L’utilizzo dell’intelligenza artificiale sta modificando anche le modalità di esecuzione dei contratti tecnologici. L’AI può essere utilizzata dal fornitore come strumento di supporto nell’esecuzione della prestazione, costituire una funzionalità del prodotto o del servizio offerto al cliente oppure rappresentare essa stessa l’oggetto della prestazione contrattuale.
Si tratta di situazioni diverse, accomunate però dalla stessa domanda. In che modo l’utilizzo dell’intelligenza artificiale deve riflettersi sul contratto?
Indice degli argomenti
Perché serve una clausola AI nei contratti tecnologici
Riservatezza, proprietà intellettuale, protezione dei dati, sicurezza, standard della prestazione e responsabilità sono temi certamente non nuovi nella contrattualistica tecnologica. L’impiego dell’AI, tuttavia, può modificare le modalità attraverso le quali questi rischi si manifestano e, soprattutto, il modo in cui devono essere governati e allocati tra le parti.
Un contratto può, ad esempio, disciplinare dettagliatamente la titolarità dei deliverable e gli obblighi di riservatezza del fornitore, senza chiarire se quest’ultimo possa utilizzare strumenti di AI generativa nell’esecuzione della prestazione. Può inserire nei prompt informazioni, documenti o codice ricevuti dal cliente? Chi verifica gli output prima che vengano incorporati nel risultato finale? E cosa accade se un contenuto generato mediante AI è inesatto o interferisce con diritti di terzi?
È in questo spazio che trova posto la cosiddetta “clausola AI”. Non, però, come una nuova formula standard da aggiungere indistintamente a qualsiasi contratto tech. Prima di stabilire cosa debba prevedere una clausola di questo tipo occorre comprendere quale ruolo svolga l’intelligenza artificiale nel rapporto tra le parti, quali rischi introduca o amplifichi e quali di essi siano già governati dalle altre disposizioni contrattuali.
La questione, quindi, non è semplicemente se inserire una clausola AI, ma quale disciplina contrattuale dell’AI sia effettivamente necessaria nel caso concreto.
Il ruolo dell’AI nella disciplina dei contratti tecnologici
Il primo passaggio consiste, dunque, nel comprendere quale funzione assuma l’intelligenza artificiale all’interno del rapporto contrattuale. Parlare genericamente di “utilizzo dell’AI”, infatti, rischia di mettere sullo stesso piano situazioni che presentano caratteristiche e profili di rischio molto diversi.
L’AI come strumento accessorio del fornitore
Una prima ipotesi è quella in cui l’AI costituisce uno strumento accessorio utilizzato dal fornitore per eseguire la propria prestazione.
È il caso della software house che utilizza un coding assistant nello sviluppo del software, dell’agenzia che ricorre a strumenti generativi per predisporre contenuti o materiali creativi (copy o grafica), oppure del professionista che li impiega per attività di ricerca, analisi o predisposizione di documenti.
In questi casi il cliente non sta acquistando un sistema di intelligenza artificiale e potrebbe persino non avere alcuna interazione diretta con esso. L’AI rimane, almeno apparentemente, “dietro le quinte” della prestazione. Ciò non significa, tuttavia, che il suo utilizzo sia irrilevante sul piano contrattuale.
La scelta dello strumento può infatti incidere sulle modalità con cui vengono trattate le informazioni del cliente, sulla riservatezza, sulla provenienza e affidabilità dei contenuti prodotti, sulla proprietà intellettuale e, più in generale, sul rispetto degli standard qualitativi pattuiti. In questo scenario, quindi, la questione principale è stabilire entro quali limiti il fornitore possa servirsi dell’AI senza modificare il livello di tutela e le garanzie che il cliente si aspetta dalla prestazione contrattuale.
L’AI integrata nel prodotto o nel servizio
Diversa è l’ipotesi in cui l’intelligenza artificiale costituisca una funzionalità del prodotto o del servizio fornito. Si pensi a una piattaforma SaaS che integri un chatbot, a un servizio che utilizzi l’AI per formulare raccomandazioni o classificare informazioni, oppure a un software che incorpori funzionalità generative accessibili direttamente agli utenti.
In questo caso l’AI non è più soltanto uno degli strumenti scelti dal fornitore per organizzare il proprio lavoro, ma entra nel servizio che il cliente acquista e utilizza. Diventano allora rilevanti anche aspetti ulteriori: quali funzionalità AI vengono effettivamente fornite, attraverso quali modelli o provider, quali dati utilizzano, quali limitazioni presentano, in quale misura possono essere modificate nel corso del rapporto e quali obblighi competono alle parti rispetto al loro utilizzo.
