Qui non parliamo di immagini generate con sistemi d’intelligenza artificiale ma di utilizzare l’intelligenza artificiale per modificare immagini generate da un umano.
Devi sapere che la trasparenza è uno dei concetti fondamentali alla base dell’AI ACT: questo significa che quando un contenuto può essere forviante per l’utente, deve esserci un’adeguata informativa. Nella postproduzione fotografica siamo spesso ai confini, ci sono limiti interpretabili e quindi: “Avvocato come devo fare? Ho bisogno di regole concrete per i miei dipendenti“.
Devi però anche sapere che il Regolamento Europeo non è esaustivo: siamo noi che a livello interpretativo, nel concreto, siamo chiamati a comprendere ed adottare una scelta in linea con la ratio della normativa. C’è poi la Commissione Europea che ci aiuta ma le Linee Guida adottate in adempimento all’articolo 96 dell Regolamento Europeo AI ACT (“La Commissione elabora orientamenti sull’attuazione pratica del presente regolamento, in particolare per quanto riguarda: d) l’attuazione pratica degli obblighi di trasparenza di cui all’articolo 50“) non sono vincolanti. Un’interpretazione autorevole può essere data solo dalla Corte di Giustizia dell’Unione Europea chiamata a decidere.
C’è quindi la tua agenzia, ci siamo noi come studio, c’è il Parlamento Europeo, c’è il legislatore italiano, c’è la Commissione, c’è la Corte di Giustizia. Siamo effettivamente in molti, ed è per quello che spesso ricordo ai miei clienti che è un tema da non banalizzare quello degli aspetti legali dell’AI. Ma quello che possiamo fare noi come Studio è quindi affiancarti concretamente nel compiere delle scelte ragionevoli e ragionate, dimostrabili e documentate.
Fotoritocco e postproduzione: come funziona con l’AI?
I punti di partenza sono tre.
1) Avere chiara la definizione di fotoritocco.
Purtroppo, non è una definizione normativa; questo quindi non ci aiuta. Ci siamo detti in altri articoli (se sei un fotografo ti suggerisco di partire da qui), che “il fotoritoccatore è colui che interviene nella fase successiva allo scatto, eseguendo degli adattamenti o delle variazioni ed apportando delle migliorie all’immagine eseguita dal fotografo“.
2) Sapere cosa si intende per modifica con sistema d’intelligenza artificiale
Queste definizioni ce le abbiamo e ne abbiamo parlato nell’articolo dedicato alla generazione e manipolazione di contenuti (lo puoi leggere qui).
Per limitare il contesto alla sola attività di manipolazione, intendiamo un’attività svolta su contenuti già esistenti che vengono alterati tramite un sistema di AI.
3) Annotare il processo creativo e l’intervento del sistema d’intelligenza artificiale
Qui ci sono alcune domande per orientarsi: qual è il contenuto di partenza? qual è l’intervento che chiediamo al sistema d’intelligenza artificiale? qual è l’output? quali sono le modifiche che sono state compiute? Prendi nota di tutto che ti può essere utile,
Ti porto alcune domande e risposte, che mi sono fatta anche io stessa, e che mi hanno dato l’occasione per approfondire questa nuova normativa. Le aziende con cui lavoro poi, si stanno organizzando internamente per dare risposte concrete ai propri dipendenti e collaboratori.
Ecco infatti che il nostro ruolo è quello di affiancare in questo delicato ed importante passaggio per l’adozione di regole interne coerenti, efficaci, proprozionate e sopratutto uniformi. Questo per evitare che vi siano aree grigie, dubbi e che possano sorgere problematiche.
Con tante aziende siamo partiti dagli esempi concreti, dai casi dubbi, per elaborare una sorta di manuale d’uso, da convivere e mantenere aggiornato. Se vuoi sapere come funziona questo approccio molto concreto, scrivici.
Passiamo al fotoritocco. Ecco alcune domande di orientamento per comprendere se le operazioni possono rientrare nel concetto di deep fake e quindi imporre l’etichettatura.
La rimozione di un oggetto è un contenuto generato con AI?
Il ragionamento di partenza è comprendere qual è l’impatto di questo oggetto in relazione all’immagine e qual è il messaggio sostanziale del contenuto.
Se la rimozione dell’oggetto non altera la percezione da parte del pubblico, quindi non è un elemento essenziale che influenza, inganna va a forviare con riguardo all’autenticità e veridicità, allora probabilmente non richiede la marchiatura.
In caso contrario, alimenta una falsa apparenza di autenticità o di veridicità. Considera che il fotorealismo non è di per è deepfake, ma più il contenuto è verosimile, più è probabile lo sia.
La sostituzione dello sfondo deve essere dichiarata?
Non sempre, perchè devi partire dalle considerazioni sopra. La generazione o manipolazione tramite AI di scene di sfondo, se si tratta di una semplice ambientazione aggiunta ad un prodotto venduto tramite e-commerce, se questa non va ad influire sulla percezione del pubblico anche in relazione ad esempio all’uso del prodotto, allora non è necessaria la dichiarazione.
Se invece, in relazione all’uso del prodotto, al pubblico di riferimento, al contesto, la sostituzione o aggiunta dell’ambientazione influisce sulla percezione e quindi ad esempio l’utente può essere indotto a compiere una scelta che non avrebbe adottato, allora è necessaria la segnalazione.
Il come fare l’etichettatura, è un tema di cui abbiamo discusso qui e qui, ma se vuoi approfondire, contattaci.
Cosa cambia tra correzione tecnica e modifica sostanziale?
La valutazione deve essere sempre fatta nel suo complesso, tenendo conto della somiglianza, del messaggio sostanziale, del contesto di diffusione, della composizione del pubblico, delle aspettative.
É fondamentale chiedersi se si tratta di aspetti sostanziali o irrilevanti, se quindi la modifica ha un’importanza marginale per la valutazione da parte di una persona in relazione all’autenticità o veridicità del contenuto.
È marginale ad esempio la relazione dell’illuminazione, la correzione del colore, la riduzione del rumore. Questo sempre sulla base del consueto e dell’impatto sulla percezione delle persone.
La correzione del colore a fini prettamente estetici, non ha alcuna influenza sulla percezione da parte dell’utente del contenuto. Se invece la correzione del colore ha effetti ad esempio con riguardo alla corretta interpretazione del contenuto, alla percezione del prodotto, alla comunicazione corretta, allora è un deepfake. Se può influire negativamente usulla percezione che una persona ha dell’autenticità e della veridicità del contenuto.
Il fotoritocco o la post con AI è deepfake? Come fare
Non è quindi possibile adottare una soluzione univoca: non sempre il fotoritocco con sistemi di AI porta ad un contenuto deepfake e non sempre la modifica di un’immagine tramite sistema di AI è deepake.
L’aspetto principale da considerare è appunto il fatto se l’editing, le pratiche tecniche adottate, le modifiche possono influenzare negativamente sulla percezione che una persona ha dell’autenticità e della veridicità del contenuto.
Se è probabile, allora il contenuto rientra nel deep fake e deve essere etichettato, altrimenti è una modifica che però rimane con un’importanza marginale.
Ti suggeriamo di partire da una valutazione complessiva, ecco alcune domande che ti faremo in consulenza:
Qual è l’attività che hai compiuto nell’immagine? Aggiunte, modifiche, rimozioni?
Quali sono i destinatari dell’immagine?
Qual è lo scopo dell’immagine?
Qual è il contesto in cui viene diffusa e perchè?
Possiamo dire che la modifica ha un impatto sulle persone? Basso, medio, alto?
Se desideri approfondire l’argomento, oltre a poter navigare tra le risorse di questo sito internet, puoi contattarci per fissare un appuntamento e valutare come gestirla internamente in azienda.
Tra rinnovi, nuovi preventivi e contratti di comunicazione, i clienti ti chiederanno garanzie di rispetto del Regolamento AI ACT, responsabilità nuove in relazione ai contenuti prodotti, rispetto di policy e procedure, elenchi di sistemi AI. Ecco come organizzarsi al meglio dal 02 agosto 2026 (piena applicazione l’AI ACT).
Ti ho già dato gli strumenti per iniziare a costruire una procedura interna (per leggerlo clicca qui “Policy per l’uso dell’intelligenza artificiale in agenzia: come costruirla“), destinata a dipendenti e collaboratori stretti, per regolamentare in modo adeguato internamente l’utilizzo dei sistemi di intelligenza artificiale e per evitare quindi si verifichino comportamenti non corretti.
Vediamo quindi se e come modificare il contratto a seguito dell’uso dell’AI e quale impatto hanno le clausole che il cliente può imporci.
L’agenzia di comunicazione deve dire al cliente che usa l’intelligenza artificiale?
Qui c’è una prima questione da dirimere e riguarda il tipo di contratto e la struttura dell’agenzia di comunicazione. Solo dopo aver stabilito questi due punti possiamo stabilire se esiste un obbligo giuridico di comunicazione al cliente.
Il legislatore italiano, per i professionisti intellettuali ha previsto l’obbligo di comunicazione. Infatti, l’articolo 13 della Legge 23 settembre 2025 , n. 132 impone al professionista di fornire le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista con linguaggio chiaro, semplice ed esaustivo.
Quali sono obblighi AI del professionista (SEO specialist, social media manager, ecc) verso il cliente?
I professionisti intellettuali sono soggetti in cui la prestazione a carattere intellettuale prevale su quello materiale. Chiaramente, nel nostro caso, agenzie di comunicazione, alle aziende che lavorano nel settore digitale e a chi sviluppa software sono tutte professioni intellettuali, se erogate singolarmente. Altrimenti diventano dei contratti d’appalto di servizi.
