Contrattualistica, GDPR e AI Act: cosa rischia davvero chi lavora con documenti scaricati da internet e strumenti di intelligenza artificiale
Ogni sera chiudi a chiave l’ufficio, inserisci l’allarme, metti le password al computer. Fai di tutto per proteggere la tua azienda.
Eppure potresti aver lasciato la porta del caveau spalancata senza accorgertene.
L’avvocato Erika Bonollo presta consulenza legale a imprese e professionisti in tre settori che oggi si intrecciano continuamente: contratti, privacy e intelligenza artificiale.
La ventisettesima puntata di Paracadute Podcast è la più tecnica della serie, e ha un obiettivo preciso: capire perché un documento può essere perfettamente valido e allo stesso tempo non proteggerti da nulla.
Nota redazionale. Questo articolo riporta il contenuto di una conversazione divulgativa e non costituisce consulenza legale. Le norme citate, in particolare quelle sull’intelligenza artificiale, sono in evoluzione: la puntata fa riferimento allo stato normativo del momento in cui è stata registrata. Per qualunque situazione concreta occorre rivolgersi a un professionista.
Chi è l’avvocato Erika Bonollo
Erika Bonollo è avvocato e presta consulenza legale a imprese e professionisti in tre ambiti strettamente collegati:
- Contrattualistica
- Protezione dei dati personali e GDPR
- Intelligenza artificiale e AI Act
Lavora prevalentemente in via preventiva, cioè costruendo i documenti prima che nasca il problema, e questa è una scelta metodologica che spiega nel corso della puntata.
Quando il danno è già fatto
La puntata parte dalla situazione tipica: l’imprenditore convinto di essere in regola, che usa lo stesso contratto da anni senza aver mai avuto problemi.
Come si manifesta il problema
Le cause che elenca sono le più ordinarie possibili:
- Un ritardo che si protrae oltre il previsto
- Una collaborazione che deve cessare prima del previsto
- Situazioni semplicemente non preventivate
Cosa si fa a quel punto
«La prima cosa che si fa è andare a leggere il contratto. E in questi casi, se il contratto è molto standard, o manca del tutto».
La reazione
È qui che la puntata offre l’osservazione più utile della sezione. La reazione più comune non è la sorpresa:
«La reazione più comune è proprio quella di preoccupazione. Preoccupazione sia per il rapporto contrattuale nel quale è sorto questo problema, ma preoccupazione anche per gli altri rapporti contrattuali che erano regolati allo stesso modo».
È il punto che spesso sfugge: un contratto lacunoso raramente è un caso isolato. Se ne usa uno per tutti, il problema si moltiplica per il numero di clienti.
La frase che ricorre
È il concetto che l’avvocato Bonollo ripete più volte, e riguarda il modo in cui la spesa viene percepita:
«Il contratto, e talvolta gli imprenditori se ne accorgono quando è tardi, non è un costo. In realtà è un investimento».
La ragione è aritmetica: prevenire una situazione costa meno del contenzioso che ne deriverebbe.
Come è diventata avvocato: per caso
La storia personale è breve ma vale la pena riportarla, perché è l’opposto della vocazione.
Lo scetticismo iniziale
Fino a pochi mesi prima di iscriversi, la sua posizione era questa:
«Ma perché una persona dovrebbe andare a fare giurisprudenza, quando è una facoltà complessa, un percorso lungo, e poi di avvocati in Italia ce ne sono tanti?»
Il piano B
Il piano A era design. Non è entrata per un punto.
Giurisprudenza era il piano B, deciso dopo essersi incuriosita sfogliando qualche libro.
Il senso di inadeguatezza che l’ha aiutata
È il dettaglio più interessante della sezione. Veniva da un istituto tecnico, non dal liceo, e questo ha prodotto un effetto inatteso:
«Mi sentivo molto in difetto rispetto a tanti altri miei coetanei, che magari erano nati col sogno e avevano un percorso di studi molto più vicino. E mi sono impegnata molto di più».
Risultato: laurea in quattro anni e mezzo anziché cinque, quando andare fuori corso è la norma.
La cosa che l’ha stupita di più
Inizialmente pensava di voler fare il giudice. Lavorando ha capito che non faceva per lei.
E la scoperta più importante del percorso è anche la ragione per cui oggi lavora in prevenzione:
«Il giudizio, inteso proprio come il contenzioso davanti a un’autorità giudiziaria, spesso è imprevedibile».
Il concetto tecnico
Cita il termine con cui i giuristi indicano questa incertezza: l’alea del giudizio.
«Ci sono tantissime variabili che concorrono a formare il convincimento di un giudice. Quindi è sempre preferibile agire in via preventiva».
È il fondamento di tutto il suo approccio: non si costruiscono contratti per vincere le cause, si costruiscono per non doverle fare.
Cos’è davvero un contratto
È il chiarimento più utile della puntata, perché smonta l’immagine mentale che quasi tutti hanno.
Cosa pensa la gente. «Lo intendono come quel malloppo di dieci pagine con le firme in fondo e la marca da bollo».
Cosa è davvero
La definizione giuridica è molto più ampia:
«Il contratto è quando si incontrano una proposta e un’accettazione. Quindi due manifestazioni di volontà che si incontrano».
Le tre forme
- Scritto, come comunemente inteso
- Verbale
- Per fatti concludenti, cioè tramite un’accettazione tacita
L’esempio di scuola
È quello che si studia al primo anno e rende tutto chiaro:
«Io vado dal giornalaio, prendo il giornale, metto la monetina, ci facciamo un cenno, io me ne vado. A tutti gli effetti ho acquistato la proprietà di quel giornale, ho pagato il prezzo, ma non ci siamo nemmeno parlati».
