C'è una cosa che nessuna guida alla conformità dice abbastanza forte: se compri i sistemi invece di costruirli, la tua conformità dipende dal tuo fornitore. Puoi avere le policy più belle del mondo, ma se il software che usi non produce log e non ti dà istruzioni per l'uso, nel 2027 hai un problema che non puoi risolvere da solo.
Il momento per risolverlo è la firma del contratto. Cioè adesso, che hai potere negoziale, non nel 2027 quando lo strumento è incastrato in tutti i processi.
Le quattro domande da fare per iscritto
Uno: quali funzioni del prodotto sono basate su IA? Sembra ovvio, non lo è. In molti gestionali l'IA è arrivata con un aggiornamento e il cliente non ne sa nulla.
Due: come classificate il sistema rispetto all'AI Act? Vietato non lo dirà mai nessuno; la risposta utile è se lo considerano ad alto rischio ai sensi dell'Allegato III e con quale motivazione. Il Digital Omnibus ha ripristinato la registrazione in banca dati UE anche per i fornitori che si ritengono fuori: la motivazione dovrebbero averla già scritta.
Tre: dove vengono elaborati i dati e sono usati per addestramento? È la domanda che riguarda il GDPR, cioè quella su cui in Italia si prendono le multe vere — il Garante ha sanzionato OpenAI per 15 milioni nel dicembre 2024 e Synlab per 2,5 milioni nel 2024.
Quattro: il sistema produce log accessibili? Senza log non puoi dimostrare la sorveglianza umana né ricostruire un caso contestato.
Le clausole da mettere nel contratto
Impegno di conformità con scadenza. Il fornitore si impegna a rendere il sistema conforme ai requisiti applicabili entro le date del regolamento — 2 dicembre 2027 per l'Allegato III, 2 agosto 2028 per l'Allegato I — e a fornire evidenza documentale.
Consegna delle istruzioni per l'uso. Non un manuale commerciale: il documento previsto dal regolamento, con finalità prevista, limiti, condizioni d'impiego e indicazioni sulla sorveglianza umana. È l'atto che ti dice come usare il sistema restando nel perimetro corretto.
Trattamento dei dati. Localizzazione, assenza di uso per addestramento salvo consenso espresso, sub-responsabili, tempi di conservazione, cancellazione a fine rapporto. Sono clausole da accordo sul trattamento, non da brochure.
Marcatura dei contenuti generati. Se il sistema produce contenuti sintetici, il fornitore garantisce la marcatura leggibile da macchina prevista dal regolamento, con il termine del 2 dicembre 2026 per i sistemi immessi prima del 2 agosto 2026.
Notifica delle modifiche sostanziali. Se il fornitore cambia in modo rilevante il comportamento del sistema, devi saperlo: potrebbe cambiare la tua valutazione, e in certi casi il tuo ruolo.
Assistenza in caso di controllo. Il fornitore si impegna a fornire, entro un termine, la documentazione necessaria a rispondere a richieste delle autorità. Senza questa clausola rischi la sanzione per informazioni inesatte, fino a 7,5 milioni o all'1% del fatturato, per colpa di un silenzio altrui.
Manleva. Chi risponde se il sistema si rivela non conforme. È la clausola su cui il fornitore resisterà di più, ed è il motivo per cui va discussa prima della firma.
Il trabocchetto del "diventi fornitore"
Attenzione a una cosa che i contratti raramente chiariscono: se personalizzi il sistema in modo sostanziale, se lo rivendi con il tuo marchio o se ne cambi la finalità portandolo in un ambito ad alto rischio, secondo il regolamento il fornitore diventi tu.
Vale la pena scrivere nel contratto cosa si intende per personalizzazione ammessa e quali interventi il fornitore considera modifica sostanziale. È una riga che evita un equivoco molto costoso.
Cosa fare con i contratti già firmati
Non serve riaprire tutto. Manda una richiesta scritta con le quattro domande e conserva la risposta. Anche senza modifiche contrattuali, quella corrispondenza documenta che hai fatto la tua parte di diligenza — ed è esattamente il tipo di elemento che conta quando si discute di responsabilità.
Poi metti in calendario la rinegoziazione al primo rinnovo utile, con le clausole pronte.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
La conformità non si compra: si negozia. E il momento in cui hai più forza è sempre quello prima della firma.
Domande frequenti
Il fornitore è obbligato a darmi le istruzioni per l'uso?
Per i sistemi ad alto rischio le istruzioni per l'uso sono un obbligo del fornitore. Per gli altri sistemi conviene prevederle contrattualmente, perché sono lo strumento con cui delimiti l'uso corretto.
Posso pretendere che i miei dati non siano usati per addestrare?
È una condizione contrattuale che va negoziata e messa per iscritto. Sulle versioni consumer di molti servizi il trattamento è diverso da quello delle versioni business: verifica sempre il piano che stai acquistando.
Cosa faccio se il fornitore non risponde?
Conserva la richiesta e il silenzio. È un elemento di valutazione sul fornitore e una prova della tua diligenza. Se il sistema è critico per la tua attività, valuta alternative prima che diventi un problema di conformità.