Tipiche professioni intellettuali sono quelle dell’avvocato o del medico, che richiedono anche un’iscrizione ad un albo. Ci sono però delle prestazioni intellettuali, ad esempio quella del social media manager o del consulente SEO che non richiedono iscrizione ad albi, ma che comunque sono prestazioni intellettuali.
Quindi, se si tratta di un contratto d’opera intellettuale, così come previsto dalla normativa, scatta l’obbligo di comunicazione ed informazione al cliente del fatto che vengono utilizzati sistemi d’intelligenza artificiale. La ragione è preservare il rapporto di fiducia che nell’ambito delle professioni intellettuali, in cui il rapporto è tipicamente uno a uno (cliente-freelance) ha maggiore rilevanza.
E infatti, attenzione, oltre a questo obbligo d’informazione, vige l‘obbligo di utilizzare i sistemi di intelligenza artificiale unicamente per lo svolgimento delle attività strumentali e di supporto all’attività professionale, dovendo rimanere prevalente il lavoro intellettuale oggetto della prestazione.
Quali sono obblighi AI dell’agenzia di comunicazione verso il cliente?
Il fatto che l’agenzia di comunicazione non sia un freelance, non esclude direttamente dall’obbligo di cui sopra. Te la faccio breve per evitare un trattato giuridico ma ti invito a valutare questi due profili principali (che saranno quelli di partenza nella gestione di un’ipotetica vertenza).
1.Come è strutturata l’agenzia di comunicazione?
Può essere una società a responsabilità limitata o per azioni oppure in realtà essere uno studio grafico che raggruppa più freelance oppure una SRL a socio unico con uno o due dipendenti.
Chiaramnete, se si trata di professionisti che abitualmente lavorano insieme per alcuni lavori, che dividono gli spazi, che magari si presentano all’estetno come studio (e so che ce ne sono tantissimi), allora rientri tra gli obblighi di cui sopra.
Se poi invece sei una SRL a socio unico, parliamone: quanti sono i dipendenti, qual è il tuo ruolo nei confronti del cliente, si può comunque trattare di un rapporto fiduciario che ti distingue tipicamente da un’agenzia? Tipicamente in questi casi si, perchè il cliente si rivolge alla tua SRL per la tua persona.
2. Qual è la prestazione che l’agenzia di comunicazione fornisceal cliente?
Devo rammentarti che il titolo che dai al contratto, non conferisce la sostanza e quindi non determina qual è la legge applicabile. In un ipotetico contenzioso, si dovrà stabilire innznaitutto se si tratta di un contratto tipico (ossia che rientra tra quelli previsti dal codice civile) oppure un contratto atipico (che comunque potrà essre desitntario almeno in parte della disciplina più affine). Di solito, nell’ambito della comunicazione, la valutazione viene compiuta tra contratto d’opera intellettuale e contratto d’appalto di servizi.
E quindi, anche in questo caso, se sulla base dell’oggetto, del tipo di prestazione, del rapporto fiduciario, della struttura viene qualificato come contratto d’opera, allora vi sono gli obblighi d’informazione e comunicazione citati nel precedente paragrafo. Altrimenti, non corre obbligo legale ai sensi dell’art 13 della citata legge.
Quali informazioni ti suggerisco di dare al cliente in ambito AI
È vero che potrebbe non essserci, ad oggi, un obbligo legale previsto dall’articolo 13 con riguardo alla tua agenzia di comunicazione, ma potresti comunque essere tenuto a fornire alcune informazioni, anche per evitare un aggravio della tua responsabilità.
Ti faccio alcuni esempi, ma considera l’elenco non esaustivo.
Il trattamento dei dati personali
In ogni punto del globo ti diranno: mai inserire dati personali come informazioni di input. Io ti dico che lo so che per le agenzie di comunicazione, anche in relazione al tipo di attività che sono chiamate a svolgere (ad esempio un’analisi di mercato) possono dover inserire dati personali del cliente. Inoltre, potrebbe accadere che seppure l’istruzione di input non contiene direttamente un dato personale, il soggetto in base alla caratteristiche che vengono indicate, è comunque identificabile.
Cosa fare quindi?
Sicuramente dovrai valutare il sistema d’intelligenza artificiale. Per farlo ti suggerisco di allestire una mappatura dei sistemi d’intelligenza artificiale per comprendere le modalità di trattamento dei dati, i tempi di conservazione, i tipi di trattamento, eccetera (ma anche chiaramente l’affidabilità del sistema).
Se anche non hai un obbligo legale di informazione al cliente dei sistemi d’intelligenza artificiale che intendi utilizzare, potresti comunque avere degli obblighi di etichettatura nei casi in cui tu vada ad utilizzare sistemi AI per la generazione o manipolazione dei contenuti.
Questa è una tematica molto delicata perchè implica:
responsabilità contrattuale nei confronti del tuo cliente: se non è adeguatamente informato circa l’utilizzo dei contenuti che generi, potrebbe eccepire il tuo inadempimento per negligenza professionale
responsabilità nei confronti dell’utente finale, per regresso del cliente: se vengono pubblicati dal tuo cliente contenuti che hai messo a disposizione, non adeguatamente etichettati, lui sarà responsabile in via diretta, ma poi agirà nei tuoi confronti;
sanzioni per mancata etichettatura: qui la responsabilità potrebbe essere in solido di entrambi, perchè potresti occuparti tu della diffusione per suo conto, oppure metterli a disposizione per una pubblicazione autonoma.
Cosa fare quindi?
In primo luogo, informare il cliente in relazione all’uso di sistemi di intelligenza artificiale. In secondo luogo comunicare in modo esaustivo, comprensibile ed adeguato le modalità ed i limiti di utilizzo dei contenuti generati messi a disposizione. L’ideare sarebbe fornire delle regole di pubblicazione e di gestione a completamento degli obblighi contrattuali in relazione al servizio.
Lo so che spesso il cliente vuole fornirti delle “idee” per sviluppare i contenuti che ti commissiona. Tuttavia, con l’era dell’intelligenza artificiale, questo tema diventa più delicato. Sappiamo che anche il cliente può interagire con questi sistemi ma non abbiamo controllo nè in relazione a quali sistemi trattasi, nè in relazione al dati di input, nè all’abbonamento che ha attivato (se è stato attivato).
E quindi, potremmo trovarci a compiere delle lavorazioni su contenuti che ci sono stati consegnati ma di dubbia provenienza e su cui non siamo in grado di conoscere se e quali diritti il cliente ha acquisito e se, a seguito del nostro apporto, può trattarsi di contenuto originale e dotato dei requisiti per l’acquisto del diritto d’autore.
Cosa fare quindi?
Qui è importante inserire a contratto una clausola relativa al materiale che il cliente consegna, con una massima tutela ed esonero di responsabilità in relazione ai contenuti generati tramite sistemi di intelligenza artificiale.
In alternativa, puoi anche prevedere una manleva ex post, sopratutto (caso reale) se ti viene richiesto di ritoccare un logo che il cliente afferma di aver generato tramite sistemi d’intelligenza artificiale.
Ecco gli obblighi che il cliente ci potrebbe imporre. Chiaramente in ottica negoziale, possiamo accettarli o meno. Alcuni però potrebbero in realtà rivestire un obbligo legale e quindi si rientra in quanto già detto.
Il cliente può chiedere un elenco degli strumenti AI che intendi utilizzare. Se ti sei attivato o attivata per la mappatura che ti dicevo e comunque per una conformità all’AI ACT effettiva, sicuramente non avrai problematiche per adempiere a questa richiesta. Se invece non l’hai fatto, ti suggerisco di attivarti.
Il cliente può chiederti di conservare le istruzioni di input per il tempo di durata del contratto e consegnarle su richiesta. Chiramente, nessun obbligo legale. Inoltre, in relazione alla tipologia di servizio, questo potrebbe includere know how importante della tua agenzia. Potresti comunque avere interesse a conservarlo per ragioni di diritto d’autore nei confronti di terzi; ma verso il cliente, la conservazione che poi può trasformarsi in consegna, potrebbe essere equiparata alla consegna dei file di lavorazione.
Il cliente può importi una responsabilità per i contenuti che vengono generati e richiedere garanzie. La responsabilità ad esempio implica il fatto che l’agenzia garantisca di disporre dei diritti e di trasferirli al cliente e che l’agenzia assicuri al cliente l’utilizzi degli output che non vadano a violare la proprietà intellettuale o industriale altrui.
Questo è un fattore importante, perchè i sistemi d’intelligenza artificiale non garantiscono che i contenuti generati siano originali, non assicurano che siano unici e quindi espressamente dichiarano che potrebbero non essere destintari della normativa a protezione del diritto d’autore.
Il cliente può richiedere un generico complessivo rispetto dell’AI ACT e del GDPR nell’uso dei sistemi di AI e da parte dei sistemi in uso. Il rispetto della normativa applicabile, laddove ne siamo destinatari diretti, rimane un obbligo legale. inserirlo all’interno di un contratto e oltretutto in modo generico, aggiunge un obbligo al risarcimento del danno in caso di violazione, oltre che la sanzione.
Se invece non siamo diretti destinatari della normativa (ad esempio NIS 2), una clausola di questo tipo determina un impegno notevole, un adeguamento sostanziale, dei costi importanti che non tutte le agenzie possono supportare. E quindi, in ottica negoziale si dovrà valutare anche eventualmente determinando una modifica del budget di partenza.
La distinzione tra obbligo di trasparenza verso il pubblico e trasparenza contrattuale nel rapporto con il cliente
L’obbligo di trasparenza previsto dalla normativa, ha l’obiettivo di proteggere l’utente in relazione ai contenuti generati o manipolati tramite sistemi d’intelligenza artificiale. Il mancato rispetto delle regole previste implica una violazione del Regolamento Europeo AI ACT 1689/2024 e sanzioni di diverso tipo commisurate al fatturato dell’impresa.
