Checklist contratti fornitori IA: proprietà intellettuale, dati, responsabilità e termini di uscita

Il linguaggio che menziona l'IA è apparso nel 53 per cento degli accordi di servizi cloud firmati nell'anno terminato a giugno 2026, rispetto al 47 per cento nel 2025 e al 38 per cento nel 2024. Circa un contratto su cinque ora negozia modifiche specifiche per l'IA ai termini standard, rispetto a meno del 4 per cento nel 2024. I dirigenti della moda che acquistano strumenti di previsione della domanda, prova virtuale, personalizzazione o supply chain devono affrontare la proprietà intellettuale, l'uso dei dati, l'ambito dell'indennizzo, la residenza, i limiti di responsabilità, gli impegni di performance, il recesso e la portabilità prima di firmare.

L'integrazione dell'IA nei prodotti commerciali e negli accordi software aziendali ha imposto un ripensamento dei quadri contrattuali consolidati. L'approccio migliore sia per il lato acquisto che per il lato vendita è integrare il rischio IA nella sostanza del contratto, incluse le disposizioni PI, il quadro di responsabilità, i termini di governance dei dati, l'allocazione della conformità e gli impegni di livello di servizio.

Chi possiede i dati di addestramento e gli output dei modelli?

Le parti devono allocare la proprietà degli output IA, una questione complessa dato che i contenuti puramente generati dall'IA potrebbero mancare di protezione del diritto d'autore. Gli accordi dovrebbero includere clausole di proprietà esplicite che specificano quale parte possiede gli output, incluse eventuali opere derivate. Le linee guida dell'U.S. Copyright Office e casi recenti indicano che le opere puramente generate dall'IA prive di input umano significativo non sono idonee per la registrazione del diritto d'autore e che i prompt da soli sono generalmente insufficienti per qualificarsi come paternità.

Con i termini a pagamento e business di OpenAI, Anthropic, Google, Microsoft e AWS, possiedi gli output o il fornitore rinuncia a rivendicarli. Un fornitore ospitato non consegna il modello base e un modello che ottimizzi sull'infrastruttura ospitata di OpenAI o Anthropic ritorna come endpoint ospitato dal fornitore anziché pesi portatili. Quando i dati dei clienti vengono utilizzati per ottimizzare o migliorare il modello di un fornitore, le parti devono determinare se il fornitore può utilizzare tali miglioramenti per altri clienti o se il cliente mantiene diritti proprietari.

Il contratto dovrebbe definire i dati di addestramento come distinti dai dati dei clienti e chiarire se il fornitore può utilizzare input o output per addestrare modelli di fondazione. Redatta quando "migliorare il prodotto" significava correggere bug e aggiungere funzionalità, la stessa formulazione nel 2026 copre l'addestramento di un modello di fondazione sugli input dei clienti. Lo standard contrattuale difendibile per SaaS abilitato all'IA nel 2026 ha cinque componenti, a partire dall'addestramento disattivato per impostazione predefinita: il contratto vieta l'uso dei dati dei clienti per addestramento, ottimizzazione, apprendimento per rinforzo o benchmarking di qualsiasi modello IA senza previo consenso scritto da un firmatario cliente nominato.

Quali protezioni di indennizzo PI dovrebbero richiedere gli acquirenti?

Gli indennizzi IA promettono abitualmente di difendere le richieste che i Servizi o il Software violino, il che lascia le richieste sugli output al di fuori della promessa. Un indennizzo scritto contro i "Servizi" o il "Software" che non menziona mai l'output lascia la richiesta che è più probabile affrontare al di fuori della promessa. Gli acquirenti dovrebbero cercare indennizzi ampi che coprano l'uso del sistema IA e degli output, eventuali richieste di violazione PI di terzi derivanti dall'uso di output o dati di addestramento ed eventuali violazioni dei diritti di protezione dei dati o riservatezza.

L'indennizzo IA aziendale è la categoria di clausole contrattuali più fluida nel 2026. Il 47 per cento include l'indennizzo IA nel limite generale di responsabilità, il 31 per cento usa un super limite dedicato da 2x a 3x, il 22 per cento include indennizzo PI senza limite. Una clausola IA ti fa rispondere di come un fornitore IA ha addestrato il suo modello, che non puoi verificare. Abbinata a un indennizzo illimitato, questa è la clausola che può danneggiare di più una piccola impresa. I clienti dovrebbero valutare attentamente le dichiarazioni dei fornitori riguardo alla provenienza dei dati di addestramento e alla conformità con le leggi sulla proprietà intellettuale.

