Politica aziendale sull'uso dell'Intelligenza Artificiale

1. Scopo e destinatari

Il presente documento definisce le regole, i ruoli e i presidi con cui Justbit S.r.l. utilizza in modo responsabile i sistemi di Intelligenza Artificiale integrati nei propri strumenti di lavoro. Contribuisce al programma di alfabetizzazione all'AI (AI literacy) richiesto dall'articolo 4 dell'AI Act, ma la sola presa visione non sostituisce formazione proporzionata a ruoli, contesto d'uso, esperienza e persone su cui i sistemi sono utilizzati.

Si applica a tutti i destinatari: dipendenti, collaboratori, consulenti, amministratori e ogni altro utente autorizzato che, per conto di Justbit, utilizza sistemi che incorporano funzionalita di AI o ne tratta gli output. La presa visione e accettazione di questa policy e obbligatoria ed e tracciata in modo versionato nel portale.

2. Riferimenti normativi e tempistiche di applicazione

L'AI Act (Reg. UE 2024/1689) e entrato in vigore il 1° agosto 2024 e si applica per fasi successive:

• 2 febbraio 2025 — divieto delle pratiche di AI vietate (art. 5) e obbligo di AI literacy del personale (art. 4).
• 2 agosto 2025 — obblighi per i modelli di AI per finalita generali (GPAI) e governance.
• 2 agosto 2026 — piena applicazione della maggior parte degli obblighi, inclusi i sistemi ad alto rischio (Allegato III).
• 2 agosto 2027 — obblighi per i sistemi ad alto rischio incorporati in prodotti regolati.

La policy e coordinata con il GDPR (protezione dati), con l'articolo 4 della Legge 300/1970 (strumenti di lavoro) e con la restante documentazione privacy e sicurezza del portale.

3. Ruolo di Justbit ai sensi dell'AI Act

Justbit non sviluppa modelli fondativi: utilizza modelli generativi di terzi (Google Gemini tramite Vertex AI / Genkit) integrandoli nei propri strumenti interni.

Per gli usi censiti nell'inventario di §4 la qualificazione preliminare e deployer / utilizzatore (art. 3, n. 4). La qualificazione deve essere validata e non esclude responsabilita da provider se un sistema fosse commercializzato o messo in servizio con nome/marchio Justbit, modificato sostanzialmente o destinato a una finalita ad alto rischio diversa da quella prevista. In particolare, il servizio di audit di accessibilita della voce 6 e presentato in una pagina pubblica di offerta con marchio Justbit e produce documenti destinati al soggetto committente: per esso la qualificazione va riesaminata caso per caso e formalizzata dal Titolare prima di ogni erogazione a titolo commerciale, insieme al titolo giuridico per scansionare e interagire con siti di terzi e al ruolo delle parti ai sensi degli artt. 28 e 29 GDPR. Tale riesame non risulta a oggi assunto e resta un adempimento aperto. Dal ruolo di deployer derivano in particolare uso conforme alle istruzioni, sorveglianza umana, trasparenza, tutela dei dati e AI literacy del personale.

4. Inventario dei sistemi di AI in uso

Sistemi di AI in esercizio nel portale, con finalita, modello e dati trattati, verificati sul codice alla data di pubblicazione indicata in calce. L'inventario e mantenuto dal Referente AI. L'attivazione di un nuovo sistema, il cambio di modello o di regione, l'estensione a nuove categorie di dati e la riattivazione di un flusso sospeso comportano l'aggiornamento congiunto di questo inventario, dell'assessment tecnico dei trattamenti AI, del registro dei trattamenti, dell'informativa applicabile e del registro dei responsabili e sub-responsabili, e una nuova versione della presente policy.

Sono attive sia l'acquisizione strutturata di preventivi da file, sia la composizione assistita di una bozza di preventivo a partire da una descrizione testuale libera. Quest'ultima e stata riattivata il 27 luglio 2026: la riattivazione e censita nella presente versione della policy, mentre il riesame preventivo che la versione precedente prescriveva non risulta essere stato effettuato prima della riattivazione; la relativa presa d'atto e rimessa al Titolare. L'assessment tecnico dei trattamenti AI e il registro dei responsabili e sub-responsabili devono essere aggiornati contestualmente a questa versione, secondo quanto previsto dalla §11.

Controllo preliminare del brief (voce 5). Prima della generazione, il testo del brief e sottoposto a un controllo automatico di ammissibilita eseguito da un secondo modello (gemini-2.5-flash, europe-west1). Il controllo non produce contenuto per il preventivo e non consuma crediti: restituisce all'operatore un riscontro sugli elementi mancanti. Lo stesso testo del brief e quindi trasmesso a due configurazioni di modello e regione distinte nell'ambito della medesima operazione; entrambe sono censite in questo inventario e nella mappatura dei trasferimenti.

