Se un modello di intelligenza artificiale venisse bloccato per ordine dell’UE o di uno Stato membro, i contratti di licenza e i flussi di dati verso quel fornitore si interromperebbero senza preavviso, con ricadute dirette su clienti e processi interni dello studio. L’AI Act (Reg. UE 2024/1689) prevede già poteri di sospensione per i modelli ad alto rischio, affiancati da GDPR e DSA come ulteriori leve regolatorie. L’avvocato deve oggi mappare i fornitori AI usati nello studio e verificare se i contratti contengono clausole di forza maggiore o di continuità del servizio.
Punti chiave
- Punto 1 — L’AI Act (Reg. UE 2024/1689) consente la sospensione immediata dei modelli AI ad alto rischio.
- Punto 2 — Un blocco UE attiva automaticamente le clausole contrattuali di forza maggiore nei contratti SaaS.
- Punto 3 — Il GDPR impone al titolare del trattamento di aggiornare il registro e notificare eventuali interruzioni.
Se domani l’UE ordinasse la sospensione di un modello AI che il tuo studio usa per ricerche giurisprudenziali o gestione documentale, il contratto con il fornitore si bloccherebbe di fatto. La domanda non è teorica: riguarda la continuità operativa dello studio, la tenuta dei contratti SaaS in essere e la responsabilità verso i clienti i cui dati transitano su quei sistemi.
Il caso che ha acceso il dibattito è quello di Anthropic, che ha disattivato i prodotti Mythos e Fable a livello globale dopo un ordine del governo statunitense fondato su export control e sicurezza nazionale. Agenda Digitale analizza cosa succederebbe se un meccanismo analogo partisse dall’Unione europea, alla luce di AI Act, GDPR e DSA.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act), in vigore dal 1° agosto 2024 con applicazione progressiva fino al 2027, disciplina espressamente i modelli AI per finalità generali (GPAI) negli artt. 51-56 e attribuisce all’AI Office il potere di chiedere misure correttive o la sospensione di un modello che presenti rischi sistemici. Parallelamente, l’art. 17 del Reg. UE 2022/2065 (DSA) impone ai fornitori di servizi intermediari obblighi di trasparenza e di risposta alle misure restrittive delle autorità nazionali, mentre il GDPR (Reg. UE 2016/679) — in particolare gli artt. 28 e 35 — obbliga il titolare del trattamento a verificare che il responsabile esterno garantisca la continuità delle misure tecniche e organizzative. Sul piano contrattuale italiano, l’art. 1256 c.c. sull’impossibilità sopravvenuta e l’art. 1467 c.c. sulla risoluzione per eccessiva onerosità sono i riferimenti diretti quando un blocco regolatorio rende ineseguibile la prestazione del fornitore.
Cosa cambia per lo studio
- Mappatura immediata dei fornitori AI: individua quali strumenti usi (ricerca giurisprudenziale, redazione automatica, OCR documentale) e quale legge governa i relativi contratti. Un fornitore extra-UE soggetto a export control USA è esposto a blocchi bilaterali senza preavviso.
- Revisione delle clausole contrattuali: verifica se il contratto SaaS prevede una clausola di forza maggiore che copre gli ordini regolatori stranieri o europei e se garantisce portabilità dei dati in caso di interruzione del servizio.
- Aggiornamento del registro dei trattamenti: un blocco del fornitore AI costituisce una variazione delle misure tecniche adottate. Il registro ex art. 30 GDPR va aggiornato e, se il modello trattava dati sensibili o su larga scala, potrebbe scattare l’obbligo di nuova DPIA ex art. 35 GDPR.
- Comunicazione ai clienti: se il modello AI era coinvolto in attività svolte per conto di clienti (es. analisi contrattuale, due diligence), valuta se l’interruzione configura inadempimento parziale o ritardo imputabile ex art. 1218 c.c. e agisci con comunicazione preventiva.
- Piano B operativo: identifica già ora un fornitore alternativo certificato AI Act con sede UE o con standard equivalenti, per ridurre il tempo di fermo in caso di sospensione.
Attenzione a
Non confondere sospensione con divieto definitivo. L’AI Act prevede misure temporanee in attesa di valutazione: un modello sospeso può tornare operativo dopo modifiche. Interrompere il contratto invocando la risoluzione ex art. 1456 c.c. prima che il blocco sia definitivo espone lo studio a responsabilità per recesso anticipato.
Attenzione ai trasferimenti di dati residui. Anche dopo un blocco operativo, i dati già inviati al fornitore potrebbero restare su server extra-UE. Senza una clausola di cancellazione certificata nel DPA, il titolare del trattamento rimane esposto a contestazioni dell’Autorità Garante per trasferimento illecito ex artt. 44-49 GDPR.
Domande frequenti
Un blocco UE su un modello AI permette di risolvere il contratto SaaS senza penali?
Dipende dalla clausola contrattuale. Se il contratto prevede forza maggiore per provvedimenti regolatori, la risoluzione è possibile senza penali. In assenza di clausola specifica, si applica l’art. 1256 c.c. sull’impossibilità sopravvenuta: la prestazione si estingue se il blocco è definitivo, mentre resta sospesa se temporaneo. Verificare sempre se il fornitore ha obbligo di portabilità dei dati prima di recedere.
Se uso un’AI estera per analisi legale devo fare una nuova DPIA dopo un blocco regolatorio?
Sì, se il blocco modifica in modo sostanziale le garanzie tecniche e organizzative del responsabile del trattamento. L’art. 35 GDPR richiede una nuova valutazione d’impatto ogni volta che cambiano i rischi per gli interessati. Un blocco imposto da un’autorità regolatoria configura proprio questo scenario, soprattutto se i dati trattati sono sensibili o riguardano un numero elevato di persone.
L’AI Act si applica già oggi ai modelli AI usati dagli studi legali italiani?
L’AI Act è in vigore dal 1° agosto 2024, ma l’applicazione è scaglionata. I divieti assoluti (art. 5) si applicano dal 2 febbraio 2025. Le norme sui sistemi ad alto rischio scattano dal 2 agosto 2026. Le disposizioni sui modelli GPAI come quelli dei grandi fornitori si applicano dal 2 agosto 2025. Uno studio che usa modelli AI per attività su dati personali deve già oggi aggiornare i propri DPA con i fornitori.
Fonte di riferimento: AgendaDigitale