Una AI policy che funziona sta in due pagine e risponde a domande concrete – quella di cinquanta pagine la leggono solo gli auditor:
- strumenti approvati e come accedervi (il canale ufficiale dev'essere più comodo della scorciatoia, o la policy è carta)
- cosa non si incolla mai: dati di clienti e dipendenti, segreti industriali, credenziali – con gli esempi, perché "dati sensibili" non parla a nessuno
- verifica umana obbligatoria per output che escono dall'azienda o entrano nelle decisioni: le allucinazioni sono un rischio professionale, non un aneddoto
- responsabilità: chi risponde dell'output usato, chi approva nuovi strumenti, a chi si segnala l'incidente
- il registro dei casi d'uso con classificazione di rischio – che è anche il primo mattone della conformità AI Act
Cornice tecnica a supporto: canale unico con DLP (llmproxy + aidlp), e modelli interni per i dati che non escono. La policy dice il perché; l'infrastruttura lo rende facile.