Dettatura vocale del brief (voce 5). Il campo del brief puo essere compilato a voce utilizzando la funzione di riconoscimento vocale del browser. La trascrizione non e eseguita da Justbit ne da Vertex AI: l'audio e elaborato dal browser dell'utente e, a seconda del browser impiegato, puo essere trasmesso a un servizio del fornitore del browser, soggetto alle condizioni di quest'ultimo e non coperto dai contratti di trattamento stipulati da Justbit. La destinazione effettiva dell'audio non e stata accertata e la decisione se mantenere attiva la funzione o disattivarla in attesa di tale accertamento e rimessa al Titolare. La funzione e facoltativa, si attiva solo su azione esplicita dell'utente, si interrompe alla chiusura del wizard e non e disponibile sui browser che non espongono l'API. E vietato dettare dati personali di terzi, categorie particolari di dati, credenziali o informazioni coperte da segreto; il microfono va tenuto attivo solo per il tempo della dettatura.

La generazione assistita dei testi di cookie/consent governance, censita nelle versioni precedenti di questa policy, e stata dismessa: il modulo non invoca piu alcun modello e la sezione Cookie Consent del portale e oggi limitata al registro dei consensi e alla guida operativa. La voce e rimossa dall'inventario e la dismissione e riportata nel registro dei responsabili e sub-responsabili.

Modello e regione possono essere sovrascritti dalla configurazione di deployment, in alcuni casi senza rilascio di codice. Due degli impieghi censiti (voci 2 e 6) usano gemini-3.1-pro-preview, modello in versione preview, che il fornitore puo modificare o ritirare senza preavviso. La configurazione effettiva va verificata a ogni rilascio che tocchi i moduli AI e comunque con cadenza almeno trimestrale; l'esito della verifica e conservato dal Referente AI e ogni scostamento rispetto a questo inventario comporta una nuova versione della policy. Le versioni precedenti di questa policy dichiaravano una verifica dopo ogni rilascio che non ha impedito lo scostamento sanato dalla presente versione.

5. Classificazione del rischio e pratiche vietate

La maggior parte dei sistemi in uso e trattata come area a rischio minimo o limitato (supporto operativo, estrazione dati, generazione testi), ferma la qualificazione specifica del recruiting e ogni diversa valutazione richiesta dall'AI Act. I flussi che riguardano candidati e lavoratori sono operativi: le relative informative contestuali sono in corso di validazione e la loro approvazione e consegna, con la relativa evidenza, e un adempimento prioritario a carico del Titolare e della funzione Privacy. Questa policy interna non le sostituisce e non attesta che tali adempimenti siano completati; fino alla loro chiusura i flussi restano soggetti a sorveglianza umana rafforzata e non possono essere estesi a nuove finalita.

6. Presidi rafforzati sui trattamenti sensibili

Selezione del personale (CV — voce 2). Il supporto AI all'analisi dei CV e un'area che l'AI Act considera potenzialmente ad alto rischio (Allegato III §4, sistemi per la selezione dei candidati). Justbit adotta i seguenti presidi:

• Sorveglianza umana obbligatoria: l'output AI e esclusivamente di supporto; ogni decisione di selezione deve essere operata e documentata da una persona. Nessuna decisione puo essere determinata esclusivamente dal modello.
• Non discriminazione: i dati particolari eventualmente presenti nel CV (art. 9 GDPR) non sono estratti, indicizzati ne usati come criterio di valutazione.
• Minimizzazione e retention: il default tecnico prevede auto-archivio delle candidature a 10 mesi; durata e copertura di allegati, copie e cancellazione sono soggette a validazione.
• Trasparenza verso i candidati: prima del trattamento deve essere resa un'informativa di selezione che descriva l'uso di strumenti AI, i dati trattati, i destinatari/trasferimenti, la retention e il riesame umano.

Dati economici e IBAN (fatture — voce 1): verifica umana prima della finalizzazione e minimizzazione dei prompt.

Dati del lavoratore (feedback — voce 3): il testo AI non costituisce una valutazione autonoma e non puo essere usato per scoring, sorveglianza sistematica o decisioni disciplinari/occupazionali esclusivamente automatizzate. Informativa workforce, finalita, base giuridica, retention, DSAR, DPIA e presidi giuslavoristici sono da approvare e costituiscono un blocco pre-rollout.

