Articolo 28 GDPR: il responsabile del trattamento e i fornitori di AI

Pubblicata il 15 ottobre 2026

Copertina: articolo 28 del GDPR — Immagine generata con AI

Un gestionale in cloud, un servizio di trascrizione, un assistente di AI usato sui documenti dei clienti: quando un fornitore tratta dati personali per conto dello studio, il rapporto tra chi decide come trattarli (il titolare) e chi li tratta per suo conto (il responsabile) è regolato dall'articolo 28 del GDPR (Regolamento UE 2016/679). Il titolare può ricorrere solo a responsabili che offrano garanzie sufficienti, e il rapporto sta in un contratto scritto con un contenuto minimo, fissato dal paragrafo 3. Dieci paragrafi: commento esteso su quelli che uno studio usa davvero (1, 2, 3, 4 e 10), breve sugli altri.

Se un fornitore tratta dati personali per conto dello studio, nasce un rapporto che l’articolo 28 del GDPR regola in dieci paragrafi. Succede con la segreteria da remoto che risponde alle telefonate dello studio, il gestionale in cloud, la posta, un servizio di trascrizione, un assistente di AI usato sui documenti dei clienti: l’articolo 28 del GDPR dice chi risponde di cosa e che cosa deve stare nel contratto.

Perché l’articolo 28 del GDPR conta per uno studio o un'azienda?

Se sei tu a decidere di usare uno strumento sui dati personali dei tuoi clienti, per le tue finalità professionali, resti titolare del trattamento e il fornitore è responsabile: le definizioni sono nell’articolo 4, punti 7 e 8, del GDPR. L’articolo 28 del GDPR regola quel rapporto e ti chiede due cose: scegliere fornitori che offrano garanzie sufficienti (paragrafo 1) e mettere per iscritto un accordo con il contenuto minimo del paragrafo 3.

Un accordo mancante o incompleto ha due conseguenze possibili.

La prima è la sanzione: l’articolo 83, paragrafo 4, lettera a), del GDPR assoggetta a sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, la violazione degli obblighi del titolare e del responsabile previsti dagli articoli 8, 11, da 25 a 39, 42 e 43 del GDPR, tra cui il 28.

La seconda è la responsabilità verso l’interessato: secondo l’articolo 82, paragrafo 2, del GDPR il titolare risponde per il danno causato dal suo trattamento che violi il regolamento, mentre il responsabile risponde solo se non ha adempiuto gli obblighi che lo riguardano specificamente o ha agito contro le istruzioni legittime del titolare; se più soggetti sono coinvolti nello stesso trattamento e ne rispondono, ciascuno risponde in solido per l’intero danno (paragrafo 4 dell’articolo 82 del GDPR).

Cosa chiedere al fornitore di AI che tratta i dati personali dei clienti per conto dello studio?

La situazione tipo: lo studio attiva un sistema di AI e ci carica dati personali dei clienti. Può essere un servizio che trascrive le telefonate, un assistente che riassume i documenti, una funzione di AI dentro il gestionale o la posta. In tutti questi casi il fornitore tratta dati per tuo conto ed è responsabile del trattamento. Prima di caricare dati, controlla che l’accordo con lui dica almeno queste cose (paragrafo 3):

che cosa tratta e perché: materia, durata, natura e finalità, tipo di dati e categorie di interessati. Per una trascrizione: le registrazioni delle chiamate, i dati di chi parla, per quanto tempo restano salvate;
che usa i dati solo su tua istruzione documentata (lettera a). Se i dati servono anche a migliorare i modelli del fornitore, quell’uso va scritto e deciso da te, non scoperto dopo;
a quali altri fornitori si appoggia, per esempio per i server o per il modello di AI, e come vieni avvisato quando cambiano (paragrafi 2 e 4);
che cosa succede alla fine del servizio: file caricati, cronologia delle conversazioni e trascrizioni cancellati o restituiti, a tua scelta (lettera g);
che ti mette a disposizione le informazioni per dimostrare il rispetto degli obblighi e consente le verifiche (lettera h).

L’accordo può essere un documento a sé, spesso chiamato DPA (accordo sul trattamento dei dati), oppure una parte dei termini di servizio. Con un account personale o gratuito devi essere tu a verificare se esiste e che cosa prevede: non puoi darlo per scontato. Se una risposta non si trova, chiedila per iscritto prima di continuare a caricare dati: il modello di richiesta al fornitore contiene le domande di base. Per i sistemi più diffusi trovi una scheda dedicata: ChatGPT, DeepSeek, Qwen, Kimi, GLM, Copilot, Grok, Claude, Gemini. Impostazioni e termini di ogni sistema di AI vanno letti prima di autorizzarlo.

Cosa non dice l’articolo 28 del GDPR?

Non dice su quale base giuridica si trattano i dati: quello lo dice l’articolo 6 del GDPR. Non vale quando il fornitore decide da sé le finalità e i mezzi: per quel trattamento è titolare (paragrafo 10 dell’articolo 28 del GDPR). E non è una norma sull’AI: il rapporto tra chi fornisce un sistema di AI e chi lo usa segue i ruoli dell’AI Act, fornitore e deployer, che non coincidono con quelli di titolare e responsabile del trattamento.

I casi che partono da qui: Segretaria virtuale e dati sanitari: dove finisce la mia responsabilità e Trascrizione automatica delle telefonate in studio: cosa chiede l’AI Act.

Paragrafo 1

Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato.

