In un precedente post abbiamo parlato di alfabetizzazione in materia di intelligenza artificiale: cosa prevede l’articolo 4 dell’AI Act, cosa è cambiato con il Digital Omnibus e, soprattutto, perché formare le persone sull’IA dovrebbe essere considerata una vera questione di business e non un semplice adempimento da spuntare.
I numeri aiutano a capire perché: secondo il comunicato stampa dell’Osservatorio Artificial Intelligence del Politecnico di Milano, nel 2025 il 47% dei lavoratori italiani ha utilizzato strumenti di intelligenza artificiale in azienda. Tra questi, però, solo il 19% dichiara di utilizzare esclusivamente strumenti messi a disposizione dalla propria organizzazione. Significa che quattro lavoratori su cinque utilizzano anche, o soltanto, strumenti esterni (Shadow AI): account personali, versioni gratuite, estensioni del browser e altri servizi che spesso entrano nei processi aziendali senza un controllo formale, con tutti i rischi del caso.
A questa diffusione così rapida non è corrisposta una crescita altrettanto veloce della capacità delle aziende di stabilire regole chiare su come utilizzare l’AI: nello stesso anno, sempre secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano, appena il 9% delle grandi imprese italiane (quelle che hanno più budget, competenze e funzioni dedicate) disponeva di una governance strutturata dell’IA. Nelle PMI, nella maggior parte dei casi, regole, responsabilità e modalità di utilizzo dell’intelligenza artificiale non sono ancora state formalizzate.
È proprio nello spazio tra questi due dati (un’AI già ampiamente utilizzata e un’AI ancora poco “governata”) che nasce gran parte dei problemi.
Il punto di partenza del percorso di formazione AI di Axura
Nel post precedente abbiamo raccontato perché l’alfabetizzazione sull’IA non può ridursi al fantomatico “corso obbligatorio AI Act”: l’articolo 4 non prescrive un corso specifico, un numero minimo di ore o una certificazione; chiede alle organizzazioni di adottare misure per sostenere lo sviluppo dell’alfabetizzazione delle proprie persone, tenendo conto delle loro competenze, del contesto in cui utilizzano l’IA e delle persone su cui questi sistemi possono avere effetti.
Da questa impostazione, e soprattutto da quello che vediamo succedere concretamente nelle aziende, in Axura abbiamo costruito un percorso di formazione sull’intelligenza artificiale pensato per le PMI.
L’idea di fondo è semplice: prima di chiedere alle persone di rispettare alcune regole sull’AI, bisogna metterle nella condizione di capire quelle regole.
Per questo il nostro percorso parte da una valutazione di come l’intelligenza artificiale viene già utilizzata in azienda: quali strumenti sono in uso, in quali attività, quali dati vi vengono inseriti, quali regole esistono già e quali invece mancano. È spesso in questa fase che emergono strumenti attivati autonomamente dai reparti, account personali utilizzati per lavoro o funzionalità di IA già presenti nei software aziendali senza che siano mai state considerate come tali.
Il primo modulo: il Decalogo IA
Il primo modulo del percorso Axura si chiama “Il Decalogo IA – Fondamenti di IA e AI Act“: è un modulo di alfabetizzazione di un’ora e mezza, in e-learning asincrono, pensato per tutto il personale, quindi non soltanto per chi si occupa di IT, compliance o innovazione, ma per chiunque possa trovarsi a utilizzare uno strumento di intelligenza artificiale nel proprio lavoro.
Il modulo spiega che cos’è un sistema di IA, come funzionano molti sistemi di machine learning e quali sono i loro principali punti di forza e limiti: affronta allucinazioni e bias, il ruolo della verifica umana, la logica dell’AI Act e la sua classificazione dei rischi. Passa poi ai dati personali, alla riservatezza, alle decisioni automatizzate, alla trasparenza e alla proprietà intellettuale, per arrivare infine alle regole specifiche dell’organizzazione: strumenti autorizzati, usi vietati, policy e modalità di segnalazione.
