Compliance sui social significa poter dimostrare tre cose a posteriori: che una persona qualificata ha revisionato un post prima che andasse online, che il post conteneva le disclosure richieste dal tuo regolatore e che conservi ancora una copia recuperabile di cosa è stato pubblicato, quando e da chi. Tutto il resto — strumenti, calendari, livelli di approvazione — esiste per rendere economiche da produrre quelle tre prove.
In una grande banca quel lavoro lo fa una compliance suite da sette cifre. In uno studio di consulenza da quattro persone, uno studio legale con due soci, una clinica odontoiatrica o l'ufficio comunicazione di un comune, deve girare su uno scheduler, un drive condiviso e un foglio di calcolo, senza assumere nessuno. Questa guida è la versione per le piccole realtà.
Una premessa: io gestisco uno strumento di scheduling, non uno studio di compliance. Quello che segue è la forma operativa su cui i team regolamentati continuano a convergere. I numeri delle norme, i periodi di conservazione e le formule obbligatorie arrivano dal tuo regolatore o dal tuo legale — cambiano per Paese, settore e licenza. Fatteli mettere per iscritto, poi costruisci il processo attorno a quelli.
I quattro obblighi che stanno sotto ogni regime
Togli il linguaggio specifico di settore e quasi ogni regolamento sui social chiede le stesse quattro cose:
- Revisione prima della pubblicazione. Qualcuno con l'autorità di dire no guarda il contenuto prima che esca, e quel fatto viene registrato.
- Disclosure. Rapporti a pagamento, rischi rilevanti, status professionale e — novità — il coinvolgimento dell'AI sono dichiarati nel post stesso, non sepolti da qualche parte.
- Archiviazione. Quello che hai pubblicato sopravvive indipendentemente dalla piattaforma, insieme a modifiche e cancellazioni.
- Controllo. Gli accessi sono in mano a persone identificate con nome e cognome, e vengono revocati quando se ne vanno.
Copri questi quattro punti e sei avanti rispetto alla maggior parte delle piccole realtà regolamentate, che di solito hanno un'opinione fortissima sul tone of voice e nessuna traccia di chi abbia approvato cosa.
Quali regole ti riguardano davvero
| Settore | Regimi tipici (esempi) | Cosa impone sul piano operativo |
|---|---|---|
| Servizi finanziari | Regole FINRA e SEC negli USA; regole FCA sulle financial promotions nel Regno Unito | Pre-approvazione dei contenuti promozionali da parte di una persona qualificata; avvertenze sui rischi dentro il post; comunicazioni conservate |
| Sanità e ambito medico | Norme sulla privacy dei pazienti come HIPAA; codici deontologici nazionali sulla pubblicità sanitaria; regole di autodisciplina pubblicitaria sui claim salutistici | Nessuna informazione identificabile sul paziente senza consenso scritto; claim documentati; regole severe su immagini prima/dopo e testimonianze |
| Legale | Regole degli ordini forensi su pubblicità e accaparramento di clientela | Diciture obbligatorie in alcune giurisdizioni; nessuna garanzia sul risultato; copie della pubblicità conservate per un periodo definito |
| Settore pubblico | Norme su atti pubblici e accesso agli atti | I post, e spesso i commenti sotto, sono documenti; cancellazioni e blocchi devono seguire una policy scritta e applicata in modo coerente |
| Tutti | Codici di tutela del consumatore e di autodisciplina pubblicitaria; normativa sulla protezione dei dati; obblighi di trasparenza dell'AI Act UE | Disclosure chiara di contenuti pagati e omaggi; trattamento lecito dei dati personali in commenti e DM; trasparenza sui contenuti AI |
Da quella tabella vale la pena tirare fuori due schemi ricorrenti.
Primo: nei servizi finanziari la distinzione che continua a contare è quella tra contenuto statico e contenuto interattivo. In linea di massima, il tuo profilo, i post fissati in alto e le promozioni programmate sono pubblicità che ha bisogno di un'approvazione prima di comparire; uno scambio dal vivo nelle risposte è soggetto a supervisione più che a pre-approvazione. Ed è per questo che programmare aiuta la compliance: trasforma un gesto spontaneo in un elemento in coda con davanti uno step di revisione.
