AI Act e supply chain: come governare la gestione dei dati

Un’impresa può adottare regole rigorose sull’uso dell’intelligenza artificiale e perdere comunque il controllo delle proprie informazioni, ad esempio, attraverso un fornitore.

Può accadere quando un consulente carica documenti aziendali in un assistente di IA, un partner utilizza un modello IA per analizzare dati commerciali o un fornitore integra nuove funzionalità nel software utilizzato per erogare il servizio, se non lo fanno nel modo corretto.

Contratti, informazioni sui clienti, disegni tecnici, listini e previsioni commerciali possono così essere trattati da una pluralità di soggetti: fornitori tecnologici, integratori, gestori di infrastrutture cloud e ulteriori prestatori di servizi.

La gestione dell’IA, quindi, riguarda anche ciò che accade ai dati dopo che sono stati condivisi con clienti, fornitori e partner.

È su questo terreno che gli obblighi dell’AI Act incontrano la gestione dei processi e dei contratti nella supply chain.

Come?

Il primo step: conoscere il percorso dei dati

Immaginiamo un’impresa manifatturiera che affidi a un fornitore l’analisi dei difetti di produzione. Il fornitore utilizza un sistema di IA nel quale carica immagini, specifiche tecniche e segnalazioni ricevute dai clienti.

Il servizio produce risultati utili.

Ma chi entra in possesso dei dati utilizzati per eseguire l’analisi e dell’output? Come vengono utilizzati? La loro divulgazione può avere un impatto negativo sull’impresa?

Alcune domande richiedono quindi una risposta prima dell’avvio delle attività: quali informazioni vengono trasmesse al fornitore e lui quali informazioni può trasmettere al sistema? Chi può accedervi? Per quanto tempo sono conservate? Possono essere utilizzate per addestrare o migliorare un modello? Quali altri soggetti o provider di AI intervengono?

Una clausola di riservatezza resta essenziale. Occorre però affiancarla ad una disciplina degli usi consentiti e delle operazioni effettivamente svolte sui dati.

Il punto di partenza è ricostruire i flussi informativi: dati in ingresso, risultati generati, registrazioni delle attività, destinatari, luoghi di trattamento e tempi di conservazione.

Questa analisi permettono di individuare le condizioni da negoziare e di verificare se il servizio sia compatibile con le esigenze dell’impresa o se possa creare un danno.

L'AI Act: obblighi diversi lungo la filiera

Il Regolamento (UE) 2024/1689 e la relativa normativa italiana (D.Lgs 132/2025) prevede gli obblighi applicabili all’uso di sistemi di intelligenza artificiale.

Molti obblighi sono già applicabili: le disposizioni sull’alfabetizzazione in materia di IA, i divieti originariamente previsti dal Regolamento, gli obblighi relativi ai modelli di IA per finalità generali e, dal 2 agosto 2026, gli obblighi di trasparenza sui contenuti creati con l’intelligenza artificiale.

Altre regole sui sistemi ad alto rischio sono differite al 2 dicembre 2027 e altre al 2 agosto 2028.

Per le imprese, questo calendario richiede di distinguere gli adempimenti già operativi, che sono più urgenti, dalla preparazione a quelli successivi, comunque opportuni ma meno urgenti.

Inoltre, la normativa distribuisce gli obblighi in funzione del ruolo dell’operatore lungo la filiera e delle caratteristiche del sistema.

L’impresa che utilizza un sistema di IA sotto la propria autorità assume il ruolo di deployer. Chi sviluppa il sistema, o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, è qualificato come provider.

La distinzione ha conseguenze concrete sugli obblighi applicabili.

Una modifica sostanziale di un sistema ad alto rischio o un cambiamento della finalità prevista da un sistema fornito da un provider possono comportare l’assunzione degli obblighi del provider anche in capo al deployer.

La qualificazione del ruolo dell’impresa in base all’AI Act e l’individuazione dei conseguenti obblighi richiedono quindi un esame attento delle attività effettivamente svolte.