Alla fine di questo percorso si arriva a un decalogo: dieci regole che presentiamo in questo post e che non vogliono essere un sostituto della formazione, ma il contrario; sono ciò che rimane della formazione quando bisogna “trasformare” quello che si è imparato in comportamenti quotidiani.
Perché imparare dieci regole non basta
“Verifica sempre l’output*” sembra una regola ovvia, vero? Lo è molto meno quando l’AI ci restituisce un’informazione accompagnata da una fonte che sembra assolutamente credibile (con tanto di titolo, autore, data e link) ma che, in realtà, non è mai esistita. Senza una verifica, il rischio è semplice: prenderla per buona e, magari, diffonderla a nostra volta.
* Quando parliamo di “output” intendiamo semplicemente ciò che l’IA ci restituisce: una risposta, un testo, un’immagine, un riassunto, un’analisi, una raccomandazione o qualsiasi altro risultato prodotto dal sistema. Per esempio, se chiediamo a ChatGPT di scrivere una mail, la mail che genera è l’output. È una parola che troverai spesso in questo post!
“Non inserire dati riservati negli strumenti non autorizzati” può sembrare l’ennesima prescrizione aziendale, finché non si comprende che incollare un documento in uno strumento esterno significa trasferire quelle informazioni verso un’infrastruttura che l’azienda potrebbe non controllare.
“Chi usa l’output se ne assume la responsabilità” diventa un concetto molto più concreto quando quell’output esce dall’azienda o viene condiviso con qualcun altro: se utilizziamo una risposta dell’AI in un’email a un cliente, in un documento, in una presentazione o in un contenuto pubblicato online, siamo noi a scegliere di diffonderla e siamo quindi noi responsabili di ciò che stiamo comunicando. Dire “l’ha scritto l’IA” non ci solleva dalla responsabilità di aver verificato che quelle informazioni fossero corrette prima di utilizzarle.
È per questo che leggere un insieme di regole non può considerarsi una formazione: una regola funziona quando chi deve applicarla ne comprende il motivo, riconosce la situazione in cui diventa rilevante e sa concretamente cosa fare. Il decalogo serve dopo: come riferimento rapido, come linguaggio condiviso e come promemoria delle scelte da fare quando l’IA entra nel lavoro quotidiano.
Nel nostro percorso, quindi, non consegniamo una pagina con dieci regole da rispettare chiedendo alle persone di ricordarsele a memoria: costruiamo prima il contesto che permette di comprenderle e le utilizziamo poi come sintesi operativa del modulo.
Il decalogo dell’IA in azienda by Axura
Eccole, allora, le dieci regole attorno alle quali abbiamo costruito il primo modulo del percorso di formazione AI di Axura.
1. L’intelligenza artificiale non sa: calcola
I sistemi di IA generativa non conoscono i fatti nel senso in cui li conosce una persona: quello che fanno è produrre output sulla base di schemi e probabilità appresi dai dati.
Per questo possono generare una risposta corretta e, un momento dopo, inventare un fatto, una fonte o una citazione mantenendo esattamente lo stesso tono sicuro.
È il fenomeno che chiamiamo “allucinazione” e non è semplicemente un difetto destinato a scomparire: dipende dal modo stesso in cui funzionano questi sistemi.
Per capire quanto il problema sia concreto, esiste un database pubblico curato dal ricercatore Damien Charlotin che raccoglie le decisioni giudiziarie di tutto il mondo in cui un tribunale ha accertato l’uso di contenuti “allucinati” in un atto. Al 19 agosto 2026 i casi censiti sono 1.934, di cui 15 in Italia: parliamo di avvocati e professionisti, quindi, teoricamente, non delle persone sprovvedute.
La conseguenza pratica è semplice: una risposta plausibile non è necessariamente una risposta corretta, per questo tutto ciò che conta davvero va verificato.
2. Ogni output rilevante passa da una persona (Human in the loop)
La regola d’oro del modulo è composta da quattro passaggi: genera, verifica, correggi, assumi.