In pratica

Quando il trattamento si affida a un fornitore, la scelta è del titolare, e la prima domanda è se quel fornitore offre garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, tali da far rispettare il regolamento e da tutelare i diritti degli interessati. È un obbligo di scelta, non solo di contratto. Con un sistema di AI vuol dire sapere, prima di attivarlo, dove finiscono i dati dei clienti, chi può leggerli, per quanto restano salvati e se vengono usati per altro, per esempio per addestrare modelli. Se non lo sai, non hai ancora scelto: hai solo cliccato «Accetto».

Paragrafo 2

Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l'opportunità di opporsi a tali modifiche.

In pratica

Il responsabile non può affidare il lavoro a un altro fornitore (un sub-responsabile) senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l'opportunità di opporsi a tali modifiche. Con l'AI la catena è spesso lunga: un servizio di trascrizione può appoggiarsi a un fornitore di cloud per i server e a un altro per il modello che trascrive. Hai diritto di sapere chi sono e di essere avvisato quando cambiano.

Paragrafo 3

I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento: a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il responsabile del trattamento; in tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico; b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; c) adotti tutte le misure richieste ai sensi dell'articolo 32; d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento; e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al capo III; f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento; g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati; e h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato. Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione violi il presente regolamento o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati.

In pratica

Il passaggio che conta di più è il contratto, o altro atto giuridico, che vincola il responsabile al titolare. Stipula la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Poi otto contenuti minimi, dalla lettera a alla h: il contratto prevede che il responsabile (a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto; (b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; (c) adotti tutte le misure richieste ai sensi dell'articolo 32 del GDPR; (d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento; (e) assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti dell'interessato; (f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR, tra cui violazioni dei dati e valutazioni d'impatto; (g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati; (h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui a questo articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni. Per un sistema di AI due lettere pesano più delle altre. La a: un'istruzione come «usa le registrazioni solo per trascriverle» esclude gli usi non scritti. La g: a fine servizio devono sparire anche cronologia, file caricati e trascrizioni, non solo l'account.

Paragrafo 4

Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l'esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento. Qualora l'altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l'intera responsabilità dell'adempimento degli obblighi dell'altro responsabile.

In pratica

Se il responsabile si appoggia a un altro fornitore, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento. Qualora l'altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l'intera responsabilità dell'adempimento degli obblighi dell'altro responsabile. Esempio: lo strumento che usi passa i testi al fornitore del modello di AI, e lì i dati restano salvati più del previsto. Verso di te risponde il fornitore con cui hai l'accordo, non quello che non conosci.

Paragrafo 5

L'adesione da parte del responsabile del trattamento a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo.

In pratica

L'adesione del responsabile a un codice di condotta approvato (articolo 40 del GDPR) o a un meccanismo di certificazione approvato (articolo 42 del GDPR) può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4. È un elemento, non una prova definitiva. Davanti a un fornitore di AI che si dice «conforme al GDPR», chiedi su che cosa si basa la frase: un codice, una certificazione o solo una dichiarazione propria. Lo stesso vale per chi dice di rispettare l'AI Act: lo spieghiamo in Il fornitore dice che il suo software rispetta l'AI Act.

Paragrafo 6

Fatto salvo un contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43.

In pratica

Il contratto o altro atto giuridico può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43 del GDPR. Vuol dire che non serve scriverlo da zero: un accordo standard va bene, se contiene ciò che chiede il paragrafo 3. Vale anche per l'accordo già pronto di un fornitore di AI: leggilo con l'elenco del paragrafo 3 accanto.

Paragrafo 7

La Commissione può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d'esame di cui all'articolo 93, paragrafo 2.

In pratica

La Commissione europea può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 e secondo la procedura d'esame di cui all'articolo 93, paragrafo 2, del GDPR. Lo ha fatto con la decisione di esecuzione (UE) 2021/915. Se il fornitore dice di usarle, puoi confrontare il suo accordo con il testo ufficiale. Non sono le clausole sui trasferimenti di dati fuori dall'Unione, che sono in un'altra decisione: con molti sistemi di AI possono servire entrambe.

Paragrafo 8

Un'autorità di controllo può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo in conformità del meccanismo di coerenza di cui all'articolo 63.

In pratica

Un'autorità di controllo può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 in conformità del meccanismo di coerenza di cui all'articolo 63 del GDPR. Per uno studio conta sapere che esistono: se il fornitore le richiama, devi poter capire quali sono e chi le ha adottate.

Paragrafo 9

Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico.

In pratica

Il contratto o altro atto giuridico è stipulato in forma scritta, anche in formato elettronico. Con i sistemi di AI l'accordo può essere accettato online, dentro i termini di servizio o in un documento a parte. Conta che tu possa ritrovarlo, salvarlo con la data e mostrarlo: mettilo nel fascicolo, perché è il primo documento che ti chiederanno se qualcosa va storto.

Paragrafo 10

Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.

In pratica

Se un responsabile del trattamento viola il regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione, fatti salvi gli articoli 82, 83 e 84 del GDPR. Esempio con l'AI: se un fornitore usa i dati dei tuoi clienti per scopi suoi, come addestrare i propri modelli senza una tua istruzione, per quell'uso non agisce più per tuo conto. Per questo la domanda sull'addestramento va fatta prima di caricare i dati, non dopo.

Testo verificato su EUR-Lex il 19 settembre 2026. Il GDPR non risulta mai stato modificato da un atto successivo al punto da generare una nuova versione consolidata su EUR-Lex: verifica già riportata nella pagina sull'articolo 22, non ripetuta da questa pagina..