Secondo: i team del settore pubblico hanno il problema opposto. Il loro rischio non è il post in uscita, è la cancellazione: un assessore che rimuove un commento scomodo può creare un problema di conservazione documentale e, in alcune giurisdizioni, un problema di diritti. Metti per iscritto la regola di moderazione prima di averne bisogno.
Obbligo 1: la tracciabilità delle approvazioni
Una traccia di approvazione non è "ha detto sì su Slack". Una traccia che sopravvive a un reclamo contiene, per ogni post:
- Il contenuto esatto così come è stato sottoposto — caption, media, link, piattaforma di destinazione
- Chi l'ha sottoposto, con un timestamp
- Chi l'ha revisionato e quale autorità detiene
- Ogni feedback dato, alla lettera, e cosa è cambiato di conseguenza
- L'approvazione stessa, con un nome e un timestamp
- L'orario di pubblicazione e l'URL online
Buona parte di questo è metadato che il tuo scheduler già genera. Il buco nei processi improvvisati è la parte centrale: la revisione e l'approvazione con un nome sopra.
Non tutto ha bisogno dello stesso rigore. Suddividi i contenuti in livelli di rischio e scrivi quei livelli nella tua policy — promozioni, claim sui risultati e qualunque cosa tocchi la situazione di un cliente passano dalla revisione completa; la foto di un evento o un annuncio di lavoro no. La meccanica, compreso come evitare che i feedback arrivino in cinque messaggi separati nell'arco di tre giorni, è nella nostra guida al workflow di approvazione dei contenuti, con una versione dedicata ai team interni nella guida al workflow di approvazione per il team.
Questa è la parte per cui SocialKit è davvero costruito. I workflow di approvazione sono inclusi nei piani Team ed Enterprise: un post viene scritto in bozza, instradato per la revisione e non può pubblicarsi in automatico finché non è approvato, con il calendario che mostra cosa è in attesa e su chi. C'è una procedura passo passo su come impostare un workflow di approvazione dei contenuti. Il pricing è piatto: ogni piano include tutte le 11 piattaforme supportate e post programmati illimitati, da €29/mese a luglio 2026, con una prova di 7 giorni.
Una clinica lo gestisce così: la responsabile di studio prepara le bozze il lunedì, il direttore sanitario le revisiona il martedì mattina, niente va online senza quel secondo nome allegato. Quindici minuti a settimana, e "chi ha approvato questo?" ha una risposta.
Obbligo 2: tre tipi di disclosure
I team regolamentati trattano la disclosure come una cosa sola. Sono tre, con trigger diversi.
Disclosure commerciale. Partnership a pagamento, prodotti in omaggio, link di affiliazione, contenuti dei dipendenti sul proprio datore di lavoro. La regola pratica che tiene nella maggior parte dei codici pubblicitari: la disclosure sta dentro il post, in alto, in parole semplici, leggibile prima che qualcuno tocchi "altro" — non nel primo commento, non come ultimo hashtag di un blocco da trenta. La nostra guida su come dichiarare i contenuti sponsorizzati copre il posizionamento piattaforma per piattaforma.
Disclosure regolamentare. Avvertenze sui rischi, status professionale, limiti di giurisdizione e qualunque formula il tuo regolatore imponga. La parte difficile sui social è che devono reggersi da sole: ogni post deve essere conforme per conto proprio, perché qualcuno vedrà il reel senza vedere mai la tua bio o la pagina linkata. Una promozione che ha senso solo insieme a un disclaimer sul tuo sito è una promozione con un problema. Se la formula obbligatoria non ci sta, controlla il nostro riferimento sui limiti di caratteri prima di progettare il formato, e chiediti se quella piattaforma sia la casa giusta per quel messaggio.
Disclosure sull'AI. Questa è la novità, e merita una sezione a parte.
Obbligo 3: gli obblighi di trasparenza dell'AI Act UE
Se operi nell'UE, o i tuoi contenuti raggiungono persone che ci vivono, gli obblighi di trasparenza dell'articolo 50 dell'AI Act sono la voce più recente della lista. Si applicano ai deployer — l'organizzazione che usa un sistema di AI — quindi rientra nel perimetro anche un team marketing di due persone con uno strumento generativo, non solo l'azienda che ha costruito il modello. A luglio 2026, quegli obblighi diventano applicabili il 2 agosto 2026.
