Il cliente paga il servizio digitale: a chi appartengono dati, contenuti e risultati generati dalla piattaforma?

1. Il cliente paga il servizio: cosa sta realmente acquistando?

Un'azienda paga un software online per gestire clienti, documenti, analisi o contenuti. Dopo alcuni mesi vuole sapere: «Tutto ciò che è stato creato attraverso la piattaforma è mio?»

La domanda sembra semplice, ma nasconde un equivoco: «appartenenza» non è una categoria giuridica unica. Il cliente può vantare contemporaneamente un diritto contrattuale di utilizzo del servizio, diritti sui propri contenuti, diritti in ordine ai dati personali che determina, diritti di accesso o esportazione, eventuali diritti di proprietà intellettuale sui propri materiali, ma non necessariamente diritti sul software, sui database, sugli algoritmi o sulle elaborazioni proprietarie del fornitore.

2. Dati, contenuti, risultati e software: quattro categorie diverse

La prima operazione utile consiste nel distinguere giuridicamente — e non solo informaticamente — cosa transita attraverso il servizio.

A. I dati forniti dal cliente

Anagrafiche, documenti, fotografie, testi, informazioni commerciali, dati caricati sulla piattaforma. I dati e i contenuti immessi nel servizio restano soggetti ai diritti e alle facoltà giuridiche di cui il cliente era già titolare nei limiti in cui tali diritti esistano. Il contratto dovrebbe definire espressamente quali utilizzi il fornitore può compiere sui materiali messi a disposizione dal cliente e per quali finalità, distinguendo gli usi necessari all'erogazione del servizio dagli eventuali ulteriori utilizzi autorizzati.

B. I contenuti creati dall'utente attraverso il servizio

Report, documenti, campagne, testi, immagini, elaborati prodotti dall'utente con lo strumento. Qui emerge il tema della titolarità dei diritti sul contenuto: se l'elaborato rivela un apporto creativo dell'utente, può essere tutelato quale opera dell'ingegno (artt. 1 e 2, n. 1, l. 633/1941); il contratto dovrebbe chiarire chi detiene questi diritti e con quali limiti.

C. I risultati elaborati dalla piattaforma

In tal caso, la questione diventa più complessa. Il risultato prodotto dal servizio — un'analisi, una classificazione, un output generato — è del cliente, del fornitore, o non è automaticamente oggetto di un diritto esclusivo? La risposta dipende dalla natura del risultato, dall'apporto umano e dalle clausole contrattuali: non esiste una regola automatica di assegnazione, va valutato il caso concreto.

D. Il software e gli strumenti che generano il risultato

Il pagamento del servizio normalmente non attribuisce al cliente la proprietà del software, dell'algoritmo, dell'interfaccia, della banca dati proprietaria o del know-how del provider. Si prenda ad esempio il modello SaaS ove il cliente acquisisce, nei limiti del contratto, un diritto di accesso e utilizzo del servizio; quando vengono concessi specifici diritti di utilizzazione sul software, occorre verificare la relativa disciplina contrattuale e quella prevista dalla legge sul diritto d'autore per i programmi per elaboratore (artt. 64-bis ss. l. 633/1941).

3. La qualificazione giuridica dei dati nell'ambito dei servizi digitali

Nel rapporto tra fornitore e cliente di un servizio digitale, affermare semplicemente che «i dati sono del cliente» non è sufficiente a individuare la corretta posizione giuridica delle parti. Il concetto di appartenenza, infatti, non descrive in modo unitario i diversi diritti e le facoltà che possono essere esercitati su di un determinato dato.

Occorre anzitutto distinguere la mera disponibilità materiale del dato, dalla facoltà giuridica di accedervi, utilizzarlo o riutilizzarlo. Tali facoltà possono derivare dal contratto, dalla normativa applicabile o, in alcuni casi, dalla combinazione di entrambe. Il contratto può, ad esempio, stabilire quali utilizzi il fornitore possa compiere sui contenuti messi a disposizione dal cliente, se possa conservarli oltre la durata del rapporto, utilizzarli per finalità ulteriori rispetto all'erogazione del servizio, oppure trattarli in forma aggregata o anonimizzata.

Quando i dati sono personali, inoltre, la disciplina del GDPR introduce una dimensione ulteriore, che non può essere ricondotta a un concetto di proprietà. La titolarità del trattamento, il ruolo del responsabile, le finalità del trattamento, i diritti degli interessati e gli obblighi relativi alla conservazione e alla cancellazione dei dati, individuano posizioni giuridiche differenti rispetto alla disponibilità del contenuto informativo.