Il sistema di AI come oggetto principale del contratto
Vi è poi una terza ipotesi, nella quale è lo stesso sistema di AI a costituire l’oggetto principale del contratto, ad esempio quando un soggetto commissiona lo sviluppo o la personalizzazione di un sistema destinato a essere successivamente integrato nella propria organizzazione, nei propri prodotti o nei servizi offerti agli utenti.
Qui la disciplina contrattuale diventa più articolata. Non si tratta soltanto di regolamentare l’utilizzo di uno strumento, ma di definire caratteristiche e finalità del sistema, dati e materiali utilizzati, livelli di performance, documentazione, attività di testing, modifiche e aggiornamenti, obblighi di assistenza e cooperazione e, non da ultimo, i rispettivi ruoli nella catena di fornitura dell’AI.
La distinzione non è meramente descrittiva. Da essa dipende il contenuto stesso della disciplina contrattuale e, in alcuni casi, anche la qualificazione delle parti e degli obblighi che possono derivare dall’AI Act.
Prima viene quindi la mappatura dell’utilizzo della tecnologia, per comprendere quale sistema venga impiegato, da chi, per quale finalità e con quale incidenza sulla prestazione. Solo dopo è possibile stabilire quali rischi debbano essere regolati dal contratto.
Clausola AI, riservatezza e proprietà intellettuale
Una volta individuato il ruolo svolto dall’intelligenza artificiale nel rapporto, occorre chiedersi se e in quale misura le clausole normalmente presenti nei contratti tecnologici siano già sufficienti a governarne l’utilizzo.
Il punto è rilevante perché molti dei rischi associati all’AI non sono del tutto nuovi. I contratti che regolano la fornitura o lo sviluppo di prodotti e servizi tecnologici contengono normalmente disposizioni sulla riservatezza, sulla protezione dei dati personali, sulla proprietà intellettuale, sulla sicurezza, sulla qualità del servizio e sulla responsabilità. L’intelligenza artificiale può tuttavia richiedere di rileggerne il contenuto alla luce delle diverse modalità con cui viene eseguita la prestazione.
Informazioni riservate, prompt e dati personali
Un esempio immediato riguarda le informazioni riservate. Il fornitore può essere già obbligato a non divulgare a terzi documenti, dati, codice sorgente, know-how o altre informazioni ricevute dal cliente. Se, però, utilizza un sistema di AI generativa fornito da un soggetto terzo, occorre capire se possa inserire quelle stesse informazioni all’interno di un prompt e a quali condizioni.
Non tutti gli strumenti AI, né tutte le relative configurazioni, trattano infatti gli input nello stesso modo. Diventa quindi necessario verificare, anche alla luce delle condizioni applicabili al servizio utilizzato, se i dati siano conservati, per quanto tempo, chi possa accedervi e se possano essere impiegati per migliorare il servizio, addestrare o affinare i modelli. Una clausola AI può tradurre queste verifiche in regole contrattuali, individuando le categorie di informazioni che non possono essere utilizzate come input oppure subordinandone l’utilizzo al ricorso a strumenti che offrano determinate garanzie.
Il tema non coincide necessariamente con quello della protezione dei dati personali. Anche in assenza di dati personali, infatti, un prompt può contenere informazioni riservate o commercialmente sensibili. Quando, invece, sono coinvolti dati personali, alla disciplina contrattuale dell’utilizzo dell’AI si aggiungono gli obblighi derivanti dalla normativa in materia di protezione dei dati.
Input, output e diritti sui deliverable
Considerazioni analoghe valgono per la proprietà intellettuale. Rispetto agli input, occorre verificare se il fornitore sia autorizzato a utilizzare i materiali ricevuti dal cliente attraverso sistemi AI, poiché la loro disponibilità ai fini dell’esecuzione della prestazione non ne consente necessariamente qualsiasi ulteriore utilizzo.
Rispetto agli output, invece, occorre prestare attenzione alle garanzie relative ai deliverable. Se questi sono generati, anche solo in parte, mediante AI, la previsione secondo cui i relativi diritti spettano al cliente non risolve da sola il problema della titolarità dei risultati né quello dell’eventuale interferenza con diritti di terzi.