Dove devono essere archiviati e trattati i dati?

L'UE non impone la localizzazione fisica dei dati. L'AI Act dell'UE (pienamente applicabile da agosto 2026) per i sistemi IA ad alto rischio richiede governance dei dati documentata, rilevamento e correzione dei bias e dataset che riflettano le caratteristiche specifiche dell'ambiente di implementazione. La legge non impone la residenza dei dati nell'UE, ma mantenere il trattamento in Europa rende la governance e la traccia di audit più semplici da dimostrare. Gli obblighi GPAI dell'AI Act dell'UE sono entrati in vigore ad agosto 2025. Non impongono la residenza dei dati, ma alzano il livello di trasparenza e documentazione dei dati di addestramento, che è più facile da dimostrare quando il trattamento resta in Europa.

Mistral (francese, nativo UE, tutti i dati UE), Aleph Alpha (tedesco, solo UE), Anthropic Claude via regione AWS-EU (con contratto Enterprise), OpenAI Enterprise con regione Francoforte (disponibile dal 2024), Google Vertex AI con regione europe-west (Belgio/Francoforte) e Microsoft Azure OpenAI Service con regione West-Europe offrono opzioni di residenza dei dati nell'UE. L'aumento del prezzo per la residenza OpenAI è del 10 per cento per i modelli idonei rilasciati il 5 marzo 2026 o successivamente. Gli endpoint di residenza comportano un aumento del 10 per cento per i modelli idonei rilasciati il 5 marzo 2026 o successivamente.

Verifica gli accordi sul trattamento dei dati per clausole specifiche per l'IA. Molti DPA sono stati scritti prima dell'IA generativa e non affrontano i dati di addestramento o la residenza dell'inferenza. Le aziende di moda che gestiscono dati personali dovrebbero specificare la regione del data center, la posizione di trattamento per l'inferenza, l'archiviazione per i backup e se i sub-responsabili hanno impegni di residenza equivalenti.

Come sono strutturati i limiti di responsabilità e le esclusioni?

Gli accordi SaaS standard per prodotti IA includono spesso ampie esclusioni che scartano qualsiasi garanzia di accuratezza o idoneità allo scopo. Dove l'IA è integrata nei processi aziendali core e i risultati contano, gli acquirenti sono sempre più riluttanti ad accettare una postura priva di garanzie. Più accordi includono impegni su benchmark di performance, soglie di accuratezza e obblighi di rimedio quando gli output non sono all'altezza.

I fornitori si concentrano principalmente sulla difesa contro la responsabilità per gli output IA. Nei contratti, questo si manifesta come nuovo linguaggio "configurazione e responsabilità IA" tipo il cliente controlla come si comporta l'IA, quindi il cliente è responsabile dei suoi output, e il fornitore non garantisce che i risultati generati dall'IA siano accurati. Il consulente non avrà alcuna responsabilità per qualsiasi decisione presa o azione intrapresa dal Cliente (o da terzi) basandosi sull'output IA.

Le esclusioni e i limiti di responsabilità non dovrebbero escludere illegalmente la responsabilità per lesioni personali, frode o dolo. Requisiti di mantenere assicurazione di responsabilità professionale o cyber che copra i rischi legati all'IA e le richieste di terzi. Gli acquirenti dovrebbero adeguare i limiti di responsabilità per i danni specifici dell'IA, escludere determinate categorie (ad es. violazioni di dati, violazione PI, dolo, sanzioni regolamentari) dai limiti di responsabilità o esclusioni e allineare gli obblighi di indennizzo dove il rischio è effettivamente creato.

Quali SLA di performance dovrebbero includere i contratti?

I benchmark SLA del 2026 includono SLA di uptime dal 99,5 per cento al 99,99 per cento, tempo di risposta sotto 500ms a 5 secondi, risposta agli incidenti SLA da 1 a 4 ore e accuratezza del modello raramente offerta. Gli acquirenti sofisticati spingono per termini orientati al servizio: descrizioni di servizio definite, garanzie basate sulla performance, diritti di governance e audit e strutture di responsabilità legate ai risultati.