La conseguenza pratica
Un preventivo firmato per accettazione, se ha tutti i requisiti necessari, configura un accordo. E per giunta un accordo scritto.
La sintesi che ne trae:
«Questo fa capire quanto di contratti siano piene le nostre vite, sia personali ma poi anche soprattutto professionali».
FOCA: i quattro elementi essenziali
Non tutto però è un contratto. Servono quattro elementi, e l’avvocato Bonollo cita l’acronimo con cui li si impara.
FOCA sta per:
- Forma
- Oggetto
- Causa
- Accordo
L’esempio che li spiega tutti
Usa la vendita di un computer:
Forma — si può decidere di scrivere due righe, oppure può essere verbale.
Oggetto — il trasferimento della proprietà del computer, con obbligo di corrispondere il prezzo.
Causa — in questo caso una causa di scambio.
Accordo — l’incontro tra proposta e accettazione.
Cosa succede se manca un elemento. «Se uno di questi elementi manca, il contratto è invalido, addirittura inesistente».
L’esempio pratico che chiude il ragionamento
È utile perché corregge quanto detto poco prima sui preventivi:
«Se in questo contratto manca completamente qualsiasi riferimento alle parti, non sappiamo chi è stato a firmare, e quello in realtà non lo è».
Contratto valido e contratto tutelante
È la distinzione centrale dell’intera puntata, e quella che dà il titolo a questo articolo.
Contratto valido
Un contratto è valido quando ha i quattro elementi essenziali e non ricorrono cause di invalidità.
Le cause di invalidità che cita sono prevalentemente soggettive: aver stipulato sotto minaccia, o trovarsi in conflitto di interessi.
Contratto tutelante
È tutt’altra cosa, e la differenza può costare molto:
«Potrebbe essere banalmente un preventivo firmato che non ha tutta una disciplina giuridica di dettaglio».
L’esempio concreto
È il più utile della puntata per chi lavora come freelance, e riguarda un professionista del marketing.
Il preventivo firmato contiene: attività di campagne pubblicitarie, budget, corrispettivo, parti identificate. È perfettamente valido.
Cosa manca, e sono tutte domande che prima o poi si presentano:
- Di chi è la responsabilità del pagamento del budget pubblicitario?
- Se le campagne non performano come il cliente si aspettava, cosa succede?
- Esiste una responsabilità del professionista?
- Di chi è la proprietà dei contenuti prodotti? Chi ne ha i diritti?
Sull’ultimo punto la sua sottolineatura è esplicita:
«Questo è un tema importantissimo che deve essere regolamentato. Non è necessario ai fini della validità, ma è necessario ai fini della tutela».
Il limite onesto
C’è un passaggio che vale la pena riportare, perché ridimensiona le aspettative:
«Il contratto è uno strumento utilissimo, ma non dà la garanzia al 100% di non avere mai nessun tipo di problema. Viene redatto pensando alle ipotesi di rischio prevedibili».
E aggiunge un requisito che non ci si aspetta di sentire da un avvocato: chi lo redige deve avere «un buon margine di fantasia» per immaginare situazioni rischiose.
Le clausole che mancano quasi sempre
Alla domanda su quale clausola l’imprenditore medio dimentichi sempre, la risposta è che non ce n’è una sola, perché dipende dal contesto.
Ma due ricorrono
La responsabilità. È quella che indica come più sottovalutata in assoluto, e va declinata diversamente a seconda del rapporto.
La durata. Sembra un dettaglio banale, e non lo è:
«Può creare dei problemi se non pensata accuratamente».
Esiste un eccesso di tutela?
La risposta è equilibrata: in fase di redazione si punta alla perfezione rispetto a ciò che si riesce a prevedere.
«Se è davvero perfetto al 100% lo si vede quando sorgono dei problemi, e si vede se quel contratto regge».
Copiare un contratto: cosa si rischia
La domanda parte da un caso reale visto online: un e-commerce che aveva copiato integralmente privacy policy e cookie policy da un concorrente, senza nemmeno cambiare il nome della ditta.
I rischi concreti
L’avvocato Bonollo li elenca per fonte normativa:
Codice del consumo. Nei rapporti B2C, cioè con i consumatori, esistono obblighi di legge specifici. Violarli comporta sanzioni.
GDPR. Una privacy policy copiata e incollata espone a sanzioni economiche.
La sintesi: «Il danno è patrimoniale».
Il rischio di scaricare modelli standard
È diverso ed è più sottile:
«Questi contratti risultano lacunosi. Magari sono validi, ma la disciplina di tutela non è correttamente prevista».
Il rischio di copiare un concorrente
Qui c’è un’osservazione controintuitiva che vale la pena riportare, perché ribalta l’intuizione comune:
«Vengono considerati anche più completi, più corposi, più strutturati. Ma il rischio è che la disciplina venga dettata in modo diverso da come dovrebbe essere fatto. Quindi a volte è peggio».
Un contratto lungo e ben scritto per la situazione di qualcun altro può essere più pericoloso di un contratto breve.
Tradurre contratti stranieri
La domanda è molto concreta: se copio il contratto di una grande azienda americana, presumendo che sia perfetto, e lo traduco, cosa succede?
Caso uno: contratto tra soggetti esteri. «Il rischio è che contenga dei riferimenti normativi e giurisprudenziali non pertinenti, perché abbiamo un contesto normativo completamente diverso».
