AI come servizio: SaaS, cloud e AI Act nei contratti

I servizi di intelligenza artificiale stanno rapidamente ridefinendo i confini dell'economia digitale, trasformando l'IA da tecnologia "prodotto" a infrastruttura continua di erogazione, integrata nei processi attraverso modelli cloud e SaaS. Questa evoluzione non è solo tecnica, ma profondamente giuridica: cambia il modo in cui il rischio viene distribuito e le responsabilità vengono allocate tra fornitori e utilizzatori.

Il presente approfondimento si inserisce in una serie di contributi dedicati al rapporto tra diritto e intelligenza artificiale, e si concentra su come questi sistemi vengano ricondotti a modelli contrattuali esistenti, evidenziando le tensioni tra regolazione europea e prassi contrattuale nella gestione della responsabilità.

I modelli di IA come servizi digitali

Alla luce del quadro normativo europeo delineato, emerge un assetto regolatorio fortemente orientato alla prevenzione del rischio, alla governance organizzativa e alla distribuzione ex ante di obblighi tra i diversi attori della filiera dell'Intelligenza Artificiale. Tuttavia, tale impianto lascia aperti significativi profili critici.

L'enfasi posta dal Legislatore europeo sugli obblighi di conformità, gestione del rischio e sicurezza informatica non si traduce automaticamente in un sistema altrettanto definito sul piano pratico-sostanziale, dove il contratto si rivela strumento decisivo. In questo contesto risulta doveroso analizzare come i modelli di IA vengono inquadrati, nella prassi, all'interno di schemi contrattuali preesistenti, in particolare quali servizi digitali.

I modelli di IA generativa, infatti, non sono immessi sul mercato come beni in senso tradizionale, né trasferiti all'utente mediante un contratto di vendita o di cessione definitiva. Essi vengono, piuttosto, messi a disposizione attraverso schemi contrattuali di tipo licenziatario o di erogazione di servizi, che attribuiscono all'utilizzatore un diritto d'uso delimitato nel tempo e nelle modalità, senza alcun trasferimento della titolarità del sistema o del modello sottostante. Muovendo da questa premessa, diviene necessario esaminare con particolare attenzione i contratti più frequentemente proposti dai fornitori. Tali contratti – spesso predisposti unilateralmente da operatori esteri – presentano non di rado profili critici comuni, a partire dalla loro struttura standardizzata e dalla sostanziale impossibilità di negoziare le clausole, con evidenti riflessi in termini di allocazione dei rischi, responsabilità, trattamento dei dati e proprietà intellettuale.

Il paradigma AI-as-a-Service

Secondo il paradigma dell'AI-as-a-Service, quale specifica declinazione dei servizi digitali erogati in modalità cloud, l'utente non acquista il modello, ma accede a una funzionalità resa disponibile tramite infrastrutture tecniche e ambienti informatici che restano integralmente nella disponibilità del fornitore. È il caso, ad esempio, dei servizi offerti da OpenAI attraverso ChatGPT, da Microsoft con Microsoft Copilot e da Google mediante Google Gemini.

A tal proposito, il Software as a Service (SaaS) costituisce un modello di erogazione del software fondato sull'accesso remoto, nel quale il cliente non riceve una copia del programma da installare – come invece avviene per il modello tradizionale on-premise – sui propri dispositivi, ma utilizza un'applicazione resa disponibile via internet e ospitata sul server del fornitore, che gestisce infrastruttura, manutenzione, aggiornamenti, sicurezza e continuità operativa.

Sul piano giuridico, tale configurazione comporta che il cliente acquisisce un diritto di utilizzo limitato nel tempo e nelle modalità, subordinato al rispetto di specifiche clausole contrattuali e, di regola, al pagamento di un canone periodico. Ne deriva che il contratto SaaS deve disciplinare con particolare attenzione i livelli di servizio (SLA), specificando parametri quali uptime, tempi di intervento, continuità del servizio e rimedi in caso di interruzioni o modifiche delle funzionalità.

Solo attraverso una regolamentazione puntuale di tali aspetti è possibile garantire un adeguato equilibrio tra le esigenze operative del cliente e la struttura tecnico-organizzativa del fornitore, che rimane il vero dominus dell'infrastruttura digitale.

