Che differenza c'è tra titolare e responsabile del trattamento?

Il GDPR distingue due ruoli con responsabilità legali diverse su qualunque trattamento di dati personali. Il titolare del trattamento è chi determina finalità e mezzi del trattamento: perché raccogli quei dati, cosa ci fai, con quali strumenti. È il titolare a rispondere in ultima istanza della conformità al GDPR, ed è lui a essere sanzionato in caso di violazione, anche quando il trattamento materiale avviene altrove. Il responsabile del trattamento (data processor) è invece chi tratta i dati per conto del titolare, seguendo le sue istruzioni documentate: tipicamente un fornitore, un cloud provider, una piattaforma SaaS. Il responsabile non decide perché quei dati vengono trattati, esegue un compito su mandato altrui. Per questo tra titolare e responsabile deve esistere un DPA (Data Processing Agreement, l'accordo sul trattamento dei dati richiesto dall'articolo 28 del GDPR): definisce oggetto, durata, natura e finalità del trattamento, obblighi di sicurezza, gestione dei sub-responsabili e condizioni per l'eventuale trasferimento dei dati fuori dall'Unione Europea.

Perché conta ancora di più con l'AI

Quando un'azienda usa un servizio AI di terze parti, un LLM in cloud o una piattaforma di analytics, la domanda "chi è titolare e chi è responsabile per questi dati" smette di essere un esercizio da ufficio legale e determina chi risponde in caso di problema. Il punto spesso trascurato nei contratti SaaS e AI è questo: un fornitore che usa i dati dei clienti anche per addestrare i propri modelli, oltre a fornire il servizio contrattuale, potrebbe star agendo come titolare autonomo per quello scopo specifico, non solo come responsabile per il servizio principale. In quel caso il fornitore non risponde più soltanto alle istruzioni del cliente, ma decide da sé finalità e mezzi di un trattamento ulteriore, e ne risponde in proprio. Confondere i due ruoli, o non accorgersi che uno slitta nell'altro con il training dei modelli, lascia scoperta esattamente l'area in cui un incidente costa di più.

Come si verifica in pratica

Il primo passo è leggere il DPA del fornitore, non i soli termini di servizio generali: sono due documenti diversi e il secondo spesso non copre gli obblighi che il primo dovrebbe formalizzare. Dentro il DPA vanno controllate in particolare tre clausole: l'elenco e il regime dei sub-responsabili (chi altro tratta i tuoi dati a valle del fornitore diretto), le condizioni di trasferimento dati fuori dall'Unione Europea, e soprattutto se e come il fornitore usa i dati per finalità proprie come il training di modelli. Se quest'ultimo punto non è esplicitamente escluso o regolato, va chiarito prima di firmare, non dopo un incidente.

Perché conta per chi adotta strumenti AI di terze parti

Il tema si lega ad altre due voci del glossario: il rischio giurisdizionale del CLOUD Act per i fornitori soggetti al diritto statunitense, e la classificazione dei dati che rende possibile stabilire cosa può essere condiviso con un fornitore AI e cosa no, cioè la data governance. Chi adotta strumenti AI di terze parti senza aver chiarito ruoli e responsabilità sta, di fatto, delegando una decisione legale al proprio ufficio acquisti.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.