Politica sull'uso dell'intelligenza artificiale

1. Scopo e ambito di applicazione

La presente politica (la Politica) disciplina l’uso dei sistemi di intelligenza artificiale da parte di Made in Evolve S.r.l. (Made in Evolve o la Società) nell’erogazione dei servizi di agenzia eCommerce e system integration e nello sviluppo della piattaforma SaaS Nucleo Platform, comprensiva dell’assistente AI Atomo.

La Politica vincola il personale della Società, i collaboratori esterni e i fornitori che operano per conto di Made in Evolve su progetti dei clienti o sui sistemi interni, ed è pubblicata a beneficio dei clienti e dei visitatori del sito.

I termini sistema di IA, modello di IA per finalità generali (GPAI), fornitore (provider) e deployer hanno il significato definito dall’art. 3 del Regolamento (UE) 2024/1689 (AI Act).

2. Principi

• Supervisione umana. L’IA supporta il lavoro delle persone e non le sostituisce nelle decisioni. Ogni output destinato a un cliente o al pubblico è verificato da una persona competente, che ne assume la responsabilità.
• Trasparenza. Dichiariamo l’uso dell’IA quando la legge lo richiede e quando è rilevante per il destinatario.
• Equità. Non usiamo l’IA per discriminare o profilare le persone in modo occulto e verifichiamo che gli output non riproducano pregiudizi.
• Sicurezza. Usiamo solo strumenti approvati, con account aziendali, secondo misure allineate ai principi della norma ISO/IEC 27001:2022.
• Protezione dei dati. I dati personali entrano nei sistemi di IA solo se necessario, in forma minimizzata e presso fornitori vincolati da accordi sul trattamento.
• Responsabilità. La Società risponde dei contenuti e dei servizi che eroga, qualunque sia lo strumento usato per produrli.

3. Ruoli ai sensi dell’AI Act e calendario di applicazione

3.1 Strumenti utilizzati e ruolo di deployer

Made in Evolve utilizza esclusivamente i sistemi di IA per finalità generali di OpenAI, Anthropic, Google Gemini e Microsoft Copilot. Altri strumenti, inclusi servizi gratuiti o account personali, non sono ammessi senza approvazione preventiva (sezione 10). In relazione a tali strumenti la Società agisce come deployer (art. 3, n. 4, AI Act): li utilizza sotto la propria autorità nella propria attività professionale, senza modificarne la finalità prevista né immetterli sul mercato con il proprio nome.

3.2 Ruolo di provider per Nucleo Platform e Atomo

Le funzioni di IA integrate in Nucleo Platform (moduli Brain/CRM, Catalog, Commerce, Intelligence) e l’assistente Atomo sono sviluppate da Made in Evolve sui modelli dei fornitori indicati al punto 3.1. Per tali funzioni la Società agisce come provider (art. 3, n. 3, AI Act), poiché le mette a disposizione dei clienti con il proprio nome, e ne cura documentazione tecnica, informazioni agli utenti e trasparenza (sezione 7).

3.3 Calendario di applicazione

L’AI Act è entrato in vigore il 1° agosto 2024 e si applica per fasi:

4. Classificazione dei rischi

Made in Evolve ha esaminato i propri casi d’uso secondo l’approccio basato sul rischio dell’AI Act e ha concluso che:

• non svolge alcuna pratica vietata (art. 5): nessuna tecnica manipolativa, punteggio sociale, riconoscimento delle emozioni sul luogo di lavoro o categorizzazione biometrica;
• non utilizza né sviluppa sistemi ad alto rischio (Allegato III): in particolare l’IA non è impiegata nella selezione dei candidati, nella valutazione dei lavoratori né nell’accesso a servizi essenziali;
• non adotta decisioni esclusivamente automatizzate con effetti giuridici o analoghi sulle persone (art. 22 GDPR): le automazioni di Nucleo Platform producono suggerimenti e bozze che un operatore accetta, modifica o rifiuta.

I nostri usi ricadono quindi tra i sistemi a rischio limitato (soggetti all’art. 50) o a rischio minimo.

