AI conforme al GDPR per le PMI: dove sono i tuoi dati.
Se costruisco un sistema AI per te, vorrai sapere dove finiscono i tuoi dati. Qui trovi ogni fornitore con la regione dei suoi server, e cosa arriva al modello AI e cosa no. Il tuo tecnico IT può controllare tutto riga per riga.
Verificato il 28 settembre 2026✦Se la configurazione cambia, aggiorno questa pagina prima che la modifica diventi effettiva
Sicuro ed europeo in breve
Diginesso è la ditta individuale di Wesley Beerendonk, che sviluppa agenti AI e automazioni per le PMI in Italia, nei Paesi Bassi e in Germania. In un progetto standard il tuo database e l’applicazione stanno a Francoforte, e le e-mail che il sistema invia partono dall’Irlanda. Il modello AI lo scegli tu. Con un modello europeo i tuoi dati restano in Europa. La nomina a responsabile del trattamento la firmi prima che io tocchi un solo dato. Non sono un avvocato: qui descrivo come imposto le cose dal punto di vista tecnico.
Quali dati arrivano al modello AI?
Solo il pezzo di testo che il modello deve leggere per un compito. Per una fattura è quella fattura, per una e-mail quella singola e-mail. Il tuo database, i tuoi file e il resto dei tuoi dati aziendali restano dove sono.
Resta dov’è
- Il tuo database e i tuoi file. Stanno a Francoforte e non vengono copiati in un servizio AI.
- Le tue password e le tue chiavi. Sono in una cassaforte protetta. Non stanno nel codice e nemmeno in una chat.
- Il resto dei tuoi dati aziendali. Un agente che gestisce le fatture vede le fatture. Tutto il resto per lui resta chiuso.
- Quello che scrivono i tuoi collaboratori in una schermata che costruisco io. Resta nel tuo ambiente.
Arriva al modello
- Solo quello che serve a quel compito. La tua anagrafica clienti resta fuori.
- A un fornitore che concordiamo prima. Lo indico nella nomina a responsabile del trattamento.
- Tramite un account business. Nelle condizioni c’è scritto che il tuo testo non viene usato per addestrare il modello. Un fornitore che non lo accetta, non lo uso.
- Oppure non esce niente. In quel caso il modello gira sul tuo server. Si può fare, anche se è più lento e costa di più.
Per ogni processo metto per iscritto quale testo va al modello, per quanto tempo viene conservato e chi può richiederlo.
Quali fornitori vedono i tuoi dati, e dove sono i loro server?
Questo è l’elenco completo per un progetto standard. Se per il tuo progetto serve un fornitore in più, te lo dico prima di attivarlo e lo aggiungo alla nomina a responsabile del trattamento. Ci sono anche i codici delle regioni, così puoi verificarli da solo.
eu-central-1fra1eu-west-1Il nome del fornitore del modello e il paese in cui avviene il trattamento finiscono nel tuo contratto. Se più avanti il modello deve cambiare, per esempio perché un fornitore ritira una versione, lo sai almeno 30 giorni prima, con quello che comporta per la qualità e per i costi. Se c’è un guasto, o un fornitore smette da un giorno all’altro, passo subito a un altro modello e poi ti informo appena possibile.
Supabase, Vercel e Resend sono aziende americane con server in Europa. Come si fa senza fornitori americani lo trovi più sotto. Quali dati dei visitatori tratta questo sito lo trovi nell’informativa privacy.
Quanto rigore ti serve
Si può fare tutto in Europa, o sul tuo server?
Sì. Più rigore di solito vuol dire più costi o più lentezza, per questo scegli tu. Tutte e tre le strade sono possibili, e puoi cambiare anche dopo.
Server europei
- Dove gira
- Presso i fornitori dell’elenco, a Francoforte e in Irlanda.
- Il modello AI
- Un modello europeo, oppure un grande modello americano tramite account business, con trattamento in Europa dove possibile. Quello americano solo se sei d’accordo.
- Il limite
- Tre fornitori hanno una capogruppo americana.
Anche le aziende sono europee
- Dove gira
- Per ogni componente cerco un’azienda europea, senza capogruppo americana nella catena.
- Il modello AI
- Un fornitore per esempio francese o tedesco, con trattamento nell’UE. Per leggere, riassumere e smistare va più che bene.
- Il limite
- Più lavoro di configurazione, e qualche servizio comodo non si può usare. Sul ragionamento più pesante questi modelli sono ancora un po’ indietro rispetto ai migliori.
Su un server che scegli tu
- Dove gira
- Nella tua sala server, o presso un hosting che indichi tu. Un sistema sul tuo server lo costruisco come software su misura.
- Il modello AI
- Gira sulla stessa macchina, quindi anche il testo per il modello resta su quel server.
- Il limite
- Paghi tu la macchina e la manutenzione, e un modello così è più lento dei migliori modelli online.