L’AI può essere utilizzata per produrre bozze, sintesi, idee e analisi preliminari, ma fatti, numeri, nomi, fonti e riferimenti devono essere verificati: il contenuto deve essere corretto e adattato, ciò che non può essere verificato va poi eliminato.
La presenza di almeno una persona nel processo (in inglese si dice “Human in the loop”) è fondamentale.
Solo allora l’output può uscire dall’azienda o essere usato per prendere una decisione.
3. Chi firma è una persona, non uno strumento
“L’ha scritto l’IA” non trasferisce la responsabilità allo strumento.
Chi utilizza un output nel proprio lavoro deve essere in grado di spiegarlo, verificarlo e assumersene la responsabilità operativa: l’AI produce; la persona decide se e come utilizzare ciò che ha prodotto.
4. Nei sistemi di IA “entra” solo ciò che può “uscire” dall’azienda
Con i dati bisogna essere particolarmente prudenti: prima di inserire informazioni in uno strumento AI, bisogna chiedersi se siano davvero necessarie per ottenere il risultato che ci serve.
Il Data Breach Investigations Report 2026 di Verizon mostra che tra le informazioni aziendali che più spesso vengono copiate o caricate su strumenti di AI esterni c’è il codice sorgente, cioè il codice con cui vengono sviluppati software, siti e applicazioni dell’azienda. Seguono immagini, dati organizzati in tabelle o database e, in alcuni casi, anche ricerche e documenti tecnici.
Il problema è semplice: informazioni riservate e di valore per l’azienda possono finire in uno strumento esterno senza che l’azienda abbia deciso di condividerle. Può bastare che una persona copi un pezzo di codice in ChatGPT per farsi aiutare a correggerlo, oppure carichi un documento tecnico per farselo riassumere: è comodo, certo, ma se lo strumento non è autorizzato dall’azienda, quelle informazioni stanno uscendo dal “perimetro aziendale”.
C’è poi una seconda regola: dati personali, informazioni riservate e documenti aziendali non vanno inseriti in strumenti di IA non autorizzati dall’azienda. Un account personale o un servizio gratuito trovato online può essere comodo, ma l’azienda potrebbe non avere alcun controllo su come vengono gestite le informazioni che vi carichiamo.
Quando l’IA tratta dati personali, inoltre, non entra in gioco soltanto l’AI Act: continua ad applicarsi anche il GDPR. Usare l’intelligenza artificiale, quindi, non cambia le regole sulla protezione dei dati che l’azienda deve già rispettare.
5. Si usano gli strumenti autorizzati, con l’account aziendale
Sempre il rapporto Verizon 2026 mostra quanto sia diffusa la shadow AI (cioè l’uso in azienda di strumenti di intelligenza artificiale senza che siano stati approvati o anche solo conosciuti dall’organizzazione): il 45% dei dipendenti utilizza abitualmente strumenti di IA sui dispositivi aziendali, contro il 15% dell’anno precedente. Tra chi li usa, il 67% accede con un account personale anziché con quello aziendale.
In pratica, molte persone usano l’AI per lavorare al di fuori degli strumenti e degli account controllati dall’azienda, ed è così che documenti, dati e altre informazioni aziendali possono finire su servizi esterni senza che l’organizzazione ne sia consapevole. Non a caso, secondo Verizon, la shadow AI è diventata la terza causa più comune di perdita accidentale di dati.
Il problema non è vietare per principio strumenti diversi da quelli scelti dall’azienda, il problema è che l’organizzazione deve poter sapere quali sistemi vengono utilizzati e a quali condizioni.
Per questo, se uno strumento necessario manca o quello disponibile non è adeguato, la soluzione non dovrebbe essere arrangiarsi da sé: dovrebbe essere segnalarlo al referente aziendale.
6. L’IA può “ereditare” i pregiudizi presenti nei dati
I sistemi AI possono riprodurre e amplificare le distorsioni presenti nei dati sui quali sono stati addestrati.