L'alternativa: la soluzione personalizzata

In alternativa a queste soluzioni, si può optare per lo sviluppo di un sistema personalizzato, costruito su uno specifico modello di Intelligenza Artificiale e alimentato da dataset selezionati in funzione delle esigenze del committente. Si tratta di una soluzione "su misura", pensata per rispondere a funzionalità e obiettivi specifici.

Tale soluzione negoziale, tuttavia, implica generalmente maggiori costi e complessità, dunque risulta meno utilizzata. Essa richiede:

• attività preliminari di individuazione e validazione dei dataset;
• un'accurata progettazione di processi e funzionalità;
• una puntuale disciplina contrattuale dell'accesso alle informazioni tecniche relative allo sviluppo, inclusi codice sorgente e algoritmi.

Solo attraverso una regolamentazione chiara di questi aspetti il committente può assicurarsi un controllo effettivo sul sistema e la possibilità di gestirlo autonomamente, anche con il supporto di sviluppatori terzi.

Analisi dei principali servizi di IA: ChatGPT di OpenAI

Il contratto predisposto da OpenAI per l'utilizzo di ChatGPT si inserisce pienamente nello schema tipico di fornitura di servizi digitali in modalità Software as a Service, presentando naturalmente le peculiarità strettamente connesse alla natura dei sistemi di Intelligenza Artificiale generativa.

L'utente, infatti, non acquisisce alcun diritto di proprietà sul software né sui modelli di Intelligenza Artificiale, ma ottiene un diritto di accesso e utilizzo non esclusivo, temporalmente limitato alla durata dell'abbonamento o del piano attivo e revocabile in caso di violazione delle condizioni contrattuali.

La struttura documentale

La struttura documentale del rapporto è articolata e stratificata. Richiedono maggiore attenzione, in via generale:

• i Termini di utilizzo (Terms of Service);
• eventuali condizioni specifiche per i piani a pagamento (quali Plus, Team o Enterprise);
• la Privacy Policy;
• per i clienti business, un Data Processing Addendum (DPA).

Oggetto del contratto e controllo del fornitore

L'oggetto del contratto consiste nell'accesso a una piattaforma di Intelligenza Artificiale generativa che consente l'interazione tramite prompt testuali e, a seconda del piano, anche vocali o multimodali, nonché la generazione di output quali testi, codice o altri contenuti.

Per sviluppatori e imprese è inoltre disponibile l'integrazione tramite API, che permettono di incorporare le funzionalità del modello all'interno di applicazioni o sistemi terzi. Il fornitore mantiene in ogni caso il pieno controllo sull'infrastruttura tecnica, sui modelli e sugli aggiornamenti, riservandosi espressamente la facoltà di modificare, aggiornare o interrompere il servizio.

La disciplina dei contenuti: input e output

Uno degli aspetti centrali del regolamento contrattuale riguarda la disciplina dei contenuti, distinti in input e output. L'utente conserva, in linea generale, la proprietà dei contenuti immessi nel sistema (cioè gli input). Per quanto concerne l'output generato, tutti i diritti su di esso vengono attribuiti all'utente – nei limiti consentiti dalla legge e dalle condizioni contrattuali – con esclusione di garanzie circa l'originalità assoluta dei risultati. Nei piani destinati ai consumatori (B2C) è normalmente prevista la possibilità che i contenuti siano utilizzati per il miglioramento dei modelli (cd. training data), salvo eventuale opt-out; nei piani enterprise, invece, tale utilizzo è generalmente escluso.

Le limitazioni d'uso

Il contratto contiene inoltre una serie di limitazioni d'uso. È vietato impiegare il servizio per finalità illecite o in violazione della normativa applicabile, tentare attività di reverse engineering o di estrazione del modello, utilizzare l'output per sviluppare sistemi concorrenti o impiegare lo strumento in violazione dei termini prestabiliti. Tali divieti, insieme alle clausole di limitazione di responsabilità tipicamente previste, delineano un assetto fortemente asimmetrico che conferma come, nell'era dell'AI-as-a-Service, la tutela dell'utilizzatore passi principalmente dalla consapevolezza del contenuto delle condizioni contrattuali e da una regolamentazione europea capace di colmare i vuoti lasciati dalla prassi.