Caso due: rapporto internazionale reale
Se invece il contratto deve regolare un rapporto tra un’azienda italiana e una straniera, servono due individuazioni precise:
- La legge applicabile
- La competenza giurisdizionale, cioè davanti a quale autorità andare in caso di controversia
Con un limite che segnala: nei rapporti con i consumatori esistono vincoli specifici.
La clausola sulla lingua
È il consiglio tecnicamente più utile della sezione, e quasi nessuno ci pensa:
«Nei contratti redatti in più lingue è sempre buona cosa inserire una clausola che individua la lingua ufficiale tra le parti».
Perché serve
«Una clausola in una determinata lingua può essere interpretata in un certo modo, e nell’altra si presta a un’interpretazione leggermente diversa».
La soluzione: si stabilisce quale versione fa fede, e le altre restano traduzioni di comodo.
L’intelligenza artificiale nei contratti
Il principio di base
È formulato in modo semplice e definitivo:
«A fronte di un prompt generico, l’output non può che essere generico».
Con la conseguenza: quel risultato equivale a un modello scaricabile online.
Il rischio principale
Non è lo strumento, è la fiducia che gli si accorda:
«Le insidie sono principalmente la fiducia che si ripone nell’output dell’intelligenza artificiale».
Cosa può andare storto
- Il documento può essere semplicemente sbagliato
- Può contenere clausole non pertinenti a quel contesto
- I riferimenti normativi o giurisprudenziali possono non essere corretti
La regola. «È sempre bene sottoporlo a una validazione legale. Anzi, è la cosa proprio fondamentale».
Il paradosso che incontra nel lavoro
È un’osservazione onesta che molti professionisti riconosceranno:
«A volte è più il tempo che si impiega nel revisionare, nel ristrutturare completamente una bozza, che non a farlo da zero».
E aggiunge la difficoltà collaterale: spiegarlo al cliente.
Come la usa lei
La risposta è interessante perché non è difensiva. La usa, e spesso:
«Ho visto che mi accelera veramente il lavoro se io dico all’intelligenza artificiale cosa scrivere e come scriverlo».
Il contrario — «predisponi un contratto per regolare questa collaborazione», punto — produrrebbe un risultato inutilizzabile.
La differenza sta nel fatto che lei sa già dove vuole arrivare.
Quando è la controparte a usare l’AI
È il problema più nuovo che descrive, e ha conseguenze concrete.
Il meccanismo
La controparte non ha un consulente legale. Riceve il documento contrattuale, lo dà in pasto a un chatbot, e prende le obiezioni che ne escono come oro colato.
Il riconoscimento
L’avvocato Bonollo non liquida la cosa, e questa è la parte più equilibrata della sua risposta:
«Esaminare il contratto è meglio che firmarlo senza leggerlo. Quindi da questo punto di vista è uno strumento molto utile».
Il problema
«Mi è capitato che alcune obiezioni che mi riportava la controparte, senza poi comprenderle a fondo, fossero completamente prive di fondamento. E si considerasse fregato».
E il punto centrale:
«Se avesse avuto un consulente legale, questo avrebbe potuto tranquillizzarlo: è vero che questa clausola è sbilanciata, ma è vero anche che in questo contesto deve essere fatto così».
Il costo reale
È l’informazione più forte della sezione, e riguarda un effetto che nessuno si aspetta:
«Qui io ho visto anche negoziazioni saltare completamente».
La diagnosi: «Mancava il filtro, mancava il consulente legale che faceva da tramite».
Perché succede
La spiegazione tecnica è precisa:
«Il cliente, la persona comune, non ha le conoscenze e le competenze per riuscire a capire quali informazioni sono necessarie e rilevanti da un punto di vista giuridico».
E porta un esempio dalla sua pratica quotidiana:
«Non mi è mai capitato che il cliente sapesse esattamente tutto quello che doveva dirmi. Spesso sono io che devo dire: attenzione, ritorniamo su questo passaggio, approfondiamolo».
Se il contratto lo ha scritto l’AI, di chi è la colpa
La domanda è diretta e la risposta è secca.
«L’intelligenza artificiale al momento non ha una soggettività, quindi una capacità processuale. Non posso andare a dire: guarda, l’ha scritto l’intelligenza artificiale».
Chi risponde
«Nel momento in cui una persona lo redige, lo firma, è responsabile di quello che ha firmato, dei vincoli che ha assunto».
Le conseguenze ricadono interamente sulle parti firmatarie.
La conseguenza logica. All’osservazione che allora bisognerebbe leggere sempre tutto, la risposta è semplice: «Beh, dovremmo sì».
Il metodo: leggere il contratto insieme al cliente
È una pratica professionale che l’avvocato Bonollo descrive e che vale la pena conoscere, perché non è scontata.
«Quando lo predispongo, io fisso un appuntamento con il cliente per leggerlo assieme tutto».
Le tre ragioni
- Che capisca esattamente cosa c’è scritto
- Che possa segnalare se qualche aspetto pratico non va
- Che sia in grado di usarlo se la controparte solleva obiezioni
Perché serve. «Non ha le competenze per leggerlo e comprenderlo autonomamente, perché alcuni istituti sono giuridici, quindi di competenza di chi ha studiato».
Il cliente che passa il contratto a ChatGPT
Alla domanda se le sia capitato, la risposta è che nessuno gliel’ha detto esplicitamente, ma se ne accorge:
«Spesso mi vengono poste delle domande che un po’ di tempo fa non mi venivano poste, perché postulano una lettura attenta e una certa competenza».