Facciamo un esempio: se un sistema utilizzato per valutare i curriculum è stato addestrato su dati storici in cui, per determinate posizioni, sono stati assunti soprattutto uomini, potrebbe imparare ad associare inconsapevolmente quel tipo di profilo a un candidato “migliore” e finire per penalizzare le candidate donne.
Non è un’ipotesi remota: è quello che è successo ad Amazon. L’azienda aveva sviluppato un sistema per valutare automaticamente i curriculum, addestrandolo su dieci anni di candidature ricevute, in larghissima parte da uomini. Il sistema ha imparato a penalizzare i curriculum in cui compariva la parola “women’s” e a declassare chi arrivava da due college femminili. Amazon ha chiuso il progetto, precisando che non è mai stato l’unico criterio in una selezione reale, ma il caso resta istruttivo: se una distorsione così sfugge a un’azienda con quelle competenze, non è certo guardando un output alla volta che la si intercetta.
Il problema diventa quindi particolarmente delicato quando gli output riguardano persone: clienti, candidati, dipendenti. Non sempre una distorsione è evidente guardando un singolo risultato: se però, su cento curriculum, il sistema tende sistematicamente a favorire o penalizzare persone con determinate caratteristiche, il problema è evidente.
Per questo non basta controllare che una singola risposta “sembri giusta”: bisogna prestare attenzione anche a eventuali schemi ricorrenti negli output dell’AI.
7. Nessuna decisione sulle persone deve essere presa senza un controllo umano
Più un output incide sui diritti e sulle opportunità di qualcuno, più diventano importanti il controllo umano e la possibilità di contestare la decisione.
Il principio è particolarmente rilevante in ambiti come selezione e gestione del personale, credito, salute e accesso a servizi essenziali: non sono contesti in cui delegare una decisione all’IA senza comprenderne e verificarne l’esito.
8. Si dichiara l’uso dell’IA quando è rilevante per chi riceve il contenuto
Non tutto ciò che è stato prodotto con l’aiuto dell’IA deve essere automaticamente etichettato come tale, ma oltre agli obblighi specifici previsti dall’AI Act c’è una questione di trasparenza: sapere che l’IA è stata utilizzata cambierebbe il modo in cui chi riceve quel contenuto lo interpreta?
Per esempio: usare l’AI per preparare una prima bozza di una normale email commerciale, poi controllata e riscritta da una persona, è molto diverso dal pubblicare sul sito aziendale la testimonianza di un cliente accompagnata da una sua immagine generata artificialmente. Nel secondo caso, chi la vede potrebbe ragionevolmente pensare che quella persona esista davvero e abbia realmente espresso quelle parole: sapere che il contenuto è stato generato con l’IA cambia completamente il modo in cui viene interpretato.
Quando l’uso dell’IA può fare questa differenza, dichiararlo è una buona regola di trasparenza e di fiducia.
9. Attenzione al diritto d’autore: ciò che genera l’IA non è sempre “nostro”
L’IA generativa pone anche alcune questioni legate alla proprietà intellettuale.
Da una parte, può generare contenuti molto simili a opere già esistenti e protette dal diritto d’autore; dall’altra, non è detto che un contenuto creato con l’IA possa essere protetto come uno creato da una persona.
Per questo bisogna fare particolare attenzione quando si usa l’AI per creare qualcosa di importante per l’azienda, come un logo, un claim, un’immagine o un altro contenuto che vogliamo utilizzare e proteggere nel tempo. In caso di dubbio, meglio confrontarsi con il referente competente.
10. Nel dubbio si chiede, gli errori si segnalano
Questa è forse la regola più importante per l’azienda.
Le persone devono sapere a chi rivolgersi quando hanno un dubbio e cosa fare quando qualcosa va storto: un output anomalo, un dato inserito per errore, uno strumento utilizzato senza autorizzazione.
Per questo il modulo prevede una sezione dedicata proprio alle regole dell’organizzazione, personalizzabile sulla policy del cliente: strumenti approvati, usi vietati, trasparenza interna e canali di segnalazione.
