DPA Fornitori IA: Clausole Essenziali SaaS

Fonti primarie: Art. 28 GDPR · Artt. 44-46 GDPR · Decisione (UE) 2021/914 — SCC · EDPB — Raccomandazioni 01/2020, versione finale · Art. 26(9) AI Act

Un Data Processing Agreement con un fornitore di intelligenza artificiale non richiede formule magiche, ma deve rappresentare il trattamento reale. Prompt, allegati, output, log e funzioni di memoria possono seguire finalità e tempi di conservazione diversi; il provider può inoltre ricorrere a sub-responsabili o infrastrutture in più paesi. Le clausole devono quindi essere costruite sulla configurazione acquistata e sulle istruzioni del titolare, non sulla sola etichetta «AI». Per il contesto normativo completo, si veda la guida alle architetture di compliance GDPR e AI Act; per capire i rischi dell'uso diretto senza DPA, si veda l'articolo su ChatGPT e i dati dei clienti.

Perché il DPA standard non basta per i fornitori di AI

L'Art. 28 GDPR stabilisce i requisiti minimi di un accordo di responsabile del trattamento: oggetto, durata, natura e finalità del trattamento, tipo di dati personali, categorie di interessati, obblighi e diritti del titolare. Questi elementi sono necessari ma non sufficienti per i fornitori di LLM.

Le caratteristiche tecniche e contrattuali dei servizi AI possono introdurre aspetti che un modello generico non descrive:

• Prompt, allegati e output possono essere riutilizzati per miglioramento o addestramento se configurazione e contratto lo consentono
• I server possono trovarsi in più giurisdizioni contemporaneamente, con sub-responsabili che cambiano frequentemente
• I log di sistema possono essere trattenuti per periodi non dichiarati
• Le funzioni di "memory" o "personalizzazione" possono creare profili persistenti degli utenti

Questi elementi devono essere affrontati esplicitamente nel DPA, non lasciati alla discrezione del fornitore.

Le 7 clausole essenziali per un DPA AI-ready

Clausola 1: Istruzioni e limiti al riuso per addestramento

Quando il provider opera come responsabile, deve trattare i dati soltanto su istruzione documentata del titolare, salvo un obbligo previsto dal diritto applicabile. Il DPA dovrebbe quindi escludere l'uso di prompt, allegati, output e metadati per addestramento o miglioramento autonomo del provider, a meno che il titolare lo abbia espressamente istruito e siano stati verificati base giuridica, trasparenza, compatibilità delle finalità e diritti degli interessati.

La clausola deve distinguere trattamento per erogare e proteggere il servizio, assistenza tecnica, moderazione, analytics e addestramento. Occorre inoltre verificare se, per alcune finalità, il fornitore dichiari di agire come titolare autonomo: la qualificazione contrattuale va confrontata con le attività effettive.

Clausola 2: Limiti di retention, restituzione e cancellazione

Il DPA deve definire periodi o criteri di conservazione per prompt, risposte, allegati, log e metadati, in coerenza con finalità e principio di limitazione della conservazione. Alla cessazione del servizio, l'art. 28 richiede cancellazione o restituzione dei dati, a scelta del titolare, salvo obblighi legali di conservazione.

Per i sistemi AI ad alto rischio, l'art. 26, par. 6, impone al deployer di conservare per almeno sei mesi i log automaticamente generati nella misura in cui siano sotto il suo controllo, salvo diversa previsione del diritto applicabile. Questo obbligo non giustifica una conservazione indiscriminata da parte del provider. Tempi, esportazione dei log e prova della cancellazione possono essere precisati contrattualmente in misura proporzionata al rischio; il GDPR non usa una formula generale di «cancellazione certificata».

Clausola 3: Elenco aggiornato dei sub-responsabili

Secondo l'Art. 28, par. 2 del GDPR, il responsabile del trattamento può ricorrere a sub-responsabili soltanto con l'autorizzazione scritta del titolare. Il DPA con un fornitore AI deve contenere l'elenco aggiornato di tutti i sub-responsabili (provider cloud, fornitori di infrastruttura, partner di moderazione) e deve prevedere un meccanismo di notifica preventiva in caso di aggiunta o sostituzione, con diritto di opposizione del titolare.