Analogamente, sui dati o sui materiali trattati attraverso il servizio, possono incidere diritti di proprietà intellettuale. Una banca dati può essere oggetto di specifici diritti previsti dalla legge sul diritto d'autore; un'opera dell'ingegno può beneficiare della tutela autoriale; determinate informazioni possono invece rientrare nell'ambito della protezione dei segreti commerciali ai sensi degli artt. 98 e ss. del Codice della proprietà industriale. Anche in questi casi, la disponibilità del dato e la titolarità del relativo diritto non coincidono necessariamente.

Un'ulteriore questione riguarda la possibilità per il cliente di ottenere e riutilizzare i dati al di fuori del servizio. Occorre distinguere la restituzione o esportazione dei dati prevista dal contratto, dai diritti riconosciuti dal GDPR agli interessati: l'art. 20 GDPR disciplina infatti la portabilità di determinati dati personali e non costituisce un generale diritto del cliente, in quanto persona giuridica, all'esportazione di tutti i dati presenti sulla piattaforma. Per i servizi rientranti nel relativo ambito di applicazione possono inoltre assumere rilievo le disposizioni del Reg. (UE) 2023/2854 (Data Act) in materia di switching, portabilità dei dati esportabili e degli asset digitali e relativa cancellazione.

Per questa ragione, la domanda giuridicamente corretta non è semplicemente «a chi appartengono i dati?», ma quali diritti o facoltà si possono esercitare sui dati, nei confronti di chi, per quali finalità e sulla base di quale fonte normativa o contrattuale. Su tali aspetti un contratto di servizi digitali adeguatamente strutturato deve intervenire, disciplinando in modo chiaro accesso, utilizzo, riutilizzo, esportazione, restituzione e cancellazione dei dati

4. L'importanza della disciplina contenuta nel contratto

Molte controversie non nascono perché il sistema tecnico è complesso, ma perché spesso il contratto è lacunoso e non disciplina le vicende riguardanti dati e contenuti. Le clausole decisive sono:

• Titolarità e diritti preesistenti: quali diritti dispone il cliente sui materiali forniti e quali diritti deve concedere al fornitore per l'erogazione del servizio?
• Licenza: il fornitore ha bisogno di utilizzare quei contenuti? Per quali finalità e per quanto tempo?
• Output: chi può utilizzare i risultati prodotti dal servizio, e con quali limiti?
• Riutilizzo: il provider può usare dati o contenuti per migliorare il servizio?
• Aggregazione e anonimizzazione: il contratto può disciplinare l'utilizzo di dati aggregati o anonimizzati, ma occorre verificare separatamente se il processo effettivamente renda i dati non riconducibili a persone identificate o identificabili. Se permane la possibilità di reidentificazione, tenendo conto dei mezzi ragionevolmente utilizzabili, il dato non è anonimo e resta soggetto alla disciplina del GDPR;
• Subfornitori: cosa succede quando l'elaborazione coinvolge terzi (cloud, API, strumenti esterni)?
• Cessazione: cosa rimane al cliente quando il contratto termina, e secondo quali modalità?

La compliance non consiste nel predisporre una sola privacy policy: consiste anche, e soprattutto, nella costruzione dell'architettura contrattuale che allochi diritti, obblighi e rischi.

5. GDPR: la titolarità del trattamento e la «disponibilità» dei dati non coincidono

Quando il cliente determina le finalità e i mezzi del trattamento, assume il ruolo di titolare ai sensi dell'art. 4, n. 7, GDPR; ciò non significa, tuttavia, che sia «il proprietario dei dati». Il GDPR distribuisce ruoli funzionali, rispettivamente, tra titolare, responsabile e altri soggetti coinvolti nel trattamento, individuando per ciascuno specifici poteri e obblighi; il titolare determina finalità e mezzi; il responsabile tratta per conto del titolare, con l'accordo scritto ex art. 28; possono esservi ulteriori soggetti coinvolti (sub-responsabili, destinatari).

Il fornitore, invece, è chiamato a rispondere a quesiti di natura fortemente pratica: cosa può fare con quei dati, per quali finalità, sulla base di quale rapporto, per quanto tempo, con quali destinatari, e cosa succede alla cessazione? Il diritto privacy resta all'interno del tema principale, ovvero l'allocazione dei diritti sulle informazioni.