La sua posizione
Ed è qui che la risposta diventa notevole, perché non è difensiva:
«Questa è una cosa molto giusta, secondo me. È giusto che il cliente conosca profondamente il contratto che io ho predisposto per lui».
La difficoltà vera, aggiunge, non è il proprio cliente più informato. È spiegare quelle stesse clausole alla controparte.
Cosa succede quando carichi dati su un tool di AI
La domanda è posta molto bene: prendo la lista dei miei clienti con tutti i loro dati, la carico su un tool per farmi un riassunto. In quel millisecondo, cosa ho fatto?
Il problema di fondo. «Spesso quando si usano questi sistemi non si ha il controllo, talvolta nemmeno la consapevolezza, di cosa succede a quei dati».
La distinzione fondamentale
Dati propri. Se sono dati esclusivamente tuoi, puoi farne quello che vuoi. L’avvocato Bonollo invita comunque alla prudenza.
Dati di altre persone. Qui cambia tutto:
«A tutti gli effetti ho degli obblighi e delle responsabilità di tutela».
Cosa va verificato
- Le policy dello strumento di intelligenza artificiale
- Se il trasferimento vada mappato e contrattualizzato, tipicamente tramite un atto di nomina a responsabile esterno, detto DPA
- Se ne derivi un trasferimento internazionale di dati, con le misure conseguenti
Server negli Stati Uniti: cosa cambia
La domanda è pratica: quasi tutti i grandi strumenti di AI hanno server negli Stati Uniti.
La premessa che rassicura. «Il trasferimento internazionale di dati non è di per sé una violazione».
Il meccanismo
Il trasferimento è ammesso quando esiste una decisione di adeguatezza della Commissione Europea, che riconosce come adeguata la legislazione del paese destinatario.
In mancanza, servono misure specifiche: clausole particolari, codici di condotta, e altro.
La situazione
Per gli Stati Uniti, spiega, la decisione di adeguatezza esiste. Ma aggiunge una cautela:
«È sempre bene tenere monitorato, insomma, il tutto».
Nota redazionale: la cautela è giustificata. Il quadro sui trasferimenti verso gli Stati Uniti è stato oggetto negli anni di più pronunce e ridefinizioni, ed è uno degli ambiti che vanno verificati al momento in cui si opera.
Far firmare un contratto a Google: si può?
È l’obiezione più sensata della puntata, e l’intervistatore la pone bene: se i fornitori di AI sono responsabili del trattamento, un idraulico o un freelance di provincia dovrebbero far firmare un contratto a Google o a OpenAI. Cosa impensabile.
La risposta
L’avvocato Bonollo riconosce la legittimità della domanda, e poi spiega come funziona davvero:
«L’obbligo di legge esiste, e ad oggi viene gestito attraverso dei modelli di nomina forniti direttamente dai provider».
Cosa deve fare l’utente professionale
- Verificare che quel documento esista
- Valutarlo
- Esaminare le policy sul trattamento dei dati
Non si negozia con Google. Si verifica che Google metta a disposizione ciò che serve, e lo si conserva.
Cosa rischia chi non è in regola
In caso di ispezione
Se un’azienda subisce un’ispezione del Garante senza aver mappato i trattamenti e i trasferimenti, si crea una situazione di illiceità.
La verifica riguarda: quali dati sono andati dove, quali violazioni sono state commesse, e soprattutto in che qualità quel soggetto trattava i dati.
Le sanzioni GDPR
I numeri sono quelli previsti dal regolamento:
«Possono arrivare fino a 20 milioni di euro o al 4% del fatturato, se superiore».
La precisazione che tranquillizza
È importante e viene spesso omessa quando si citano quei numeri:
«La sanzione viene graduata a seconda di tutta una serie di criteri e di peculiarità della violazione. Non si applica sempre la sanzione massima».
L’AI Act: la piramide del rischio
È la spiegazione più chiara della puntata, e l’avvocato Bonollo la costruisce come una piramide a quattro livelli.
Cos’è l’AI Act. È un regolamento europeo, quindi direttamente applicabile in tutti gli Stati membri senza atto di recepimento interno.
Livello 1 (apice): rischio inaccettabile
Sistemi considerati in contrasto con i principi, i diritti e i valori fondamentali dell’Unione. Sono vietati.
L’esempio che porta è il social scoring:
«Si attribuisce ai cittadini un punteggio sulla base di alcune azioni, e questo punteggio poi è rilevante in altri contesti, come l’accesso al credito e ad altri servizi pubblici».
Livello 2: rischio alto
Sistemi che possono incidere su salute, sicurezza e diritti delle persone.
Non sono vietati, ma richiedono adempimenti: valutazione di conformità, misure per la gestione del rischio, controllo umano.
I settori che cita:
- Istruzione e formazione professionale
- Occupazione e gestione dei lavoratori
- Servizi pubblici e privati essenziali
- Amministrazione della giustizia
Livello 3: rischio limitato
Non pongono particolari problemi sui diritti fondamentali, ma richiedono un obbligo di trasparenza.
L’esempio è il chatbot generico:
«È sempre necessario che l’utente sia consapevole di quando sta parlando con una macchina e non con un umano».
Livello 4 (base): rischio nullo o minimo. Nessun obbligo. L’esempio che porta sono le calcolatrici, dove l’AI è un ausilio.