Clausola 4: Base per i trasferimenti verso paesi terzi

Prima occorre mappare destinazioni, accessi remoti e trasferimenti successivi. Se esiste una decisione di adeguatezza applicabile ai soggetti e ai trattamenti considerati, l'art. 45 GDPR consente il trasferimento su quella base. In assenza di adeguatezza, occorre uno strumento dell'art. 46, come SCC, norme vincolanti d'impresa o altro meccanismo pertinente; le deroghe dell'art. 49 restano eccezionali e non sono una base ordinaria per flussi strutturali.

Quando si usano le SCC della Decisione 2021/914, moduli, allegati, categorie di dati, finalità, paesi, sub-responsabili e misure tecniche devono essere compilati in modo concreto. La sola firma di allegati generici non dimostra che il trasferimento sia stato valutato.

Clausola 5: Transfer Impact Assessment

Quando il trasferimento si fonda su uno strumento dell'art. 46, occorre valutare se il diritto e le prassi del paese terzo possano incidere sull'efficacia delle garanzie e se siano necessarie misure supplementari, seguendo le Raccomandazioni EDPB 01/2020. La valutazione è spesso chiamata Transfer Impact Assessment, ma contenuto e profondità dipendono dal trasferimento concreto.

Il DPA deve prevedere che il fornitore fornisca al titolare tutte le informazioni necessarie per condurre la TIA e che si impegni a comunicare tempestivamente qualsiasi modifica che possa influenzarne le conclusioni.

Clausola 6: Obblighi di sicurezza specifici per l'AI

L'art. 32 GDPR richiede misure tecniche e organizzative adeguate al rischio. Per un servizio AI possono essere pertinenti segregazione dei tenant, cifratura, controllo degli accessi, prevenzione dell'esfiltrazione tramite prompt injection, gestione delle vulnerabilità, logging, continuità operativa e test periodici. Data poisoning, model inversion o membership inference vanno inseriti quando l'architettura e il trattamento li rendono rischi realistici, non come elenco invariabile.

Il DPA dovrebbe rendere verificabili le misure, disciplinare la gestione degli incidenti e assicurare al titolare le informazioni necessarie a dimostrare conformità e svolgere audit, nel rispetto dell'art. 28, par. 3, lett. h).

Clausola 7: Informazioni AI Act pertinenti al ruolo e al sistema

L'AI Act e il DPA hanno oggetti distinti. Se si tratta di un sistema ad alto rischio e la DPIA è applicabile, l'art. 26, par. 9, impone al deployer di usare le informazioni fornite dal provider ai sensi dell'art. 13 per adempiere all'art. 35 GDPR. Non attribuisce al deployer un diritto generale a ricevere l'intera documentazione tecnica dell'art. 11 né assimila automaticamente un provider di modelli GPAI a un responsabile del trattamento.

Il contratto può coordinare istruzioni d'uso, prestazioni e limiti, caratteristiche dei dati di input, supervisione, log, incidenti e modifiche del sistema. Prima, però, vanno qualificati separatamente i ruoli GDPR e AI Act: lo stesso soggetto può essere responsabile per alcuni trattamenti e titolare per altri.

Checklist pre-firma: 10 domande da fare al fornitore AI

Prima di firmare un DPA con qualsiasi fornitore di AI o LLM, verifica i seguenti punti:

DPA, DPIA e AI Act: come coordinare i documenti

L'art. 26, par. 9, AI Act stabilisce che, quando la DPIA è applicabile, il deployer di un sistema ad alto rischio usi le informazioni ricevute ai sensi dell'art. 13 per adempiere all'obbligo GDPR. Il DPA può essere uno dei canali contrattuali attraverso cui ottenere informazioni sul trattamento, ma non coincide con la DPIA e non è l'unico documento rilevante. Istruzioni d'uso AI Act, allegati di sicurezza, registro dei trattamenti, valutazione dei trasferimenti e DPIA devono essere coerenti senza essere confusi.

Per approfondire gli obblighi specifici del Deployer, si veda l'articolo su Art. 26 AI Act e gli obblighi del Deployer. Per il contesto della due diligence verso gli investitori, si veda la guida all'investor readiness AI Act.

Articolo aggiornato al 1° agosto 2026. Le Clausole Contrattuali Standard citate fanno riferimento alla Decisione di esecuzione (UE) 2021/914. L'adeguatezza, lo strumento di trasferimento e gli obblighi AI Act devono essere verificati sul servizio e sui flussi effettivi. Per supporto nella redazione o revisione di DPA con fornitori AI, contatta lo studio.