Ho creato un servizio digitale con l'AI: quali documenti legali sono necessari prima di metterlo online?

La trasformazione di un'idea in un prodotto funzionante è spesso vista come l'esito di un processo lungo, complesso e faticoso. L'entusiasmo del lancio, tuttavia, non deve far dimenticare che dal momento in cui il servizio è online e raccoglie dati, vende abbonamenti o produce output con l'AI, è soggetto a una serie di discipline giuridiche complesse che non ammettono rinvii: GDPR, normativa consumeristica, AI Act e, per determinati servizi, Digital Services Act (DSA), Data Act ed European Accessibility Act (EAA). La buona notizia è che la maggior parte dei problemi è prevenibile prima del go-live, con una documentazione calibrata sul modello di servizio reale e non su un template generico.

1. I documenti che non possono mancare

Non esiste un elenco identico per tutte le ipotesi: i documenti necessari dipendono, infatti, dalla tipologia del servizio e dei dati trattati, nonché dagli utenti a cui si rivolge. In linea generale, la documentazione minima di un servizio digitale con componente AI è la seguente:

2. Termini e condizioni: il contratto che protegge il tuo modello di business

I ToS non costituiscono un adempimento formale, ma sono lo strumento che regola il rischio tra chi predispone il servizio e l'utente. Per un servizio che comprende una componente di AI, occorre specificare:

• Chi è il fornitore del servizio e con chi contrae;
• Competenza e perimetro del Sistema AI: è necessario un disclaimer chiaro, perché la responsabilità per danni da output dell'AI non può escludersi con formule generiche, ma solo nel rispetto dell'art. 1229 c.c. e attraverso la predisposizione di clausole specifiche, proporzionate e, se l'utente è un consumatore, compatibili con il controllo di vessatorietà dell'art. 33 Codice del Consumo (D.lgs. 206/2005);
• Regole su account e sospensione: in particolare per uso contrario a legge o a policy di sicurezza;
• Proprietà intellettuale: cioè specificare chi detiene i diritti sui contenuti generati, con attenzione alle incertezze giurisprudenziali in materia di opere create con AI;
• Legge applicabile e foro competente: nel rispetto della disciplina consumeristica e, per le controversie rientranti nel relativo ambito, dell'art. 66-bis Codice del Consumo.

3. Privacy: informativa, cookie e trattamenti verso terzi

L'informativa ex art. 13 GDPR deve essere specifica, il Garante infatti ha sanzionato innumerevoli operatori per informative generiche, copiate da template, che non rispecchiavano il trattamento reale. Detta informativa, dunque, deve indicare: titolare, finalità e basi giuridiche, categorie di destinatari (inclusi i provider AI, ad esempio tramite API), eventuali trasferimenti extra-UE, nonché i diritti dell'interessato. Per quanto attiene, invece, all'utilizzo di cookies, il relativo banner deve rispettare le Linee guida del Garante privacy del 2021; al riguardo si sottolinea l'importanza di indicare la possibilità di poter rifiutare il tracciamento con modalità non meno agevoli rispetto all'accettazione e registrazione/documentabilità delle scelte dell'utente.

Se il servizio viene venduto a clienti business, che a loro volta trattano dati personali (tipico del SaaS B2B), occorre inoltre un accordo ex art. 28 GDPR che regoli, rispettivamente, ruoli di titolare/responsabile, istruzioni, misure di sicurezza, sub-responsabili e obblighi in caso di data breach.

4. AI Act: la trasparenza verso gli utenti

Dal 2 agosto 2026 si applica in via generale il Regolamento (UE) 2024/1689, salvo le specifiche decorrenze previste dall'art. 113 del medesimo. Per un servizio digitale con AI occorre verificare anzitutto l'ambito di applicazione dello stesso Regolamento e la qualificazione del sistema; in particolare, all'art. 50 sono introdotti specifici obblighi di trasparenza per determinate categorie di sistemi e contenuti. Riassumendo:

• chi distribuisce o utilizza sistemi che interagiscono con gli esseri umani (chatbot, assistenti virtuali, concierge vocali) deve informare gli utenti in modo chiaro che stanno interagendo con un'AI;
• i sistemi di sintesi e manipolazione di contenuti (testo generato, immagini) possono richiedere etichettatura dei contenuti artificiali;
• i fornitori devono predisporre istruzioni d'uso corrette, complete e pertinenti; per i sistemi soggetti alla normativa di cui al Capo III, incluse le fattispecie di IA ad alto rischio, occorre verificare il rispetto degli obblighi di informazione e di predisposizione delle istruzioni così come previsti dal Regolamento, e segnatamente dall'art. 13 dello stesso, ove applicabile.

Questi obblighi si traducono, in concreto, in clausole nei ToS, informativa AI dedicata, disclaimer nel prodotto e — nel caso di sistemi più complessi — nella verifica preventiva della classificazione del sistema ai sensi del Regolamento, visto che le regole sui sistemi ad alto rischio hanno scadenze progressive.

Si segnala, poi, il Regolamento (UE) 2026/1744 (Digital Omnibus on AI), in vigore dal 27 luglio 2026, che ha modificato il calendario applicativo dell'AI Act, introducendo semplificazioni e nuove scadenze. In particolare, il 2 dicembre 2026 è il termine previsto per l'adeguamento agli obblighi di marcatura degli output sintetici per i sistemi già immessi sul mercato prima del 2 agosto 2026. Gli obblighi per i sistemi ad alto rischio si applicheranno, invece, dal 2 dicembre 2027 e dal 2 agosto 2028.

5. Checklist prima del go-live

Fonti normative

Reg. (UE) 2016/679 (GDPR) — in particolare artt. 13, 14, 28, 30, 32 e 35 (DPIA)

D.lgs. 196/2003 — Codice in materia di protezione dei dati personali, art. 122

Reg. (UE) 2024/1689 (AI Act) — in particolare artt. 13 e 50

Regolamento (UE) 2026/1744 (Digital Omnibus on AI)

D.lgs. 206/2005 — Codice del Consumo, artt. 33, 49-bis, 52, 54 e 54-bis (contratti a distanza; art. 54-bis, funzione di recesso online, inserito dal d.lgs. 209/2025)

Linee guida del Garante privacy, provvedimento 10 giugno 2021 n. 231 sull'uso dei cookie