Non sai quale scegliere? Nell’AI Assessment calcolo la differenza in euro al mese, insieme al rischio che ti togli con la variante più cara.
L’AI Act europeo
Quando si applicano le regole dell’AI Act? Ecco le date dopo l’Omnibus digitale.
Il regolamento europeo sull’intelligenza artificiale è in vigore dal 1° agosto 2024 e si applica per fasi. L’Omnibus digitale, Regolamento (UE) 2026/1744, si applica dal 27 luglio 2026 e ha rinviato gli obblighi più onerosi per i sistemi ad alto rischio.
Cosa significa per le PMI
Un agente che gestisce le fatture o risponde alle domande dei clienti di solito non è ad alto rischio. L’alto rischio riguarda usi come la selezione del personale o la valutazione del merito creditizio. Un cliente che parla con un agente, però, deve poter capire che è un’AI.
Cosa faccio sempre
Per ogni sistema metto per iscritto cosa fa e chi ne è responsabile, così hai un fascicolo prima che qualcuno te lo chieda. Sulle decisioni che riguardano soldi o persone l’ultima parola spetta a un essere umano, e ogni azione del sistema finisce in un registro. Se un tuo cliente parla con un agente, vede sullo schermo che è un’AI.
Fonte: Regolamento (UE) 2024/1689 su EUR-Lex e l’Omnibus digitale, Regolamento (UE) 2026/1744. Verificato il 28 settembre 2026.
Non sono un avvocato. Fai valutare a un legale come la legge si applica al tuo sistema.
- dal 2 febbraio 2025
Pratiche vietate
Alcuni usi non sono più permessi, come dare un punteggio alle persone in base al comportamento sociale. Dovevi anche fare in modo che i tuoi collaboratori capissero abbastanza di AI. L’Omnibus ha ammorbidito questo punto: adotti misure per costruire quelle competenze, senza dover garantire un livello preciso.
- dal 2 agosto 2025
Regole per chi crea i modelli
Le aziende dietro i grandi modelli AI devono descrivere come funziona il loro modello e su cosa è stato addestrato. Sono informazioni utili per il tuo fascicolo.
- dal 2 agosto 2026
Dire che è un’AI
Chi parla con un sistema AI deve poterlo sapere. Per un agente nel servizio clienti è la regola che conta di più.
- dal 2 dicembre 2027
Alto rischio, allegato III
Obblighi pesanti per sistemi usati tra l’altro nella selezione del personale o nella valutazione del merito creditizio. Prima dell’Omnibus questa data era il 2 agosto 2026.
- dal 2 agosto 2028
AI in prodotti certificati, allegato I
L’AI in prodotti che hanno già una propria valutazione di conformità europea, come i dispositivi medici, arriva per ultima.
Come gestisci il GDPR se usi l’AI?
Il titolare del trattamento sei tu, perché i dati sono tuoi e decidi tu per cosa si usano. Diginesso è responsabile del trattamento, e i fornitori dell’elenco sono sub-responsabili (soggetti a cui mi appoggio). Qui sotto trovi come gestisco il GDPR in un progetto. Puoi verificare tutto.
Prima si firma la nomina
Firmi la nomina a responsabile del trattamento prima che io tocchi un solo dato, con dentro i fornitori dell’elenco. Se la tua azienda usa un suo modello, firmo anche quello, purché non contenga niente che non possa mantenere.
Meno dati possibile
Prendo solo quello che serve al processo. Ogni agente e ogni integrazione riceve solo l’accesso minimo che serve per fare il lavoro.
Come lavora un agente AI con un solo compitoLa conservazione la decidi tu
Di base i documenti elaborati restano 90 giorni, così puoi controllare cosa è successo. Vuoi 7 giorni, oppure tutti gli anni previsti dall’obbligo di conservazione? Imposto anche quello.
Ogni accesso è registrato
Al sistema in produzione posso accedere solo io, con l’autenticazione a due fattori, più i sistemi che fanno il lavoro. Nessun altro ha accesso. Ogni volta che una persona o un sistema accede, resta registrato.
Come sorveglio un sistema in produzioneAccesso e cancellazione
Dove un sistema contiene dati personali, ci costruisco subito un modo per trovarli e cancellarli. Così una richiesta di un tuo cliente la gestisci da solo.
Se qualcosa va storto
In caso di violazione dei dati lo sai da me entro 24 ore, con cosa è successo e quali dati riguarda. La notifica al Garante privacy la fai tu, e io ti fornisco quello che ti serve.
Cosa succede ai tuoi dati se smettiamo di lavorare insieme?
È deciso in anticipo nei termini. Non devi chiedermi il permesso per niente, e nemmeno con una fattura aperta trattengo l’export. I tuoi dati non sono una garanzia.
Cosa dicono i termini sulla chiusura- Gli account
- Sono già a tuo nomeTogli i miei diritti di amministratore e tutto continua a girare.
