Fornitori di IA con DPA, SCCs e TIA
Usare OpenAI senza DPA è un trasferimento internazionale senza base giuridica.
Quadro / norma: GDPR Cap. V + Art. 28 · EU AI Act Art. 25 · ISO/IEC 42001 A.10
Abilitare le autodescrizioni con OpenAI sembra innocuo. Legalmente è inviare dati a un sub-incaricato, possibilmente fuori dall'UE. Hai il DPA firmato? Le SCCs? Il TIA?
Linedat modella ogni fornitore di IA come entità versionata, con la sua catena di responsabilità e lo stato della documentazione legale.
La catena controller → processor → sub-processor
Ogni fornitore registra il proprio tipo, giurisdizione, meccanismo di trasferimento (SCCs, adeguatezza, BCR), date di firma del DPA e delle SCCs, il risultato del TIA (post-Schrems II) e i suoi sub-incaricati. Prima di abilitare una funzionalità di IA, puoi dimostrare che la base giuridica del trasferimento è in ordine.
Versionamento e rinnovo
Lo stato del DPA/SCCs/TIA viene versionato, con storico, e si registra la data di rinnovo. Trasformi "credo di sì, è da qualche parte" in "eccolo, versione 3, firmato il 12/03".
I limiti (ciò che non affermiamo)
Il passaggio a fornitore "attivo" richiede DPA registrato, ma il TIA e i sub-incaricati sono dichiarativi (registrazione manuale, non un questionario né una verifica di quanto il fornitore dichiara realmente). Il gate di runtime che impedisca l'uso di un fornitore non autorizzato non esiste ancora: è un registro documentale e auditato, non un blocco in tempo reale.
Come ti aiuta Linedat
Linedat porta il vendor risk dell'IA all'interno del catalogo, non in un foglio separato: prima che la tua IA parli con una terza parte, sai già se quella terza parte ha i documenti in regola — e i suoi sub-incaricati.
Capacità correlate
Prima che un codice fiscale o un IBAN arrivino a OpenAI, vengono redatti — nel percorso critico, non come opzione.
Inventario dei sistemi di IA per livello di rischioL'AI Act controlla sistemi, non chiamate. Ogni sistema di IA, inventariato con la sua classe di rischio.
Diritti dell'interessato (DSR) con timer legaleIl diritto del cittadino non si gestisce via email: con timer dell'Art. 12 e localizzazione del dato tramite RoPA.