Politica aziendale sull'uso dell'Intelligenza Artificiale

1. Scopo e destinatari

Il presente documento definisce le regole, i ruoli e i presidi con cui Justbit S.r.l. utilizza in modo responsabile i sistemi di Intelligenza Artificiale integrati nei propri strumenti di lavoro. Contribuisce al programma di alfabetizzazione all'AI (AI literacy) richiesto dall'articolo 4 dell'AI Act, ma la sola presa visione non sostituisce formazione proporzionata a ruoli, contesto d'uso, esperienza e persone su cui i sistemi sono utilizzati.

Si applica a tutti i destinatari: dipendenti, collaboratori, consulenti, amministratori e ogni altro utente autorizzato che, per conto di Justbit, utilizza sistemi che incorporano funzionalita di AI o ne tratta gli output. La presa visione e accettazione di questa policy e obbligatoria ed e tracciata in modo versionato nel portale.

2. Riferimenti normativi e tempistiche di applicazione

L'AI Act (Reg. UE 2024/1689) e entrato in vigore il 1° agosto 2024 e si applica per fasi successive:

• 2 febbraio 2025 — divieto delle pratiche di AI vietate (art. 5) e obbligo di AI literacy del personale (art. 4).
• 2 agosto 2025 — obblighi per i modelli di AI per finalita generali (GPAI) e governance.
• 2 agosto 2026 — piena applicazione della maggior parte degli obblighi, inclusi i sistemi ad alto rischio (Allegato III).
• 2 agosto 2027 — obblighi per i sistemi ad alto rischio incorporati in prodotti regolati.

La policy e coordinata con il GDPR (protezione dati), con l'articolo 4 della Legge 300/1970 (strumenti di lavoro) e con la restante documentazione privacy e sicurezza del portale.

3. Ruolo di Justbit ai sensi dell'AI Act

Justbit non sviluppa modelli fondativi: utilizza modelli generativi di terzi (Google Gemini tramite Vertex AI / Genkit) integrandoli nei propri strumenti interni.

Per i cinque usi interni censiti, la qualificazione preliminare e deployer / utilizzatore (art. 3, n. 4). La qualificazione deve essere validata e non esclude responsabilita da provider se un sistema fosse commercializzato o messo in servizio con nome/marchio Justbit, modificato sostanzialmente o destinato a una finalita ad alto rischio diversa da quella prevista. Dal ruolo di deployer derivano in particolare uso conforme alle istruzioni, sorveglianza umana, trasparenza, tutela dei dati e AI literacy del personale.

4. Inventario dei sistemi di AI in uso

Sistemi di AI attualmente in esercizio nel portale, con finalita, modello e dati trattati. L'inventario e mantenuto aggiornato dal Referente AI e allineato con l'assessment tecnico dei trattamenti AI.

L'import Excel della voce 5 e attivo; il composer preventivi basato su descrizione testuale e invece disabilitato. Una sua eventuale riattivazione richiede un nuovo riesame. Modello e regione possono essere sovrascritti dalla configurazione di deployment e vengono verificati dopo ogni rilascio.

5. Classificazione del rischio e pratiche vietate

La maggior parte dei sistemi in uso e trattata come area a rischio minimo o limitato (supporto operativo, estrazione dati, generazione testi), ferma la qualificazione specifica del recruiting e ogni diversa valutazione richiesta dall'AI Act. Le informative contestuali per candidati e lavoratori devono ancora essere validate, consegnate e provate prima dell'uso operativo dei relativi flussi; questa policy interna non le sostituisce e non attesta che tali adempimenti siano gia completati.

6. Presidi rafforzati sui trattamenti sensibili

Selezione del personale (CV — voce 3). Il supporto AI all'analisi dei CV e un'area che l'AI Act considera potenzialmente ad alto rischio (Allegato III §4, sistemi per la selezione dei candidati). Justbit adotta i seguenti presidi:

• Sorveglianza umana obbligatoria: l'output AI e esclusivamente di supporto; ogni decisione di selezione deve essere operata e documentata da una persona. Nessuna decisione puo essere determinata esclusivamente dal modello.
• Non discriminazione: i dati particolari eventualmente presenti nel CV (art. 9 GDPR) non sono estratti, indicizzati ne usati come criterio di valutazione.
• Minimizzazione e retention: il default tecnico prevede auto-archivio delle candidature a 10 mesi; durata e copertura di allegati, copie e cancellazione sono soggette a validazione.
• Trasparenza verso i candidati: prima del trattamento deve essere resa un'informativa di selezione che descriva l'uso di strumenti AI, i dati trattati, i destinatari/trasferimenti, la retention e il riesame umano.

Dati economici e IBAN (fatture — voce 1): verifica umana prima della finalizzazione e minimizzazione dei prompt.