Per i social contano due doveri:
- Immagini, audio e video sintetici. Se pubblichi contenuti generati o manipolati con AI che somigliano a persone, luoghi o eventi reali — un deepfake nel senso del regolamento — devi dichiarare che sono generati o manipolati artificialmente.
- Testo generato con AI su questioni di interesse pubblico. Se pubblichi testo generato o manipolato con AI per informare il pubblico su una questione di interesse pubblico, devi dichiararlo, a meno che il contenuto non sia passato da una revisione umana e una persona o organizzazione identificata ne detenga la responsabilità editoriale.
Leggi con attenzione questo secondo dovere, perché è più stretto di quanto il panico faccia pensare. Una normale caption di prodotto scritta con l'aiuto dell'AI e rivista da un umano di solito non è "informazione su una questione di interesse pubblico". Un contenuto divulgativo di sanità pubblica firmato da una clinica, o il post di un comune su un cambio di regolamento, plausibilmente sì. In ogni caso, la strada revisione-umana-più-responsabilità-editoriale è esattamente la tracciabilità delle approvazioni descritta sopra — una piacevole coincidenza per chi ne ha già costruita una.
Un obbligo separato, applicabile da febbraio 2025, chiede alle organizzazioni di garantire che il personale che usa sistemi di AI abbia un livello di alfabetizzazione sull'AI sufficiente per il proprio ruolo. Per un team piccolo non è un programma di formazione; è una pagina scritta che elenca gli strumenti approvati, gli usi consentiti e chi controlla l'output. Il nostro template di policy sull'uso dell'AI per i team social lo copre, e il lato etichettatura — le label AI native delle piattaforme, cosa dire e dove — è nella nostra guida alla disclosure dei contenuti AI sui social. Chiarisci in anticipo anche le scelte di giudizio su volti, voci e testimonianze sintetiche; le trovi in etica dell'AI nel social media marketing.
Una precisazione onesta: da quando è entrato in vigore, il calendario del regolamento ha attirato proposte di modifica. Verifica la posizione attuale per i tuoi obblighi invece di fidarti di un qualsiasi articolo di blog, incluso questo.
Obbligo 4: la conservazione dei documenti, e dove si ferma uno scheduler
La risposta secca, perché sbagliare qui costa caro: SocialKit non è un prodotto di archiviazione. È uno scheduler con uno step di approvazione, che conserva le tue bozze, le approvazioni, la programmazione e i post pubblicati — e questo copre bene la revisione prima della pubblicazione. Non fa compliance capture di commenti e DM in entrata, non ha una inbox unificata né una coda di moderazione, e non produce l'archivio a prova di manomissione, in stile WORM, che le società finanziarie sottoposte a vigilanza sono di norma tenute a conservare.
Se sei un broker-dealer o un consulente finanziario sottoposto a un regime di vigilanza, ti serve un fornitore di archiviazione dedicato — la categoria della compliance capture, aziende come Smarsh, Global Relay e Proofpoint. È una voce di budget vera, e preferisco dirlo piuttosto che venderti uno scheduler come sostituto.
| Requisito | Scheduler con approvazioni | Archivio dedicato |
|---|---|---|
| Prova che un post è stato revisionato e da chi | Sì | Di solito |
| Copia di cosa hai pubblicato, e quando | Sì | Sì |
| Cattura dei commenti e dei DM ricevuti | No | Sì |
| Cattura di modifiche e cancellazioni nel momento in cui avvengono | No | Sì |
| Archiviazione a prova di manomissione con audit trail | No | Sì |
| Alert di vigilanza e segnalazione per lessico sensibile | No | Sì |
Per le realtà non soggette a un regime formale di vigilanza — la maggior parte delle cliniche, degli studi legali piccoli, dei comuni, dei brand B2B con un ufficio legale nervoso — una pratica di conservazione leggera è proporzionata e davvero difendibile:
- Scegli un periodo di conservazione e scrivi il numero nero su bianco. Prendilo dal tuo regolatore, non dalla media di quello che offrono gli strumenti.
- Esporta ogni mese. Una cartella datata per ogni mese: un CSV di cosa è stato pubblicato, i file media e catture in PDF o screenshot dei post online. Quindici minuti con un caffè.
- Conservalo dove non puoi modificarlo con leggerezza. Una cartella cloud separata con accesso in scrittura limitato e cronologia delle versioni, così nessuno può riscrivere la storia in silenzio — te compreso.
