Modello di direttiva sull'IA per PMI

Modello Word in inglese (DOCX, 4 KB) PDF compilabile in inglese (38 KB)

Gratuito, senza registrazione e senza indirizzo e-mail. Aggiornato al 14 ottobre 2026.

Perché una direttiva sull'IA?

• Legge sulla protezione dei dati (LPD): vale anche per l'IA. Lo sottolinea l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Chi inserisce dati personali in un servizio di IA li trasmette a un fornitore. L'azienda deve rispettare i principi del trattamento (art. 6), garantire un'adeguata sicurezza dei dati (art. 8) e scegliere con cura i responsabili del trattamento (art. 9). Per la comunicazione all'estero valgono regole aggiuntive (art. 16).
• GDPR: i collaboratori hanno bisogno di istruzioni. Chi tratta dati personali di persone nell'UE deve adottare misure tecniche e organizzative (art. 32) e vincolare contrattualmente i responsabili del trattamento (art. 28). Secondo l'art. 32 par. 4, i collaboratori trattano i dati personali solo su istruzione. Una direttiva scritta è un'istruzione di questo tipo.
• AI Act UE, art. 4: promuovere l'alfabetizzazione in materia di IA. L'art. 4 si applica dal 2 febbraio 2025 a fornitori e deployer di sistemi di IA. È deployer anche un'azienda che usa servizi di IA a livello professionale. Dalla nuova formulazione introdotta dal regolamento modificativo (UE) 2026/1744 («Digital Omnibus», in vigore dal 27 luglio 2026), i deployer devono adottare misure che promuovano l'alfabetizzazione in materia di IA del loro personale; non è richiesto un livello determinato. Le aziende svizzere sono interessate se sono stabilite nell'UE, offrono sistemi di IA nell'UE o se l'output dell'IA viene utilizzato nell'UE (art. 2).
• Segreti: obblighi aggiuntivi. Studi medici, studi legali, uffici di revisione e banche sono soggetti al segreto professionale o bancario (art. 321 Codice penale, art. 47 Legge sulle banche). Molte altre aziende hanno obblighi contrattuali di riservatezza. I segreti commerciali sono protetti dall'art. 162 Codice penale.

Soprattutto, però, una direttiva elimina l'incertezza nel team: chi sa cosa è consentito usa l'IA in modo più sicuro e non deve ripiegare di nascosto su account privati. Maggiori dettagli nella guida Shadow AI nelle PMI.

Policy ChatGPT per i collaboratori: cosa disciplina il modello

Il modello sta su due pagine più una pagina da firmare e vale allo stesso modo per ChatGPT, Copilot, Gemini, Claude e altri servizi di IA. Le sezioni:

1. Scopo: per cosa si può usare l'IA e cosa viene protetto.
2. Campo d'applicazione: a chi si applicano le regole, anche sui dispositivi privati.
3. Strumenti di IA consentiti: campo per servizi, tipo di account e scopo. Gli account privati non sono consentiti per i dati aziendali.
4. Dati che non vanno mai inseriti negli strumenti di IA: dati personali, numeri AVS, IBAN, password, dati sanitari, contratti e segreti commerciali, più un campo per i Suoi casi specifici.
5. Gestione dei risultati: verifica, responsabilità, nessuna decisione sulle persone presa solo dall'IA.
6. Formazione: campo per forma, durata e data (alfabetizzazione in materia di IA secondo l'art. 4 AI Act).
7. Strumenti tecnici: gli avvisi prima dell'invio integrano le regole.
8. Segnalare gli incidenti: a un servizio interno, senza sanzioni per chi segnala rapidamente.
9. Violazioni e verifica, più una conferma da firmare.

Segnaposto da compilare: nome dell'azienda, valida dal, persona responsabile, strumenti consentiti, altri dati vietati, formazione, servizio di segnalazione e prossima verifica. In Word sono evidenziati in giallo; nel PDF compila i campi direttamente nel programma PDF oppure li completa a mano sulla stampa.

Come introdurre la direttiva

Applicarla tecnicamente con AImori

Una direttiva funziona solo se nella pratica quotidiana ci si pensa. AImori è un'estensione del browser gratuita per Chrome ed Edge: controlla gli input sui siti di IA localmente nel browser e avvisa prima dell'invio se contengono IBAN, numeri AVS, password o dati dei clienti. Così la sezione 4 della direttiva diventa un promemoria al momento giusto. Anche la sezione 3 si può tradurre in pratica: sui siti di IA non autorizzati, AImori mostra un avviso o una pagina di blocco con un pulsante verso lo strumento consentito.

Con Intune o Criteri di gruppo l'estensione arriva su tutte le postazioni di lavoro, senza server e senza account utente. I contenuti non vanno né al reparto IT né a terzi. Maggiori dettagli: Cosa viene riconosciuto

Domande frequenti