6. Output dell'AI e contenuti generati: quali diritti esistono davvero?

Se il servizio utilizza un sistema di IA per produrre un testo, un'immagine, un report o un'altra elaborazione, il cliente non acquista automaticamente tutti i diritti sui risultati ottenuti. Occorrono, tuttavia, alcune verifiche preliminari:

• input e output sono concetti diversi: il contratto deve disciplinare entrambi, cioè cosa viene inviato al sistema, chi ne conserva la disponibilità e chi può usare l'output;
• i termini del provider AI sottostante riguardo ai diritti sull'output, uso commerciale, restrizioni, garanzie, e via discorrendo;
• la disponibilità contrattuale dell'output non equivale necessariamente ad una esclusiva: il contratto può concedere diritti di uso senza che sussista un diritto di proprietà intellettuale perfetto sull'output;
• la tutela autoriale dipende dalle condizioni di legge: l'art. 1 l. 633/1941 tutela le opere dell'ingegno umano, che possono essere create anche con l'ausilio di strumenti di IA purché risultino dal lavoro intellettuale dell'autore: una mera generazione automatica non sempre produce un'opera protetta;
• il contratto dovrebbe disciplinare anche utilizzo e allocazione del rischio: chi risponde se da un output sorgono contestazioni da parte di terzi?

7. Il provider può riutilizzare dati, contenuti o risultati?

Domanda concreta: «Se carico i miei documenti, il fornitore può usarli per migliorare il proprio servizio?». La risposta dipende dalle clausole, e va verificata tenendo conto dei seguenti aspetti:

• finalità contrattuali: il riutilizzo rientra nell'oggetto del servizio o richiede consenso/licenza separata?
• training dei modelli AI: i contenuti del cliente vengono usati per addestrare sistemi di IA? I termini del provider AI vanno letti con attenzione;
• dati aggregati e anonimizzati: la licenza può estendersi a statistiche aggregate, se i dati sono realmente anonimi;
• informazioni riservate e segreti commerciali: il riutilizzo non autorizzato può integrare violazione di obblighi di riservatezza (artt. 98 e ss. c.p.i.) e di natura contrattuale.

8. Cosa succede ai dati quando il rapporto termina?

Che cosa succede concretamente a quei dati e a quei contenuti quando il contratto termina? Il contratto dovrebbe prevedere:

• restituzione o esportazione dei dati del cliente in formati leggibili e strutturati;
• cancellazione dei dati personali trattati per conto del cliente, salvo conservazioni obbligatorie per legge;
• tempi e modalità dell'uscita, con eventuale assistenza all'export;
• contenuti che il provider deve conservare (es. obblighi fiscali, difesa in giudizio) e per quanto tempo;
• verifiche di coerenza con il Data Act, ove applicabile (Reg. UE 2023/2854: portabilità, eliminazione, clausole su cloud switching).

9. Dal concetto di «proprietà dei dati» alla corretta allocazione dei diritti

Nei servizi digitali il problema raramente si risolve chiedendo semplicemente « a chi appartengono i dati?». La domanda corretta è quali diritti ciascuna parte conserva, quali concede, per quali finalità e cosa accade a tali diritti durante e dopo il rapporto contrattuale. Un servizio digitale ben strutturato non richiede soltanto una corretta implementazione tecnica, ma una chiara allocazione contrattuale dei diritti, degli obblighi e dei rischi, ed è su questo che si gioca la maggior parte delle controversie che vediamo in consulenza.

Fonti normative

Codice civile — artt. 1322 (autonomia contrattuale), 1376 (effetti del contratto), 1218 e 1229 (responsabilità e limitazioni, ove applicabili)

L. 633/1941 — artt. 1 (opere dell'ingegno, anche laddove create con l'ausilio di strumenti di IA, purché costituiscano risultato del lavoro intellettuale dell'autore, come modificato dall'art. 25 della L. 132/2025), 2, n. 1 (opere letterarie), 2, n. 8 (programmi per elaboratore), 64-bis ss. (diritti sui programmi per elaboratore), 64-quinquies (diritti dell'autore di una banca di dati) e 102-bis ss. (diritti del costitutore della banca di dati anche laddove create con l'ausilio di strumenti di IA, purché costituiscano risultato del lavoro intellettuale dell'autore)

L. 23 settembre 2025, n. 132 — art. 25, comma 1, lett. a) (modifica dell'art. 1 l. 633/1941: opere dell'ingegno umano create anche con l'ausilio di strumenti di IA)

Reg. (UE) 2016/679 (GDPR) — artt. 4 nn. 7-8, 20 (portabilità), 28 (accordo responsabili)

D.lgs. 30/2005 (Codice proprietà industriale) — artt. 98 ss. (segreti commerciali)

Reg. (UE) 2023/2854 (Data Act) — ove applicabile, portabilità ed eliminazione dei dati