5. Casi d’uso ammessi

6. Usi non ammessi

Sono vietati, salvo autorizzazione scritta della direzione previa valutazione dei rischi:

• inserire nei prompt dati di categorie particolari (art. 9 GDPR) o relativi a condanne penali e reati (art. 10 GDPR);
• inserire dati personali dei clienti o dei loro utenti finali in strumenti privi di accordo sul trattamento dei dati (DPA) e di piani business o enterprise che escludano l’addestramento dei modelli;
• inserire informazioni confidenziali dei clienti (credenziali, chiavi API, dati finanziari, codice proprietario) in strumenti non approvati o account personali;
• usare l’IA per decidere sulle persone (selezione, valutazione delle prestazioni, condizioni commerciali a singoli consumatori, profilazione con effetti giuridici);
• generare o manipolare immagini, audio o video che raffigurino persone reali identificabili senza consenso documentato (deepfake);
• creare contenuti ingannevoli: recensioni fittizie, dati di performance non veritieri, imitazioni di marchi o stili protetti, messaggi che simulano di provenire da una persona;
• pubblicare o consegnare output di IA senza revisione umana.

7. Obblighi di trasparenza (art. 50 AI Act)

Made in Evolve adotta già come standard operativo gli obblighi dell’art. 50, pienamente applicabili dal 2 agosto 2026:

• Chatbot e assistenti. Ogni sistema che interagisce con persone fisiche, incluso Atomo e gli eventuali assistenti realizzati per i clienti, informa l’utente che sta interagendo con un sistema di IA, salvo che ciò sia evidente dal contesto.
• Immagini, audio e video. I contenuti realistici generati o manipolati con IA riportano un’indicazione chiara della loro origine artificiale nei metadati e, ove possibile, in modo visibile o nella didascalia. Le elaborazioni minori (correzione colore, rimozione dello sfondo) non richiedono etichettatura.
• Testi destinati al pubblico. I testi generati con IA e pubblicati per informare su temi di interesse pubblico riportano la relativa indicazione, salvo revisione umana con responsabilità editoriale.
• Informazione ai clienti. Nei preventivi e nei contratti indichiamo, quando rilevante, quali deliverable prevedono l’uso di IA generativa (per esempio le immagini) e con quali controlli.

8. Proprietà intellettuale

• Originalità. Gli output destinati alla pubblicazione sono verificati per escludere riproduzioni sostanziali di opere, marchi, loghi o stili di terzi; in caso di dubbio sono rielaborati o sostituiti.
• Licenze dei modelli. Gli strumenti sono usati nel rispetto dei termini dei fornitori, incluse le limitazioni all’impiego commerciale degli output.
• Titolarità degli output. È regolata dal contratto con il cliente. Informiamo i clienti che la tutela autorale presuppone un apporto creativo umano e che gli output puramente automatici potrebbero non essere protetti come opere dell’ingegno.
• Contenuti dei clienti e di terzi. Sono usati con l’IA nei limiti dei diritti conferiti e mai per addestrare o affinare modelli.
• Contenuti del sito. Le condizioni di riutilizzo dei contenuti di madeinevolve.com da parte di sistemi di IA sono nelle Condizioni d’uso del sito.

9. Protezione dei dati personali

Il trattamento mediante IA rispetta il Regolamento (UE) 2016/679 (GDPR), il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (Codice privacy) e la nostra Informativa privacy:

• Minimizzazione e pseudonimizzazione. Nei prompt entrano solo i dati necessari; nomi, contatti e identificativi diretti sono rimossi quando non indispensabili; ove possibile si usano dati aggregati o anonimi.
• Fornitori con DPA. OpenAI, Anthropic, Google e Microsoft trattano i dati come responsabili del trattamento in base a un DPA. I trasferimenti extra-UE sono coperti dalle Clausole Contrattuali Standard (Decisione 2021/914) e, per i fornitori statunitensi aderenti, dall’EU-US Data Privacy Framework.
• Nessun addestramento sui dati dei clienti. Utilizziamo piani business o enterprise in cui il fornitore esclude contrattualmente l’uso dei dati per addestrare i modelli; Made in Evolve non addestra né affina modelli sui dati dei clienti.
• Atomo e Nucleo Platform. Atomo opera solo sui dati del singolo cliente (tenant), con memoria isolata per tenant: i dati di un cliente non sono mai usati per un altro. Hosting presso DigitalOcean, data center di Francoforte.
• Diritti degli interessati. Le richieste possono essere presentate tramite la pagina Richieste privacy o a privacy@madeinevolve.com.