Preventivi (voci 4 e 5): i file caricati e il testo del brief devono essere minimizzati rispetto a dati personali e informazioni confidenziali; e vietato incollare o dettare nel brief dati personali di terzi, categorie particolari di dati, credenziali o informazioni coperte da segreto. La struttura proposta dal modello richiede sempre revisione e il pricing autorevole resta applicato dal backend. Il testo del brief e il contenuto dei file non sono conservati: il registro di audit riporta soltanto la lunghezza del testo, il modello, la regione e l'esito, oltre al nome del file per l'import. L'uso della funzione e soggetto a una quota mensile per utente, con possibilita di assegnazione di crediti aggiuntivi da parte degli amministratori: si tratta di una misura tecnica di contenimento dei costi e di prevenzione degli abusi; il contatore non costituisce un indicatore di produttivita e non puo essere utilizzato per valutare la prestazione lavorativa ne per decisioni che riguardano il rapporto di lavoro.

Audit di accessibilita e documenti prodotti (voce 6). L'esito automatico non e autonomamente autorevole. Sono adottati i seguenti presidi: (i) i criteri di conformita sono calcolati in modo deterministico e il modello puo soltanto rendere piu severo il giudizio, mai promuovere un sito a conforme; (ii) se l'analisi assistita da AI non e disponibile la Dichiarazione di Accessibilita non viene prodotta; (iii) i documenti generati dichiarano il metodo impiegato e qualificano come preliminari gli esiti non confermati da una persona; (iv) i documenti sono emessi come bozza: la validazione dei contenuti, la compilazione dei dati del soggetto erogatore, la firma e la pubblicazione restano atti di una persona identificata, che se ne assume la responsabilita. Justbit interviene come soggetto che effettua la valutazione tecnica e non come dichiarante. Non e attualmente previsto un passaggio di approvazione umana bloccante prima dell'esportazione dei documenti: la loro natura di bozza e affidata alla dichiarazione contenuta nel documento e alla responsabilita di chi lo utilizza. La scansione e l'interazione automatica con un sito richiedono l'autorizzazione scritta del titolare del sito: il portale non verifica tale autorizzazione, che va acquisita e conservata fuori dal sistema. Le catture di schermo prodotte durante l'audit sono conservate nello spazio di archiviazione del portale e sono rese disponibili tramite un collegamento diretto con token permanente, accessibile senza autenticazione a chiunque ne disponga: vanno trattate come materiale riservato del cliente e l'inoltro dei pacchetti di esportazione a soggetti esterni e consentito solo nell'ambito del rapporto contrattuale. Il termine di conservazione delle catture e dei risultati di audit non e definito e deve essere approvato dal Titolare.

7. Principi operativi

• Sorveglianza umana (human oversight) — gli output AI sono supporto e non sostituiscono la decisione umana; l'operatore verifica coerenza, completezza e correttezza prima di confermare.
• Nessuna decisione automatizzata con effetti giuridici o significativi sulle persone (art. 22 GDPR).
• Trasparenza — dove il contenuto e prodotto o assistito da AI, la circostanza e resa riconoscibile con i mezzi previsti dal singolo flusso: le righe di preventivo generate dal modello sono marcate fino alla prima modifica dell'operatore; i documenti di audit di accessibilita dichiarano espressamente il metodo di valutazione assistito da AI e la natura preliminare degli esiti non confermati da una persona; i testi di gara della funzione ludica sono generati automaticamente. Il marcatore ha valore informativo per l'operatore e non costituisce prova storica dell'origine del contenuto finale: la responsabilita della verifica resta di chi utilizza o propaga l'output.
• Protezione dei dati (GDPR) — minimizzazione dei prompt, base giuridica e informative specifiche per ciascun trattamento; verifica e archiviazione delle garanzie contrattuali applicabili, incluse condizioni su training e logging.
• Regioni e trasferimenti — sono configurati in europe-west1: estrazione fatture, riscrittura dei feedback, controllo preliminare del brief di preventivo e generazione dei testi di gara. Usano la location global, che non garantisce l'elaborazione esclusivamente nello Spazio economico europeo: analisi dei CV, import e composizione dei preventivi e l'intero flusso di audit di accessibilita. La memoria dei modelli di documento del ciclo passivo usa un modello di embedding con location predefinita us-central1. Tutti i flussi non europei richiedono valutazione del trasferimento (TIA), garanzie contrattuali applicabili archiviate e riesame periodico della disponibilita dei modelli in regione UE; fino alla chiusura di tali verifiche il rischio residuo e da considerarsi non determinato.
• Accuratezza e robustezza — gestione di output vuoti, malformati o bloccati; fallback deterministico dove previsto.
• Sicurezza — accesso ai flussi AI secondo ruolo e principio del minimo privilegio; audit delle azioni sensibili.
• Non discriminazione ed equita — attenzione a bias e correttezza, in particolare nei contesti che riguardano le persone.