La responsabilità è in capo a colui che utilizza il sistema e quindi, la tua agenzia di comunicazione.Ti esponi alle sanzioni.
Gli obblighi invece previsti all’interno del contratto con il cliente, non hanno origine dalla normativa, ma dal contratto, che ha forza di legge tra le parti. In caso di violazione delle garanzie assunte o di mancato rispetto del contratto, implica una responsabilità per inadempimento e può condurre alla risoluzione del contratto.
La responsabilità in questo caso è nei confronti del cliente e potrai esporre la tua agenzia al risarcimento del danno.
Si tratta di due piani diversi. A cui però se ne possono aggiungere altri. Ad esempio, qualora l’utente agisca perchè non adeguatamente informato in relazione al contenuto, questo potrebbe esporre ad una responsabilità diretta del tuo cliente, ma sarai tu in via di regresso responsabile nei confronti del consumatore.
Un altro piano potrebbe riguardare il trattamento del dato personale, che come dicevo deve avvenire in modo conforme al regolamento GDPR e adeguatamente comunicato al cliente.
Da dove partire per aggiornare il contratto e il cliente all’AI ACT
In estrema sintesi la documentazione da cui partire per un corretto adeguamento all’AI ACT con riguardo alla relazione commerciale con i tuoi clienti riterrei possa essere la seguente. Il condizionale è d’obbligo non conoscendo in modo specifico la tua realtà aziendale, l’ambito di utilizzo dell’AI in agenzia, i sistemi in uso e tutte le informazioni che vengono acquisite in fase di consulenza.
Tipo di documento
Cosa contiene
Comunicazione e-mail al cliente
Informazione al cliente che l’agenzia utilizza sistemi d’intelligenza artificiale, che l’agenzia è a conoscenza della normativa e dei nuovi obblighi in materia di trasparenza dei contenuti
Linee Guida AI per il cliente
Regole che il cliente deve osservare per utilizzare i contenuti generati o manipolati tramite sistemi di AI Eventuali limiti di utilizzo Limitazioni di responsabilità dell’agenzia in caso di violazione delle linee guida
Contratto di servizi sottoposto dall’agenzia
Aggiungere o integrare il contratto con l’informativa sull’uso di sistemi d’intelligenza artificiale Prevedere delle limitazioni di responsabilità in relazione a quanto sviluppato
Dal 02 agosto 2026 trova piena applicazione l’AI ACT. Per te che sei un’agenzia di comunicazione, un’azienda che lavora online o una software house è una data importante: devi attivarti per la conformità legale dei contenuti che sviluppi, produci e rivendi e per per la revisione dei processi di lavorazione come integrati con l’AI.
Cosa cambia dal 02 agosto 2026
Dal 02 agosto 2026 avrà piena applicazione il Regolamento Europeo sull’Intelligenza Artificiale e si applicano tutte le regole descritte nel testo. Ai nostri fini, trovano applicazione gli obblighi giuridici descritti all’articolo 50 che riguardano l’identificazione dei contenuti sviluppati, generati e manipolati tramite sistemi d’intelligenza artificiale.
Il Regolamento Europeo, approvato dal Parlamento Europeo, è il numero 1689: detta regole armonizzate sull’intelligenza artificiale e modifica alcuni regolamenti già approvati. È entrato in vigore il 02 agosto 2024 ma, per consentire ai destinatari di adeguarsi in un tempo congruo, ha avuto piena applicazione dal 02 agosto 2026, salvo alcune eccezioni.
Oltre al Regolamento, nel nostro ordinamento è stata approvata la Legge 23 settembre 2025 , n. 132 che ha fornito disposizioni e deleghe al governo in materia di intelligenza artificiale, su settori specifici ma che riguarda ad esempio anche le professioni intellettuali.
In realtà, l’Unione Europea da pochi giorni ha nuovamente legiferato in materia di intelligenza artificiale (Regolamento n. 1744 del 2026) e per quanto ci riguarda, ha precisato la decorrenza di alcuni degli obblighi che andiamo a descrivere: infatti, per i sistemi commercializzati prima del 02 agosto 2026, gli obblighi dei fornitori slittano al 02 dicembre 2026.
Il ruolo dell’agenzia di comunicazione rispetto all’AI ACT
Per prima cosa, come agenzia di comunicazione o azienda che lavora nei digitale, devi stabilire se sei un provider o un deployer, oppure entrambi a seconda dei casi. E per stabilirlo, dobbiamo verificare le definizioni che ci fornisce il Regolamento Europeo.
Il fornitore (provider) è chiunque che sviluppa (o fa sviluppare) un sistema di IA o un modello di IA e che lo immette sul mercato (anche non a pagamento).
Tutto chiaro: se sei un’azienda che come core business ha lo sviluppo di sistemi AI da concedere in licenza sul mercato, sei un fornitore; ma puoi essere un fornitore anche quando incarichi un’azienda che fa sviluppo, alla progettazione di un tuo sistema di AI da mettere a disposizione ai tuoi clienti.
Esempio: la tua agenzia di comunicazione sta sviluppando un sistema di intelligenza artificiale che consente ai clienti che hanno un e-commerce di creare il proprio modello AI a cui far indossare i capi di abbigliamento che il tuo cliente vende tramite l’e-commerce.
L’utilizzatore (deployer) è chiunque utilizza un sistema di IA sotto la propria autorità (tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale).
Ossia, in tutti gli altri casi in cui l’agenzia di comunicazione utilizza un sistema di AI, attiva un abbonamento ma non ha il controllo per la fase di sviluppo;
Quali sono gli obblighi giuridici dell’articolo 50 AI ACT per le agenzie di comunicazione
Gli obblighi giuridici in materia di contenuti sono disciplinati dall’articolo 50 del Regolamento AI ACT e riguardano i fornitori di sistemi di intelligenza artificiale (provider) e i deployer (utilizzatori).
Dopo aver stabilito il tuo ruolo con riguardo al singolo cliente o al singolo contenuto, dobbiamo valutare gli obblighi giuridici che ti riguardano, come sviluppatore o come utilizzatore.
1) Obblighi generali dei fornitori di sistemi di AI (provider)
In generale, i fornitori che sviluppano sistemi AI destinati a interagire in via diretta con le persone devono informare le persone di stare interagendo con un sistema di IA.
Esempio: se incarichi un’azienda a sviluppare un chatbot destinato ad essere integrato all’interno di un sito interent di un tuo cliente che si occupa di BtoC, allora dovresti attivarti affinchè il chatbot informi l’utente al primo contatto, che sta interagendo con un sistema di intelligenza artificiale.
Questo significa che in fase di sviluppo e progettazione, devi prevedere questa informativa, si tratta di AI by design ossia pensare alla compliance AI già in fase di progettazione.
Può non essere necessaria l’informativa quando risulta evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Chiaramente, sarai tu però a dover dimostrare queste circostanze e quindi l’eccezione.
2) Obblighi dei fornitori di sistemi di AI (provider) sui contenuti generati
Sempre i fornitori (provider) che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente
Attenzione, all’interno di questa definizione, c’è un mondo.
Innanzitutto, i dati sintetici “sono dati artificiali generati da dati originali e da un modello che viene addestrato a riprodurre le caratteristiche e la struttura dei dati originali”; e “ciò significa che i dati sintetici e i dati originali dovrebbero fornire risultati molto simili quando vengono sottoposti alla stessa analisi statistica”, ce lo dice Robert Riemann del Comitato Europeo per la Protezione dei Dati (EDPB)
La “marcatura” deve avvenire in “formato leggibile meccanicamente“. La marcatura consiste nell’azione di contrassegnare il contenuto. Può essere compiuto tramite un’unica tecnica o una combinazione di più modalità. La marcatura deve essere in formato leggibile da una macchina ossia strutturata in modo da consentire ai software di identificarle, riconoscerle ed estrarle facilmente, senza l’intervento umano.
Esempi di marcatura: filigrane, identificazioni tramite metadati, metodi crittografici per dimostrare la provenienza e l’autenticità dei contenuti, metodi di registrazione, impronte digitali o altre tecniche, nonché una combinazione di tali tecniche.
Inoltre, deve essere “rilevabile” come generato o manipolato artificialmente. Uno strumento di rilevamento è un meccanismo che rileva se un contenuto è stato generato dall’IA o manipolato. Ci sarà una soluzione di rilevamento standardizzata, indipendente dal fornitore e interoperabile, che sia sicura, garantisca la tutela della privacy e sia eseguibile localmente. Finchè non è approvata, il fornitore potrà utilizzare la propria ma dovrà rispettare gli standard.
3) Obblighi degli utilizzatori AI (deployer) sui contenuti generati o manipolati
Gli utilizzatori dei sistemi per generare o manipolare immagini o contenuti audio o video che assomigliano notevolmente a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbero apparire falsamente autentici o veritieri a una persona (deep fake) devono rendere noto in modo chiaro e distinto che il contenuto è stato creato o manipolato artificialmente etichettando di conseguenza gli output dell’IA e rivelandone l’origine artificiale
Anche qui, la definizione è molto complessa, richiede un’adeguata lettura professionale della normativa ed un’analisi caso per caso.
Cosa si intende per “somiglianza notevole” a persone, oggetti, luoghi, entità eventi esistenti?
La somiglianza deve esserci con soggetti esistenti e deve inoltre essere apprezzabile, non serve sia identico. La valutazione dovrà essere fatta caso per caso e quindi chi diffonde dovrà assumersi la responsabilità della scelta.
Cosa deve essere “esistente” per essere deep fake ed essere etichettato come generato o manipolato?
