Contratto con un fornitore di AI: cosa controllare

Comprare uno strumento di AI spesso significa accettare con un clic condizioni lunghe decine di pagine. Per un abbonamento da pochi utenti nessuno negozia, ma questo non vuol dire firmare al buio: le informazioni che contano si trovano quasi sempre nelle pagine pubbliche del fornitore e nell'accordo sul trattamento dei dati.

Questa pagina è una lista di controllo per il titolare di una PMI che deve scegliere un assistente, un chatbot o una piattaforma con funzioni di AI. Non sostituisce la revisione di un legale o del consulente privacy, che resta consigliata per i contratti importanti.

Cosa dice la norma

Quando un fornitore tratta dati personali per conto della tua impresa, il GDPR chiede che il rapporto sia regolato da un accordo scritto, spesso chiamato DPA. La legge 132/2025 richiama questi soggetti, i responsabili del trattamento previsti dall'articolo 28 del GDPR, tra le informazioni da indicare al Garante in alcuni trattamenti sanitari ¹.

Per l'AI le condizioni che contano di più cambiano molto tra piani per privati e piani aziendali. Google dichiara che in Workspace i contenuti non vengono usati per addestrare i modelli senza permesso, che non ci sono revisori umani e che la conservazione la decide l'amministratore ². Microsoft dichiara che Microsoft 365 Copilot non usa i dati dei clienti per addestrare i modelli di base ³. OpenAI dichiara che i dati inviati tramite API non vengono usati per l'addestramento salvo scelta del cliente, e che possono restare nei log di controllo degli abusi fino a 30 giorni ⁴.

Queste dichiarazioni sono un punto di partenza, ma il contratto è ciò che conta: verifica che valgano per il piano e per il prodotto che stai comprando.

A chi si applica

• Imprese che sottoscrivono assistenti di AI, chatbot, trascrittori o piattaforme con funzioni di AI.
• Chi fa sviluppare a un'agenzia un'automazione che usa modelli di terzi.
• Studi professionali e strutture che caricano documenti riservati o dati delicati.

Da quando

Il controllo va fatto prima di caricare dati reali, cioè prima del primo uso operativo e non dopo la prova gratuita. Va ripetuto al rinnovo e quando il fornitore annuncia cambi di condizioni, cosa che nel settore succede spesso. Conserva la versione delle condizioni accettate, con la data.

Cosa fare in pratica

1. Verifica se i tuoi contenuti vengono usati per addestrare i modelli e se puoi escluderlo.
2. Chiedi per quanto tempo restano conservate richieste, risposte e file caricati, e se puoi ridurre questo periodo.
3. Chiedi dove vengono elaborati e conservati i dati e quali altri fornitori, i sub-responsabili, vi accedono.
4. Accetta o firma l'accordo sul trattamento dei dati e salvane una copia.
5. Controlla chi può accedere agli account, come si tolgono gli utenti e come si esportano i dati se cambi fornitore.
6. Per gli usi rilevanti chiedi come il fornitore si prepara agli obblighi dell'AI Act e quale documentazione darà.

Gli errori da evitare

• Scegliere lo strumento in base alla prova gratuita con un account personale.
• Fidarsi del commerciale senza controllare le condizioni scritte.
• Pensare che piano aziendale e piano per privati abbiano le stesse regole.
• Non sapere come recuperare i propri dati alla fine del contratto.

Le altre norme spiegate senza burocratese sono in Regole.