Policy aziendale sull'IA generativa per documenti riservati: cosa prevedere

In quasi ogni organizzazione c'è già chi incolla un contratto in un chatbot per farselo riassumere, carica un verbale per estrarne le decisioni o chiede a un assistente di scrivere la risposta a un reclamo partendo dal fascicolo. Che l'IA generativa venga usata non è più in discussione; il punto è se viene usata con regole. Senza una policy scritta, ognuno sceglie da solo lo strumento, l'account e le informazioni da affidargli, e l'organizzazione non sa più dove sono finiti i suoi documenti.

Questo articolo propone lo schema di una policy interna concreta per i documenti che contengono dati personali o informazioni riservate: come classificare le informazioni, cosa anonimizzare prima dell'invio, come approvare gli strumenti e cosa registrare.

Perché serve una policy scritta

Inserire dati personali in uno strumento di IA è un trattamento soggetto al GDPR e al Codice privacy: servono una base giuridica, il rispetto di minimizzazione e limitazione della finalità e, se il fornitore tratta i dati per conto dell'organizzazione, un contratto di nomina a responsabile del trattamento (art. 28). Con categorie particolari di dati, come quelli sanitari, l'asticella si alza e un uso su larga scala può richiedere una valutazione d'impatto (DPIA). A questo si aggiungono segreto professionale, riservatezza contrattuale e segreti commerciali.

In Italia il tema ha una sensibilità particolare: il Garante privacy è stato tra le prime autorità europee a intervenire su un servizio di IA generativa, disponendo nel marzo 2023 una limitazione provvisoria del trattamento dei dati degli utenti italiani di ChatGPT. Dal 10 ottobre 2025 è in vigore la legge 132/2025, che detta principi nazionali sull'IA da applicare in coerenza con il regolamento europeo e, per le professioni intellettuali, limita l'uso dell'IA ad attività strumentali e di supporto, con obbligo di informare il cliente. Il regolamento (UE) 2024/1689 sull'IA impone inoltre ai deployer, dal febbraio 2025, misure per garantire un livello sufficiente di alfabetizzazione in materia di IA del personale (art. 4).

Passo 1: classificare le informazioni

La regola centrale della policy non dovrebbe riguardare «quale strumento», ma «quale informazione». Una matrice semplice risolve gran parte dei dubbi quotidiani:

Passo 2: anonimizzare prima che l'IA veda il documento

La misura più efficace è che i dati personali non arrivino mai allo strumento. Per la maggior parte delle attività (riassumere, tradurre, estrarre clausole, redigere una bozza) il modello non ha bisogno di conoscere il nome della persona né il suo codice fiscale. Prima del caricamento, la policy dovrebbe imporre di eliminare o sostituire:

• Nomi, firme e qualifiche che indicano una persona precisa.
• Identificativi: codice fiscale, numero della carta d'identità, IBAN, targhe, numeri di pratica o di cartella clinica.
• Recapiti: indirizzi, numeri di telefono, email e PEC.
• Date e importi che, combinati, rendono riconoscibile qualcuno (la data esatta di un incidente in un piccolo comune, per esempio).
• Dati sanitari, dati di minori e dati relativi a condanne penali e reati.
• Metadati del file: autore, commenti, revisioni, percorsi interni.

Due tecniche sono utili. L'anonimizzazione elimina il dato in modo irreversibile ed è adatta quando il risultato dell'IA non deve più essere ricondotto alle persone. La pseudonimizzazione sostituisce ogni dato con un codice coerente («PERSONA_1», «SOCIETÀ_2»): il modello capisce chi è chi e l'organizzazione può poi invertire la sostituzione con la propria tabella di corrispondenza. Attenzione: per chi possiede la tabella il documento pseudonimizzato resta un dato personale, quindi non rende accettabile uno strumento non approvato. Approfondisci la pseudonimizzazione dei documenti.

Passo 3: approvare gli strumenti con criteri chiari

La policy deve elencare gli strumenti approvati, indicare per ciascuno il livello di informazioni consentito e vietare gli account personali per uso lavorativo. Prima di approvare uno strumento verifica:

Chiamare un'API esterna oppure eseguire il modello su infrastruttura propria, o presso un fornitore europeo sotto contratto, cambia molto il profilo di rischio; mettiamo a confronto le opzioni in IA locale o IA in cloud.

Passo 4: registri, revisione umana e incidenti

Una policy senza tracciabilità resta una dichiarazione d'intenti. Stabilisci cosa registrare e per quanto tempo:

• Registro dei casi d'uso: attività, strumento, tipo di informazione, responsabile e se è stata necessaria una DPIA.
• Log di utilizzo: chi ha usato quale strumento, quando e con quale classe di informazioni. Conservare ogni singolo prompt raramente serve e spesso è sconsigliabile, anche per i limiti ai controlli a distanza dei lavoratori.
• Revisione umana obbligatoria di ogni risultato inviato all'esterno, pubblicato o usato per decidere su una persona. L'IA propone; una persona decide e firma.
• Procedura per gli incidenti: cosa fare se un documento con dati personali è stato caricato per errore in uno strumento non approvato, inclusa la valutazione di una possibile violazione da notificare al Garante entro 72 ore.

Passo 5: formazione e revisione periodica

Una policy va spiegata, non solo pubblicata sulla intranet. Una breve sessione con esempi presi dalla propria realtà (cosa si può incollare e cosa no, come anonimizzare un documento in due minuti, cosa fare dopo un errore) vale più di dieci pagine di regole. Rivedi la policy almeno una volta l'anno e a ogni nuovo strumento, perché i fornitori cambiano spesso le condizioni.

Dove si inserisce Anonimatum

Anonimatum rende semplice il passo 2: rileva nomi, codici identificativi, indirizzi, importi, targhe e altri dati con un'IA propria eseguita su server nell'Unione europea, senza inviare il testo ad API esterne di modelli linguistici, e restituisce il documento anonimizzato o pseudonimizzato nel formato originale (PDF, Word, Excel, PowerPoint o email). Con la pseudonimizzazione la tabella delle sostituzioni viene conservata cifrata e consente di tornare indietro. Scopri come anonimizzare i documenti prima di usare ChatGPT o altre IA.