Dal decalogo alla realtà: mettiamolo alla prova
Queste regole funzionano nella realtà lavorativa quotidiana?
Nel modulo utilizziamo uno scenario molto semplice: un collega ti manda una bozza di risposta a un reclamo generata con l’AI. Dentro ci sono i dati del cliente, una percentuale di rimborso e il riferimento a una norma che sostiene la posizione dell’azienda. Bisogna inviarla subito perché è urgente.
È una situazione in cui diverse regole del decalogo smettono immediatamente di essere teoria:
- bisogna verificare dati e importi;
- bisogna controllare che la norma citata esista davvero e dica ciò che l’AI sostiene;
- bisogna capire quale strumento sia stato utilizzato e se fosse autorizzato a trattare quei dati.
Se qualcosa non torna, bisogna segnalarlo e, soprattutto, l’urgenza non cambia il principio fondamentale: chi invia quella risposta se ne assume la responsabilità.
È questo il passaggio che ci interessa: non ricordare a memoria dieci frasi, ma riuscire a riconoscere quali regole entrano in gioco quando serve.
Il decalogo del corso deve diventare quello dell’azienda
C’è poi un limite inevitabile in qualsiasi decalogo pubblicato online: alcune delle informazioni più importanti non possono essere generiche.
- Quali strumenti può utilizzare un dipendente?
- Quali dati può inserire?
- Quali invece non devono mai uscire dal perimetro aziendale?
- A chi deve rivolgersi quando ha un dubbio?
Sono risposte che può dare soltanto l’organizzazione: per questo nel modulo Axura c’è una sezione espressamente personalizzabile con la policy AI del cliente; le regole generali acquistano valore operativo quando vengono collegate agli strumenti, ai processi, ai dati e ai referenti reali di quell’azienda.
È anche il motivo per cui, per esempio, copiare il decalogo e mandarlo via mail ai dipendenti non equivale a fare formazione.
Può essere un ottimo punto di riferimento, può diventare una scheda da tenere a portata di mano, ma funziona davvero quando è l’output condiviso di un percorso in cui le persone hanno capito da dove arrivano quelle regole, perché esistono e come applicarle nel proprio lavoro.
Un punto di arrivo che serve per cominciare a lavorare meglio
Alla fine del primo modulo del corso di Axura, il decalogo raccoglie quindi in dieci regole gli argomenti che le persone hanno appena affrontato: come funziona l’IA, dove può sbagliare, perché gli output vanno verificati, cosa cambia quando entrano in gioco dati e persone, quale ruolo hanno l’AI Act e il GDPR e, soprattutto, quali comportamenti adottare nel lavoro quotidiano.
Chi completa il modulo e supera il test finale riceve l’attestato e la scheda con il decalogo da tenere a portata di mano: l’attestato documenta il completamento del percorso e può costituire per l’azienda un’evidenza delle misure formative adottate; non è però una certificazione di conformità all’AI Act, perché nessun corso, da solo, può esserlo.
Da lì il percorso può proseguire con approfondimenti diversi a seconda dei ruoli, dei sistemi utilizzati e dei rischi effettivi dell’organizzazione.
L’obiettivo dell’azienda non è dire “abbiamo distribuito il decalogo”, è fare in modo che, quando una persona apre ChatGPT, Copilot, Gemini o qualsiasi altro strumento di AI per fare il proprio lavoro, sappia cosa sta facendo, cosa controllare e quando fermarsi a chiedere.
In Axura abbiamo costruito il nostro percorso di alfabetizzazione sull’intelligenza artificiale proprio con questo obiettivo: partire da come l’AI viene realmente utilizzata nelle PMI e trasformare la formazione in regole e comportamenti che possano essere applicati ogni giorno.
Il decalogo è il primo risultato visibile di questo percorso, non il percorso stesso.
Vuoi saperne di più? Scrivici: ti raccontiamo come funziona!
