Le nostre politiche: Intelligenza Artificiale e Privacy

Tempo S.r.l. — approvate dalla Direzione · Ed. 01 Rev. 01 del 16/07/2026

Tempo S.r.l. ha adottato un Sistema di Gestione Integrato per l’Intelligenza Artificiale e la Privacy, conforme alle norme ISO/IEC 42001:2023 (gestione dell’intelligenza artificiale) e ISO/IEC 27701:2025 (gestione della privacy), che si affianca ai sistemi di gestione già attivi per la qualità e per la sicurezza delle informazioni (ISO/IEC 27001). Le due politiche che seguono esprimono l’impegno pubblico della Direzione.

Politica per l’Intelligenza Artificiale

Il nostro contesto

Tempo opera con l’IA in tre ruoli: sviluppiamo e forniamo sistemi di intelligenza artificiale propri — come l’assistente conversazionale EasyGenius2 per la Pubblica Amministrazione e la piattaforma di analisi del traffico di rete NTAStudio — e utilizziamo strumenti AI di terze parti per la produttività. I nostri clienti sono in prevalenza Pubbliche Amministrazioni: gli output dei nostri sistemi possono raggiungere operatori pubblici e cittadini, e questo eleva il livello di cura che ci imponiamo. Tutti i sistemi e gli strumenti AI sono censiti in un inventario aziendale e classificati ai sensi dell’AI Act (Reg. UE 2024/1689).

Il nostro impegno

Cosa non facciamo (la nostra propensione al rischio)

• Nessuna tolleranza per usi dell’IA vietati dall’AI Act, per decisioni automatizzate senza supervisione umana con effetti sulle persone, e per l’uso di dati personali non necessari in prompt, dataset e test.
• I sistemi rivolti a PA e cittadini vengono rilasciati solo dopo le valutazioni d’impatto, la verifica e validazione, e con supervisione umana e trasparenza attive.

I nostri principi per un’IA responsabile

• Liceità e conformità — rispetto dell’AI Act, del GDPR e della normativa di settore.
• Trasparenza e spiegabilità — informazioni chiare su capacità, limiti e logica dei sistemi di IA.
• Equità e non discriminazione — prevenzione di bias e impatti discriminatori sulle persone.
• Supervisione umana — mantenimento di un controllo umano significativo sulle decisioni dell’IA.
• Robustezza e sicurezza — affidabilità tecnica e protezione da usi impropri e attacchi.
• Privacy e governance dei dati — qualità, provenienza e protezione dei dati lungo tutto il ciclo di vita.
• Responsabilità (accountability) — ruoli definiti e tracciabilità delle decisioni e degli impatti.

Come lo mettiamo in pratica

• Manteniamo l’inventario dei sistemi AI e ne rivalutiamo la classificazione a ogni cambio di contesto d’uso.
• Valutiamo l’impatto dei sistemi di IA rilevanti prima del loro rilascio (e, se trattano dati personali, anche l’impatto privacy).
• Garantiamo la supervisione umana: i nostri sistemi supportano le persone, non le sostituiscono.
• Documentiamo i sistemi lungo tutto il ciclo di vita (documentazione tecnica, model card, provenienza di modelli e dati, verifica e validazione, log).
• Informiamo gli utenti quando interagiscono con un sistema di IA e sui suoi limiti.
• Selezioniamo e valutiamo i fornitori di IA secondo criteri di affidabilità e conformità.
• Il nostro personale usa solo strumenti AI autorizzati, con regole quotidiane condivise e verifica umana degli output.
• Gestiamo tempestivamente gli incidenti legati all’IA e li comunichiamo con trasparenza ai clienti interessati.

La politica è tradotta in obiettivi misurabili, attuata attraverso le procedure del sistema di gestione, comunicata a tutto il personale e riesaminata almeno una volta l’anno. Il suo rispetto è responsabilità di tutti; l’applicazione è monitorata dal Responsabile del Sistema di Gestione IA, che riferisce alla Direzione.

Politica per la Protezione dei Dati Personali

Il nostro contesto

Tempo tratta dati personali sia come Titolare (dipendenti e candidati, clienti e fornitori, corsisti dei nostri corsi di formazione, iscritti alla newsletter, visitatori del sito) sia come Responsabile per conto dei clienti, in particolare Pubbliche Amministrazioni. Tutti i trattamenti sono censiti nel Registro delle attività di trattamento, con base giuridica, tempi di conservazione e destinatari.

Il nostro impegno

I principi che seguiamo (art. 5 GDPR)

• Liceità, correttezza e trasparenza — una base giuridica e un’informativa per ogni trattamento.
• Limitazione della finalità — dati trattati solo per scopi determinati e legittimi.
• Minimizzazione — solo i dati necessari allo scopo.
• Esattezza — dati corretti e aggiornati.
• Limitazione della conservazione — per il tempo strettamente necessario.
• Integrità e riservatezza — sicurezza adeguata, in raccordo con la ISO/IEC 27001.
• Responsabilizzazione — capacità di dimostrare la conformità in ogni momento.

Come lo mettiamo in pratica

• Manteniamo il Registro delle attività di trattamento (art. 30 GDPR).
• Applichiamo la privacy fin dalla progettazione e per impostazione predefinita, anche nei sistemi di IA.
• Garantiamo l’esercizio dei diritti degli interessati nei tempi di legge.
• Svolgiamo la valutazione d’impatto (DPIA) per i trattamenti a rischio elevato, coordinata con la valutazione d’impatto dei sistemi di IA.
• Gestiamo e notifichiamo le violazioni di dati personali secondo gli artt. 33-34 GDPR.
• Vincoliamo fornitori e sub-fornitori con accordi adeguati sul trattamento dei dati.

La politica è presidiata dal Referente Privacy, attuata tramite le procedure del sistema di gestione, comunicata a tutto il personale e riesaminata almeno una volta l’anno.