L’esistenza del soggetto ha l’obiettivo di evitare rischi di usurpazione d’identità, inganno, disinformazione, manipolazione e frode. È quindi sufficiente “che le persone, gli oggetti, i luoghi, le entità o gli eventi simulati assomiglino a qualcuno o qualcosa che esiste, che possa plausibilmente esistere o che avrebbe potuto plausibilmente esistere nella realtà per essere considerati un deep fake, poiché tali contenuti possono costituire una fonte importante di inganno, manipolazione e disinformazione“. Questo è quello che ci dice la Commissione.
Ad esempio, le persone, gli oggetti, i luoghi, le entità o gli eventi sono simulati quando sfidano le leggi della natura o della fisica (soggetti chon sembianze di persone che volano) o che non hanno potenziale di indurre in errore (ADV con animali che parlano) sono considerati irrealistici e pertanto non rientrano nell’ambito di applicazione dell’obbligo.
Qual è la differenza tra “falsa apparenza di autenticità” e “veridicità” quando si parla di contenuto generato o manipolato tramite AI?
Qui si torna all’obiettivo dell’obbligo giuridico. La regolamentazione ha l’obiettivo di evitare di ingannare o fuorviare potenzialmente una persona riguardo all’autenticità o alla veridicità del contenuto. Un contenuto è autentico quando è effettivamente ciò che dichiara di essere. Un contenuto è verosimile quando è corretto a livello fattuale (non lo è quando ci sono delle persone che volano).
É necessario quindi valutare se può apparire falsamente autentico o falsamente veritiero ad una persona. è fondamentale valutare il messaggio che viene veicolato, il contesto di diffusione, la composizione del pubblico. Non si guarda l’obiettivo soggettivo dell’azienda che diffonde ma l’indagine deve essere oggettiva.
Ad esempio: se andiamo a produrre delle scene di sfondo relative al prodotto che vendiamo, non dovrebbe essere suscettibile di apparire il contenuto come veritiero. Ma se invece creiamo delle rappresentazioni di persone non veritiere come attori o modelli, allora dobbiamo dichiararlo.
Bisogna dichiarare tutti i contenuti creati con l’AI?
Bisogna partire da una considerazione: gli obblighi giuridici che ti riguardano hanno l’obiettivo di garantire un utilizzo corretto, trasparente e responsabile dell’intelligenza artificiale, valutando l’impatto sui diritti fondamentali (inganno nei confronti dell’utente). Sulla base di questo possiamo valutare quando è effettivamente necessario e quindi obbligatorio dichiarare che i tuoi contenuti sono AI.
Non ti posso confermare che tutti i contenuti che generi o manipoli dovranno essere etichettati come contenuti generati AI. Ma ho l’obbligo di dirti che la valutazione deve essere fatta caso per caso, dando lettura al Regolamento e agli atti collaterali e analizzando le singole fasi di lavorazione dove includi l’uso dell’AI.
Quello che devi chiederti come punto di partenza per comprendere se devi eseguire la dichiarazione o meno è: il contenuto che ho generato o manipolato, per tale fatto, può ingannare o fuorviare il pubblico dell’autenticità o veridicità? Ti assicuro però che non è una domanda banale e che implica delle valutazioni oggettive ma anche delle decisioni di responsabilità.
Possiamo aiutarti a comprendere effettivamente come intervenire.
Check-list: cosa deve fare oggi un’agenzia di comunicazione?
Eccoci ai compiti per le vacanze. Riteniamo fondamentale fornirti una road map per valutare se e quando sei obbligato a dichiarare che si tratta di un contenuto generato o manipolato tramite AI.
Attenzione, il processo di conformità all’AI ACT della tua agenzia di comunicazione non riguarda “solo” l’etichettatura. Qui abbiamo deciso di focalizzarci su questo tema, ma la necessità è di un’indagine approfondita in relazione a come viene gestita l’intelligenza artificiale all’interno della tua azienda.
Per quanto riguarda l’articolo 50, ecco una check-list di base:
Hai sviluppato o svilupperai sistemi di intelligenza artificiale? Inclusi chatbot?
Quale tipologia di contenuti generi tramite sistemi di intelligenza artificiale?
Chi sono i destinatari finali dei contenuti che realizzi?
Quali sono i canali di diffusione dei contenuti che realizzi? Web e social o anche stampa?
Utilizzi elementi realmente esistenti in input?
Gli elementi aggiunti dall’AI sono gli elementi principali del contenuto?
Gli elementi aggiunti dall’AI hanno funzione decorativa secondaria rispetto al contenuto?
Gli elementi aggiunti è palese che si tratta di elementi AI?
L’utente destinatario del contenuto potrebbe ritenere autentico il contenuto? Perchè?
L’utente destinatario può ritenere sia verosimile il contenuto? Perchè?
Questo è il punto di partenza. Acquisiti queste informazioni, si può valutare come procedere, eventualmente anche tramite il nostro supporto. è fondamentale infatti avere una procedura AI interna, uniforme e che venga rispettata da tutti i dipendenti. È altrettanto importante gestire in modo corretto la relazione con il cliente (non fornire garanzie non sostenibili ad esempio, ma verificare adeguatamente gli strumenti in uso).
Fare un inventario del “ferro” ossia dei dispositivi hardware, può essere relativamente semplice. Ma è tutt’altro rispetto all’inventario delle informazioni e degli asset ai fini del trattamento dei dati personali, della sicurezza informatica, dell’affidabilità, della confidenzialità. In questo articolo parliamo di questo e vediamo come fare.
Sempre più spesso ci troviamo a supportare le agenzie di comunicazione e le aziende di software, per quanto riguarda le procedure NIS 2, ossia sicurezza informatica. Come parte della catena di approvvigionamento, siamo certi che alcuni tuoi clienti ti hanno chiesto di sottoscrivere delle policy.
Cos’è un inventario degli asset?
Un inventario degli asset è composto dalle informazioni relative agli asset dell’organizzazione che, per quanto riguarda l’agenzia, sono: hardware, software/sistemi/piattaforme, dati/informazioni.
La parte che riguarda le informazioniè una mappatura strutturata, ragionata e mantenuta aggiornata delle categorie di informazioni rilevanti trattate dall’organizzazione. Diventa uno strumento di governance, sopratutto se viene impostato con riferimento al criterio CID.
Per un’agenzia, le informazioni sono ad esempio, per categorie: dati clienti, anagrafiche, contatti, impostazioni delle campagne, materiali creativi, account e credenziali.
Per quanto attiene invece ad hardware e software, la questione è più semplice. Spesso le agenzie sono molto ordinate su questo. Ma è fondamentale che, almeno, per quanto riguarda l’hardware ci siano le corrette configurazioni e per quanto riguarda il software, l’indicazione delle licenze.
Partiamo dal perchè un inventario
Una delle politiche di igiene informatica che un’agenzia di comunicazione dovrebbe seriamente valutare riguarda la configurazione dei dispositivi e del loro ciclo di vita, per proteggere e garantire la continuità operativa. Il considerando n. 89 della Direttiva NIS 2 fa riferimento proprio a questo profilo.
Oltre a questo, l’ISO 27001/2022 nel controllo 5.9 fa riferimento all’inventario delle informazioni e degli asset prevedendo che debba essere sviluppato e mantenuto, anche con riguardo ai responsabili.
Si tratta di un adempimento spesso sottovalutato, ma è uno degli elementi più importanti per costruire un sistema di sicurezza efficace e coerente. Nelle agenzie di comunicazione il valore delle stesse risiede spesso nelle informazioni che vengono gestite.
Il ciclo di vita dell’asset
La normativa impone un’adeguata gestione del ciclo di vita dell’asset. La vita di un asset tangibile come può essere un hardware è certamente differente rispetto alla gestione di un’informazione digitale. È quindi importante fissare una procedura interna per ciascuna categoria così da conoscere lo stadio di riferimento ed intervenire (ad esempio con aggiornamenti programmati o con l’eliminazione dell’informazione).
Per quanto riguarda l’informazione, il ciclo di vita non è altro che quello che il trattamento del dato, ai sensi dell’art 4 del GDPR: “raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;“
Per quanto attiene invece all’hardware, la fase di configurazione iniziale, la gestione degli aggiornamenti, i controlli degli accessi, la collocazione, la consegna, la restituzione, il reso, il ricondizionamento..
Come fare un inventario?
La modalità viene concordata con l’agenzia di comunicazione, in base ai flussi interni e all’organizzazione. Tuttavia, può essere opportuno compiere alcune modifiche anche su questo punto, sopratutto quando non c’è un ordine.
Un inventario dovrebbe almeno avere, di base:
un numero identificativo univoco
la descrizione dell’asset (suggeriamo di dividere per fogli in relazione alla macro categoria=
il soggetto responsabile
i soggetti / categoria di soggetti che accedono
l’analisi CID
il grado di rischio
le misure adottate per limitare il rischio
L’indagine sul rischio è l’attività fondamentale dal punto di vista della sicurezza informatica. Porta con sé una serie di altre valutazioni, con riguardo alla configurazione, al backup, al disaster ricoveri, alla business continuity. Un approccio basato sul rischio è quello che ha accompagnato il GDPR e che connota la NIS 2.
Attenzione: qui ci siamo focalizzati sull’inventario, ma questo è fa parte del progetto di adeguamento interno alla NIS 2, che presuppone un analisi strutturata iniziale. Infatti, la normativa prevede principi e misure generali e prevede poi l’adozione di misure adeguate e proporzionate. Vengono quindi stabiliti degli obiettivi e poi, è nell’ambito del lavoro effettivo che serve definire quelle che sono le misure che assicurano all’agenzia un livello di sicurezza adeguato ai rischi. Inoltre, è attraverso la valutazione a stretto contatto con la governance dell’agenzia che si può stabilire quelle che sono le misure proporzionate, in relazione alle dimensioni dell’azienda, alla probabilità che si verifichino i rischi, alla gravità, oltre che all’impatto che questi potrebbero avere sotto il profilo sociale ed economico.