- Tieni un indice. Una riga per post: data, piattaforma, tipo di contenuto, chi ha approvato, URL online e se in seguito è stato modificato o rimosso e perché.
- Registra le cancellazioni invece di farle in silenzio. Se un post viene tolto, la sua traccia no.
Per automatizzare, SocialKit espone API e webhook su ogni piano, incluso Solo. Un webhook sui post pubblicati che scrive dentro un Google Sheet, un bucket S3 o il tuo database tiene aggiornato quel registro senza che nessuno debba ricordarsi dell'export.
Controllo: accessi, offboarding e il problema degli account personali
La modalità di fallimento poco glamour non è un post sbagliato. È un ex collaboratore che ha ancora i diritti di amministratore sulla pagina LinkedIn, o una password condivisa in una nota da qualche parte.
Controllo minimo funzionante: login individuali intestati invece di un account condiviso, autenticazione a due fattori ovunque, un elenco documentato di chi ha i diritti di amministratore su ciascun canale e uno step di offboarding che revoca gli accessi l'ultimo giorno. Rivedilo ogni trimestre — la nostra checklist per l'audit dei social media include un passaggio sugli accessi, e chi-può-fare-cosa è più chiaro quando i ruoli del team social sono scritti invece che dati per scontati.
Poi c'è la questione degli account personali, quella che i settori regolamentati sentono di più. Un consulente che raccomanda un prodotto dal suo account, un medico che commenta il post pubblico di un paziente, un avvocato che parla di una causa in corso — ognuno di questi può essere un evento rilevante ai fini regolamentari, a prescindere dall'handle su cui è successo. Questo va nella tua social media policy scritta, un documento di governance distinto dalla SOP per i social media passo passo che manda avanti la giornata. Le professioni con vincoli pubblicitari — gli studi legali in particolare — hanno bisogno di una sezione esplicita sull'uso personale, non di una riga generica del tipo "usa il buon senso".
Decidi in anticipo anche cosa succede quando qualcosa va storto: chi può mettere in pausa la coda, chi parla, se una correzione è un nuovo post o una modifica. La nostra guida alla gestione delle crisi sui social copre la sequenza; il dettaglio specifico della compliance è che la correzione e i suoi tempi fanno parte del registro, quindi documenta la decisione e non solo la soluzione. È tutto questo insieme che una policy intende quando parla di social media governance.
Parti da qui: due settimane di lavoro
Non ti serve un progetto per questo. Due sessioni concentrate e un appuntamento ricorrente in agenda:
Settimana 1 — stabilisci i fatti.
- Fai al tuo regolatore o al tuo legale tre domande per iscritto: cosa richiede pre-approvazione, quali formule devono contenere i post promozionali e per quanto tempo vanno conservati i documenti.
- Elenca ogni canale che gestisci e chi ha i diritti di amministratore su ciascuno. Rimuovi chiunque non dovrebbe esserci.
- Scegli il tuo periodo di conservazione e dove vivrà l'archivio.
Settimana 2 — costruisci il processo.
- Attiva uno step di approvazione così che niente venga pubblicato senza un revisore identificato, e imposta dei livelli così i post a basso rischio non restano bloccati dietro lo stesso cancello delle promozioni.
- Metti le formule di disclosure obbligatorie in un template di caption per ogni piattaforma, così nessuno deve ricordarsele.
- Aggiungi alla policy una sezione sull'AI: strumenti approvati, usi consentiti, chi revisiona l'output, quando lo etichetti.
- Fai il primo export mensile e apri il foglio di calcolo indice — oppure collega un webhook e lascialo lavorare.
Poi, ogni trimestre: rileggi la policy, ricontrolla la lista degli accessi, verifica a campione dieci post archiviati confrontandoli con quello che è online e conferma che nulla si sia mosso nelle linee guida del tuo regolatore. Mettilo in agenda come blocco ricorrente da 45 minuti — la pratica che sopravvive è quella che ha uno slot, non quella che ha buone intenzioni.
Niente di tutto questo ti rende a prova di ispezione. Significa però che quando qualcuno ti chiede chi ha approvato un post di quattordici mesi fa e cosa diceva, puoi rispondere in cinque minuti — e per una piccola realtà regolamentata, quella è quasi tutta la partita.