Piattaforma IA sovrana UE.

Cosa significa davvero «sovrano UE»

L'IA sovrana UE è più della «regione UE» presso i fornitori cloud statunitensi. Una vera sovranità UE richiede quattro livelli: primo azienda UE come fornitore (persona giuridica secondo il diritto UE, non controllata statunitense), secondo infrastruttura di hosting UE (server in uno Stato membro UE, non regione cloud statunitense), terzo elaborazione LLM nell'UE (inferenza su server UE, contrattualmente garantita, nessun addestramento sui dati dei clienti), quarto DPA completo ai sensi dell'art. 28 GDPR con elenco trasparente dei sub-responsabili. Con gli hyperscaler statunitensi il punto uno è già difficile, le capogruppo sono soggette al diritto statunitense, ad esempio al CLOUD Act. La «regione UE» sposta solo la localizzazione dei server, non la sovranità giuridica.

Schrems II + GDPR art. 28, la realtà giuridica 2026

La sentenza Schrems II della Corte di giustizia dell'UE del 2020 ha fatto cadere il Privacy Shield e richiede, per i trasferimenti verso Paesi terzi, un livello di protezione equivalente. Il Comitato europeo per la protezione dei dati ha descritto nelle sue raccomandazioni 01/2020 come possono essere le misure supplementari. Da luglio 2023 per i fornitori statunitensi certificati vale la decisione di adeguatezza sull'EU-US Data Privacy Framework, confermata dal Tribunale dell'UE a settembre 2025. I trasferimenti verso questi fornitori sono quindi ammessi, ma dipendono da una decisione controversa sul piano politico e giudiziario. Chi elabora nell'UE fin dall'inizio non ha bisogno di questa base: nessun trasferimento verso Paesi terzi, nessuna valutazione d'impatto del trasferimento per questa parte.

AI Act art. 50, obbligo di trasparenza dal 02.08.2026

L'articolo 50 del regolamento UE sull'IA 2024/1689 obbliga i fornitori dal 02.08.2026 alla disclosure nelle interazioni IA nel contatto con la clientela finale. Le persone devono sapere chiaramente, al più tardi al primo contatto, che stanno interagendo con un'IA. Come farlo il regolamento non lo stabilisce; di solito si usa un annuncio al telefono, un avviso visibile in chat e un avviso nel testo di un'e-mail. Le violazioni possono comportare sanzioni fino a 15 milioni di € o il 3% del fatturato annuo mondiale. In rinqo l'avviso è già preimpostato, fisso in chat e via e-mail, al telefono nel saluto preimpostato.

Lo stack interamente UE di rinqo nel dettaglio

Hosting: server in Germania presso un fornitore tedesco, DPA ai sensi dell'art. 28 del GDPR. App, API, database, database vettoriale, coda e servizio vocale girano tutti lì. Le copie di backup sono cifrate nell'UE. Telefonia: un fornitore con sede in Irlanda. Modello linguistico: modelli IA con trattamento dei dati nell'UE garantito per contratto (nessun addestramento sui dati dei clienti), più un fornitore europeo di riserva che subentra in caso di guasto. Riconoscimento vocale: un fornitore con elaborazione in Francia, con DPA. Sintesi vocale: un fornitore tedesco, elaborazione nell'UE. Le categorie sono su /security, l'elenco nominativo dei sub-responsabili nella dashboard.

Quando la sovranità UE è obbligatoria, e quando no

Un fornitore UE non è prescritto dalla legge: il GDPR consente i trasferimenti verso Paesi terzi alle condizioni del capo V, ad esempio con una decisione di adeguatezza o con clausole contrattuali tipo. L'elaborazione nell'UE ha particolarmente senso dove i dati sono particolarmente protetti: dati sanitari, segreti dei clienti di studi legali, dati finanziari, tutto ciò che è coperto da segreto professionale. In rinqo per questi ambiti vale inoltre: per i dati sanitari sottoscrivi un accordo integrativo prima di partire, per il segreto professionale vale la sezione 10 del DPA. Meno critiche sono le applicazioni senza dati personali, ad esempio bot FAQ anonimi su pagine di marketing.