Con questo articolo, forse poco chiaro per alcuni, vogliamo dire alle agenzie che fanno parte della c.d. catena di approvvigionamento e che su “imposizione” del cliente dichiarano di essere adeguati o di adottare determinate misure, attenzione: non è un procedimento che si può gestire in modo automatizzato ma impone un lavoro effettivo e ragionato.
Noi come Studio, in ottica multidisciplinare, ci avvaliamo di un supporto informatico professionale che interviene sin dalla fase di analisi, con l’obiettivo di acquisire una profonda conoscenza della realtà ed intervenire in modo effettivo, sia nella fase di implementazione delle misure, sia in ogni fase del ciclo di vita dell’informazione per garantire un’effettiva gestione della sicurezza all’interno dell’azienda.
Se stai leggendo questo articolo, posso immaginare la tua espressione, ma possiamo aiutarti a limitare quelli che sono i danni immediati e le richieste risarcitorie da parte del tuo cliente. Ma possiamo anche agire in anticipo, con alcune clausole contrattuali.
È un argomento spinoso, sopratutto perchè in alcuni casi i contratti sono imposti dal cliente oppure il cliente non accetta nessuna limitazione di responsabilità oppure proprio non comprende che ci sono delle situazioni fuori dal controllo dell’agenzia.
E noi siamo qui per questo.
Le piattaforme sono “servizi terzi”, non responsabili?
Nel contratto tra agenzia di comunicazione e cliente, le piattaforme sono soggetti terzi, non sono parti del contratto. Ma sono strumenti fondamentali che consentono all’agenzia di comunicazione di fornire il servizio, nei termini e nelle modalità concordate.
Oltre a ciò i contratti con le piattaforme non sono negoziabili ed anzi, nella maggior parte dei casi i servizi sono acquistati “a rischio e pericolo” o “così come sono”.
E poi, l’agenzia non è integrata alla piattaforma e quindi potrebbe non conoscere eventuali implementazioni sopravvenute che causano interruzioni nella visualizzazione, sospensioni delle campagne o qualsiasi altro.
O ancora, ci potrebbero essere delle situazioni (leggasi, campagne) in cui, prima l’agenzia di comunicazione aveva il controllo e poi, a seguito dell’integrazione nella piattaforma di sistemi di intelligenza artificiale, queste attività non sono poi sotto il controllo dell’agenzia ma sono rese automatizzate dalla piattaforma.
Ci sono quindi tanti eventi che mi sono stati riportati dalle agenzie, alcuni dei quali abbiamo dovuto gestire per arginare il problema sorto. Ad esempio, sopravvenuti cambi di algoritmo (con conseguenti richieste da parte del cliente in tema di risultati), down dei server (poco prima di un lancio), errori nell’AI generativa (questo oggi è il peggiore), sopravvenute modifiche delle piattaforme (sul punto, è necessario essere sempre attenti).
Mi fermo.
L’agenzia di comunicazione è sempre responsabile?
La risposta, non può essere che l’agenzia non è mai responsabile nè che l’agenzia è sempre responsabile. E l’equilibrio sta nell’adottare delle clausole contrattuali realmente bilanciate ed effettivamente corrispondenti alle fasi dell’attività (leggasi, non copiate).
Come consulenti legali, suggeriamo di essere chiari sin dall’inizio, dalla fase di preventivo, alla spiegazione dei servizi che verranno forniti, al contratto.
Non è chiaramente burocrazia ma è un sistema strutturato che ci permette di intervenire in modo tempestivo in caso di problematiche. Per alcune agenzie siamo il legal department ossia l’ufficio legale esterno integrato. Questo ci aiuta ad essere tempestivi nelle risposte, in ottica di prevenzione dei “disastri”.
L’esonero totale dalla responsabilità dell’agenzia
Le clausole di esonero totale dalla responsabilità non funzionano, non vengono accettate e allontanano il cliente.
Inserire delle clausole troppo aggressive, cosa che fanno in realtà le piattaforme nei nostri confronti, non è una soluzione.
Se leggi il codice civile, all’articolo 1229 ci dice una cosa importante: è nullo qualsiasi patto che esclude o limita preventivamente la responsabilità per dolo o per colpa grave. Certamente, non siamo nell’ambito del dolo, ma se io mi rivolgo ad un’agenzia che afferma di avere una certa professionalità, anche per il solo fatto che esercita professionalmente l’attività dichiarata nell’oggetto sociale, la diligenza è valutata con minor rigore.
Quindi, le leggerezze, nella gestione dei rapporti con le piattaforme, potrebbero essere astrattamente qualificate come colpa grave con conseguente inefficacia di una clausola.
La limitazione della responsabilità dell’agenzia è un buon compromesso
La responsabilità di una delle parti del contratto, può essere preventivamente limitata. E quindi, in un contratto di servizi di comunicazione che prevede l’attivazione di piattaforme di servizi terzi fuori dal controllo dell’agenzia, è ragionevole prevedere una clausola che limita la responsabilità dell’agenzia.
Si può partire da alcuni profili d’indagine: la natura del servizio, la prevedibilità (e quindi evitabilità) del rischio, il margine di controllo effettivo, l’intervento autonomo di agenzia e cliente, i tempi di risposta della piattaforma.
Ci sono poi alcune situazioni in cui l’agenzia rimane responsabile
Quando l’agenzia rimane responsabile
Lasciami richiamare alcune disposizioni del codice civile, come quella che regolamenta l’adempimento (e l’inadempimento, salvo “impossibilità della prestazione per causa non imputabile”) e la diligenza professionale.
Ci sono infatti delle situazioni in cui la responsabilità rimane. Penso ad esempio: caricamenti errati, mancata pubblicazione di contenuti, omissioni operative varie, negligenze interne, ritardi.
Di fatto, si tratta di situazioni di cui abbiamo il controllo e quindi di cui siamo certamente responsabili. Chiaramente, ci sono poi le tempistiche di ricezione da parte della piattaforma (ad esempio, rimozione dei contenuti, de-indicizzazione, ecc).
Quando l’agenzia non è responsabile
Ci sono delle situazioni che l’agenzia di comunicazione non può realisticamente controllare. Quello che mi preoccupa di più sono le sospensioni degli account, i cambi delle policy ADV, il downtime dei servizi.
In questi casi, il contratto dovrebbe prevedere un’esclusione di responsabilità o perlomeno una limitazione. L’agenzia dovrebbe essere considerata adempiente nella misura in cui si attiva per il ripristino del servizio, l’apertura del ticket, il mantenimento dei contatti, ecc. Avere delle procedure interne che prevedono queste fasi, sicuramente aiuta sia ad intervenire con sollecitudine, sia a dimostrare la condotta tenuta, sia a descrivere al cliente l’effettivo margine di intervento.
Come costruire una clausola di limitazione di responsabilità per servizi terzi rispetto all’agenzia
Questo è il nostro lavoro di consulenti legali per agenzie di comunicazione. Quando andiamo a redigere un contratto, l’intervento dell’agenzia è fondamentale per comprendere l’effettivo flusso id lavoro (ordinario e straordinario in caso di malfunzionamenti ad esempio) per poter regolamentare in modo corretto.
I punti da cui partire:
1) Definire i servizi di terze parti
Il contratto dovrebbe quindi chiarire quelli che sono gli strumenti che rientrano nella definizione (di norma inserita in una delle prime clausole del contratto).
Mi riferisco a: piattaforme advertising, hosting, software SaaS, strumenti di analytics, cloud, strumenti di AI.
2) Descrivere il controllo e le operazioni
Il contratto dovrebbe specificare le aree in cui non c’è il controllo dell’agenzia (ad esempio, l’agenzia non può assicurare continuità). Però contestualmente dovrebbe anche descrivere i tempi di intervento in caso di criticità (apertura ticket) anche al fine di adottare misure per limitare i danni.
3) Specificare le tipologie di danni
È vero che il codice civile ci dice che il danno deve essere “conseguenza immediata e diretta” ma dice anche che deve comprendere la perdita subita e il mancato guadagno.
è quindi bene specificare, soprattutto per le campagne ADV che potrebbero essere attivate nel lancio di un prodotto e che la fee d’agenzia non giustifica l’esposizione di notevole entità, alcune limitazioni: perdita profitto, perdita di opportunità commerciali, mancato risultati economici.
L’ideale è comunque fissare un limite massimo di responsabilità, ad esempi commisurata al valore del contratto.
Tieni poi in considerazione che la limitazione di responsabilità è una clausola vessatoria: questo significa che o il contratto è negoziato tra le parti, oppure se si tratta di condizioni generali, devi inserire una specifica approvazione, altrimenti è inefficace.
Quando iniziamo l’audit d’agenzia in materia di AI chiedo: “in quali fasi utilizzate l’intelligenza artificiale?” La risposta è quasi univoca: “Tutte, per fare qualsiasi cosa, sempre”. Trattandosi quindi di sistemi che sono entrati stabilmente nei processi creativi, parlarne anche qui è diventato urgente.
È legale usare i contenuti generati con l’intelligenza artificiale?
Non ti posso dare una risposta immediata e univoca. Questo perchè non è “solo” una questione di copyright.
È sopratutto una questione organizzativa che ha impatti legali notevoli. Parlo di come i sistemi di intelligenza artificiale hanno un impatto all’interno della tua struttura organizzativa e come regolamentare, internamente e verso l’esterno.
Alcune situazioni:
Il cliente finale impone di conoscere esattamente i sistemi che vengono utilizzati e le fasi nell’ambito delle quali vengono utilizzati; ci chiede un addendum;
Il cliente finale fornisce delle idee create con l’intelligenza artificiale e chiede di ritoccarle un pò;
L’agenzia, per esigenze di celerità, inserisce informazioni di vario tipo riguardanti il cliente, senza aver appurato di averne la facoltà;
So con certezza che ti sei trovato in una di queste situazioni.