La cautela metodologica
C’è un passaggio importante alla domanda sugli agenti autonomi:
«Occorre individuare proprio sulla lettera della norma se il sistema viene classificato in alto rischio o a rischio limitato. Così è difficile, non si può generalizzare».
La classificazione va fatta caso per caso, prima di iniziare a usare lo strumento.
L’obbligo che quasi nessuno conosce
È l’informazione più azionabile dell’intera puntata, e riguarda praticamente ogni azienda che usa l’AI.
L’obbligo
«È un obbligo stabilito dall’articolo 4 dell’AI Act».
Stabilisce che fornitori e utilizzatori professionali di sistemi AI devono garantire che il proprio personale, e anche i soggetti che trattano dati per loro conto, abbiano un sufficiente grado di alfabetizzazione.
Da quando. «È una disposizione già applicabile da febbraio, quindi è già un annetto ormai che è in vigore».
Come si misura
Non c’è uno standard fisso:
«Viene calato nel contesto: dipende dal grado di istruzione, dall’ambito, dalle conoscenze, dalle competenze».
Perché conta
Alla domanda diretta — se ho dipendenti e usiamo l’AI, sono obbligato per legge a formarli? — la risposta è una sola parola:
«Eh sì, letteralmente sì».
L’Europa regolamenta troppo?
La domanda è posta come provocazione: l’America e la Cina corrono, l’Europa regolamenta. Non è un suicidio tecnologico mascherato da tutela dei diritti?
La risposta. «No, a mio avviso assolutamente no».
L’argomento. «L’intelligenza artificiale è uno strumento potentissimo, e a fronte di uno strumento così potente la regolamentazione è imprescindibile».
La correzione al presupposto
È la parte più utile della risposta, perché smonta l’idea che l’Europa sia sola:
«Si stanno attivando per dettare una disciplina normativa anche in paesi diversi da quello europeo. L’UNESCO ha dettato delle linee guida sull’uso dell’intelligenza artificiale».
Il punto che quasi nessuno considera
È l’osservazione tecnicamente più rilevante della sezione:
«L’AI Act non si applica soltanto a chi risiede in Europa. Anche uno sviluppatore che si trova in un’altra parte del mondo, se sviluppa un prodotto passibile di essere utilizzato in Unione Europea, è comunque soggetto alla disciplina».
È il cosiddetto effetto extraterritoriale, lo stesso meccanismo che ha reso il GDPR uno standard di fatto ben oltre i confini europei.
Cosa smettere di fare
Alla domanda su cosa un’azienda debba fare per non prendere multe quando l’AI Act sarà pienamente a regime, la risposta è in tre punti.
- Non utilizzare né sviluppare sistemi che ricadono nel rischio inaccettabile
- Avviare una valutazione interna del rischio in base all’utilizzo che si fa del sistema
- All’occorrenza, avviare un percorso di compliance
Come si dorme facendo questo mestiere
La domanda è personale: quando ti chiamano disperati perché rischiano cause milionarie, come fai a non portarti tutto a casa?
La frase che le ha cambiato la prospettiva
Viene da un avvocato con cui lavorava nei primi anni dopo l’università, ed è probabilmente la cosa più memorabile della puntata:
«Guarda che gli avvocati non devono farti vincere la causa. Devono cercare di farti perdere poco».
Come la interpreta
«Io non ho un dovere di salvarti, perché non ho la possibilità, non posso compiere miracoli. Il mio dovere è fare quello che posso con gli strumenti che ho a disposizione per portarti al risultato migliore».
Perché funziona
La sua conclusione è semplice ed è applicabile a qualunque professione d’aiuto:
«Tu non ti senti in dovere di salvare nessuno, perché non hai la possibilità, le capacità. Ma fai quello che puoi».
Quando deve dire di no
Alla domanda se le capiti di rifiutare clienti, la risposta distingue due momenti.
Il suo dovere
«È mio dovere informare il cliente del perimetro normativo all’interno del quale si sta muovendo. Poi è il cliente che decide se correre certi rischi o no».
Il suo limite. «Io non posso collaborare e redigere documenti per aiutarlo a svolgere attività che sono di dubbia liceità o comunque illecite».
È successo
Conferma che è capitato, e che è capitato più volte proprio sul tema dell’intelligenza artificiale.
«Mi spiegavano che alcuni sistemi possono veramente essere molto molto spinti. E naturalmente ricadono all’interno di quel perimetro di rischio inaccettabile».
La sua risposta in quei casi: «No, guarda che questa cosa non si può proprio fare».
Legge davvero i termini e condizioni?
La domanda è maliziosa nel modo giusto, e la risposta è disarmante.
«No, molto spesso non li leggo».
Il vantaggio che ha
Va direttamente alle clausole che le interessano:
«Conosco cosa dovrebbe esserci scritto, o comunque conosco cosa la legge mi garantisce indipendentemente da quello che c’è scritto».
L’aneddoto sulla casa
È il momento più umano della puntata e ha due facce opposte.
Le proposte d’acquisto. Su modelli standard forniti dalle agenzie immobiliari, ha fatto perdere due ore a un agente per far modificare le cose che riteneva sbagliate.
La sua valutazione di quei modelli: un misto tra standard, sbagliati nell’impostazione, e potenzialmente forieri di attriti tra le parti.
L’atto di mutuo. Qui ha fatto l’opposto, e lo ammette ridendo:
«Una volta appurate le condizioni economiche principali, mi sono completamente astenuta dal leggere qualsiasi cosa, appunto perché era meglio non sapere».
