Il tuo gestionale addestra l'AI con i dati dei tuoi clienti? Cosa significa e cosa puoi fare

Pubblicata il 5 novembre 2026

Uno studio professionale carica ogni giorno nel suo gestionale fatture, buste paga e dichiarazioni dei clienti. Esaminando le condizioni d’uso di un software gestionale molto diffuso in Italia, nella versione dell’estate 2026, abbiamo trovato una clausola che permette al fornitore di usare quei dati per addestrare i propri modelli di AI. Il fornitore lo fa per fini propri, non per conto dello studio, e la clausola non si può disattivare. Per lo studio la conseguenza è concreta: la nomina a responsabile del trattamento firmata con il fornitore non copre questo uso.

Cosa abbiamo trovato nel contratto di un gestionale estremamente diffuso?

Le condizioni d’uso del fornitore che abbiamo trovato nel contratto sono:

• il fornitore può usare i contenuti e i dati di terzi, cioè i dati dei clienti dello studio, per addestrare i suoi modelli di AI;

• per questo uso il fornitore si qualifica come «autonomo titolare» del trattamento, cioè decide da solo perché e come usare i dati;

• lo studio non ha un’opzione per escludere i propri dati.

Non tutti i fornitori fanno così. Altri gestionali escludono l’addestramento solo per alcuni tipi di modelli. Per gli assistenti AI che abbiamo esaminato dipende dal piano: nelle versioni personali l’addestramento è ammesso, con impostazioni che lo limitano in tutto o in parte; nelle versioni aziendali è escluso. Le condizioni cambiano nel tempo: vanno rilette a ogni aggiornamento.

Come si riconosce la clausola di addestramento della AI nelle condizioni d’uso di un software gestionale che abbiamo sempre usato finora?

Le parole da cercare sono «addestramento», «miglioramento dei servizi», «sviluppo di nuovi prodotti», «dati aggregati» o «anonimizzati», e soprattutto «autonomo titolare». La clausola può stare in tre documenti diversi: le condizioni generali, l’informativa privacy del fornitore e l’accordo sul trattamento dei dati firmato con lo studio. Vanno letti tutti e tre.

Tre domande aiutano a capire la portata della clausola. Il fornitore usa i dati per conto dello studio o per fini propri? Lo studio può escludere i propri dati? I dati vengono resi anonimi prima dell’addestramento? Su quest’ultimo punto serve attenzione: i dati davvero anonimi escono dal GDPR (considerando 26), ma l’operazione di renderli anonimi è già un trattamento di dati personali (articolo 4, punto 2), e qualcuno deve averne il diritto.

Che differenza fa l'utilizzo dei dati dei clienti «per conto dello studio» o «per fini propri» dentro ad un software gestionale con AI?

Lo studio è il titolare del trattamento dei dati dei suoi clienti: decide perché e come usarli. Per i servizi del gestionale il fornitore è il responsabile del trattamento: tratta i dati solo per conto dello studio e secondo le sue istruzioni, per esempio per conservarli o per emettere le fatture.

Quando il fornitore usa gli stessi dati per addestrare i propri modelli, esce da questo ruolo. Chi decide da solo perché e come trattare i dati è titolare di quel trattamento (articolo 4, punto 7, del GDPR). E l’articolo 28, paragrafo 10, del GDPR aggiunge che il responsabile che viola il regolamento decidendo da solo finalità e mezzi di un trattamento è considerato titolare per quel trattamento. In pratica lo studio non sta più affidando i dati a un suo incaricato: li sta comunicando a un altro titolare, che li userà per i propri scopi.

Questo cambia alcuni elementi per lo studio:

1) Serve una base giuridica anche per questa comunicazione (articolo 6 del GDPR). I clienti vanno informati che i loro dati arrivano a quel destinatario (articolo 13, paragrafo 1, lettera e).

2) Anche il fornitore, che riceve i dati come titolare senza averli raccolti dai clienti, deve a sua volta informarli (articolo 14 del GDPR), salvo le eccezioni del paragrafo 5, per esempio se i clienti hanno già queste informazioni o se informarli richiede uno sforzo sproporzionato. E se tra i dati ci sono dati sulla salute, per esempio i giorni di malattia nelle buste paga, valgono le regole più strette dell’articolo 9.

Se scopri che il tuo gestionale software usa i dati dei tuoi clienti per addestrare i propri modelli cosa devi fare?

1. Chiedere al fornitore, per iscritto, quali dati usa per l’addestramento, se li rende anonimi prima, su quale base giuridica e se esiste un’opzione per escluderli.

2. Valutare il fornitore. Se l’esclusione non è possibile, considerare un’alternativa, almeno per i clienti con dati sulla salute o altri dati delicati.

3. Aggiornare l’informativa ai clienti, indicando il fornitore come destinatario che tratta i dati come autonomo titolare.

4. Documentare la scelta: una breve valutazione scritta e l’aggiornamento del registro dei trattamenti (articolo 30 del GDPR).

Cosa può fare il cliente dello studio se scopre che i suoi dati vanno ad addestrare modelli di intelligenza artificiale?

Il cliente può opporsi al trattamento con il diritto previsto dall’articolo 21 del GDPR, ma solo se il fornitore si basa sul proprio interesse legittimo o su un interesse pubblico. In quel caso il fornitore deve smettere, a meno che dimostri motivi legittimi cogenti che prevalgono sui diritti del cliente, o che i dati gli servano per difendere un diritto in giudizio. Se invece il fornitore si basa sul consenso, il cliente può revocarlo in qualsiasi momento (articolo 7, paragrafo 3).

La richiesta va al titolare di quel trattamento, quindi al fornitore. Il cliente però conosce solo lo studio: se scrive allo studio, lo studio gli indica il fornitore e può inoltrargli la richiesta. Per la comunicazione dei dati al fornitore, invece, il titolare è lo studio: su quella la richiesta riguarda lo studio, che deve agevolarla (articolo 12, paragrafo 2).

Cosa c’entra l’AI Act?

L’addestramento fatto dal fornitore è regolato soprattutto dal GDPR. L’AI Act (Regolamento UE 2024/1689) entra in gioco dal lato dello studio: quando usa per lavoro le funzioni di AI del gestionale, lo studio è un deployer (articolo 3, punto 4). Lo studio deve adottare misure per sostenere l’alfabetizzazione in materia di AI di chi usa gli strumenti per suo conto, tenendo conto del contesto d’uso (articolo 4): sapere come gli strumenti trattano i dati ne è una parte concreta. La scelta di un fornitore che addestra i modelli con i dati dei clienti va quindi scritta nella policy interna sull’uso dell’AI: quali strumenti si usano, con quali dati e con quali limiti.

Chi gestisce uno studio può partire da qui: rileggere oggi le condizioni del proprio gestionale cercando le parole indicate sopra.