8. Alfabetizzazione all'AI (art. 4)

Justbit assicura un livello adeguato di alfabetizzazione all'AI del personale che utilizza o gestisce sistemi di AI per suo conto. Gli strumenti sono:

• la presa visione e accettazione della presente policy (versionata e tracciata);
• la formazione interna (Academy) e gli aggiornamenti su rischi, limiti e uso corretto dell'AI;
• il coinvolgimento del Referente AI per dubbi, nuove funzionalita o casi d'uso non previsti.

9. Regole per il personale (uso ammesso e vietato)

E ammesso, nei limiti del proprio ruolo:

• utilizzare le funzionalita AI integrate e approvate del portale per le finalita operative previste;
• trattare gli output AI come supporto, verificandoli sempre prima di utilizzarli o propagarli;
• utilizzare i campi di testo libero delle funzionalita AI limitandosi alle informazioni necessarie al risultato richiesto, secondo il principio di minimizzazione.

E vietato:

• immettere in strumenti di AI esterni non approvati (es. chatbot pubblici) dati riservati, personali, economici o segreti aziendali;
• immettere nei campi di testo libero delle funzionalita AI del portale (brief di preventivo, assistente tecnico dell'audit di accessibilita) dati personali non necessari alla finalita, categorie particolari di dati, credenziali, chiavi di accesso o informazioni coperte da segreto: quei testi sono trasmessi al fornitore del modello e, per alcuni flussi, elaborati fuori dallo Spazio economico europeo;
• utilizzare la dettatura vocale in presenza di terzi o per riportare dati personali, categorie particolari di dati, credenziali o informazioni riservate;
• utilizzare l'AI per aggirare controlli, alterare evidenze, produrre valutazioni discriminatorie o decisioni automatiche su persone;
• estendere l'uso dell'AI a categorie di dati o finalita ulteriori senza approvazione del Referente AI/Privacy e aggiornamento della documentazione di conformita;
• presentare come umano un contenuto sostanzialmente generato da AI quando la trasparenza e dovuta.

10. Ruoli e responsabilita

• Titolare / Direzione — approva la policy e le decisioni di conformita; delibera su nuovi casi d'uso e rischi.
• Referente AI & Privacy / DPO, ove nominato — mantiene l'inventario dei sistemi AI, coordina l'assessment, presidia trasparenza, literacy e rapporti con i fornitori.
• IT / Security — misure tecniche, configurazione modelli/profili, controllo accessi, audit e incident response.
• Process Owner (HR, Finance, ecc.) — uso conforme nel proprio processo, sorveglianza umana degli output, qualita del dato.

11. Rapporto con GDPR e altra documentazione

Questa policy si coordina con l'Informativa Privacy, le Condizioni d'uso, la Cookie Policy, la Data Breach Policy e la Governance Privacy del portale, e con l'assessment tecnico dei trattamenti AI, che ne costituisce la base analitica. L'aggiornamento dell'inventario di §4 comporta il contestuale aggiornamento dell'assessment tecnico, del registro dei trattamenti, del registro dei responsabili e sub-responsabili e della valutazione dei trasferimenti extra SEE: la presente versione e pienamente efficace solo se accompagnata da tali aggiornamenti. Per ciascun trattamento, registro delle attivita, base giuridica, retention e informativa contestuale devono risultare dalle evidenze di governance applicabili; non si considerano completate per il solo richiamo in questa policy.

12. Versioning, revisione e accettazione

• Versioning: YYYY-MM-DD. Ogni nuova versione riporta data di efficacia, owner e motivazione del cambiamento.
• Revisione: almeno annuale o a ogni change rilevante (nuovo sistema AI, nuovo modello, evoluzione normativa).
• Accettazione: la presa visione/accettazione e obbligatoria per gli utenti autenticati del portale ed e tracciata in modo versionato; a fronte di una nuova versione il sistema richiede nuova accettazione.
• Rollout: il testo pubblicato e la versione richiesta dal sistema devono essere rilasciati contestualmente, insieme alle altre versioni legali del rilascio. Non e ammesso pubblicare il solo testo o la sola configurazione: il disallineamento fra i due impedisce o rende inefficace la ri-accettazione.
• Motivazione della versione corrente: aggiornamento dell'inventario dei sistemi di AI (censimento del servizio di audit di accessibilita, della composizione assistita dei preventivi con il relativo controllo preliminare e la dettatura vocale, della generazione dei testi della funzione ludica e del modello di embedding del ciclo passivo; rimozione della generazione testi cookie/consent governance, dismessa; correzione dei modelli e delle regioni di elaborazione), con conseguente revisione di §3, §5, §6, §7, §9 e §11.

13. Contatti