Hai già un account ChatGPT Business, un seat Copilot o un trial Claude. Il commerciale del vendor ti ha mandato un PDF «AI Act ready». Nessuno in azienda ha ancora scritto cosa chiedi per contratto se i prompt addestrano il modello, dove stanno i log, o come esporti i dati se cambi fornitore.

Questa analisi risponde a una sola domanda: quali 10 domande mette una PMI italiana in contratto o DPA quando usa tool di terzi (ruolo tipico: deployer, non provider GPAI). Collega il pezzo alla [checklist AI Act](/news/ai-act-pmi-checklist-obblighi-minimi-2026), al [vendor-check misalignment](/news/openai-misalignment-sei-casi-vendor-check-pmi) e alla [policy ChatGPT di 1 pagina](/news/chatgpt-per-aziende-policy-interna-pmi-2026).

In 30 secondi

  • Dal 2 agosto 2026 la Commissione avvia l'enforcement dell'AI Act e diventano applicabili nuovi obblighi di trasparenza (Art.50): chatbot che dichiarano l'interazione AI, etichette su deepfake, marcatura machine-readable dei contenuti generati o manipolati (comunicato Commissione; FAQ Art.50).
  • Le regole su GPAI (modelli di uso generale) sono in vigore dal quadro agosto 2025; il quadro normativo resta la fonte primaria sulle timeline.
  • Deployer non equivale a «tutto sul vendor»: gli obblighi di trasparenza, literacy e trattamento dati non si trasferiscono tutti con una clausola generica.
  • Per te: 10 domande in contratto/DPA, tre email questa settimana, owner interno su inventario e exit.

Impatto Italia

In Italia molte PMI usano tool di terzi senza un allegato contrattuale leggibile: card aziendale, partner Microsoft, chatbot sul sito. Il rischio tipico non è la multa astratta inventata su un blog. È: non sapere se i dati clienti finiscono in training, non avere log utili dopo un incidente, non poter esportare prompt e knowledge base se cambi vendor.

Collega questa checklist alla hub [AI per PMI](/news/ai-per-pmi-guida-pratica-2026) e all'[audit permessi agente in 30 minuti](/news/audit-permessi-agente-ai-30-minuti): contratto senza permessi è teatro; permessi senza contratto è amnesia quando serve il DPA.

Il verdetto

Sì, tratta il contratto AI come lista di domande verificabili (ruolo, dati, sede, log, Art.50, exit). No, non firmare «AI Act compliant» come se sostituisse inventory, policy interna e literacy del team.

Le 10 domande (contratto / DPA)

Obiettivo: testo che puoi incollare in una email o in un allegato. Non un trattato. Per ogni domanda: cosa chiedere e perche conta per una PMI deployer.

1. Provider vs deployer e documentazione GPAI

Chiedi: «Confermate che, per il nostro uso tipico (SaaS / API / seat), siamo deployer e voi provider (o distributor) del sistema / modello? Fornite o linkate la documentazione GPAI rilevante e il perimetro di responsabilità di ciascuno?»

Perché: se customizzi o metti sul mercato un sistema proprio, il perimetro cambia. In dubbio, annota e consulta legale. Il contratto deve dire chi e cosa, non solo il listino seat.

2. Uso dei dati per training e improvement

Chiedi: «I nostri prompt, file, output e feedback vengono usati per addestrare o migliorare modelli generali o di terzi? Di default, opt-out, o solo con consenso scritto? Vale anche per log di abuse e valutazioni di sicurezza?»

Perché: è il punto che esplode nelle PMI dopo un paste di listino o contratto. Allinea la risposta alla [policy interna ChatGPT](/news/chatgpt-per-aziende-policy-interna-pmi-2026): se il vendor addestra di default, o limiti i dati o cambi piano/workspace.

3. Luogo di trattamento e trasferimenti extra-UE

Chiedi: «Dove avviene il trattamento (regioni / data center)? Ci sono trasferimenti extra-UE? Quali garanzie (SCC, misure supplementari) applicate e dove le documentate?»

Perché: GDPR non sparisce perche c'e l'AI Act. Una PMI con clienti italiani deve sapere sede e transfer prima di caricare anagrafiche o allegati.

4. DPA Art.28 e sub-responsabili

Chiedi: «Fornite un DPA conforme Art.28 GDPR? Elenco aggiornato dei sub-processors, con preavviso per nuovi inserimenti e diritto di obiettare dove previsto?»

Perché: senza DPA e lista sub-responsabili, il foglio «privacy» del sito non basta quando un cliente o un auditor chiede la filiera.

5. Log, audit e retention

Chiedi: «Quali log possiamo ottenere (chi, cosa, quando, su quale file/tool)? Retention predefinita e opzioni di export? Come supportate un audit interno dopo un incidente?»

Perché: il framework misalignment OpenAI è un segnale di settore: senza log, «l'agente ha caricato un file» resta una chiacchiera. Vedi anche il [vendor-check sui sei casi](/news/openai-misalignment-sei-casi-vendor-check-pmi).

6. Limiti agli agenti e incident reporting

Chiedi: «Per agenti o azioni esterne (upload, email, write su tool): quali limiti e approvazioni umane sono disponibili? Tempo e canale di notifica incidenti (sicurezza, leak, comportamenti anomali) verso di noi?»

Perché: contratto senza kill switch e senza canale incidenti è marketing. Operativamente, restringi i poteri con l'[audit permessi](/news/audit-permessi-agente-ai-30-minuti) prima di allargare gli scope.

7. Supporto trasparenza Art.50 (dal 2 agosto 2026)

Chiedi: «Come ci supportate sugli obblighi di trasparenza Art.50 (disclosure interazione AI, etichetta contenuti sintetici, marcatura machine-readable dove applicabile)? Cosa fornite voi e cosa resta a carico nostro come deployer?»