Sovranità digitale: perché la sede dei server è diventata una questione per la direzione

Sovranità digitale significa che controlli chi accede ai dati della tua azienda e in base a quale diritto. Per anni è stato un tema da reparto IT. Il CLOUD Act statunitense lo ha portato sul tavolo della direzione: le autorità USA possono obbligare i provider americani a consegnare i dati, indipendentemente da dove si trovano i server. Un data center a Francoforte non protegge, quindi, se la controparte contrattuale è un gruppo statunitense. Per questo oggi la scelta della sede dei server spetta alla direzione, non più solo all'IT. In pratica la sovranità digitale si fonda su tre criteri. Primo, server UE: i tuoi dati vengono elaborati e archiviati su server nell'UE. Secondo, controparte contrattuale UE: la controparte del tuo DPA è soggetta al diritto europeo, non al CLOUD Act. Terzo, capacità di uscita: puoi esportare i dati e cambiare fornitore senza fermare l'attività. Se manca uno dei tre criteri, la sovranità resta incompleta, qualunque cosa dica il marketing. Per i sistemi di IA il tema pesa doppio, perché telefonate, chat ed e-mail con dati dei clienti passano attraverso il sistema. Chiedi quindi a ogni fornitore esattamente questi tre punti. In rinqo le risposte sono queste: server in Germania in data center con certificazione ISO 27001, DPA ai sensi dell'Art. 28 GDPR, elaborazione dei modelli linguistici all'interno dell'UE garantita per contratto. I tuoi dati non vengono usati per l'addestramento dei modelli. L'intero stack è documentato, ogni componente con fornitore e regione.

• Server UE: elaborazione e archiviazione su server nell'UE
• Controparte contrattuale UE: la controparte del DPA è soggetta al diritto europeo, non al CLOUD Act
• Capacità di uscita: dati esportabili, cambio di fornitore senza fermare l'attività

IA locale o cloud europeo: la scelta realistica per le PMI

Per la maggior parte delle PMI il cloud europeo è la via praticabile verso un'IA conforme al GDPR. L'IA locale, cioè modelli linguistici propri su hardware proprio, è la forma massima di controllo: nessun dato lascia l'azienda, nessuna controparte esterna, nessuna questione di paesi terzi. A essere onesti, questo controllo ha il suo prezzo. I modelli linguistici performanti richiedono server GPU, di cui sostieni tu acquisto e costi energetici. Si aggiungono gestione, monitoraggio, aggiornamenti dei modelli, patch di sicurezza e personale che se ne occupi in modo permanente. Un agente telefonico richiede inoltre funzionamento in tempo reale e collegamento alla rete telefonica: è esercizio continuo, non un progetto da weekend. L'IA locale conviene quindi soprattutto alle aziende con un proprio team IT e requisiti particolari. Il cloud europeo offre i vantaggi della sovranità senza questo carico operativo: server UE, controparte contrattuale UE, DPA ai sensi dell'Art. 28 GDPR, e il fornitore si fa carico di gestione e aggiornamenti. rinqo ha scelto consapevolmente questa strada. I server si trovano in Germania, in data center con certificazione ISO 27001. L'elaborazione dei modelli linguistici avviene, con garanzia contrattuale, all'interno dell'UE, senza addestramento sui tuoi dati. Un fornitore europeo di riserva subentra in caso di guasto. Nella configurazione ti accompagniamo noi, in chat e via e-mail gli agenti lavorano in 17+ lingue, al telefono nella tua lingua principale e in inglese. Il calcolo, in tutta sobrietà, è questo: controllo totale contro costi operativi prevedibili. Per telefono, chat ed e-mail nella quotidianità di una PMI vince quasi sempre il cloud.