In questo quadro, l’uso dei sistemi di AI - anche in qualità di deployer - da parte di fornitori di servizi, clienti e collaboratori assume un impatto di particolare rilievo per il controllo dei dati e delle informazioni aziendali riservate o protette.

Molte aziende che hanno come core business la fornitura di servizi stanno ricevendo richieste limitative dell’uso di strumenti di intelligenza artificiale da parte dei propri clienti in proposito che, però, non sanno come gestire.

Queste richieste possono, in alcuni casi, limitare o ridurre fortemente la produttività.

In tale scenario, la revisione dei contratti e la negoziazione sull’uso di sistemi di intelligenza artificiale entrano a pieno titolo negli elementi strategici e rilevanti della negoziazione dei rapporti e assumono particolare rilievo soprattutto nei rapporti destinati a durare più anni.

Quindi, come si può gestire l’uso dell’AI nella supply chain?

L’AI Act offre un riferimento preciso per la catena del valore riferito ai sistemi ad alto rischio, ma che può essere un riferimento, con i dovuti adeguamenti, per la gestione della supply chain, su base volontaria, per tutti i sistemi.

L’articolo 25, paragrafo 4, prevede, nel proprio ambito di applicazione, un accordo scritto tra il fornitore di un sistema di IA ad alto rischio e determinati terzi che forniscono sistemi, modelli, strumenti, servizi, componenti o processi utilizzati o integrati nel sistema.

L’accordo deve precisare le informazioni, le capacità, l’accesso tecnico e l’assistenza necessari alla conformità.

Ciò non solo per conformità giuridica ma anche per proteggere le informazioni aziendali strategiche.

Anche al di fuori di questo obbligo, la gestione contrattuale della supply chain dovrebbe considerare sei aspetti.

1. Rendere conoscibile l’uso dell’IA

Il contratto dovrebbe comunicare l’impiego dell’IA nell’esecuzione del servizio, individuando gli strumenti utilizzati e le attività interessate da tale uso.

È opportuno aggiornare tali informazioni, anche tramite l’uso di allegati contrattuali aggiornabili facilmente, quando cambiano il modello, il fornitore tecnologico o le modalità di utilizzo.

Per gli impieghi che coinvolgono informazioni particolarmente sensibili per l’impresa, può essere necessario concordare una preventiva autorizzazione con il cliente per l’uso di dati strumenti.

2. Definire le finalità consentite

L’autorizzazione a utilizzare i dati nell’AI per eseguire una prestazione deve avere un perimetro chiaro.

Addestramento, perfezionamento dei modelli, valutazione delle prestazioni e miglioramento del servizio meritano una disciplina espressa, coerente con le funzionalità e le impostazioni tecniche disponibili.

Una formula generica che consente al fornitore un generico «utilizzo per migliorare i servizi prestati» può consentire impieghi più ampi di quelli che l’impresa intende autorizzare.

Occorre quindi verificare il contratto, le condizioni del servizio e le configurazioni effettivamente applicate e appurare cosa il fornitore di servizio può o non può fare.

3. Estendere le protezioni lungo la filiera

Le garanzie concordate devono trovare continuità nei rapporti con gli ulteriori soggetti coinvolti.

Occorre stabilire a quali condizioni il fornitore possa ricorrere a terzi, quali obblighi debba imporre loro e come debbano essere comunicate le modifiche della filiera.

La verifica deve comprendere anche i soggetti che forniscono il modello di IA o l’infrastruttura utilizzata per il servizio.

4. Rendere verificabili gli impegni

Dichiarazioni e garanzie dovrebbero essere accompagnate da evidenze proporzionate al rischio: documentazione, attestazioni, verifiche delle configurazioni e diritti di audit adeguatamente disciplinati.

L’impresa deve poter comprendere se il divieto di riutilizzo dei dati sia effettivamente applicato e quali eccezioni siano previste, ad esempio: assistenza, sicurezza o conservazione delle attività eseguite.

