La governance AI non deve essere per forza un documento enorme che nessuno legge. Per una piccola azienda o un team snello, può essere una serie di regole chiare: cosa si può usare, con quali dati, per quali attività e con quale controllo.
Il punto non è bloccare l’AI. È evitare che strumenti utili entrino nei processi aziendali senza confini, soprattutto quando passano dati, codice, documenti, clienti o credenziali.
Il rischio non è solo tecnico
Quando si parla di AI, il rischio viene spesso ridotto a “il modello sbaglia”. È vero, ma non basta.
I rischi pratici sono più ampi:
- incollare dati sensibili nei prompt;
- usare strumenti personali per lavoro aziendale;
- generare contenuti non verificati;
- accettare codice senza review;
- salvare output in luoghi non tracciati;
- non sapere quale tool ha accesso a cosa.
Per questo ho già parlato di AI in azienda, privacy e governance. Qui il focus è operativo: poche regole applicabili subito.
Regola 1: classificare i dati
Non tutti i dati hanno lo stesso peso. Un prompt su un testo pubblico è diverso da un prompt con dati cliente, contratti, credenziali, codice proprietario o informazioni personali.
Una piccola azienda può iniziare con tre livelli:
- pubblico: contenuti già pubblici o non sensibili;
- interno: documenti, processi, codice non critico;
- riservato: dati personali, credenziali, contratti, informazioni cliente.
Per ogni livello, si decide quali strumenti sono ammessi. Non serve complicare: serve rendere esplicito ciò che prima era lasciato al buon senso.
Regola 2: strumenti approvati
Il problema non è usare ChatGPT, Copilot, Claude, Cursor o altri strumenti. Il problema è non sapere quali vengono usati e con quali impostazioni.
Una lista minima di strumenti approvati aiuta molto:
- tool ammessi per testi pubblici;
- tool ammessi per codice;
- tool vietati per dati riservati;
- account aziendali da preferire;
- impostazioni privacy da controllare.
Anche nel lavoro di AI coding, sapere quali permessi ha l’assistente è parte della qualità del processo.
Regola 3: output verificato
Un output AI non dovrebbe diventare automaticamente materiale finale. Vale per articoli, email, codice, analisi e documenti.
Serve sempre un passaggio di verifica proporzionato al rischio. Un post informale richiede controllo tono e fatti. Un contratto richiede revisione competente. Un pezzo di codice richiede test e review.
Per il codice, la code review AI può essere utile come secondo sguardo, ma non sostituisce responsabilità umana.
Regola 4: niente segreti nei prompt
Questa sembra banale, ma è una delle regole più importanti. Password, API key, token, chiavi private, dati fiscali e informazioni personali non dovrebbero finire in prompt generici.
Se serve analizzare un errore o un log, si anonimizza. Se serve lavorare su codice, si rimuovono credenziali. Se serve un accesso reale, si usa uno strumento con permessi controllati e audit.
La regola dovrebbe essere semplice: se un dato non lo pubblicheresti in una chat aziendale larga, non incollarlo in un tool AI senza valutazione.
Regola 5: tracciare le decisioni importanti
Non serve loggare tutto. Ma alcune decisioni vanno tracciate:
- quale strumento è stato usato;
- che tipo di dati ha visto;
- quale output è stato accettato;
- chi ha fatto review;
- quali modifiche sono entrate in produzione.
Questo non è burocrazia. È memoria operativa. Quando qualcosa va storto, sapere cosa è successo evita ricostruzioni impossibili.
Regola 6: test per il codice
Nel codice, l’AI può accelerare, ma deve lavorare dentro test. Un output plausibile non basta.
Per questo il workflow sano prevede diff piccoli, comandi eseguiti e test reali. Ho approfondito il tema in Test automatici generati con AI: i test aiutano, ma vanno letti e non devono essere tautologici.
Da dove partire
Una governance leggera può stare in una pagina:
- strumenti approvati;
- dati ammessi e vietati;
- regole per codice;
- regole per contenuti;
- chi approva casi sensibili;
- cosa non va mai inserito nei prompt.
Meglio una pagina chiara applicata davvero che un documento perfetto ignorato.
Conclusione
La governance AI per piccole aziende non deve rallentare tutto. Deve rendere l’uso dell’AI più affidabile: dati protetti, strumenti chiari, output verificati, codice testato e decisioni tracciabili.
Le regole leggere funzionano quando sono comprensibili. E quando proteggono il lavoro senza fingere che il rischio non esista.