AI conforme al GDPR.
Perché la maggior parte degli strumenti non lo è e come Namulai la gestisce.
La conformità al GDPR non è una medaglietta che un fornitore AI si appende da solo. È un insieme di obblighi ai sensi del Regolamento (UE) 2016/679 che coprono base giuridica, minimizzazione dei dati, conservazione, trasparenza e diritti dell'interessato. La maggior parte degli strumenti AI generalisti è stata costruita prima che quegli obblighi venissero presi sul serio. Namulai è stata costruita dopo. Questa pagina espone, in modo piano, cosa facciamo, cosa deleghiamo ai sub-responsabili e dove i confini stanno davvero.
Cosa richiede davvero il GDPR a uno strumento AI
Il Regolamento (UE) 2016/679 non è una checklist di parole d'ordine. Richiede una base giuridica per il trattamento (art. 6), limitazione delle finalità (art. 5.1.b), minimizzazione dei dati (art. 5.1.c), limitazione della conservazione (art. 5.1.e) e una catena chiara di responsabilità tra titolari e responsabili (artt. 24-28).
Per un assistente AI in particolare, questo si traduce in domande concrete. Perché il prompt viene conservato. Per quanto tempo. Viene usato per riaddestrare un modello, e su quale base. Chi sono i sub-responsabili, dove si trovano e c'è un meccanismo di trasferimento per il traffico che esce dallo SEE. Sono le domande che un DPO competente porrà prima di approvare uno strumento, e sono quelle giuste. In Italia, anche il Garante per la protezione dei dati personali è un riferimento naturale per chi voglia inquadrare il problema.
Dove la maggior parte degli strumenti AI principali resta indietro
Le carenze tendono a ricorrere. I tier consumer gratuiti spesso usano per default i prompt per migliorare il modello, con opzione di rinuncia sepolta nelle impostazioni. Gli accordi standard sul trattamento dei dati mancano o sono disponibili solo nei piani enterprise. Le liste dei sub-responsabili sono vaghe o non pubblicate. Le finestre di conservazione sono descritte nei testi di marketing più che nei contratti.
Niente di tutto questo rende gli strumenti intrinsecamente illegittimi, ma sposta l'onere della conformità sul cliente. Un consulente solo o uno studio di cinque persone raramente avrà il tempo o la leva per negoziare diversamente. Il risultato è una deriva silenziosa di dati cliente verso sistemi la cui base giuridica non è mai stata stabilita correttamente.
Come Namulai affronta la questione
Namulai opera come titolare del trattamento per i dati account e come responsabile per i contenuti delle tue conversazioni. Dati account, cronologia messaggi e metadati di fatturazione risiedono in MongoDB su una singola VM Hetzner a Falkenstein, Germania. Non c'è un data warehouse di analytics, nessuna seconda copia in un'altra regione, nessun database ombra.
La base giuridica è la necessità contrattuale ai sensi dell'art. 6.1.b per il servizio in sé, e il consenso ai sensi dell'art. 6.1.a per gli analytics opzionali. Non addestriamo modelli sui tuoi prompt. L'inferenza è instradata tramite OpenRouter, che ha la conservazione lato provider disabilitata per default. Puoi esportare ed eliminare il tuo account dalle impostazioni, e i record sottostanti vengono cancellati entro trenta giorni tramite indici TTL di MongoDB.
Dove residenza UE e simil-GDPR divergono
Namulai non è uno stack puro solo-UE, e fingere il contrario sarebbe fuorviante. OpenRouter instrada molti modelli attraverso endpoint in regione UE quando il provider sottostante li supporta, ma alcuni modelli sono serviti solo da infrastruttura statunitense. Quando scegli uno di quei modelli, il prompt esce dallo SEE per la durata di quella singola richiesta.
Quel trasferimento è coperto dalle Clausole Contrattuali Standard e da impegni a livello di provider, che è la stessa base giuridica su cui poggia la maggior parte del SaaS aziendale dopo Schrems II. È lecito, ma non è la stessa cosa che non lasciare mai Francoforte. Esponiamo la distinzione nel selettore dei modelli invece di nasconderla, così puoi scegliere di conseguenza.
Cosa significa per imprese e freelance UE
Se gestisci dati cliente soggetti al segreto professionale, dati sanitari, atti legali o qualunque altro materiale in cui sono in gioco le categorie particolari dell'art. 9, non dovresti incollare quel materiale in un chatbot consumer gratuito. La base giuridica è fragile e la pista di audit è inesistente.
Namulai ti dà una postura più difendibile: un singolo titolare ospitato nell'UE, una lista pubblicata di sub-responsabili, nessun addestramento sui prompt e la possibilità di limitare il lavoro sensibile ai modelli instradati in UE. Non è un sostituto della tua DPIA, e non trasforma un caso d'uso da art. 9 in uno casuale. Significa però che, per il lavoro di routine che riempie la maggior parte di una settimana lavorativa, la storia di conformità è una che puoi davvero raccontare.
GDPR e AI, domande frequenti
Namulai è titolare o responsabile del trattamento?
Entrambi, a seconda dei dati. Agiamo come titolare per le tue informazioni account, i record di fatturazione e i metadati di autenticazione, di cui abbiamo bisogno per gestire il servizio. Per il contenuto delle tue conversazioni con i modelli, agiamo come responsabile per tuo conto e instradiamo la richiesta tramite il nostro sub-responsabile, OpenRouter.
Firmate un Data Processing Addendum?
Sì, su richiesta per i clienti a pagamento. Il DPA rispecchia la struttura attesa ai sensi dell'art. 28, elenca i sub-responsabili coinvolti (OpenRouter, Stripe Payments Europe Ltd., il provider email), specifica le categorie di dati trattati e include le Clausole Contrattuali Standard per qualunque trasferimento del contenuto delle conversazioni verso endpoint di modelli al di fuori dello SEE.
Qual è la base giuridica per il trattamento dei miei prompt?
Necessità contrattuale ai sensi dell'art. 6.1.b del Regolamento (UE) 2016/679. Senza trattare il prompt non possiamo erogare il servizio che hai sottoscritto. Gli analytics opzionali, quando attivi, si basano sul consenso ai sensi dell'art. 6.1.a, e puoi revocarlo in qualunque momento senza incidere sul contratto stesso.
Per quanto tempo conservate la mia cronologia di conversazione?
Finché il tuo account è attivo, così puoi tornarci sopra. Quando elimini il tuo account dalle impostazioni, la cronologia di conversazione e il record account vengono cancellati da MongoDB tramite indici TTL entro trenta giorni. I backup cifrati del database sono conservati su una finestra mobile di 24 ore e sovrascritti nel normale corso dell'operatività.
Un workflow AI difendibile per i team UE, senza il sovraccarico enterprise.
Prova Namulai gratis30 giorni di prova gratuita · poi €19,80 al mese · disdici quando vuoi