Ma prima ancora quindi di parlare di “di chi sono i diritti” è necessario interrogarsi su “ho la certezza di poter utilizzare questo strumento?“. Puoi iniziare da questo articolo e poi scriverci per inquadrare meglio la questione internamente.
Perchè il problema del copyright riguarda direttamente la tua agenzia?
Copy, format, idee, visual, voice over, digital twin, campagne, tutto realizzato tramite AI. è la tua agenzia a fornire le istruzioni per ottenere il contenuto. E secondo l’AI Act tu sei il deployer, una figura regolamentata con delle responsabilità.
Non vale quindi dire che la responsabilità a carico della piattaforma o del sistema di intelligenza artificiale.
A mio avviso il problema deve essere visto sotto due profili:
i dati di input, ossia le istruzioni che forniamo al sistema e che potrebbero essere utilizzate per addestrare i modelli;
l’output generato, che potrebbe essere integrato, rielaborato, oppure consegnato direttamente;
E la soluzione non è univoca, perchè dipende da vari fattori. Alcuni sono: gli accordi assunti con il cliente, i termini e condizioni della piattaforma, le attività svolte dall’agenzia sull’output, gli effettivi contenuti dell’input.
Di chi è il copyright dei contenuti generati tramite AI?
Abbiamo una soluzione. Non può essere sempre tutto “dipende”. O meglio, abbiamo uno strumento fondamentale per arrivare alla soluzione, caso per caso.
Il nostro legislatore è intervenuto andando a modificare l’articolo 1 della Legge a protezione del diritto d’autore, n. 633/1941, che trova applicazione in questi casi.
Prima prevedeva:
Sono protette ai sensi di questa legge le opere dell'ingegno di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all'architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione
Oggi (modifica recente, tramite l’art. 25, comma 1, lettera a) della L. 23 settembre 2025, n. 132) invece prevede:
Sono protette ai sensi di questa legge le opere dell'ingegno umano di carattere creativo che appartengono alla letteratura, alla musica, alle arti figurative, all'architettura, al teatro ed alla cinematografia, qualunque ne sia il modo o la forma di espressione, anche laddove create con l'ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell'autore
La modifica arriva dopo aver dovuto affrontare, in via giurisprudenziale, alcune questioni proprio riguardanti un’asserita violazione del diritto d’autore, in presenza di una contestazione di fondo: è stato generato tramite intelligenza artificiale e quindi non possono essere recriminati diritti.
È stato specificato il concetto di “umano” sebbene comunque, l’ingegno fosse, dal legislatore del 1941, necessariamente ed esclusivamente umano. È stata invece compiuta l’aggiunta, per dire che si, non solo la persona può creare un’opera, ma anche tramite l’ausilio di sistemi di intelligenza artificiale, ma devono essere il risultato del lavoro intellettuale dell’uomo.
Cosa fare con la legge
Diventa fondamentale avere un consulente legale che possa dare supporto all’agenzia per organizzare un processo chiaro e trasparente da mettere a disposizione di tutti coloro che per conto dell’agenzia (collaboratori o dipendenti) sviluppano contenuti destinati al cliente finale per assicurare che i contenuti siano sempre protetti dal diritto d’autore.
Ma il copyright dei sistemi di intelligenza artificiale?
Tutto vero quanto scritto sopra, ma c’è un ma. Nel nostro ordinamento, il contratto ha forza di legge tra le parti e questo significa che nel momento in cui attiviamo un abbonamento con un sistema di intelligenza artificiale, accettiamo i termini e condizioni che ci mettono a disposizione.
Accettare i termini e condizioni presuppone che li conosciamo, che intendiamo rispettarli e che li facciamo rispettare anche al nostro cliente. Altrimenti può esserci una responsabilità, contrattuale per violazione dei termini e condizioni, a carico della tua agenzia, ed extracontrattuale, a carico del tuo cliente, che agirà in regresso nei tuoi confronti.
Cosa fare con le regole della piattaforma
Ribadisco l’importanza di avere un processo all’interno del quale ogni sistema di intelligenza artificiale viene mappato e per ciascuno viene stabilito cosa è consentito, cosa è vietato e infine possa quindi venire approvato o escluso dal management dell’agenzia.
La responsabilità in caso di violazione di copyright
Le procedure descritte dovrebbero consentire all’agenzia di avere la titolarità dei contenuti. Ma rimane un ulteriore problema, ossia la violazione dei diritti altrui.
Voglio puntualizzare una questione: il pericolo di violazione del copyright c’è sempre stato, nei casi in cui i contenuti realizzati non siano originali o costituiscano una rielaborazione di qualcosa di già esistente.
Inoltre, oltre al copyright, possono entrare in gioco: la violazione dei diritti di utilizzazione economica dell’identità visiva altrui, la concorrenza sleale, lo sfruttamento parassitario, la violazione del diritto all’immagine di una persona, la violazione dei diritti di privativa industriale.
Ecco, se prima, si riusciva a seguire il processo creativo, le singole fasi e si sapeva di fatto in quale punto ci potesse essere una violazione (rielaborazione, ispirazione, plagio, ecc) oggi non è così. Nel caso di utilizzo dell’intelligenza artificiale, perdi il controllo del processo creativo e non hai la certezza se il contenuto, realizzato tramite AI sia effettivamente originale o se invece non lo è per niente.
Cosa fare per avere il controllo sui contenuti
Nell’audit andiamo a descrivere l’attuale procedura. E poi la mettiamo in revisione. Il primo passo è infatti adottare una policy interna per scongiurare ogni eventuale violzione dei diritti di terzi; in secondo passo è che questa policy ci garantisca l’acquisto dei diritti sul contenuto che abbiamo generato.
La sicurezza informatica non è più un tema solo tecnico delegabile all’IT, ma diventa una responsabilità diretta per il management: lo dice la direttiva NIS 2 precisamente all’art 23. In questo articolo ti spiego bene il tuo ruolo, quale amministratore di un’agenzia di comunicazione.
L’ecosistema di cybersicurezza introdotto dalla direttiva richiede alle aziende di ripensare alla propria governance adottando un sistema per gestire il rischio cyber rispettoso dei principi fondamentali di responsability, accountabily e liability.
La sicurezza come tema di governance (non più solo tecnico)
Il management (organi amministrativi e direttivi) con la direttiva NIS 2 assume specifiche responsabilità. La cybersecurity diventa parte integrante dei processi decisionali aziendali, al pari dei rischi finanziari, legali o operativi.
In particolare, gli amministratori:
approvano le modalità di implementazione delle misure di gestione del rischio
supervisionano l’attuazione delle attività, delle misure e quindi giustificano la mancata adozione;
sono responsabili delle violazioni e quindi si assumono responsabilità delle scelte assunte.
Questo significa che il ruolo degli amministratori con riguardo al trattamento dei dati, alla sicurezza delle informazioni non può più essere solo formale: serve una conoscenza ed una comprensione dei rischi cyber, una partecipazione attiva alle decisioni strategiche, pena una responsabilità in caso di inadeguata adozione delle misure.
Formazione e informazione per gli amministratori nella sicurezza informatica
La direttiva impone specifici obblighi di formazione e informazione in materia di sicurezza informatica. Il progetto NIS 2 che portiamo alle agenzie prevede questi come passaggi imprescindibili: non può essere una semplice formalità.
Per questo infatti, al fine di aumentare la conoscenza e consapevolezza di tutta la catena, gli amministratori sono chiamati a seguire una formazione in materia di sicurezza informatica e promuovere una formazione coerente con le misure anche presso i propri collaboratori.
Le tre dimensioni della sicurezza informatica
La responsabilità degli amministratori in materia di sicurezza informatica si articola in tre dimensioni: responsability, accountablity, liability.
Gli inglesismi ci piacciono ma non se poi non sappiamo il significato: e qui è importante spiegarci bene per evitare fraintendimenti.
1) La responsability dell’amministratore in materia di NIS 2
La responsability è l’obbligo o il dovere di una persona di svolgere determinate funzioni o compiti. Quindi di prendere delle decisioni e di implementare delle azioni.
Ad esempio, l’approvazione delle modalità di implementazione delle misure di gestione, oppure l’integrazione dei principi di security by design e security by default. L’applicazione è articolata e questo non può essere l’ambito di approfondimento, ma ti anticipiamo che il colloquio iniziale che prevediamo nel progetto è proprio volto a condividere quelli che sono i principi che connotano la figura degli amministratori.
2) La liability dell’organo gestionale in materia di NIS 2
La liability è la responsabilità legale per le azioni o omissioni. Il comma 5 dell’art 38 del Decreto Legislativo è chiaro sul punto: gli amministratori possono essere ritenuti responsabili dell’inadempimento in caso di violazione del presente decreto da parte del soggetto di cui hanno rappresentanza.
Va da sé che una gestione ordinata della documentazione e delle procedure diventa fondamentale per prevedere conseguenze legali, responsabilità, rischi, sanzioni.
3) L’accountability della governance societaria
L’Accountability prevede che un soggetto risponda del proprio operato dandone conto all’autorità o al soggetto preposto.
In quest’ambito, si traduce nel documentare e relazionare in modo regolare quelle che sono le misure di sicurezza che sono state adottate. E quindi, è fondamentale, che ci sia una strategia a monte, che siano effettivamente messe in campo e che ci sia una reportistica che possa tenere traccia dell’adozione e dell’aggiornamento. Oltre che degli interventi in caso di incidenti.
Il cambiamento della cultura organizzativa
È quindi imprescindibile un cambio di approccio: è fondamentale farsi accompagnare dai professionisti che conoscono la normativa di riferimento e che possano effettivamente dare supporto per quelle che sono le azioni da adottare, avendo attenzione per il contesto.