- L’export
- Entro dieci giorni lavorativiLe tabelle in CSV (si aprono in Excel) e il database come dump SQL (per uno sviluppatore). Il codice, i workflow e i prompt in un repository git o nel formato di export del sistema. La documentazione in PDF e in testo semplice.
- La cancellazione
- Entro 30 giorni dalla mia parteI backup automatici poi scadono da soli, al massimo dopo 90 giorni.
- La conferma
- Per iscritto, con la dataL’export e la cancellazione non ti costano niente.
Anche mentre lavoriamo insieme puoi chiedermi quali dati tuoi conservo e dove stanno. Ricevi l’elenco entro cinque giorni lavorativi.
Chi lo costruisce
Non posso rimandarti a un reparto sicurezza.
Hai questa pagina e il mio indirizzo e-mail. Il sistema lo costruisco e lo gestisco io, quindi se qualcosa va storto me ne occupo io.
Qualcosa qui non torna? Scrivimelo a info@diginesso.com. Lo correggo, o ti spiego perché è scritto così.
Di più su Wesley e DiginessoQuello che non ho
Alcune cose per ora non le ho. Preferisco scriverle qui piuttosto che tu lo scopra dopo.
- ISO 27001 o SOC 2Queste certificazioni costano a una ditta individuale molti soldi e molto tempo. Se una certificazione ti serve davvero, prima ti dico quanto tempo ci vuole e quanto costa.
- Consulenza legaleNon sono un avvocato. So come impostare tutto dal punto di vista tecnico e quali requisiti la legge pone a un sistema del genere. Se la tua situazione è in regola deve dirlo chi può dare consulenza legale.
- Una garanzia di sicurezza totaleLa sicurezza totale non posso prometterla. Metto però per iscritto dove stanno i tuoi dati e chi può accedervi, così puoi valutare il rischio da solo.
Domande
Domande frequenti su AI e GDPR
L’AI può essere conforme al GDPR?
Sì, se è stabilito quali dati arrivano al modello AI e dove stanno. Con me il modello legge solo quello che gli serve per un compito, e per ogni fornitore è fissata la regione in cui lavora. Che il tuo trattamento sia in regola nel suo insieme dipende anche da cosa fai tu con i dati.
I miei dati restano nell’UE?
Sì, se scegli un modello AI europeo. Nella configurazione standard il database, i file e l’applicazione stanno a Francoforte, e le e-mail del sistema partono dall’Irlanda. Se scegli un modello extra UE, può uscire dall’UE solo il testo che va a quel modello. Supabase, Vercel e Resend restano comunque aziende americane con server in Europa.
I miei dati vengono usati per addestrare i modelli AI?
No. Uso solo account business in cui è scritto che i dati inseriti non servono all’addestramento. Un fornitore che non lo mette nero su bianco, con me non entra.
Firmiamo una nomina a responsabile del trattamento?
Sì, e la firmi prima che io tocchi un solo dato. Lavoro con un testo standard in cui tutti i sub-responsabili (soggetti a cui mi appoggio) sono indicati per nome. Se la tua azienda usa un proprio modello di nomina ai sensi dell’art. 28 GDPR, mandamelo pure: firmo anche quello. Se contiene qualcosa che in pratica non posso rispettare, te lo dico prima.
E se qualcosa va trattato fuori dall’UE?
Solo con il tuo consenso: prima te lo chiedo e ti spiego perché serve. Se dici di no, cerco un’altra strada o tolgo quella funzione.
E il CLOUD Act americano?
C’è un rischio su cui i giuristi hanno pareri diversi: tre dei miei fornitori sono aziende americane con server in Europa, e non è chiaro se un’autorità americana possa chiedere i dati conservati lì. Se non vuoi quel rischio, scegli la variante solo con fornitori europei o un server tuo.
Il mio sistema AI è ad alto rischio per l’AI Act?
Di solito no. L’alto rischio riguarda gli usi elencati nell’allegato III dell’AI Act, come la selezione del personale o la valutazione del merito creditizio. Un agente che gestisce fatture o risponde ai clienti di norma resta fuori, anche se un cliente deve poter capire che sta parlando con un’AI. Con l’Omnibus digitale gli obblighi pesanti valgono solo dal 2 dicembre 2027.
Posso far fare un pentest o un audit a chi voglio?
Sì. Fai testare il sistema da chi scegli tu, io fornisco accessi e documentazione e preparo un ambiente di test. I report arrivano direttamente a te. Quello che emerge lo sistemo io. Con la manutenzione è compreso nel canone mensile, e nel registro vedi quando è stato fatto.
Vuoi farlo controllare al tuo tecnico IT?
Inoltra pure questa pagina. Hai una domanda sulla configurazione, o vuoi sapere quale lavoro nella tua azienda si può automatizzare? Entro un giorno lavorativo ricevi una risposta personale da me.