La clausola AI non dovrebbe quindi duplicare le disposizioni già dedicate a riservatezza, protezione dei dati, proprietà intellettuale e responsabilità, ma coordinarvisi nei punti in cui l’utilizzo dell’AI introduce esigenze ulteriori. Allo stesso modo, il ricorso all’intelligenza artificiale non dovrebbe di per sé ridurre le garanzie sulla qualità e sulla conformità della prestazione assunte dal fornitore.
Resta, infine, un aspetto particolarmente delicato, quello dell’affidabilità degli output e della verifica che deve precederne l’utilizzo o la consegna al cliente. La possibilità che un sistema generi risultati inesatti, incompleti o non adeguati alla finalità perseguita rende opportuno chiarire se e in quale misura il fornitore sia tenuto a verificarli prima di incorporarli nella prestazione. Il contratto può così individuare i casi in cui sia richiesta una verifica prima dell’utilizzo o della consegna, precisandone anche le modalità e il soggetto al quale tale attività compete.
AI Act e contratti tecnologici: ruoli, obblighi e trasparenza
Quando l’intelligenza artificiale entra nel prodotto o nel servizio offerto al cliente, la disciplina contrattuale deve confrontarsi anche con gli obblighi previsti dall’AI Act.
Ruoli nella catena dell’AI e obblighi contrattuali
Il Regolamento (UE) 2024/1689 attribuisce infatti obblighi differenti ai soggetti che intervengono nella catena dell’AI in funzione del ruolo concretamente assunto. La qualificazione come provider, deployer, importatore o distributore non dipende dal nome attribuito alla parte nel contratto, ma dalle attività effettivamente svolte rispetto al sistema. La stessa impresa può, inoltre, assumere ruoli diversi a seconda del sistema e delle modalità con cui lo utilizza o lo mette a disposizione.
Il contratto non può modificare tale qualificazione né trasferire a un’altra parte, con effetti verso le autorità o i terzi, un obbligo che il Regolamento pone direttamente a carico di uno specifico operatore. Può, invece, disciplinare nei rapporti interni gli obblighi di informazione, documentazione, cooperazione e assistenza necessari per consentire a ciascuna parte di adempiere agli obblighi che le competono, nonché allocare le conseguenze dell’eventuale inadempimento.
È lo stesso AI Act, in alcuni casi, a riconoscere espressamente questa funzione del contratto. L’art. 25 prevede, con riferimento ai sistemi di AI ad alto rischio, che il provider e il soggetto terzo che fornisce un sistema o un modello di AI, strumenti, servizi, componenti o processi utilizzati o integrati nel sistema specifichino mediante accordo scritto le informazioni, le capacità, gli accessi tecnici e l’assistenza necessari affinché il provider possa adempiere agli obblighi previsti dal Regolamento.
Gli obblighi di trasparenza dell’AI Act
Analoga attenzione è necessaria rispetto agli obblighi di trasparenza. L’art. 50 prevede obblighi diversi in specifiche fattispecie, tra cui l’interazione diretta con persone fisiche e la generazione o manipolazione di determinati contenuti. Anche in questi casi occorre quindi individuare preliminarmente il soggetto sul quale grava l’obbligo e solo successivamente stabilire come il contratto possa supportarne l’adempimento.
Una previsione che imponga al fornitore di comunicare al cliente ogni utilizzo dell’AI può certamente essere concordata, ma non deve essere confusa con gli obblighi di trasparenza previsti dall’AI Act, rispetto ai quali rappresenta una scelta contrattuale ulteriore.
La clausola AI si colloca così tra due piani distinti. Gli obblighi normativi dipendono dal sistema, dal suo utilizzo e dal ruolo concretamente assunto dalle parti, mentre il contratto può organizzare le attività necessarie al loro adempimento e distribuire, nei rapporti interni, compiti e responsabilità. Tenere distinti questi due livelli consente di evitare clausole formalmente rigorose ma poco utili sul piano della compliance.
Divieti, autorizzazioni e limiti della clausola AI
Individuati gli utilizzi dell’AI e gli obblighi normativi applicabili, occorre stabilire se vietarne l’impiego, richiedere l’autorizzazione del cliente o consentirlo entro limiti prestabiliti.
Un divieto può essere giustificato dalla natura della prestazione o dalla particolare sensibilità delle informazioni trattate, ma una proibizione generalizzata rischia di essere sproporzionata e difficile da applicare, anche perché funzionalità AI sono sempre più integrate negli strumenti di lavoro. Allo stesso modo, subordinare ogni utilizzo all’autorizzazione del cliente può rendere il rapporto poco efficiente e la clausola rapidamente obsoleta.
