legge 132/2025 quell’uso lo disciplina, non lo vieta.
«Gli strumenti vanno utilizzati con la dovuta diligenza e nel rispetto della riservatezza.» È vera, e non è una regola: non dice a nessuno che cosa fare in nessun momento preciso. Una regola si riconosce dal fatto che, davanti a un documento aperto e a un termine, dice sì o no. Questa dice «decidi tu» con più parole.
«Ogni utilizzo dev’essere preventivamente autorizzato dal titolare.» Crea un collo di bottiglia su una cosa che capita venti volte al giorno, e i colli di bottiglia si aggirano, di solito il secondo giorno. L’autorizzazione preventiva ha senso per aggiungere uno strumento all’elenco, non per usare quelli che ci sono già.
La parte che rende inutile metà del documento
Una policy vale finché seguirla costa meno che aggirarla. Se anonimizzare a mano richiede venti minuti, il punto 2 salta la prima sera in cui c’è un deposito il giorno dopo, e non salterà per cattiva volontà: il conto è scritto qui.
Uno strumento che fa la sostituzione in trenta secondi, sul computer dove il documento sta già, è quello che tiene in piedi il punto 2 senza doverlo ricordare a nessuno. È il lavoro che fa Omissia.