Nella due diligence di una scale-up, i contratti con fornitori di analytics o AI vanno letti come asset critici, non come mere forniture IT. Se il contratto non disciplina chi è titolare dei dati elaborati, dei modelli addestrati e degli output generati, il target potrebbe non avere nulla di effettivamente trasferibile all’acquirente. Questo gap contrattuale si traduce direttamente in una riduzione del valore dell’operazione o in una condizione sospensiva del closing.
Punti chiave
- Punto 1 — I contratti con provider di analytics vanno mappati come asset nella due diligence, non come costi operativi.
- Punto 2 — La titolarità dei dati e dei modelli AI addestrati su di essi va verificata clausola per clausola prima del closing.
- Punto 3 — Un contratto silente sulla proprietà degli output espone l’acquirente a rischi operativi quantificabili sul prezzo.
Quando uno studio legale assiste un fondo o un acquirente strategico nell’acquisizione di una scale-up, la due diligence sui contratti IT non è un passaggio formale. Se il target usa servizi di analytics, piattaforme di machine learning o tool di Business Intelligence in cloud, ogni contratto con quei fornitori può nascondere un problema di titolarità che incide direttamente sul prezzo e sulla struttura del deal.
Un caso recente, analizzato da Agenda Digitale, mostra come un fondo abbia scoperto in fase di acquisizione che il contratto con il fornitore di analytics non chiariva né l’accesso ai dati né la proprietà dei modelli addestrati. Clausole mai negoziate, mai aggiornate, diventate un rischio operativo concreto e un argomento di riprezzamento.
Il contesto normativo
Il quadro normativo italiano ed europeo fornisce coordinate precise. Il GDPR (Reg. UE 2016/679), agli artt. 4(7) e 28, distingue nettamente tra titolare del trattamento e responsabile: se il fornitore di analytics tratta dati per conto del target, il target resta titolare — ma solo se lo dice esplicitamente il contratto. In assenza di un Data Processing Agreement conforme all’art. 28 GDPR, quella titolarità è contestabile.
Sul piano contrattuale, l’art. 1322 c.c. lascia ampia libertà alle parti, ma il silenzio su un elemento essenziale come la proprietà degli output non si risolve con l’interpretazione: si risolve con il contenzioso. Rilevano inoltre gli artt. 64 e ss. della l. 633/1941 (diritto d’autore) per i database, e il d.lgs. 206/2005 (Codice del Consumo) non si applica, ma il Data Act europeo (Reg. UE 2023/2854), in vigore dal settembre 2025, introdurrà obblighi espliciti di portabilità e accesso ai dati generati dall’uso di prodotti connessi, rendendo ancora più urgente verificare oggi la tenuta dei contratti esistenti.
Cosa cambia per lo studio
- Mappa i contratti IT come asset, non come passività. Nella checklist di due diligence, inserisci una sezione dedicata a tutti i contratti con fornitori SaaS, analytics, AI e cloud. Verifica: chi detiene i dati grezzi, chi è titolare dei modelli addestrati, chi può esportare gli output al termine del contratto.
- Verifica la presenza e la conformità del DPA. Ogni contratto con un fornitore che tratta dati personali per conto del target deve avere un Data Processing Agreement ex art. 28 GDPR. Se manca o è generico, la titolarità del trattamento è ambigua e trasferire il contratto all’acquirente potrebbe non trasferire nulla di utile.
- Analizza le clausole di portabilità e lock-in. Molti contratti SaaS prevedono che i dati restino nella piattaforma del fornitore e siano accessibili solo via API durante la vigenza. Al termine, l’accesso cessa. Se il target non ha esportato e conservato i dati, l’acquirente compra un’azienda senza storia.
- Quantifica il rischio sul prezzo. Se la due diligence evidenzia contratti lacunosi, prepara una stima dell’impatto operativo: quanto costerebbe ricostruire i modelli, rinegoziare i contratti o migrare i dati? Quel numero entra nella trattativa come escrow o riduzione del prezzo.
- Inserisci representation & warranty specifiche sul punto. Le dichiarazioni e garanzie del venditore devono coprire esplicitamente la titolarità dei dati, la conformità GDPR dei contratti con terzi e l’assenza di claim pendenti da parte dei fornitori IT.
Attenzione a
Contratti standard non negoziati. Le scale-up accettano spesso i Terms of Service del fornitore senza modifiche. Quei ToS contengono quasi sempre clausole che attribuiscono al fornitore licenze ampie sugli input (i dati del cliente) per migliorare i propri modelli. Significa che i dati del target — e i modelli addestrati su di essi — potrebbero essere già stati incorporati in prodotti di terzi, senza alcuna possibilità di recupero.
Confondere accesso con proprietà. Un errore frequente in due diligence è accettare come sufficiente la prova che il target “accede” ai propri dati tramite dashboard o API. Accesso non equivale a proprietà né a portabilità garantita. Senza una clausola contrattuale che riconosca espressamente la titolarità del cliente sui dati e sui derivati, l’accesso può essere revocato o condizionato alla continuazione del rapporto contrattuale.
Domande frequenti
Chi è titolare dei dati elaborati da un fornitore SaaS in un’acquisizione di azienda?
Dipende dal contratto. Se esiste un DPA conforme all’art. 28 GDPR che qualifica il fornitore come responsabile del trattamento, la titolarità resta al target. Se il contratto è silente o usa i dati per addestrare i propri modelli, la titolarità è contestabile. In due diligence va verificato contratto per contratto, non si può presumere.
Come si valuta il rischio da contratti IT lacunosi nel prezzo di acquisizione di una startup?
Il rischio si quantifica stimando il costo di ricostruzione dei modelli, migrazione dei dati e rinegoziazione dei contratti. Quella cifra entra nella trattativa come riduzione del corrispettivo o come escrow a garanzia. Le representation & warranty del venditore devono coprire esplicitamente la titolarità dei dati e la conformità GDPR dei contratti con fornitori terzi.
Il Data Act europeo cambia la proprietà dei dati nei contratti B2B già in essere?
Il Reg. UE 2023/2854 (Data Act), applicabile dal settembre 2025, introduce obblighi di portabilità e accesso ai dati generati dall’uso di prodotti connessi nei rapporti B2B. I contratti già stipulati che non prevedono portabilità potrebbero risultare non conformi. Verificare oggi la tenuta delle clausole esistenti evita di dover rinegoziare in emergenza a ridosso dell’entrata in vigore.
Fonte di riferimento: AgendaDigitale