Il fornitore dice che usa l'intelligenza artificiale: sei domande da mettere per iscritto prima di firmare

Quasi tutte le offerte di servizi commerciali contengono oggi la parola intelligenza artificiale, e quasi nessun contratto spiega dove l'AI intervenga davvero. La differenza conta, perché due obblighi stanno in capo a chi compra e non a chi vende: il trattamento dei dati dei prospect, su cui l'azienda cliente è titolare, e il contenuto dei messaggi, che partono a suo nome e sotto il suo marchio. Dal 2 agosto 2026 si aggiunge l'AI Act, i cui obblighi di trasparenza sono applicabili e azionabili dalle autorità nazionali. Sei domande, messe per iscritto nel contratto e non lasciate a una call, spostano il rischio dove è giusto che stia.

Dove intervengono i modelli, e chi è il fornitore del sistema

La prima domanda è dove, nel processo, un modello prende una decisione o produce un testo. Le risposte accettabili sono specifiche: costruzione della lista, ordinamento delle priorità, prima stesura del messaggio, classificazione delle risposte, trascrizione delle chiamate. La seconda domanda è chi sia, nei termini dell'AI Act, il fornitore del sistema e chi il deployer, cioè chi lo utilizza sotto la propria autorità: il regolamento distribuisce gli obblighi tra questi due ruoli, e un contratto che non li nomina li lascia impliciti. Se il servizio gira su modelli di terzi, il modello va indicato, perché gli obblighi sui modelli per finalità generali seguono chi li fornisce e non chi li rivende.

Cosa viene dichiarato al destinatario

La terza domanda riguarda la dichiarazione. L'articolo 50 dell'AI Act impone che chi interagisce con un sistema di intelligenza artificiale sia informato di questo, salvo che la cosa risulti evidente a una persona ragionevolmente informata. Significa che un assistente che risponde alle email o al telefono al posto di una persona va dichiarato. Per i contenuti sintetici l'articolo 50 chiede anche una marcatura leggibile dalle macchine: sui sistemi generativi già immessi sul mercato prima del 2 agosto 2026 l'accordo omnibus del maggio 2026 ha spostato questo obbligo specifico al 2 dicembre 2026, lasciando gli altri alla data originaria. Il punto contrattuale resta semplice: chi scrive il testo della dichiarazione, e chi risponde se manca.

Che fine fanno i dati dei prospect

La quarta domanda è sul trattamento. Se il fornitore elabora dati personali per conto del cliente, serve il contratto previsto dall'articolo 28 del GDPR, con istruzioni documentate, elenco dei sub-responsabili, misure di sicurezza e disciplina della cancellazione alla fine del rapporto. Vanno chiesti tre dettagli che spesso mancano: dove si trovano i server, se i dati dei prospect vengono usati per addestrare modelli, e con quali strumenti il cliente può dare seguito alle richieste degli interessati. Sul perimetro di liceità del contatto a freddo verso le imprese abbiamo scritto in /normativa/cold-email-gdpr-2026-cosa-e-lecito, e sulla registrazione delle chiamate in /intelligenza-artificiale/trascrizione-ai-call-commerciali-cosa-e-lecito.

Chi risponde di quello che il modello scrive

La quinta domanda è la più scomoda. Un messaggio generato da un modello e inviato a nome dell'azienda cliente resta una comunicazione commerciale di quell'azienda: se contiene un'affermazione falsa su un prodotto o su un concorrente, la responsabilità segue il mittente e non lo strumento. L'AI Act non sposta la responsabilità civile, e il decreto legislativo 145 del 2007 sulla pubblicità ingannevole e comparativa si applica come sempre. La domanda da porre è quindi quale revisione umana esista prima dell'invio, su quale quota dei messaggi, e se il fornitore accetta di garantire per iscritto l'esattezza delle affermazioni che il sistema inserisce nel testo.

Cosa succede quando sbaglia

La sesta domanda riguarda l'errore. Vanno chiesti i registri: quali messaggi sono partiti, verso chi, con quale testo, e per quanto tempo quei registri restano a disposizione del cliente. Senza registri non si ricostruisce niente e non si risponde a una contestazione. Vanno poi chiesti il canale di escalation e il tempo di blocco, cioè quanto passa tra la segnalazione e la sospensione di una sequenza. Sul quadro generale degli obblighi che l'AI Act porta a chi vende abbiamo scritto in /intelligenza-artificiale/ai-act-vendite-b2b-obblighi. Una regola pratica chiude l'elenco: se una risposta non entra in una riga di contratto, non è una risposta.