19 Ago I dipendenti usano ChatGPT con account personali: cosa rispondiamo alla domanda sui sistemi di intelligenza artificiale?

È la domanda che mette in difficoltà quasi tutti, perché gran parte degli strumenti in uso non li ha scelti l’azienda: secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026) otto lavoratori su dieci utilizzano strumenti di intelligenza artificiale non aziendali. La risposta seria non è tecnologica, è organizzativa, e si costruisce in quattro passaggi prima di scrivere una riga nel questionario.

Primo: censire chiedendo, non ispezionando

Il censimento si fa domandando alle persone quali strumenti usano e per quali attività, spiegando perché lo si chiede e dicendo chiaramente che non ci saranno conseguenze disciplinari per l’uso passato. Ricostruirlo dai log o dalla cronologia di navigazione è la strada peggiore: i controlli sull’attività dei lavoratori hanno regole proprie — l’articolo 4 dello Statuto dei lavoratori e la disciplina sulla protezione dei dati — e una verifica condotta male crea un problema nuovo mentre cerca di risolverne uno.

Secondo: classificare per dato, non per strumento

Quello che conta non è il nome del servizio, è che cosa ci finisce dentro. Un traduttore usato su un testo pubblico e lo stesso traduttore usato su una perizia con i dati di un cliente sono due situazioni diverse. La classificazione utile distingue: dati pubblici, dati aziendali riservati (progetti, listini, clienti), dati personali, dati particolari. È su questa griglia che si decide cosa vietare e cosa consentire.

Terzo: la regola scritta

Una pagina basta, e deve dire quattro cose: quali strumenti sono ammessi, quali categorie di dati non escono mai dal perimetro aziendale, verso quali terze parti e con quali garanzie i dati possono uscire, a chi ci si rivolge nel dubbio. Va accettata individualmente e la data dell’accettazione va conservata: senza quella prova, contestare al dipendente la violazione di una regola è difficile, perché la regola non gli era stata data.

Quarto: la formazione, documentata

La formazione va documentata con l’elenco dei partecipanti, il contenuto e la data. Il video preregistrato di quaranta minuti soddisfa forse un adempimento formale, ma non risponde alla domanda del committente, che chiede la prova di un percorso e non di una visualizzazione.

Che cosa si scrive, allora, nel questionario

Il numero di strumenti censiti e la data del censimento; la data della policy e la modalità di accettazione; la data dell’ultima formazione; e il termine entro cui sarà colmato ciò che ancora manca. È una risposta che regge alla verifica, mentre «non utilizziamo sistemi di intelligenza artificiale» non regge quasi mai.

Perché il rischio non è disciplinare

Quando i dati escono verso un servizio con cui l’impresa non ha alcun rapporto, non c’è contratto ai sensi dell’articolo 28 del GDPR, non ci sono istruzioni documentate, non ci sono garanzie su conservazione, riutilizzo e cancellazione, e non c’è una sede in cui far valere una pretesa. Verso gli interessati e verso il Garante, però, continua a rispondere il titolare del trattamento: l’impresa. Ed è il motivo per cui la sezione sull’intelligenza artificiale, nei questionari di quest’anno, non è un esercizio di stile.

Il quadro completo — perché il questionario arriva, che valore giuridico hanno le risposte e come si costruisce il percorso di risposta — è nell’articolo Questionario di conformità dei fornitori: cosa significa, che valore ha e come rispondere.