«Gli avvocati odiano ChatGPT»
È la domanda da avvocato del diavolo: gli avvocati vi terrorizzano con GDPR e clausole solo per continuare a chiedere duemila euro per un contratto che la macchina fa gratis in tre secondi.
La risposta. «Prima di tutto, io non odio ChatGPT. Anzi, penso che l’intelligenza artificiale sia uno strumento utilissimo anche e soprattutto per gli avvocati».
Lo stato attuale. «Al momento l’intelligenza artificiale non è in grado di redigere un contratto ben fatto, tutelante, come riesce a fare un professionista».
E se un giorno lo fosse?
È la parte migliore della risposta, perché ragiona contro il proprio interesse immediato:
«Se un domani dovesse riuscire a farlo, che non escludo, ben venga per tutti. Nel momento in cui viene sottoposto a validazione legale, il tempo che io impiegherò è inferiore rispetto a quello che impiego oggi. Quindi non potrò mai chiedere lo stesso compenso».
La conclusione:
«Tra x anni redigere un contratto sarà molto più economico, appunto perché è molto più rapido, anche con validazione legale».
La sua posizione
«Penso che l’intelligenza artificiale non sia un concorrente del mio lavoro. Penso sia uno strumento».
E aggiunge che il lavoro cambierà, come è già successo, facendo nascere esigenze nuove. La compliance AI, dice, ne è già un esempio.
I kit compliance a novantanove euro
È il tema su cui è più netta, e riguarda un mercato reale: pacchetti preconfezionati per la conformità GDPR e AI Act venduti a poche decine di euro.
La posizione
«È impossibile avere uno strumento standard che ci renda davvero compliant».
La ragione: sono tematiche che postulano una valutazione specifica di tutto ciò che si fa con quei dati o con quegli strumenti.
La sfida che lancia
«Se esiste, fatemi sapere qual è. Ma per quel che ho potuto vedere in questi anni, non ho mai visto un’informativa creata attraverso questi pacchetti che vada facilmente bene».
La conseguenza pratica è la parte più utile:
«Ogni volta doveva essere completamente rivista. Quindi in realtà non mette al riparo da niente».
Il punto centrale
È la frase che spiega perché quei kit non possono funzionare per definizione:
«Quei documenti vengono predisposti a valle di tutto un mega lavoro, che deve comunque esistere perché il documento vada bene».
Il documento non è il lavoro. È il risultato del lavoro. Comprare il risultato senza il processo non produce conformità.
La regola pratica. «Tutto quello che è facsimile, preimpostato, facile, veloce, difficilmente è davvero compliance».
Sui professionisti online
Alla domanda su come riconoscere chi dice cose vere sui social, la risposta è onesta sui limiti:
«È come se io dovessi parlare con un medico. Non ho le competenze per sapere se mi sta dicendo il giusto o lo sbagliato».
L’unico consiglio che si sente di dare: attenersi alle fonti e ai canali ufficiali.
Scenario: il logo, il pollice su e il mancato pagamento
Lo scenario è realistico e riguarda moltissimi freelance.
Sono un grafico. Mando un preventivo su WhatsApp. Il cliente risponde con un pollice in su. Lavoro un mese, mando la fattura, e lui dice: non ti pago, non abbiamo mai firmato un contratto.
Step 1: verificare se il contratto esiste
È il passaggio che riprende tutta la prima parte della puntata. Il preventivo aveva tutti gli elementi essenziali?
E soprattutto, ci sono stati comportamenti concludenti?
«A parte il pollice in su, che comunque mostra una certa adesione, approvazione, magari ha anche collaborato nel fornire qualche contenuto o documento utile per la creazione del logo».
È il punto decisivo: la collaborazione attiva del cliente durante l’esecuzione è un elemento che concorre a dimostrare l’accordo.
Step 2: intimazione di pagamento. Se il contratto esiste ed è valido, indipendentemente dalla firma, si procede con un’intimazione formale.
Step 3: azione legale. Se l’intimazione viene ignorata.
Cosa si impara
Il pollice in su non è una firma, ma non è nemmeno nulla. La difficoltà reale, come l’avvocato Bonollo dice altrove, non è l’esistenza dell’accordo ma la sua prova.
Scenario: attacco hacker e settantadue ore
Il secondo scenario è più grave. Ho fatto caricare al mio team tutti i report di vendita con nomi e fatturati dei clienti su un tool di AI esterno. Quel tool ha subito un attacco. Ho settantadue ore.
Step 1: verificare se c’è davvero un data breach
È il passaggio che quasi nessuno farebbe, e che l’avvocato Bonollo mette per primo.
La domanda è: quei dati erano dati personali?
«Dato personale è un’informazione che si riferisce a una persona fisica e la rende identificata o identificabile».
Se si trattasse solo di dati riferiti a persone giuridiche, non si rientrerebbe nell’ambito del data breach.
Step 2: applicare la propria policy
Ed è qui che emerge il vantaggio di aver lavorato in prevenzione:
«Se quell’imprenditore è stato diligente, dovrebbe avere una policy che detta gli step operativi in caso di data breach».
Chi ha fatto il lavoro prima non deve improvvisare durante l’emergenza.
Step 3: rivolgersi a un professionista. Per le valutazioni e gli adempimenti conseguenti.
Cosa succede davvero, dalla sua esperienza
Le è capitato, e racconta come si è risolto: comunicazione al Garante, annotazione nel registro interno dei data breach, e un esito migliore del previsto.
