Intelligenza artificiale: la documentazione legale che il fornitore deve predisporre per il cliente

L’intelligenza artificiale è entrata stabilmente nei processi aziendali e nello sviluppo software. Sempre più imprese commissionano a un fornitore la realizzazione di applicazioni basate su AI — chatbot, sistemi predittivi, assistenti virtuali, strumenti di analisi automatica dei dati.
Tuttavia, quando il progetto coinvolge algoritmi, modelli linguistici o sistemi che apprendono dai dati, la documentazione legale del fornitore diventa un elemento fondamentale tanto quanto il codice stesso. Serve a dimostrare la conformità normativa, a regolare i rapporti con il cliente e a prevenire responsabilità che potrebbero emergere in caso di errore, bias o trattamento illecito dei dati.

Leggi l'approfondimento per il fornitore che crea un'app alimentata da AI.

Chi è il fornitore di app basate su intelligenza artificiale

Nel contesto giuridico, il “fornitore” è il soggetto che sviluppa, integra o personalizza una soluzione alimentata da AI per conto di un cliente. Può trattarsi di una software house, di una startup tecnologica o di un integratore di sistemi che utilizza API di terze parti (come OpenAI o Anthropic).
Questo ruolo comporta spesso una doppia responsabilità: contrattuale, nei confronti del cliente, e normativa, rispetto ai requisiti del GDPR e dell’AI Act europeo. Il fornitore è infatti il primo garante della tracciabilità, della trasparenza e della sicurezza del sistema che consegna.

Usi ChatGPT nei processi aziendali? Leggi la guida sulle responsabilità legali.

La documentazione che il fornitore deve avere o consegnare

Un progetto di intelligenza artificiale richiede un set documentale articolato, ma coerente. In termini sintetici, la documentazione legale del fornitore dovrebbe coprire quattro ambiti principali: contrattuale, privacy, conformità AI e diritti di proprietà intellettuale.

Documentazione contrattuale

Il primo nucleo riguarda gli accordi con il cliente: il contratto di sviluppo o “Software Development Agreement”, lo Statement of Work (SoW) con la descrizione tecnica del progetto e lo SLA (Service Level Agreement) che definisce prestazioni, tempi di risposta e parametri di qualità del modello.
Questi documenti servono a chiarire cosa il fornitore si impegna a consegnare, come vengono misurate le performance del sistema AI e quali limitazioni di responsabilità o indennizzi sono previsti. In assenza di tali patti, un errore dell’algoritmo o un uso improprio dei dati potrebbe generare contenziosi complessi.

Per approfondire come gestire l’intelligenza artificiale in azienda e ridurre i rischi legali, abbiamo dedicato una guida completa aggiornata al 2026.

Documentazione privacy e protezione dei dati

Poiché la maggior parte delle app AI tratta informazioni personali o sensibili, il fornitore deve predisporre un Data Processing Agreement (DPA) ai sensi dell’art. 28 GDPR, in cui vengono definite istruzioni, misure di sicurezza e limiti di utilizzo dei dati del cliente.
A ciò si aggiungono il registro dei trattamenti, eventuali valutazioni d’impatto (DPIA) e una chiara data retention policy. È buona prassi inoltre fornire al cliente una scheda descrittiva del dataset e specificare se e come i dati vengano usati per l’addestramento o il miglioramento dei modelli.
In quest’ambito la trasparenza è decisiva: una carenza informativa può comportare violazioni sia contrattuali sia regolamentari.

Documentazione di conformità AI e sicurezza

Con l’entrata in vigore dell’AI Act, il fornitore dovrà essere in grado di dimostrare che l’applicazione è conforme ai requisiti di sicurezza, trasparenza e governance dei dati.
Per farlo, è necessario predisporre un fascicolo tecnico (AI System Technical File) che descriva architettura, scopi, limiti e controlli dell’app AI, nonché un piano di monitoraggio post-deployment che spieghi come vengono gestiti gli aggiornamenti o le anomalie.
A completamento, strumenti come la Model Card e la Dataset Sheet documentano in modo standardizzato le caratteristiche del modello, i dati di addestramento e i possibili rischi di bias. Sono documenti tecnici ma dal forte valore legale, perché consentono al cliente di comprendere le implicazioni e i limiti dell’AI adottata.

Documentazione sulla proprietà intellettuale

L’ultimo tassello riguarda i diritti d’autore e le licenze. Il fornitore deve chiarire chi detiene la titolarità del codice, dei modelli, dei pesi e degli eventuali dataset derivati, e se le licenze dei componenti open source o delle API consentono la redistribuzione o il fine-tuning.
Un IP & Licensing Memo può servire a riepilogare tutti questi aspetti, evitando che il cliente si ritrovi con un software non riutilizzabile o con diritti incompleti sull’algoritmo.

La trasparenza contrattuale come elemento di fiducia nel progetto AI

Uno degli aspetti più delicati nei rapporti tra fornitore e cliente, quando si sviluppa un’app alimentata da intelligenza artificiale, è la trasparenza contrattuale.
Molti contratti software tradizionali non sono sufficienti a gestire le specificità dei sistemi di AI, che evolvono nel tempo e producono risultati probabilistici, non deterministici. Per questo, è necessario introdurre clausole specifiche che disciplinino:

• la responsabilità sugli output generati dal modello (in particolare quando l’app interagisce direttamente con utenti finali);
• i limiti di utilizzo e la corretta informazione all’utente sull’intervento dell’AI;
• le modalità di manutenzione e riaddestramento del modello, con eventuale partecipazione del cliente alla revisione dei dataset;
• la condivisione dei log e dei report di performance, che consente al cliente di verificare il comportamento del sistema e di intervenire tempestivamente in caso di anomalie.

Includere queste previsioni nel contratto non serve solo a proteggere le parti da possibili controversie, ma anche a creare un rapporto basato sulla fiducia e sulla tracciabilità. L’intelligenza artificiale, infatti, non è una tecnologia “chiusa”: vive di aggiornamenti, interazioni e dati. Una buona documentazione legale e contrattuale deve riflettere questa dinamicità, garantendo chiarezza e governance lungo tutto il ciclo di vita del progetto.

L’Autorità Garante della Concorrenza e del Mercato (AGCM) ha avviato un’istruttoria nei confronti di una società per il fatto che, nei Termini d’Uso della piattaforma di intelligenza artificiale, non è stata adeguatamente informata l’utenza del rischio di “allucinazioni” — ossia di risposte errate, ingannevoli o inventate generate dal modello.