Le aziende di moda dovrebbero negoziare impegni di uptime con crediti di servizio, obiettivi di tempo di risposta per chiamate API, finestre di risposta agli incidenti definite per gravità e, dove possibile, soglie minime di accuratezza per casi d'uso critici come previsione della domanda o raccomandazioni di taglia. Un accordo IA ben redatto riflette il caso d'uso specifico e il profilo di rischio effettivo dell'accordo. Il contratto dovrebbe definire cosa costituisce un'interruzione, come viene misurato il downtime, metodi di calcolo dei crediti ed eventuali esclusioni.

Quali diritti di recesso e portabilità dei dati sono richiesti?

Dal 12 settembre 2025, i fornitori SaaS devono consentire ai clienti di avviare il processo di cambio con un periodo di preavviso massimo di due mesi. Questo avrà un effetto simile a permettere il recesso anticipato per convenienza. In effetti, il Data Act dà a tutti i clienti cloud il diritto di terminare il loro contratto in qualsiasi momento, indipendentemente dalla durata del contratto. Gli utenti devono poter recedere dai contratti SaaS con non più di due mesi di preavviso. I fornitori non possono addebitare il trasferimento dei dati o imporre procedure di migrazione restrittive.

Negozia i termini di uscita dei dati in anticipo: specifica che al momento del recesso per qualsiasi motivo, il fornitore deve fornire un'esportazione completa dei tuoi dati in un formato standard (ad es. CSV o JSON) senza costi aggiuntivi entro 30 giorni. Senza linguaggio esplicito sulla portabilità dei dati, formato di esportazione e finestra di conservazione post-recesso, i clienti non hanno diritto contrattuale ai propri dati dopo la cancellazione, un requisito dell'articolo 28(3)(g) del GDPR e una revisione standard aziendale. L'accordo di abbonamento dovrebbe specificare i diritti di portabilità dei dati, i formati di esportazione e una finestra di conservazione post-recesso, tipicamente da 30 a 90 giorni. L'articolo 28(3)(g) del GDPR richiede ai responsabili di eliminare o restituire tutti i dati personali dopo la fine dei servizi. Per SaaS abilitato all'IA, il contratto deve richiedere separatamente l'eliminazione dei pesi del modello, embedding o artefatti derivati addestrati sui dati dei clienti.

Il contratto dovrebbe elencare i formati di dati (CSV, JSON, Parquet), specificare se l'accesso API continua per un periodo di transizione, chiarire la tempistica per la conferma di eliminazione e affrontare cosa succede ai modelli ottimizzati, embedding o insight generati dall'IA derivati dai dati dei clienti. L'analisi delle lacune contrattuali mostra che il 30 per cento dei contratti IA aziendali manca di clausole sulla portabilità dei dati all'uscita.

Checklist di negoziazione

• Definire i dati di addestramento separatamente dai dati dei clienti; richiedere consenso opt-in prima che uno dei due venga utilizzato per addestrare o ottimizzare modelli
• Assicurare l'assegnazione esplicita di tutti i diritti di proprietà degli output che il fornitore detiene, più una licenza per tutto ciò che non può assegnare
• Richiedere indennizzo PI che copra output e dati di addestramento, non solo il software o il servizio; chiarire la struttura dei limiti
• Specificare regione del data center, posizione di trattamento dell'inferenza, archiviazione di backup e impegni di residenza dei sub-responsabili
• Negoziare SLA di uptime (minimo 99,9 per cento), obiettivi di tempo di risposta, finestre di risposta agli incidenti e, dove fattibile, soglie di accuratezza
• Includere diritti di recesso con preavviso massimo di due mesi, esportazione dati in formati standard senza costi entro 30 giorni
• Richiedere l'eliminazione di pesi del modello, embedding e artefatti derivati addestrati sui dati dei clienti al recesso
• Escludere violazioni di dati, violazione PI, dolo e sanzioni regolamentari dai limiti di responsabilità
• Richiedere periodo di assistenza alla transizione da 30 a 90 giorni con accesso API continuato per l'estrazione dei dati

Per i casi in cui l'IA è una questione centrale, un'appendice IA può essere aggiunta al contratto principale per coprire l'uso dei dati, la proprietà intellettuale, i diritti di addestramento, la responsabilità e le considerazioni etiche.