Dati del lavoratore (feedback — voce 4): il testo AI non costituisce una valutazione autonoma e non puo essere usato per scoring, sorveglianza sistematica o decisioni disciplinari/occupazionali esclusivamente automatizzate. Informativa workforce, finalita, base giuridica, retention, DSAR, DPIA e presidi giuslavoristici sono da approvare e costituiscono un blocco pre-rollout.

Preventivi (voce 5): i file devono essere minimizzati rispetto a dati personali e informazioni confidenziali; la struttura proposta dal modello richiede revisione e il pricing autorevole resta applicato dal backend.

7. Principi operativi

• Sorveglianza umana (human oversight) — gli output AI sono supporto e non sostituiscono la decisione umana; l'operatore verifica coerenza, completezza e correttezza prima di confermare.
• Nessuna decisione automatizzata con effetti giuridici o significativi sulle persone (art. 22 GDPR).
• Trasparenza — e reso riconoscibile quando un contenuto e prodotto o assistito da AI.
• Protezione dei dati (GDPR) — minimizzazione dei prompt, base giuridica e informative specifiche per ciascun trattamento; verifica e archiviazione delle garanzie contrattuali applicabili, incluse condizioni su training e logging.
• Regioni e trasferimenti — fatture e feedback sono configurati in europe-west1; CV, cookie governance e preventivi usano global nei default/configurazioni censiti. I flussi globali richiedono TIA, garanzie applicabili e riesame periodico della disponibilita dei modelli in regione UE.
• Accuratezza e robustezza — gestione di output vuoti, malformati o bloccati; fallback deterministico dove previsto.
• Sicurezza — accesso ai flussi AI secondo ruolo e principio del minimo privilegio; audit delle azioni sensibili.
• Non discriminazione ed equita — attenzione a bias e correttezza, in particolare nei contesti che riguardano le persone.

8. Alfabetizzazione all'AI (art. 4)

Justbit assicura un livello adeguato di alfabetizzazione all'AI del personale che utilizza o gestisce sistemi di AI per suo conto. Gli strumenti sono:

• la presa visione e accettazione della presente policy (versionata e tracciata);
• la formazione interna (Academy) e gli aggiornamenti su rischi, limiti e uso corretto dell'AI;
• il coinvolgimento del Referente AI per dubbi, nuove funzionalita o casi d'uso non previsti.

9. Regole per il personale (uso ammesso e vietato)

E ammesso, nei limiti del proprio ruolo:

• utilizzare le funzionalita AI integrate e approvate del portale per le finalita operative previste;
• trattare gli output AI come supporto, verificandoli sempre prima di utilizzarli o propagarli.

E vietato:

• immettere in strumenti di AI esterni non approvati (es. chatbot pubblici) dati riservati, personali, economici o segreti aziendali;
• utilizzare l'AI per aggirare controlli, alterare evidenze, produrre valutazioni discriminatorie o decisioni automatiche su persone;
• estendere l'uso dell'AI a categorie di dati o finalita ulteriori senza approvazione del Referente AI/Privacy e aggiornamento della documentazione di conformita;
• presentare come umano un contenuto sostanzialmente generato da AI quando la trasparenza e dovuta.

10. Ruoli e responsabilita

• Titolare / Direzione — approva la policy e le decisioni di conformita; delibera su nuovi casi d'uso e rischi.
• Referente AI & Privacy / DPO, ove nominato — mantiene l'inventario dei sistemi AI, coordina l'assessment, presidia trasparenza, literacy e rapporti con i fornitori.
• IT / Security — misure tecniche, configurazione modelli/profili, controllo accessi, audit e incident response.
• Process Owner (HR, Finance, ecc.) — uso conforme nel proprio processo, sorveglianza umana degli output, qualita del dato.

11. Rapporto con GDPR e altra documentazione

Questa policy si coordina con l'Informativa Privacy, le Condizioni d'uso, la Cookie Policy, la Data Breach Policy e la Governance Privacy del portale, e con l'assessment tecnico dei trattamenti AI, che ne costituisce la base analitica. Per ciascun trattamento, ROPA, base giuridica, retention e informativa contestuale devono risultare dalle evidenze di governance applicabili; non si considerano completate per il solo richiamo in questa policy.

12. Versioning, revisione e accettazione

• Versioning: YYYY-MM-DD. Ogni nuova versione riporta data di efficacia, owner e motivazione del cambiamento.
• Revisione: almeno annuale o a ogni change rilevante (nuovo sistema AI, nuovo modello, evoluzione normativa).
• Accettazione: la presa visione/accettazione e obbligatoria per gli utenti autenticati del portale ed e tracciata in modo versionato; a fronte di una nuova versione il sistema richiede nuova accettazione.
• Rollout: la versione 2026-07-19 deve essere pubblicata in modo coordinato con la configurazione runtime e con le altre versioni legali del rilascio.

13. Contatti