Ma segnala la parte critica:
«C’è una prima fase in cui è necessario essere abbastanza veloci nelle valutazioni: capire cosa è successo ai dati, quanto sono stati compromessi, se ci sono rischi per i diritti e le libertà delle persone coinvolte».
Domande a raffica
Meglio un brutto contratto su un tovagliolo o nessun contratto?
La risposta distingue due significati di «brutto».
Se brutto significa esteticamente, non è rilevante.
Se significa scritto male, con clausole incomprensibili che si prestano a interpretazioni contrastanti:
«Sicuramente meglio nessun contratto».
L’errore più ridicolo visto fare a un’AI
È il caso più noto nel mondo dell’avvocatura, e riguarda le cosiddette allucinazioni:
«Inventare riferimenti giurisprudenziali inesistenti o normative inesistenti. Creava delle leggi che non esistevano».
Racconta il caso di un collega che ha depositato un atto difensivo citando sentenze inesistenti. Il giudice è andato a cercarle per leggerne il testo esteso, e non c’erano.
Tra dieci anni ci saranno più o meno contrattualisti?
La risposta è un auspicio motivato:
«Spero di più, perché significa che siamo passati a lavorare di più in ambito preventivo, piuttosto che dopo l’insorgere delle contestazioni».
Un «ok procedi» su WhatsApp è vincolante? «Può essere vincolante allo stesso modo, in presenza di alcune condizioni. La difficoltà è più che altro sul piano di provare l’accettazione».
L’NDA ferma davvero le persone o è terrorismo psicologico? «Non è assolutamente terrorismo psicologico. È uno strumento utilissimo».
Ti fidi più di un collega distratto o di un software aggiornato?
La risposta è «nessuno dei due», ma l’osservazione che segue è la più acuta della sezione:
«Se il collega umano non fosse distratto potrei fidarmi, e quindi non verificare quello che fa. Nel caso dell’intelligenza artificiale devo sempre verificare».
È la differenza tra affidabilità variabile e verifica strutturalmente necessaria.
Cosa provi quando il cliente firma? «Sono contenta per lui».
«Ai miei tempi bastava una stretta di mano»
La risposta è equilibrata e non liquida la nostalgia:
«Il fatto che un tempo le persone fossero più di parola lo rende sicuramente un periodo migliore. Ma una cosa non esclude l’altra: si può essere di parola e contrattualizzare i rapporti».
Cosa dovrebbe fare un imprenditore i cui dipendenti usano AI, WhatsApp e telefoni personali?
Tre cose:
- Mappare trasferimenti e utilizzi
- Documentarli
- Dotarsi di policy IT e policy AI
Il consiglio agli under 30
La domanda riguarda chi apre startup cresciuto con il mito del fare tutto da soli e gratis con la tecnologia.
La menzogna da abbattere. «Fare impresa già è difficile. Fare impresa da soli lo è ancora di più».
Il consiglio
«Farsi supportare e circondarsi di professionisti verticali su determinati settori».
E la riformulazione che rende il consiglio accettabile a chi ha quel mito:
«Fare tutto da soli per me è impensabile. Ma si può fare da soli con il supporto di professionisti».
La ragione. «Errori, soprattutto nel mondo dell’imprenditoria, possono costare caro».
Chi dovrebbe fare di più: il legislatore, l’avvocato o l’imprenditore?
La risposta è secca e responsabilizzante:
«L’imprenditore stesso, perché gli strumenti ci sono».
E la spiegazione:
«Spesso ci sono situazioni scomode per gli imprenditori proprio perché non avevano fatto il loro».
La Domanda Finale
Come in ogni puntata, la chiusura è la stessa domanda sull’istante dopo aver chiuso gli occhi per l’ultima volta.
La risposta dell’avvocato Bonollo è la più asciutta di tutta la serie:
«Io di solito non ci penso. Quindi non saprei, non ho proprio la più pallida idea, non ho una credenza precisa a riguardo».
Perché è coerente
È l’unica ospite che risponde di non avere una posizione, e non prova a costruirsene una sul momento.
È lo stesso atteggiamento che ha tenuto per un’ora: dove non c’è base, non si afferma. È la stessa ragione per cui, sui professionisti online, ha detto semplicemente che non ha le competenze per giudicare un medico.
Checklist pratica
Sezione redazionale, ricavata dai contenuti della puntata. Non sostituisce una valutazione professionale.
Sui contratti
- Verifica che i tuoi contratti abbiano una clausola sulla responsabilità
- Verifica che abbiano una durata pensata, non generica
- Se produci contenuti, verifica che sia regolata la proprietà e la titolarità dei diritti
- Non usare modelli scaricati né copiati da concorrenti: nel secondo caso il rischio è maggiore, non minore
- Nei contratti internazionali: legge applicabile, foro competente, lingua ufficiale
- Ricorda che un preventivo firmato, o accettato per fatti concludenti, può essere un contratto
Sui dati e sull’AI
- Prima di caricare dati altrui su un tool, verifica le policy del fornitore
- Verifica che esista e sia stato accettato il DPA messo a disposizione dal provider
- Mappa i trasferimenti, compresi quelli internazionali
- Classifica i sistemi AI che usi secondo la piramide del rischio, prima di adottarli
- Verifica l’obbligo di alfabetizzazione del personale: è già in vigore
- Se usi chatbot rivolti al pubblico, assicurati che sia chiaro che si parla con una macchina
- Dotati di policy IT e policy AI interne
- Predisponi una procedura per il data breach prima che serva
Sull’uso quotidiano
- Se usi l’AI per redigere, dille cosa scrivere e come, non solo cosa ti serve
- Sottoponi sempre l’output a validazione
- Non usare la versione gratuita per lavoro
- Diffida dei kit compliance preconfezionati
Glossario
- FOCA — Acronimo dei quattro elementi essenziali del contratto: Forma, Oggetto, Causa, Accordo.
