Comprare un’intelligenza artificiale significa comprare anche un rischio. Chi se lo prende? Lo decide il contratto.

Sempre più aziende usano strumenti di AI forniti da altri: chatbot, software per selezionare i CV, sistemi di analisi dei dati. Pochi però si chiedono cosa succede se quello strumento sbaglia.

L’AI Act europeo (Reg. UE 2024/1689) distingue tra chi sviluppa il sistema (il “provider”) e chi lo usa (il “deployer”). Una PMI è quasi sempre nella seconda posizione. Anche chi usa l’AI ha però obblighi precisi (art. 26): controllo umano, monitoraggio e conservazione dei registri di funzionamento per almeno sei mesi. Se poi l’azienda mette il proprio marchio sul sistema o lo modifica in modo rilevante, può diventare a sua volta responsabile come chi l’ha sviluppato (art. 25).

Ecco i punti chiave in parole semplici:

• Il contratto privacy non basta. L’accordo sul trattamento dei dati (art. 28 GDPR) protegge i dati personali. Non copre però gli errori dell’AI, le “allucinazioni”, le discriminazioni o gli aggiornamenti del modello fatti senza avvisare.

• I diritti vanno scritti nel contratto. L’AI Act riconosce a chi usa l’AI il diritto di ricevere documentazione e assistenza dal fornitore (artt. 13, 25 par. 4, 53). Se il contratto non lo prevede, in pratica quel diritto resta solo sulla carta.

• Servono regole su misura per l’AI. Il fornitore deve avvisare per tempo quando cambia il modello. Non deve poter usare i dati del cliente per addestrare la sua AI senza consenso scritto. Deve garantire l’accesso ai registri di funzionamento.

• Incidenti e controlli. Il contratto deve prevedere tempi certi per segnalare errori e problemi, coerenti con la NIS2 (D.Lgs. 138/2024, art. 24). Deve anche dare all’azienda il diritto di verificare il fornitore e i suoi subfornitori, come indicato anche dalla ISO/IEC 42001.

• Un caso concreto. Nella causa Mobley v. Workday (USA, 2024), un tribunale federale ha ammesso un’azione per discriminazione contro il fornitore di un software di selezione del personale. Il caso mostra quanto sia rischioso per un’azienda usare algoritmi che non può controllare.

• Un dato che fa riflettere. Secondo un’analisi attribuita a Clifford Chance, l’88% dei fornitori di AI limita la propria responsabilità a 1–3 mesi di canone. Solo il 17% garantisce la conformità normativa.

Il messaggio finale: il fatto che il fornitore sia conforme non rende conforme la vostra azienda. Se le garanzie non sono scritte nel contratto e documentate, al primo problema la responsabilità ricade su chi ha comprato.

Il momento migliore per negoziare queste clausole è prima della firma. Il secondo migliore è adesso.

Il post è una sintesi dell'articolo pubblicato da ACM CERT Srl su LinkedIn Pulse. L'articolo completo è disponibile al link: https://www.linkedin.com/pulse/il-contratto-ai-come-controllo-interno-le-clausole-che-fi9hf/