Perché: l'enforcement e le FAQ della Commissione chiariscono che la trasparenza non è un banner generico in privacy policy. Il vendor può dare tool di watermark/label; la disclosure verso i tuoi utenti resta in gran parte tua. Dettaglio operativo: [checklist AI Act PMI](/news/ai-act-pmi-checklist-obblighi-minimi-2026).

8. Notice su update modello / modifica sostanziale

Chiedi: «Con quale preavviso e canale ci informate di update di modello, cambi di comportamento rilevanti o modifiche che possano configurare un cambiamento sostanziale del sistema che usiamo?»

Perché: un silent swap di modello può rompere prompt, policy interne e assumption di rischio. Vuoi notice leggibile, non solo un changelog nascosto.

9. Exit: export di dati, prompt e knowledge base

Chiedi: «In caso di recesso o cambio vendor: in che formato esportiamo dati, prompt, conversazioni e knowledge base? Tempi, costi, e cancellazione lato vostro dopo exit?»

Perché: lock-in silenzioso è il costo nascosto dei seat «convenienti». Se non puoi uscire, non hai un fornitore: hai un ostaggio.

10. Responsabilita output e indennizzo ragionevole per PMI

Chiedi: «Come allocate la responsabilità su output errati, IP di terzi e incidenti legati al servizio? C'è un indennizzo / cap ragionevole per una PMI, o solo esclusioni unilaterali?»

Perché: non pretendere che il vendor firmi «ogni danno immaginabile». Pretendi chiarezza: cosa e loro (disponibilita, sicurezza infrastruttura, breach imputabile), cosa resta tua (uso vietato, dati che non dovevi incollare, decisioni senza review umana). Non inventiamo soglie di multa qui; il punto e equita contrattuale, non panico sanzioni.

| # | Tema | Ask minimo |

| --- | --- | --- |

| 1 | Ruolo + GPAI docs | Chi e deployer/provider; dove sono i docs |

| 2 | Training / improvement | Default su prompt e file; opt-out |

| 3 | Sede + transfer | Regioni, SCC, misure extra-UE |

| 4 | DPA Art.28 | DPA + lista sub-processors |

| 5 | Log / audit | Cosa puoi esportare e per quanto |

| 6 | Agenti + incidenti | Limiti azioni; canale notice |

| 7 | Art.50 | Supporto disclosure / labeling |

| 8 | Update sostanziali | Preavviso e canale |

| 9 | Exit / export | Formato, tempi, wipe |

| 10 | Liability | Cap/indennizzo leggibile per PMI |

Cosa fare questa settimana

  • Lunedi: inventario tool AI (ChatGPT, Claude, Copilot, chatbot sito, agenti) + owner contratto/DPA.
  • Martedi-mercoledi: invia le domande 1-4 e 7 ai vendor principali (email o ticket); allega link alle FAQ Art.50 se serve contesto.
  • Giovedi: allinea risposte a [policy interna](/news/chatgpt-per-aziende-policy-interna-pmi-2026) e a [AI Act minimo](/news/ai-act-pmi-checklist-obblighi-minimi-2026).
  • Venerdi: per ogni agente con azioni esterne, chiudi i permessi in attesa di log e risposta sulla domanda 6 ([audit 30 minuti](/news/audit-permessi-agente-ai-30-minuti)).

Se il budget legale e stretto, priorita: 2 (training), 4 (DPA), 9 (exit), 7 (Art.50). Il resto scala.

Limiti

  • Non siamo uno studio legale: questa è una checklist operativa basata su fonti primarie della Commissione e su disclosure vendor (es. OpenAI), non un parere di conformita.
  • Non indichiamo importi di sanzioni né probabilità di controllo inventate.
  • Gli obblighi del deployer non si spostano per intero con il contratto: il vendor può aiutare (tool, docs, DPA), non firmare al posto tuo literacy e disclosure verso i tuoi utenti.
  • La guida Pactlio citata in fonti e reported (secondaria): utile come spunto contrattuale, non come sostituto del testo ufficiale AI Act.
  • I default dei vendor cambiano: verifica sempre le pagine privacy/DPA aggiornate prima di firmare.

Takeaway

Per una PMI italiana deployer, il contratto AI del 2026 non chiede un team legal da enterprise. Chiede dieci risposte scritte: ruolo, dati, sede, DPA, log, limiti agenti, Art.50, notice sugli update, exit, responsabilità. Lunedì mattina: inventario e tre email. Poi itera con policy e permessi.

Approfondisci

  • Hub: [AI per PMI: guida pratica 2026](/news/ai-per-pmi-guida-pratica-2026)
  • Compliance minima: [AI Act PMI checklist](/news/ai-act-pmi-checklist-obblighi-minimi-2026)
  • Policy operativa: [ChatGPT per aziende, 1 pagina](/news/chatgpt-per-aziende-policy-interna-pmi-2026)
  • Vendor e allineamento: [Sei casi vendor-check](/news/openai-misalignment-sei-casi-vendor-check-pmi)
  • Prima degli agenti: [Audit permessi in 30 minuti](/news/audit-permessi-agente-ai-30-minuti)

Fonti

1. European Commission - Transparency obligations under Article 50 AI Act (FAQ) (primary)

2. European Commission - Commission starts enforcing AI Act rules and new transparency requirements on 2 August (primary)

3. European Commission - Regulatory framework on Artificial Intelligence (primary)

4. OpenAI - Our framework for reporting model misalignment (primary)

5. Pactlio - EU AI Act contracts guide (reported)