In molti casi può essere preferibile consentire l’utilizzo dell’AI entro un perimetro definito, individuando gli strumenti o i requisiti che questi devono rispettare, gli utilizzi ammessi e quelli per i quali è necessaria una specifica autorizzazione. La disciplina può essere graduata in funzione del rischio, distinguendo gli impieghi meramente strumentali da quelli che coinvolgono informazioni riservate, incidono sui deliverable o supportano attività rilevanti.
Il ricorso a provider AI terzi non dovrebbe, inoltre, esonerare il fornitore dagli obblighi assunti nei confronti del cliente. Se è il fornitore a scegliere gli strumenti con cui eseguire la prestazione, restano ferme le garanzie contrattuali applicabili. Una diversa allocazione del rischio può invece essere giustificata quando sia il cliente a imporre uno specifico sistema o a determinarne la configurazione e le modalità di utilizzo.
Più che attribuire genericamente a una parte “ogni rischio derivante dall’AI”, il contratto dovrebbe tenere conto del controllo esercitato da ciascun soggetto sul sistema e sul suo utilizzo. La clausola AI assume così una funzione operativa, definendo il perimetro entro il quale la tecnologia può essere impiegata e distribuendo obblighi e responsabilità in funzione del controllo esercitato dalle parti.
Cosa deve disciplinare la clausola AI nel contratto
Il punto di partenza è la definizione del perimetro della clausola, individuando gli utilizzi dell’AI rilevanti ai fini dell’esecuzione della prestazione e le relative condizioni. La disciplina dovrà coordinarsi con le previsioni sugli input e sugli output, chiarendo quali informazioni possano essere utilizzate, quali controlli debbano precedere l’impiego dei risultati generati e quali garanzie continuino ad applicarsi ai deliverable.
Informazioni, cooperazione e conformità all’AI Act
Quando l’AI costituisce una componente del servizio, assumono maggiore rilievo anche gli obblighi informativi e di cooperazione. Il contratto potrà disciplinare le informazioni sul sistema e sui provider coinvolti, le modifiche rilevanti intervenute durante il rapporto e l’assistenza necessaria affinché ciascuna parte possa adempiere agli obblighi normativi che le competono.
Anche la conformità all’AI Act dovrebbe essere riferita al ruolo assunto da ciascuna parte, evitando garanzie generiche che non tengano conto degli obblighi effettivamente applicabili e del grado di controllo esercitato sul sistema.
Responsabilità e obblighi verificabili
La clausola dovrà infine coordinarsi con il regime di responsabilità già previsto dal contratto, stabilendo le conseguenze della violazione degli obblighi relativi all’AI e verificando come queste interagiscano con eventuali limitazioni di responsabilità, garanzie e obblighi di indennizzo.
La completezza di una clausola AI non dipende, dunque, dalla sua lunghezza, ma dalla capacità di disciplinare gli utilizzi effettivamente rilevanti e tradurli in obblighi verificabili. In fase di drafting, ciò che conta è che dal contratto emerga con chiarezza chi utilizza l’AI, per quale finalità, a quali condizioni e con quale ripartizione delle responsabilità.
Quando la clausola AI diventa boilerplate nei contratti tecnologici
La progressiva diffusione dell’intelligenza artificiale nei rapporti tecnologici rende sempre più probabile che i contratti debbano confrontarsi espressamente con il suo utilizzo. Questo, tuttavia, non significa che ogni contratto debba essere automaticamente integrato con una lunga e articolata “clausola AI”.
Il rischio è, al contrario, che la clausola AI diventi rapidamente il nuovo boilerplate della contrattualistica tech: una disposizione standard inserita per completezza, magari particolarmente rigorosa nella formulazione, ma non costruita sulla tecnologia effettivamente utilizzata e sulle modalità effettive di esecuzione della prestazione.
In questa prospettiva, l’intelligenza artificiale non rende superati gli strumenti tradizionali della contrattualistica tecnologica, ma impone di utilizzarli tenendo conto delle nuove modalità di esecuzione della prestazione e della crescente articolazione della catena di fornitura.
Ed è forse proprio questo il punto: prima di chiedersi quale clausola AI inserire in un contratto, occorre chiedersi quale AI sia entrata, realmente, in quel contratto.
Partecipa alla community