Avere un sistema formalmente conforme ma organizzativamente inefficace non esime da responsabilità gli amministratori nel caso in cui sia realmente necessario il loro intervento anche decisionale in caso di incidenti.
L’approccio deve quindi essere produttivo, volto al miglioramento conto, all’identificazione di rischi, all’adozione di misure volte a mitigare situazioni o direttamente escluderle.
Possiamo sentirci per parlarne, avendo come focus la tua organizzazione.
Nel nostro approccio alla NIS 2, lavoriamo con le agenzie sulla costruzione di un piano di implementazione delle misure tecniche e organizzative in grado di guidare veramente l’agenzia nella sicurezza per superare verifiche e ispezioni e resistere ad incidenti.
Il punto di partenza è la gap analysis, ma in continuità con l’attivazione di un piano d’azione.
La Direttiva NIS 2 richiede alle organizzazioni non solo di adottare misure di sicurezza, ma di dimostrare di aver costruito un sistema strutturato di gestione del rischio cyber, un ecosistema che si propone di lavorare su due livelli: un livello strategico e un livello operativo.
Dalla gap analysis al progetto operativo NIS 2
La gap analysis è una fotografia dello stato di conformità dell’agenzia di comunicazione rispetto alla NIS 2 (e, nel contesto italiano, al D.Lgs. 138/2024). Con le checklist che abbiamo elaborato, possiamo fornire un report ragionato sul’as is, per poi valutare insieme il wanna be.
Il valore della gap analysis emerge quando viene trasformata in un programma operativo strutturato.
Il piano di implementazione che costruiamo, prevede almeno:
Raccolta dei dati della gap analysis e rielaborazione, come base documentale del progetto
Definizione del piano di adeguamento, con tempi, priorità, responsabilità
Definizione del budget, elemento essenziale per rendere il piano realmente attuabile;
Elencazione degli interventi, distinguendo tra immediati e strutturati
Individuazione degli indicatori di monitoraggio e dei periodi di verifica
Il piano di implementazione della sicurezza informatica
É il decreto legislativo italiano a dirci le misure organizzative e tecniche di conformità: ma siamo noi che, dobbiamo dare un’adeguata lettura alla norma, in base alla nostra realtà aziendale.
La pianificazione delle attività per l’adozione delle misure è un elemento fondamentale per il successo del piano d’implementazione. Le misure sono tecniche e organizzative e procedono in parallelo in relazione al tipo di misura e richiedono delle professionalità diverse, anche esterne. Ad esempio, per l’adozione delle policies è fondamentale rivolgersi ad un consulente legale che possa tradurre e coordinare l’effettiva adozione.
Per l’adozione di alcune misure possiamo usare la logica Plan Do Check Act. Se non sai cos’è, in sede di consulenza, avrai modo di vedere in modo approfondito il processo e farlo tuo anche per altri processi interni aziendali. Chiaramente, oltre ad aver messo in campo le misure, è necessario anche curare un progetto di miglioramento continuo e un adeguamento costante.
L’igiene informatica come priorità per l’adeguamento a NIS 2
Esiste una procedura per il recupero degli account bloccati? C’è uno strumento per la gestione degli asset IT? I dati di backup sono crittografati durante il trasferimento?
Queste sono solo alcune delle domande che vengono fatte durante la fase di gap analysis e che rientrano poi tra le attività del piano di adeguamento a NIS 2.
Siamo sinceri: per fretta, disorganizzazione o fiducia nell’universo, le misure di igiene informatica vengono spesso trascurate: questo si traduce in rischi, responsabilità, violazioni, sanzioni. Sotto il profilo legale avere un assetto di igiene informatica adeguato si traduce in policies, procedure e formazione adeguata ai dipendenti ma presuppone l’adozione di misure tecniche.
Nel corso della consulenza per l’adeguamento a NIS 2, andiamo ad adottare ed aggiornare, nel tempo e per gradi, le varie misure tecniche ed organizzative per garantire rispettare quanto previsto dalla normativa.
Cosa fare per iniziare? Iniziare a introdurre un cambiamento culturale. Serve una consapevolezza diffusa, una responsabilizzazione in capo alle persone che i dati li trattano (praticamente tutti i dipendenti), serve decidere di canalizzare alcune risorse verso questa destinazione, altrimenti i rischi, anche reputazionali, sono elevati.
Se vuoi iniziare a cambiare approccio, puoi contattarci.
La fase successiva è quella di identificare ed implementare le misure tecniche e organizzative da adottare per prevenire, evitare o gestire i rischi di cybersicurezza.
Si deve elaborare un inventario degli asset, per sapere cosa proteggere. E posso assicurarti che non tutte le aziende ce l’hanno, oppure non è aggiornato, non è completo, non contiene alcun elementi essenziali (ad esempio la configurazione dei device).
Serve poi una politica per la gestione degli aggiornamenti e delle vulnerabilità. Un sistema di controllo delle installazioni.
Le misure possono coinvolgere anche la catena dei fornitori: conoscere ad esempio se i nostri fornitori hanno eseguito dei test di vulnerabilità, o se sono in grado di dimostrare la capacità di rispettare delle misure tecniche e organizzative che sottoponiamo, ci consente di valutare l’affidabilità e quindi anche l’eventuale nostra esposizione verso il nostro cliente.
Il piano come strumento di accountability per la NIS 2
Uno dei principi della direttiva è l’accountability ossia la responsabilità di rispondere del proprio operato e di dimostrare l’effettiva adozione della misura in caso di ispezioni o di violazioni.
E quindi il nostro lavoro è proprio quello di formalizzare policy e procedure, definire le responsabilità (o il team) e documentare l’attività (anche di formazione e comunicazione) affinché tutto il lavoro svolto sia documentato.
In questo modo, il piano d’implementazione che proponiamo diventa uno strumento essenziale anche per la governance societaria interna, una base per la definizione delle responsabilità ed un elemento di difesa. Quello che ci proponiamo di fare è infatti trasformare delle norme in un sistema sostenibile, integrato ed effettivo.
I sistemi di intelligenza artificiale sono integrati in tutte le fasi di tutti i servizi di tutte le agenzie di comunicazione, o quasi e diventano esse stesse un “prodotto”. Vediamo come regolamentare in modo corretto l’uso di questo strumento.
Questo articolo esce nel 2026, anche tardi rispetto a tutte le attività, di formazione, consulenza, assistenza che abbiamo svolto nel corso di tutto il 2025 (e anche prima), affiancando le agenzie di comunicazione e software house nel corretto adeguamento alla normativa e nel rispetto degli accordi con i clienti.
Tu mi insegni che usare l’AI significa attivarla per ogni cosa, in agenzia: per creare contenuti, ottimizzare campagne, analizzare dati, generare concept creativi, accelerare flussi di lavoro, scrivere email, correggere bozze, creare preventivi, modificare presentazioni, ricevere idee nuove, creare presentazioni efficaci, ecc.
Bene. Questo strumento ha fatto emergere un’esigenza nuova: definire delle regole interne chiare e comprendere e rispettare quelle che arrivano dall’esterno.
Perchè una Policy AI oggi è uno strumento indispensabile (anche per le agenzie creative)?
La policy è un documento organizzativo e di tutela, fissa i principi in materia di AI, definisce le linee guida per l’utilizzo ed è integrata al regolamento d’uso dei sistemi informatici affinché in caso di violazione, il dipendente riceva una sanzione disciplinare.
Se scegli di non avere una policy AI significa che accetti alcuni rischi che possono trasformarsi in danni effettivi. Eccone alcuni:
uso disordinato e non tracciato dei vari sistemi di AI da parte dei dipendenti;
upload di dati e materiali dei clienti senza autorizzazione;
contenuti generati che violano i diritti di terzi o le condizioni della piattaforma;
Chiaramente, una policy non si traduce nell’ennesimo documento da far firmare ai lavoratori, ma è uno strumento prezioso per definire la cornice legale minima entro cui poter svolgere le attività creative.
Un documento impostato in modo corretto, completo, ma sintetico, svolge almeno tre funzioni:
1) La policy AI fornisce al dipendente regole operative
Il dipendente riceve un quadro generale die principi in materia di AI che gli consentono di acquisire maggiore consapevolezza in materia ma anche ottiene le concrete modalità di utilizzo è in grado di individuare i sistemi approvati, vietati, in fase di test, abbandonati.
2) La policy AI protegge l’agenzia contro le violazioni del dipendente
Impone ai lavoratori il rispetto della procedura e consente quindi all’agenzia, in caso di violazione, di intervenire a protezione eventualmente con sanzioni disciplinari commisurate all’entità del danno
3) La policy AI tutela il cliente dall’uso improprio
Una policy AI completa consente di evitare l’uso improprio di dati, asset e materiali riservati. Di fatto, se il cliente vieta l’uso del sistema, l’agenzia deve attivarsi, con una procedura che avrà definito, per escludere che per quell’attività possa essere usato il sistema. Oppure dovrà attivarsi, sempre tramite procedura, per anonimizzare dati ed informazioni rendendoli non più riconducibili al cliente. Attenzione alla violazione di eventuali NDA o accordi di riservatezza.
Come costruire una policy per l’uso dell’AI?
Non esiste un modello standard, non esiste un format, ma esiste la possibilità di adottare una struttura adeguata in relazione alla realtà aziendale. Noi lavoriamo pressoché esclusivamente con aziende che lavorano nel digitale e tipicamente agenzie di comunicazione, quindi la struttura che adottiamo è simile.