- Fatti concludenti — Comportamenti che manifestano l’accettazione senza dichiarazione esplicita.
- Alea del giudizio — L’imprevedibilità intrinseca dell’esito di un contenzioso.
- Contratto valido — Contratto che ha gli elementi essenziali e non presenta cause di invalidità.
- Contratto tutelante — Contratto che, oltre a essere valido, contiene la disciplina di dettaglio necessaria a proteggere le parti.
- B2C — Rapporto tra impresa e consumatore, soggetto agli obblighi del codice del consumo.
- GDPR — Regolamento europeo sulla protezione dei dati personali.
- Dato personale — Informazione riferita a una persona fisica identificata o identificabile.
- Data breach — Violazione dei dati personali.
- DPA — Atto di nomina a responsabile esterno del trattamento.
- Decisione di adeguatezza — Provvedimento della Commissione Europea che riconosce adeguata la tutela dei dati in un paese terzo.
- AI Act — Regolamento europeo sull’intelligenza artificiale, direttamente applicabile negli Stati membri.
- Social scoring — Attribuzione di punteggi ai cittadini in base al comportamento. Rientra nel rischio inaccettabile.
- Alfabetizzazione AI — Obbligo, previsto dall’articolo 4 dell’AI Act, di garantire un livello sufficiente di competenza al proprio personale.
- Compliance — Conformità alla normativa applicabile.
Domande Frequenti
Un preventivo firmato è un contratto? Può esserlo, se ha tutti gli elementi essenziali. Se manca l’identificazione delle parti, per esempio, non lo è.
Un «ok» su WhatsApp vale? Può valere. Il problema principale non è la validità ma la prova dell’accettazione.
Posso usare un contratto trovato online?
Puoi, ma sarà probabilmente valido e non tutelante. Copiare quello di un concorrente può essere anche peggio, perché contiene una disciplina pensata per una situazione diversa.
Posso tradurre un contratto americano? È rischioso: conterrà riferimenti normativi non pertinenti. Nei rapporti internazionali servono clausole su legge applicabile, foro competente e lingua ufficiale.
Posso far scrivere un contratto all’AI? Puoi, ma va sottoposto a validazione legale. E se firmi, la responsabilità è interamente tua: l’AI non ha soggettività giuridica.
Posso caricare i dati dei miei clienti su ChatGPT? Non senza verifiche. Vanno controllate le policy del fornitore, l’esistenza di un DPA, e la gestione dell’eventuale trasferimento internazionale.
I server americani sono un problema?
Il trasferimento non è di per sé una violazione. Serve una decisione di adeguatezza, che per gli Stati Uniti esiste, ma il quadro va tenuto monitorato.
Quanto rischio se sbaglio?
Sul GDPR fino a 20 milioni di euro o al 4% del fatturato se superiore. Ma la sanzione è graduata secondo criteri, e non si applica automaticamente il massimo.
Devo formare i miei dipendenti sull’AI? Sì. È l’obbligo di alfabetizzazione dell’articolo 4 dell’AI Act, già in vigore.
I kit compliance a poche decine di euro funzionano?
Secondo l’avvocato Bonollo no, e la ragione è strutturale: quei documenti sono il risultato di un lavoro di analisi, non un sostituto di quel lavoro.
Conclusioni: valido non significa protetto
Questa puntata ruota attorno a una sola distinzione, e vale la pena tenerla:
Un contratto può essere perfettamente valido e non proteggerti da nulla.
La validità riguarda l’esistenza dell’accordo. La tutela riguarda cosa succede quando le cose vanno male. Sono due piani diversi, e quasi tutti confondono il primo con il secondo.
Le tre cose da ricordare
Il contratto non è un costo. È il concetto che ripete di più, e la ragione è aritmetica: costa meno prevenire una situazione che gestirne il contenzioso.
L’AI non è il problema, l’assenza di filtro sì. L’avvocato Bonollo non demonizza lo strumento, che usa quotidianamente. Segnala però un effetto concreto: negoziazioni saltate perché nessuno era in grado di contestualizzare un output.
Il documento è il risultato, non il lavoro. È il motivo per cui i pacchetti preconfezionati non funzionano, ed è il ragionamento più solido della puntata.
La frase che si porta a casa chiunque
Vale ben oltre la professione legale:
«Gli avvocati non devono farti vincere la causa. Devono cercare di farti perdere poco».
Contatti
L’avvocato Erika Bonollo presta consulenza legale a imprese e professionisti in materia di contrattualistica, protezione dei dati personali e intelligenza artificiale.
Il suo approccio è prevalentemente preventivo: costruire i documenti prima che nasca la controversia, con contratti personalizzati e non modelli standard, e accompagnare il cliente nella comprensione di ciò che firma.
Trovi tutti i suoi riferimenti e contatti nella descrizione dell’episodio su YouTube.
Hashtag
#ParacadutePodcast #ErikaBonollo #Contratti #Contrattualistica #GDPR #Privacy #AIAct #IntelligenzaArtificiale #Compliance #DirittoDigitale #DataBreach #Imprenditoria #Startup #TutelaLegale #Avvocato