Trasparenza AI e Conformità AI Act

1. Oggetto e Base Normativa

Il presente documento integra i Termini e Condizioni di V Support e illustra gli adempimenti di trasparenza e conformità alla normativa europea sull'intelligenza artificiale, in particolare al Regolamento UE 2024/1689 ("AI Act").

La Piattaforma impiega sistemi di AI a rischio limitato ai sensi dell'AI Act. I sistemi utilizzati non rientrano nelle categorie di rischio inaccettabile (Art. 5) né di alto rischio (Art. 6 e Allegato III), salvo utilizzi vietati del Cliente di cui all'Acceptable Use Policy.

2. Disclosure Automatica (Art. 50 AI Act)

Ai sensi dell'Art. 50 Reg. UE 2024/1689, gli utenti finali che interagiscono con la Piattaforma ricevono disclosure automatiche non disattivabili dal Cliente:

• Chatbot web e messaggistica: messaggio di apertura che identifica l'interlocutore come sistema automatico e richiamo della possibilità di richiedere un operatore umano ove previsto.
• Voicebot, art. 50.1: annuncio introduttivo in apertura di chiamata che dichiara la natura artificiale dell'interlocutore. Il prompt di sistema dei voicebot è versionato internamente e disponibile per audit su richiesta scritta a assistenza@vsupport.it.
• Sintesi vocale: i voicebot utilizzano sintesi vocale AI per rispondere ai chiamanti e dichiarano l'uso del sistema AI all'inizio della chiamata. Non riproduciamo voci di persone reali identificabili.
• Contenuti generati: se il Cliente pubblica contenuti sintetici nei casi disciplinati dall'articolo 50, paragrafo 4, dell'AI Act, deve fornire l'informativa richiesta dalla norma.

3. Alfabetizzazione AI (Art. 4 AI Act)

Ai sensi dell'Art. 4 Reg. UE 2024/1689, in vigore dal 2 febbraio 2025, il Cliente in qualità di deployer garantisce che il proprio personale che interagisce con la Piattaforma abbia un livello sufficiente di alfabetizzazione AI, proporzionato al contesto d'uso e al livello di rischio.

Il Fornitore mette a disposizione nella Dashboard materiali formativi di base (video, documentazione, FAQ) gratuiti e aggiornati, utilizzabili anche per adempiere agli obblighi interni del Cliente. L'adempimento dell'obbligo di AI literacy resta in ogni caso responsabilità del Cliente.

4. Supervisione Umana (Human-in-the-loop)

Il Cliente è tenuto a configurare, supervisionare e validare gli output della Piattaforma prima di ogni utilizzo verso terzi, assumendosi la piena responsabilità editoriale del contenuto pubblicato. Il Fornitore raccomanda l'adozione di meccanismi di revisione umana ("human-in-the-loop") nei seguenti scenari:

• comunicazioni aventi effetti giuridici (conferme d'ordine, preventivi vincolanti, contratti);
• risposte su temi regolamentati (sanità, diritto, finanza) ove non rientranti nei divieti AUP;
• contenuti pubblicati sul sito del Cliente o sui suoi canali ufficiali;
• decisioni che possano produrre effetti rilevanti su persone fisiche o giuridiche.

Il Fornitore non garantisce l'accuratezza fattuale degli output e il Cliente riconosce che i modelli linguistici possono generare contenuti inesatti, incompleti, non aggiornati o non veritieri (c.d. "allucinazioni").

5. Divieto di Addestramento su Dati del Cliente

Il Fornitore si obbliga a non utilizzare i dati personali del Cliente, dei suoi utenti finali o i contenuti della knowledge base per addestrare, migliorare o sviluppare modelli AI propri o di terzi. Tale obbligo è ribaltato contrattualmente su tutti i sub-responsabili che operano modelli linguistici, tramite contratti che vietano il training sui dati in transito. Ove tali sub-responsabili siano localizzati al di fuori dell'Unione Europea, il trasferimento dei dati avviene sulla base delle Clausole Contrattuali Standard 2021/914, con valutazione d'impatto sul trasferimento (TIA) disponibile su richiesta. L'elenco per categoria dei sub-responsabili è consultabile nella pagina Elenco Sub-Responsabili.

6. Sicurezza AI (Prompt Injection, Multi-Tenancy)

Il Fornitore implementa misure specifiche contro i rischi tipici dei sistemi AI:

• Isolamento multi-tenant: Row-Level Security (RLS) a livello database, separazione logica dei dati tra clienti, controlli di accesso ai vector database per tenant.
• Mitigazione prompt injection: sanificazione input, validazione grounding delle risposte, limitazione strumenti attivi per tier di rischio.
• Anti-jailbreak: filtri di sistema, controllo contenuti vietati, blocco di richieste incompatibili con la configurazione del chatbot.
• Audit log: tracciamento accessi amministrativi ed eventi di sicurezza, conservato per 12 mesi.

Eventuali incidenti che comportino estrazione non autorizzata di dati sono classificati come data breach ai sensi dell'Art. 33 GDPR e notificati secondo la procedura prevista dal DPA.

7. Timeline AI Act

Il Fornitore si impegna ad aggiornare la Piattaforma per garantire la conformità alle disposizioni dell'AI Act via via che entrano in vigore. Modifiche che incidano significativamente sulle obbligazioni del Cliente sono comunicate con almeno 30 giorni di preavviso.

8. Obblighi del Cliente come Deployer

In qualità di deployer ai sensi dell'Art. 26 AI Act, il Cliente è tenuto a: (i) informare i propri lavoratori dell'utilizzo della Piattaforma nell'ambiente di lavoro, ove applicabile; (ii) garantire la supervisione umana per decisioni significative; (iii) rispettare le istruzioni d'uso fornite nella documentazione tecnica e nei presenti documenti; (iv) non utilizzare la Piattaforma per fini rientranti nei divieti dell'AUP; (v) conservare per 6 mesi i log rilevanti per consentire un eventuale audit regolatorio.