5. Gestire incidenti e modifiche del servizio

Accessi non autorizzati, utilizzi incompatibili con il contratto, nuovi subfornitori o cambiamenti rilevanti delle funzionalità richiedono procedure definite.

Tempi di comunicazione, referenti, cooperazione, conservazione delle evidenze e facoltà di sospensione devono essere concordati prima che si presenti un problema.

Anche la responsabilità contrattuale deve essere coerente con questi obblighi. Limiti di responsabilità ed esclusioni meritano una valutazione specifica rispetto alle conseguenze di un uso improprio delle informazioni.

6. Progettare la cessazione del rapporto

Alla cessazione del servizio, occorre sapere quali dati saranno restituiti, quali cancellati e quali eventualmente conservati, per quale ragione e per quanto tempo.

Se i dati sono stati impiegati nell’addestramento di un modello, la loro rimozione può presentare difficoltà tecniche. Una promessa generica di cancellazione rischia quindi di offrire una tutela diversa da quella attesa.

La disciplina dell’uso iniziale diventa decisiva.

Coordinare AI Act, GDPR e tutela del patrimonio informativo

I flussi della supply chain possono comprendere dati personali, dati soggetti a licenza o di proprietà di terzi, informazioni commerciali riservate e know-how tecnico. Ciascuna categoria richiede un’analisi specifica.

Quando un fornitore tratta dati personali per conto dell’impresa, occorre disciplinare il rapporto ai sensi dell’articolo 28 GDPR. Il ricorso a ulteriori responsabili richiede la preventiva autorizzazione scritta, specifica o generale, del titolare. Anche gli eventuali trasferimenti verso paesi terzi devono inoltre rispettare il capo V del GDPR.

Anche informazioni prive di carattere personale possono rivelare strategie commerciali, processi produttivi, condizioni economiche o soluzioni progettuali che contribuiscono al vantaggio competitivo dell’impresa.

Dunque, questi adempimenti devono essere coordinati con le clausole sulla riservatezza, sui diritti di utilizzo e sulla sicurezza.

Dalle clausole alle attività quotidiane

Le clausole acquistano efficacia quando le persone sanno applicarle.

Chi seleziona un servizio, approva un fornitore o carica un documento deve conoscere gli usi autorizzati e i limiti dello strumento.

In questa prospettiva si colloca l’articolo 4 dell’AI Act, che richiede a fornitori e deployer misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA del personale e delle altre persone che operano per loro conto, considerando conoscenze, esperienza e contesto d’uso.

In sostanza, il contratto che limiti l’uso non basta.

Proprio come accade per il trattamento dei dati personali, occorre che le persone sappiano come utilizzare i dati e le informazioni riservate dell’azienda o dei clienti e che siano informati dei relativi limiti contrattuali d’uso.

Per l’impresa, ciò significa collegare formazione, procedure di acquisto e gestione dei contratti.

Una prescrizione contenuta nell’allegato tecnico deve tradursi in indicazioni comprensibili per chi utilizza il servizio e ne controlla l’esecuzione.

Quindi, governare l’IA nella supply chain significa mantenere la capacità di decidere come le informazioni aziendali possano essere utilizzate e di verificare che quelle decisioni siano rispettate.

Le domande da porsi sono concrete: sappiamo dove finiscono i dati che affidiamo ai nostri fornitori e disponiamo degli strumenti per intervenire lungo il loro percorso?

O, essendo un fornitore, possiamo garantire ai nostri clienti come usiamo i loro dati? Abbiamo adottato tutte le necessarie tutele e siamo in grado di fornire adeguate garanzie sull’uso dei sistemi di intelligenza artificiale?

Le risposte a queste domande non sono banali, ma con un adeguato processo e modello di gestione dell’AI è possibile farlo.

In Legal Bloom assistiamo le imprese nella definizione dei processi e dei modelli organizzativi di gestione dell'AI affinchè siano compliant ma anche adeguati a proteggere i dati aziendali.