E quindi, il nostro suggerimento, con l’invito però di rivolgersi ad un legale esperto della materia che elabori concretamente il documento:
Fornire le definizioni e definire l’ambito di applicazione (interno ed esterno)
Statuire i principi generali in materia di AI eventualmente facendo richiamo a quanto previsto dall’AI Act e dal Codice etico aziendale, se presente
Fissare le regole sui dati e sulle informazioni riservate
Stabilire la procedura di approvazione dei sistemi
Rinviare ad un file esterno da mantenere aggiornato contenente l’elenco dei sistemi approvati
Integrare un sistema per la gestione delle criticità
Verificare la titolarità degli output in relazione a ciascun sistema
Definire misure disciplinari in caso di violazione
L’elemento chiave: l’elenco dei tool approvati
Tra gli strumenti più utili, abbiamo suggerito la creazione di un documento, in formato excel o simile, che consenta agevolemente ed in modo ordinato di raccogliere le indagini svolte per ogni tool di AI.
Per ciascun sistema l’invito è quello di: stabilire la funzione, indagare circa le modalità di utilizzo, definire i gradi di rischio, fissare le regole di input ed output.
L’intervento legale diventa qui indispensabile per la corretta comprensione di ciascun documento e dei termini legali utilizzati, messo a disposizione dai vari sistemi, tipicamente chiamato “condizioni d’uso della piattaforma” o “termini di utilizzo”. Ebbene trattasi di veri e propri contratti che l’agenzia va a stipulare al momento dell’attivazione di un account, di norma a pagamento.
L’aspetto fondamentale è mantenere il costante aggiornamento dell’elenco, sia con riguardo ai nuovi tool che si intende sperimentare e poi valutare per approvare (segue un processo di approvazione) sia per quelli che invece diventano desueti e vengono abbandonati.
Suggerisco anche di mantenere traccia dei sistemi che invece non sono approvati e delle ragioni per le quali si è ritenuto di vietarne l’utilizzo. questo sia per vietare appunto ogni iniziativa in merito all’attivazione da parte del singolo, sia eventualmente per consentire una futura rivalutazione in caso di modifica dei termini e condizioni d’uso.
Da dove iniziare?
Di fatto, il punto di partenza a nostro avviso è un’analisi di come vengono utilizzati i sistemi. E solo dopo, si può mettere in campo una policy adeguata, per poi tornare a fare la formazione per il rispetto della stessa e l’uso dei sistemi.
Voglio dedicare questo approfondimento al grande tema dei collaboratori, interni (dipendenti) ed esterni (fornitori) che gravitano attorno all’impresa. Sicuramente, attivare freelance assicura una grande flessibilità, ma come gestire il know how di progetto?
Vediamo quindi come strutturare in modo coerente il binomio organizzazione interna e rete di freelance, con particolare riguardo a ciò che, nella pratica, genera più problemi: qualità del servizio, responsabilità verso il cliente, proprietà intellettuale, sicurezza dei dati e delle informazioni.
Un modello “ibrido” si può?
L’attivazione di freelance risponde a varie esigenze concrete: accesso rapido a competenze specialistiche, scalabilità in caso di picchi di lavoro, riduzione notevole dei costi fissi, team specializzati.
Ad esempio, per una digital Agency, assumere stabilmente tutte le competenze specialistiche necessarie per ogni diversa commessa, è praticamente impossibile. Penso ad esempio, al motion design, all’AI engineering, all’UX writing, al character designer, ecc. Questo è giustificato da una notevole parcellizzazione delle professionalità nel mondo digitale (tu mi insegni).
Chiaramente, il modello è ibrido nella misura in cui c’è uno zoccolo duro di interni che permette sia il coordinamento di tutto il progetto (staff di tecnostruttura) sia le attività principali del progetto.
Tuttavia, proprio perchè trattasi di modello ibrido, l’organizzazione richiede metodo.
L’organizzazione interna: cosa tenere in house e perchè
Un’azienda, per funzionare bene, non può essere solo una rete, ci sono alcune funzioni che dovrebbero rimanere interne.
Di fatto, devono essere presenti delle figure stabili che assicurano, internamente, il coordinamento ed esternamente, una visione d’insieme.
Le funzioni che dovrebbero restare interne
Secondo me, le funzioni che dovrebbero rimanere al vertice strategico e alle funzioni di staff interno sono:
Direzione: che si occupa del coordinamento e della definizione della strategia, del posizionamento del metodo e di tutto quanto attiene alla direzione appunto dell’azienda;
Commerciale: in realtà in alcuni casi potrebbero esserci anche più figure, alcune interne che si occupano della contrattualistica, altri esterni che si occupano della gestione della fase di preventivazione; anche essere
Project management: a mio avviso, la figura dovrebbe essere necessariamente interna, per non disperdere informazioni e finire in responsabilità nei confronti del cliente finale; tuttavia, per alcuni progetti potrebbe essere una valida opzione esternalizzare;
Amministrazione: qui entra tutto quanto attiene alla documentazione e alla c.d. burocrazia. Gestione clienti, fornitori, collaboratori.
Il ruolo del consulente legale è affiancare sicuramente l’amministrazione e la direzione, in ragione a quelle che sono le mansioni effettive, partendo da una gestione dei flussi di lavoro e della contrattualistica di settore.
La rete di freelance: come usarla in modo intelligente i professionisti creativi
I professionisti creativi funzionano bene quando vengono utilizzati come specialisti a progetto, con attività ben definite e misurabili. Un’attività continuativa, è una contraddizione e potrebbe causare problematiche anche in relazione al corretto inquadramento.
Le attività tipicamente esternalizzazbili
Sulla base della nostra esperienza, sono sicuramente attività che possono essere gestite anche esternamente, con un importante coordianemtno dall’interno, attraverso il PM, ad esempio: la produzione creativa (illustrazioni, shooting, motion), le attività tecniche altamente specialistiche (salvo non si tratti di agenzia che si occupa proprio di quello), oppure tutta la parte di supporto editoriale (tipicamente gestito attraverso copywriter freelance).
In questo senso la governance rimane interna e l’esecuzione specialistica avviene esternamente, seppur in modo controllato.
Il controllo e una gestione corretta passa attraverso una documentazione contrattuale aggiornata e coerente.
Make or buy? Ossia, meglio assumere dipendenti o collaborare?
Chiaramente, non è una questione esclusivamente legale, ma passa attraverso la continuità, i carichi di lavoro, la solidità dell’azienda, le capacità, gli obiettivi di businesss, ecc.
La soluzione può essere ottenuta attraverso questa valutazione: il team interno si occupa necessariamente di tutta la parte di gestione del cliente, controllo qualità, approvazione; la parte esterna si attiva con riguardo alle attività specialistiche operative.
Se non c’è equilibrio, potrebbero esserci delle conseguenze: ritardi nelle consegne, contestazioni, responsabilità, valutazione della qualità del lavoro e quindi dell’affidabilità.
Se ti serve una valutazione giuslavorista, possiamo certamente darti supporto. All’interno del team abbiamo un’avvocata esperta in diritto del lavoro che può rispondere ai quesiti.
I principali rischi legali nella gestione dei freelance
Ci sono dei profili di rischio nell’attivazione dei professionisti creativi, che però possono essere diminuiti in relazione ad una corretta gestione del lavoro.
1) La responsabilità verso il cliente rimane all’agenzia
In alcuni casi il cliente vieta il subappalto. L’agenzia di solito richiede una modifica alla clausola dacché è normale avere una rete di fornitori che svolgono parte del lavoro.
In ogni caso, l’azienda è il soggetto che rimane direttamente responsabile nei confronti del cliente finale. Se quindi il collaboratore esterno: consegna in ritardo, realizza in modo erroneo la prestazione, sbaglia, viola diritti di terzi, compromette dati o account, l’agenzia ne risponde comunque.
Attenzione massima a come viene gestita la collaborazione. Se infatti si tratta di una collaborazione continuativa, mono-committente, con orari e modalità eterodirette, integrata stabilmente nei processi interni, può emergere un rischio di contestazione giuslavoristico.
Diventa quindi fondamentale avere degli incarichi scritti, chiari che sanciscono l’autonomia ma non solo in linea teorica.
3) La gestione dei diritti di copyright del freelance – proprietà intellettuale
Aspetto di portata enorme è la gestione dei diritti su quanto viene realizzato dal freelance. Mi riferisco a: codice sorgente, design, testi, contenuti, foto, format, ecc. Chi è proprietario di cosa? Come distinguere l’asset materiale dai diritti?
Anche qui, è fondamentale regolamentare in modo chiaro e trasparente tramite una lettera d’incarico, diritti, licenze, cessioni, utilizzi. Questo non solo nei rapporti freelance-agenzia ma soprattutto con riguardo al cliente finale.
4) Sicurezza di dati ed informazioni
Una delle cose più importanti da considerare è che la sensibilità per la sicurezza dei dati e delle informazioni che viene adottata dall’azienda deve essere estesa anche ai collaboratori altrimenti, vi è il rischio di porre nel nulla gli investimenti, oltre che ad essere esposti a notevoli rischi.
Infatti, il collaboratore esterno molto spesso entra in contatto con: drive e cartelle condivise, CRM, dati ed asset del cliente, ecc. È quindi fondamentale, perlomeno, richiedere l’adozione di misure di sicurezza, far sottoscrivere NDA o impegni di riservatezza, limitare gli accessi.
5) Organizzazione dei processi interni
Oltre alla contrattualistica, di base, è fondamentale una gestione operativa costituita da procedure semplici e ripetibili. Si tratta di mappare il processo di outsourcing dell’attività.
Gli strumenti di governance indispensabili in questo caso o meglio quelli che io suggerisco e do supporto per adottare sono:
l’on boarding del freelance;
lo sviluppo di brief standardizzati;
la definizione di fasi e milestone di progetto;
la formalizzazione delle revisioni ed approvazione;
un check interno della qualità; gestione e archiviazione;
Per approfondire uno o più di questi temi, contattaci.
