Nel mondo del cloud e delle soluzioni software a esso integrate – in primis, i modelli di intelligenza artificiale generativa e agentica – gli spazi di reale negoziazione si sono da tempo drasticamente ridotti. Le “trattative” si limitano ormai alla scelta tra diversi livelli di servizio, nella speranza che uno di essi si adatti (almeno sulla carta) alle proprie esigenze organizzative e alla natura dei dati trattati.
In rapporti così poco sinallagmatici, fortemente sbilanciati a favore delle Big Tech, non possiamo più ragionare come nelle migliori (e consigliate) ipotesi di redazione di contratti “sartoriali”. E, proprio per questo, dobbiamo alzare ulteriormente il livello di guardia “in punto di diritto”.
Prima regola, quindi: non subire passivamente le condizioni generali. Anche quando la personalizzazione è limitata, occorre verificare con attenzione:
- Gli SLA allegati alle offerte business
- L’adesione del vari provider a Codici di Condotta approvati o a iter di certificazione qualificati
- Le certificazioni ottenute a titolo (più o meno) volontario (ISO 27001, ISO 27018, SOC 2,)
- La concreta attenzione alla protezione dei dati e le reali possibilità di controllo e oversight da parte del Titolare.
Per orientarsi, ecco quindi che vi propongo una check-list GDPR minimale ed essenziale per i contratti di servizi IT e cloud:
- Vendor Assessment documentato nella fase di pre-contrattualizzazione (e verifica certificazioni)
- DPA ex art. 28 GDPR firmato e possibilmente allegato come parte essenziale della negoziazione (non solo, quindi, click-through online con affidamento a regole evanescenti)
- Lista aggiornata dei sub-responsabili con diritto di opposizione e meccanismo di aggiornamento
- Clausola di localizzazione dati chiara (con precisa localizzazione dei data center) e, in caso di extra-UE, meccanismo di trasferimento adeguato secondo il GDPR
- Termine massimo per comunicare e consentire la notifica nei tempi di data breach (idealmente 24-48h)
- Diritto di audit (diretto o tramite terze parti)
- Clausole di portabilità e cancellazione certificata dei dati a fine rapporto
- SLA collegati esplicitamente ai requisiti GDPR (uptime, RTO, RPO, tempi di risposta etc.)
- Coinvolgimento attivo del DPO nella revisione e negoziazione del contratto e del DPA
- Aggiornamento puntuale del Registro dei Responsabili del Trattamento.
Se un provider si irrigidisce su queste richieste fondamentali, (soprattutto quando esse non sono inserite nelle condizioni generali o negli SLA e ne si chiede giustamente il conto), è un forte segnale di allarme. Meglio cambiare rotta, nell’interesse dell’organizzazione e degli interessati i cui dati trattiamo.
Ma c’è di più, soprattutto con l’AI. Nei contratti cloud che incorporano modelli di intelligenza artificiale generativa o agentica occorre verificare l’inserimento di clausole specifiche su:
- Qualità dei dati utilizzati dal modello (affidabilità, integrità, immodificabilità e conformità data protection)
- Controllo e monitoraggio continuo degli input, ma anche degli output nel tempo, per prevenire inquinamento progressivo, drift o deterioramento dei dati di addestramento/fine-tuning
- Meccanismi di auditabilità e trasparenza sugli output e sulle fonti utilizzate.
Chi deve guidare queste scelte?
Non il DPO in solitudine, ma certamente con un ruolo centrale di regia e garanzia. Il Data Protection Officer deve, quindi, operare all’interno di team interdisciplinari stabili che includano:
- i CISO
- i Responsabili della trasformazione digitale
- i Responsabili della Conservazione dei documenti e degli archivi digitali
- i Project Manager delle iniziative rilevanti
- i legali.
Solo questa alleanza di competenze può trasformare la compliance da mero adempimento burocratico a vero presidio di diritti, libertà e resilienza organizzativa.
In un ecosistema digitale dominato da contratti di adesione e da tecnologie che evolvono più velocemente delle norme, la custodia responsabile dei dati non è più una funzione periferica: è una competenza strategica trasversale.
Chi ha responsabilità di governance lo sa bene. E agisce di conseguenza.
