Contratti con i fornitori di AI: le clausole da pretendere

Compri un gestionale "con AI", un chatbot per il sito, un servizio di screening dei CV. Il fornitore lo vende, tu lo usi. Ma gli obblighi dell'AI Act che ricadono su di te come utilizzatore — il regolamento ti chiama "deployer" — si reggono quasi tutti su qualcosa che deve darti lui: istruzioni d'uso, documentazione, informazioni sul sistema.

Se il contratto non prevede che te le dia, e lui non te le dà, il problema resta tuo. L'AI Act non ti scusa perché il fornitore è sparito.

La buona notizia: il momento giusto per sistemare le cose è adesso. Ogni rinnovo e ogni nuovo acquisto è un'occasione per mettere nero su bianco le clausole giuste. E oggi hai un argomento in più: gli obblighi pieni per i sistemi ad alto rischio arrivano tra il 2027 e il 2028 (ne abbiamo parlato nel pezzo sul rinvio). Negoziare ora la collaborazione del fornitore costa zero. Farlo nel 2027, quando tutti la chiederanno insieme, costa caro.

Una premessa onesta: le clausole che seguono non sono "obbligatorie per legge". L'AI Act non ti impone di scriverle nel contratto. Sono tutela contrattuale tua: servono a scaricare sul fornitore ciò che solo lui può darti, invece di sperare nella sua buona volontà.

Le 7 clausole da pretendere

1. Qualificazione del sistema

Il fornitore dichiara per iscritto se il suo sistema rientra nell'AI Act e in quale fascia di rischio si colloca. E si impegna a comunicarti ogni cambio di qualificazione: nuove funzioni, nuovi usi previsti, riclassificazioni.

Cosa ottieni: la base di tutto il resto. Se non sai come è qualificato il sistema, non sai quali obblighi hai tu. E se il fornitore sbaglia qualificazione per iscritto, hai una carta in mano. Questa dichiarazione è anche il primo dato da mettere nel tuo registro dei sistemi AI.

2. Documentazione e istruzioni d'uso aggiornate

Istruzioni d'uso complete, sempre aggiornate all'ultima versione del sistema, e in italiano dove serve al tuo personale.

Cosa ottieni: gli obblighi del deployer presuppongono che tu usi il sistema secondo le istruzioni del fornitore. Senza istruzioni aggiornate non puoi dimostrare di averlo fatto. E il materiale del fornitore ti serve anche per la formazione del personale prevista dall'articolo 4: la formazione la fai tu, ma con la documentazione giusta la fai bene e in metà tempo.

3. Accesso ai log e ai dati di funzionamento

Il contratto specifica quali log il sistema produce, per quanto tempo vengono conservati e come li scarichi o li consulti.

Cosa ottieni: il monitoraggio del sistema è un obbligo tuo, ma i dati stanno sui server del fornitore. Se il contratto non ti garantisce l'accesso, il giorno che ti servono — un reclamo, un controllo, un output sbagliato — sei alla mercé del suo supporto.

4. Marcatura degli output (per i sistemi generativi)

Se il sistema genera testi, immagini, audio o video, il fornitore dichiara se gli output sono già marcati in formato leggibile dalle macchine e, se non lo sono, entro quando lo saranno.

Cosa ottieni: la marcatura machine-readable è un obbligo del fornitore dei sistemi generativi, con un transitorio fino al 2 dicembre 2026 per i sistemi già sul mercato prima dell'agosto 2026. Una data di adeguamento scritta nel contratto trasforma una promessa vaga in un impegno. Le scadenze del 2 dicembre le trovi qui.

5. Assistenza in caso di incidente

Un canale dedicato, un referente con nome e cognome, tempi di risposta e un impegno esplicito a collaborare nell'analisi di ciò che è successo.

Cosa ottieni: quando il sistema fa un danno — una risposta sbagliata a un cliente, uno screening che scarta la persona giusta — devi capire in fretta cosa è andato storto. Senza il fornitore non puoi: il modello è suo. La clausola ti evita di scoprire, nel momento peggiore, che l'assistenza è un form web senza SLA.

6. Trattamento dei dati

Dove finiscono i tuoi dati e quelli dei tuoi clienti: in quali datacenter, in quali Paesi. Se vengono usati per addestrare i modelli del fornitore, e con quale meccanismo di opt-out. Quali sub-fornitori toccano i dati.

Cosa ottieni: qui l'AI Act incrocia il GDPR, e le domande dei tuoi clienti arriveranno a te, non al fornitore. "I nostri dati addestrano il vostro modello?" è una domanda a cui devi saper rispondere con un articolo del contratto, non con "credo di no".

7. Aggiornamenti normativi: chi paga

Quando la norma cambia, chi si fa carico dell'adeguamento del sistema? Il contratto lo dice: l'adeguamento normativo è incluso nel canone, non un progetto extra a consuntivo.

Cosa ottieni: la norma cambia davvero — il pacchetto Omnibus è appena passato, e le scadenze per l'alto rischio sono state riscritte. Senza questa clausola ogni modifica regolatoria diventa un preventivo del fornitore che non puoi rifiutare.

Le domande da fare PRIMA di firmare

Prima ancora di negoziare le clausole, fai queste domande. Puoi copiarle in una email così come sono:

1. Il vostro sistema rientra nell'AI Act? In quale categoria di rischio?
2. Mi fornite istruzioni d'uso e documentazione tecnica? In italiano?
3. Che log produce il sistema e come vi accedo?
4. Gli output generati sono marcati come richiesto? Da quando?
5. In caso di malfunzionamento grave, chi chiamo e in quanto rispondete?
6. Dove sono i miei dati? Li usate per addestrare? Posso dire di no?
7. Se la norma cambia, l'adeguamento è compreso nel prezzo?

Un fornitore serio risponde in una settimana. Un fornitore che svicola su queste domande oggi, svicolerà anche nel 2027 quando ne avrai davvero bisogno. Meglio saperlo prima di firmare.

Il caso del rivenditore e dell'MSP: se ribrandizzi, cambi ruolo

Un punto che riguarda chi l'AI non la compra soltanto, ma la rivende. Se sei un MSP o una software house e prendi una soluzione "white label" per rivenderla con il tuo marchio, l'articolo 25 dell'AI Act ti riguarda direttamente: chi appone il proprio marchio a un sistema AI ad alto rischio, o lo modifica in modo sostanziale, ne diventa fornitore. Con tutti gli obblighi del fornitore, non più solo quelli del deployer.

Tradotto: quel logo che metti sul chatbot del tuo cliente può spostarti dalla parte pesante del regolamento. Prima di ribrandizzare, chiediti se il gioco vale la candela — e se lo vale, pretendi dal tuo fornitore a monte tutto ciò che ti servirà per reggere il ruolo: documentazione tecnica completa, evidenze di conformità, supporto contrattualizzato. Le stesse clausole viste sopra, ma con una posta in gioco più alta.

Da dove partire

Il percorso è semplice: fai l'inventario dei fornitori AI che hai già, manda le domande della checklist, e al primo rinnovo porta al tavolo le clausole. Non serve un ufficio legale: serve arrivare alla trattativa con le richieste scritte.

Se vuoi partire da materiale pronto, il Kit Fornitori AI (69 €) contiene il questionario vendor con punteggio, le clausole contrattuali AI Act pronte all'uso e la guida per valutare le risposte dei fornitori. Lo mandi, leggi le risposte, sai con chi hai a che fare.

Il contratto è l'unico momento in cui il fornitore ha interesse ad ascoltarti. Dopo la firma, il potere negoziale è suo. Usalo adesso.