AI per e-commerce e GDPR: che cosa verificare prima di attivarla

La domanda giusta non è «è conforme al GDPR?»

Nessun software è conforme al GDPR da solo: la conformità riguarda un trattamento, cioè quei dati, per quella finalità, con quelle garanzie. Un fornitore che risponde «sì, siamo GDPR compliant» e si ferma lì non ha risposto.

Le domande che ottengono una risposta verificabile sono altre quattro: chi è titolare e chi responsabile, quali dati vengono trattati, dove stanno, e che cosa succede quando qualcuno chiede di cancellarli.

Chi è titolare e chi responsabile

È la parte che viene saltata più spesso, ed è quella che determina gli obblighi.

Quando attivi un assistente AI sul tuo negozio, il titolare del trattamento dei dati dei tuoi clienti resti tu. Sei tu che decidi finalità e mezzi: hai deciso di mettere uno strumento che parla con i tuoi clienti. Il fornitore dell'AI tratta quei dati per tuo conto e secondo le tue istruzioni: è responsabile del trattamento.

Ne discendono conseguenze concrete. Serve un accordo scritto fra i due — il DPA, previsto dall'art. 28 del Regolamento — che deve esistere prima che il trattamento cominci. L'informativa privacy che leggono i tuoi clienti è la tua, e deve nominare l'assistente. Le richieste di accesso o cancellazione arrivano a te, e devi poterle girare al fornitore.

Discorso diverso per i dati del tuo account e della fatturazione: lì il fornitore è titolare in proprio. Nel caso di Flow-e i due ruoli sono separati e scritti: i documenti stanno nella sezione legale, e l'informativa dedicata alla chat descrive il trattamento dei clienti finali.

Quali dati tratta davvero un assistente AI

Più di quanto suggerisca la parola «chat». Un assistente collegato al negozio vede il testo delle conversazioni — dove le persone scrivono cose che non scriverebbero in un modulo — e, se risponde sugli ordini, anche nome, indirizzo di spedizione e storico d'acquisto.

Da qui due domande da fare a chiunque: per quanto tempo vengono conservate le conversazioni, e se il fornitore le legge. La risposta «per sempre, e sì» è legittima solo se dichiarata e giustificata.

Dove stanno i dati, e perché conta

Il trasferimento di dati personali fuori dall'Unione Europea non è vietato, ma è regolato: richiede una base giuridica e garanzie documentate. Il punto pratico è che questo lo devi sapere tu, perché è nella tua informativa che va scritto.

La domanda giusta al fornitore è letterale: in quali paesi stanno i server su cui girano le conversazioni, e quelli dei modelli che le elaborano? Sono due cose diverse e a volte hanno due risposte diverse — un'applicazione ospitata in Europa può chiamare un modello ospitato altrove.

Flow-e tiene i dati su server in Unione Europea, ed è un'azienda italiana: il foro, l'autorità di controllo e la lingua dei documenti sono quelli del tuo ordinamento, il che vale soprattutto il giorno in cui serve contestare qualcosa.

Le conversazioni vengono usate per addestrare modelli?

È la domanda più importante e la più facile da porre. Se le conversazioni dei tuoi clienti alimentano l'addestramento di un modello generalista, quei dati escono dal perimetro che hai dichiarato e non tornano indietro.

La risposta va cercata per iscritto nel contratto, non in una pagina di marketing. In Flow-e le conversazioni non vengono usate per addestrare AI di terze parti, e questo è scritto nei documenti pubblicati.

Che cosa chiede l'AI Act

Il regolamento europeo sull'intelligenza artificiale (UE 2024/1689) classifica i sistemi per rischio. Un assistente conversazionale su un e-commerce non rientra fra i sistemi ad alto rischio, ma ricade negli obblighi di trasparenza: le persone devono sapere che stanno interagendo con un sistema di intelligenza artificiale, a meno che non sia ovvio dal contesto. Queste disposizioni si applicano dal 2 agosto 2026.

In pratica significa dichiararlo nel punto in cui la conversazione comincia, non in fondo a una pagina legale. Flow-e dichiara la natura AI nella conversazione stessa.

Che cosa tocca fare a te

Una lista corta di cose che restano tue, qualunque fornitore scegli:

• Firmare il DPA prima di mettere il widget online.
• Aggiornare la tua informativa privacy nominando l'assistente e le finalità.
• Aggiornare il registro dei trattamenti, se lo tieni.
• Sapere come si cancellano i dati di un cliente che lo chiede, prima che lo chieda.
• Verificare il cookie banner: se il widget scrive cookie o usa storage locale, va trattato come gli altri strumenti.

Non è un adempimento pesante, ma è un adempimento: farlo dopo, quando arriva la richiesta di un interessato, costa molto di più.

Come è messa Flow-e

Server in Unione Europea. DPA pubblicato e consultabile prima di firmare. Conversazioni non usate per addestrare AI di terze parti. Esportazione e cancellazione dei dati su richiesta. Natura AI dichiarata nella conversazione. Azienda italiana, con sede e partita IVA pubblicate nei documenti legali.

Sono affermazioni verificabili una per una nella sezione legale del sito: è il modo in cui andrebbe valutato qualsiasi fornitore, compreso questo.