10. Qualità, controllo e registro dei casi d’uso

• Revisione umana. Nessun output di IA è consegnato o pubblicato senza la revisione di una persona competente, che ne verifica accuratezza, coerenza con il brief e conformità alla Politica.
• Test. Il codice generato con IA è soggetto agli stessi test, code review e controlli di sicurezza del codice scritto manualmente; le funzioni di IA di Nucleo Platform sono testate prima del rilascio.
• Registro dei casi d’uso. La Società mantiene un registro interno con strumento, finalità, categorie di dati, livello di rischio, controlli e responsabile di ciascun caso d’uso, riesaminato annualmente.
• Valutazione dei rischi. Prima di adottare un nuovo strumento o caso d’uso, il responsabile di area ne valuta classificazione ai sensi dell’AI Act, impatti sui dati personali (inclusa l’eventuale valutazione d’impatto ex art. 35 GDPR), proprietà intellettuale, sicurezza, rischi di errore o pregiudizio e controllo umano.
• Incidenti. Errori significativi, fughe di dati o output dannosi sono segnalati alla direzione e gestiti secondo le procedure di sicurezza, inclusa la notifica ex artt. 33 e 34 GDPR ove dovuta.

11. Alfabetizzazione in materia di IA (art. 4 AI Act)

In conformità all’art. 4 dell’AI Act, applicabile dal 2 febbraio 2025, Made in Evolve assicura a personale e collaboratori un livello sufficiente di alfabetizzazione in materia di IA, tenuto conto del ruolo e del contesto d’uso:

• formazione all’ingresso sulla Politica, sugli strumenti approvati e sui rischi tipici (allucinazioni, pregiudizi, violazioni di proprietà intellettuale, fuga di dati);
• aggiornamenti periodici, almeno annuali, sulle evoluzioni normative e tecniche;
• formazione specifica dei responsabili di area sulla valutazione dei rischi e sulla trasparenza;
• documentazione della partecipazione.

12. Fornitori e clienti

• Fornitori e collaboratori. Sono vincolati alla Politica da clausole contrattuali: divieto di inserire dati dei nostri clienti in strumenti non approvati, obbligo di dichiarare l’uso di IA nei deliverable, garanzie sulla proprietà intellettuale.
• Fornitori di IA. Selezioniamo fornitori che offrono documentazione tecnica adeguata, conformità agli obblighi dell’AI Act per i modelli GPAI, DPA ed esclusione dell’addestramento.
• Clienti. I contratti disciplinano l’uso dell’IA nei deliverable, la titolarità degli output, il trattamento dei dati personali (con DPA ove Made in Evolve agisca come responsabile) e, per Nucleo Platform, le condizioni d’uso delle funzioni di IA e di Atomo. I clienti possono chiedere in fase contrattuale di escludere l’IA generativa per specifici deliverable.

13. Segnalazioni e riesame

Chiunque rilevi un uso dell’IA non conforme può segnalarlo a hello@madeinevolve.com o, per i dati personali, a privacy@madeinevolve.com. Personale e collaboratori possono usare anche il canale help@madeinevolve.com, gestito da una persona designata, autonoma e formata, con obbligo di riservatezza, adottato su base volontaria secondo i principi del D.Lgs. 24/2023.

La Politica è riesaminata almeno una volta all’anno e in occasione di nuove disposizioni dell’AI Act, di nuovi strumenti o di modifiche significative dei casi d’uso. La versione aggiornata è pubblicata su questa pagina con la data di aggiornamento.