Chi sviluppa un software, una piattaforma o un servizio basato sull’intelligenza artificiale prende decisioni giuridiche fin dal primo giorno, spesso senza accorgersene. Chi scrive il codice, e a chi appartiene? Con quali licenze si usano librerie e modelli di terzi? Quali condizioni accettano gli utenti? Quali dati vengono raccolti, e su quale base? Se queste domande restano senza risposta all’inizio, si ripresentano più avanti come problemi: in una due diligence, nella trattativa con un investitore o con un grande cliente, davanti a un’autorità di controllo.

Data Valley affianca imprese e startup proprio in questa fase. Il nostro approccio tiene insieme contratti, proprietà intellettuale e protezione dei dati, perché in un prodotto digitale queste tre aree si influenzano a vicenda. Una scelta sull’architettura dei dati incide sui contratti con i fornitori. Una licenza open source incide sul modello di business. Una clausola dei termini d’uso incide sulla titolarità dei contenuti generati dagli utenti.

Contratti: definire i rapporti prima che diventino un problema

Molti progetti digitali nascono dalla collaborazione tra soggetti diversi: fondatori, sviluppatori interni ed esterni, freelance, università, partner tecnologici, fornitori di servizi cloud o di modelli di intelligenza artificiale. Ognuno contribuisce qualcosa, e ognuno può avanzare pretese su ciò che ha contribuito.

Il primo passo è mappare chi fa cosa e tradurlo in accordi chiari: patti tra soci e accordi di collaborazione, contratti di sviluppo software, incarichi a consulenti e freelance, accordi di riservatezza, contratti con i fornitori tecnologici. Con i fornitori contano soprattutto quattro aspetti: livelli di servizio, responsabilità, uso dei dati del cliente (anche per l’addestramento dei modelli) e condizioni di uscita. Su questi ultimi il Data Act ha introdotto nuovi diritti di passaggio tra servizi cloud e limiti alle clausole imposte unilateralmente alle PMI, come abbiamo spiegato in The Data Act and your contracts: seven areas to review.

Il secondo fronte sono i rapporti con il mercato: termini e condizioni d’uso, contratti SaaS e di licenza, condizioni per clienti business e consumatori, regole di funzionamento di una piattaforma o di un marketplace. Qui il contratto non serve solo a proteggersi. È lo strumento con cui si definisce il modello di business, e deve essere coerente con regole europee che ne determinano sempre più spesso il contenuto:

• il Codice del consumo, su pratiche commerciali e clausole vessatorie;
• il Regolamento P2B, sui rapporti tra piattaforme e utenti commerciali;
• il Digital Services Act;
• il Data Act, sui contratti relativi ai dati;
• la nuova disciplina sulla responsabilità per prodotti difettosi, che include il software, illustrata in Product Liability: 9 December 2026 — Are You Ready?.

Piattaforme: il funzionamento è parte della compliance

Per chi gestisce una piattaforma, gli obblighi riguardano non solo ciò che è scritto nei termini di servizio, ma anche come la piattaforma funziona. Contano i criteri di ranking, la gestione delle recensioni, le opzioni preselezionate, la moderazione dei contenuti, la gestione dei reclami e la trasparenza verso utenti e venditori. La prassi recente dell’AGCM mostra che scelte di design e di prodotto possono costituire pratiche commerciali scorrette, con sanzioni fino a 10 milioni di euro per pratica.

Per questo lavoriamo accanto ai team di prodotto. Verifichiamo flussi e interfacce prima del lancio, aiutiamo a documentare i criteri di funzionamento e predisponiamo le informative richieste. L’obiettivo è che le regole della piattaforma corrispondano a ciò che la piattaforma fa davvero.

Proprietà intellettuale: sapere cosa si possiede, e poterlo dimostrare

Per una startup il software, i contenuti, i dataset e il marchio sono spesso l’asset principale. Eppure la titolarità non è scontata. Il codice scritto da un dipendente, da un freelance, da un socio prima della costituzione della società o da un ricercatore universitario segue regole diverse. Senza un accordo scritto, l’impresa può scoprire di non possedere pienamente ciò che vende.

Il nostro lavoro parte dalla ricognizione dei diritti: chi ha creato cosa, su quale base, con quali componenti di terzi. Verifichiamo poi:

• le licenze open source utilizzate, la loro compatibilità e gli obblighi che comportano per la distribuzione del prodotto;
• i contenuti e i dati usati per addestrare i modelli di intelligenza artificiale;
• i diritti sugli output generati.

Infine definiamo la strategia di tutela, attraverso marchi, diritto d’autore e segreti commerciali, e le licenze verso clienti e partner. È la stessa documentazione che un investitore chiederà in due diligence: averla pronta riduce tempi e rischi della trattativa.

Protezione dei dati: progettare il trattamento insieme al prodotto

Quasi ogni prodotto digitale tratta dati personali, e molti trattano anche dati non personali soggetti al Data Act. La protezione dei dati funziona meglio quando entra nella progettazione, come richiede il principio di privacy by design dell’articolo 25 del GDPR, invece di essere aggiunta alla fine.

Affianchiamo imprese e startup nella definizione dei ruoli (titolare, responsabile, contitolari) e nella scelta delle basi giuridiche. Prepariamo informative e registri, valutiamo se serve una valutazione d’impatto e redigiamo gli accordi con fornitori e sub-responsabili. Gestiamo anche i trasferimenti di dati verso paesi extra UE, frequenti quando si usano servizi cloud o modelli di intelligenza artificiale di terzi.

Quando il prodotto integra sistemi di intelligenza artificiale, coordiniamo la compliance GDPR con gli obblighi dell’AI Act: classificazione del sistema, trasparenza verso gli utenti, supervisione umana, documentazione. Per i prodotti con elementi digitali aggiungiamo i requisiti di sicurezza del Cyber Resilience Act, di cui abbiamo parlato in Cyber Resilience Act: what the Commission’s guidance means for manufacturers.

Un approccio integrato, proporzionato alla fase dell’impresa

Una startup agli inizi non ha bisogno degli stessi strumenti di un’impresa strutturata. Il nostro approccio è proporzionato: prima individuiamo i rischi che contano davvero per quel prodotto e in quella fase, poi costruiamo documenti e procedure che possano crescere con l’impresa. Un percorso tipico comprende:

• una ricognizione iniziale di rapporti, diritti e trattamenti di dati;
• la predisposizione degli accordi e dei documenti essenziali;
• la verifica del prodotto prima del lancio o di una nuova funzionalità;
• il supporto continuativo su contratti con clienti e partner, aggiornamenti normativi e richieste di autorità o investitori.

Lavoriamo anche su progetti finanziati, nazionali ed europei, e su collaborazioni con università e centri di ricerca. In questi contesti definire correttamente diritti, ruoli e trattamenti dei dati è spesso una condizione per ottenere e gestire il finanziamento, e il riuso dei risultati è tra i criteri di valutazione. Ne abbiamo parlato in AI Act and GDPR in EU-Funded Projects: What Evaluators Expect.

Prevenire costa meno che correggere

Rinegoziare la titolarità di un software già sviluppato, rifare il flusso di consenso di un’app già pubblicata o rispondere a un’istruttoria dell’AGCM o del Garante costa molto più che impostare le cose correttamente fin dall’inizio. Il nostro obiettivo è che le regole diventino parte del progetto: un elemento di qualità del prodotto e di fiducia per utenti, clienti e investitori.

Per approfondire un progetto o un’esigenza specifica, scriveteci a info@datavalley.it.

‍