Riferimenti normativi

Valutazione combinata della privacy (GDPR Art. 35) e della conformità all'EU AI Act (Reg. 2024/1689) del sistema ReQurv

Il presente documento descrive come ReQurv progetta, classifica e gestisce i propri sistemi AI dal punto di vista della protezione dei dati personali e della conformità all'AI Act. È redatto per essere letto dal pubblico: organizzazioni clienti, sviluppatori e chiunque voglia capire come ReQurv tratta i dati in relazione ai modelli AI.

1. Che cos'è ReQurv

ReQurv è un servizio B2B che si interpone tra le applicazioni dei clienti (applicazioni, agent, tooling) e i backend di inferenza dei modelli AI. ReQurv offre un'unica API per consumare modelli di linguaggio, audio e immagini, con fatturazione, limiti per organizzazione, moderazione dei contenuti e auditing dell'utilizzo.

Aspetti architetturali rilevanti per la privacy:

2. Classificazione EU AI Act

2.1 Pratiche vietate (Art. 5)

ReQurv non integra alcuna pratica vietata dall'Art. 5 dell'AI Act:

• Nessun social scoring;
• Nessun riconoscimento biometrico remoto in spazi pubblici;
• Nessun riconoscimento delle emozioni: il sistema di moderazione classifica contenuti testuali, non stati emotivi delle persone;
• Nessun scraping di immagini facciali.

La clonazione vocale, l'unica funzione che opera su un tratto biometrico (la voce), è disponibile esclusivamente con il consenso esplicito del soggetto la cui voce viene clonata (vedi §6).

2.2 Sistemi ad alto rischio (Annex III)

ReQurv non rientra in alcuna categoria ad alto rischio dell'Annex III. Il sistema non è impiegato in biometria identificativa, infrastrutture critiche, istruzione, lavoro, servizi essenziali, giustizia o migrazione. Non è pertanto soggetto a procedura di conformità Art. 43 né a registrazione Art. 71.

2.3 Trasparenza (Art. 50)

ReQurv è una piattaforma B2B: non interagisce direttamente con l'utenza finale. Gli obblighi di trasparenza verso i finali utenti (es. informare di interagire con un'AI, etichettatura dei deep fake) ricadono sulle organizzazioni clienti che utilizzano ReQurv per i propri servizi. A supporto della catena di responsabilità, ReQurv:

• documenta pubblicamente che i contenuti generati sono prodotti da modelli AI;
• richiede consenso esplicito e traccia l'origine delle voci clonate;
• mette a disposizione dei clienti la documentazione tecnica completa.

2.4 Classificazione risultante

Rischio: minimo, con funzioni a rischio limitato coperte da misure di trasparenza. ReQurv opera come piattaforma di infrastruttura: la classificazione AI Act dei casi d'uso finali è a carico delle organizzazioni cliente.

3. Modelli e dati di addestramento

3.1 Fine-tuning del modello requrv-small-3.8

ReQurv ha eseguito un fine-tuning del modello requrv-small-3.8 (modello self-hosted utilizzato per il proxy LLM e per il sistema di moderazione) per migliorarne efficienza e qualità nelle conversazioni in italiano.

Il fine-tuning è stato condotto esclusivamente su dataset pubblici scaricati da Hugging Face. Nessun dato dei clienti, nessuna conversazione in produzione e nessun dato personale raccolto da ReQurv sono stati utilizzati per l'addestramento.

3.2 Basi giuridiche e garanzie del fine-tuning

• I dataset sono corpus pubblici e aggregati: nessun individuo è identificato né profilato dal training;
• la base giuridica del fine-tuning è l'interesse legittimo del titolare (GDPR Art. 6(1)(f)) — migliorare la qualità del servizio in lingua italiana — con bilanciamento documentato;
• le eventuali tracce di dati personali presenti nei corpus web (es. nomi o email in testi pubblici) non sono trattate con finalità identificativa: il fine-tuning opera su dati aggregati e non consente di risalire a un individuo;
• le categorie particolari di dati (GDPR Art. 9) non sono presenti in modo sistematico e non sono oggetto di trattamento.

3.3 Modelli di terze parti

Per i modelli di base pre-addestrati, gli obblighi del Reg. 2024/1689 in materia di modelli GPAI (Art. 53) restano a carico dei rispettivi provider. L'infrastruttura di inferenza ReQurv è self-hosted: i contenuti dei clienti non lasciano mai il perimetro ReQurv per alcuna finalità di inferenza.

4. Dati personali trattati

4.1 Inventario dei trattamenti

4.2 Cosa ReQurv non fa

• Non salva prompt, conversazioni né output generati dai modelli: i registri di utilizzo contengono solo metriche (token, durata, costo, stato);
• Non utilizza i contenuti dei clienti per addestrare modelli propri o di terze parti;
• Non trasmette contenuti AI a provider esterni: l'intera inferenza avviene su infrastruttura self-hosted ReQurv;
• Non vende né condivide dati personali a terzi per finalità diverse da quelle dichiarate;
• Non effettua profilazione delle persone fisiche e non adotta decisioni automatizzate su individui;
• Non tratta categorie particolari di dati con finalità identificativa.

5. Valutazione Art. 22 (decisioni automatizzate)

L'Art. 22(1) GDPR non si applica a ReQurv: il sistema non adotta decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici o analoghi effetti significativi su persone fisiche. Le decisioni operative (moderazione dei contenuti, limiti di utilizzo, fatturazione) riguardano le richieste e le organizzazioni clienti nel quadro del contratto di servizio.

6. Clonazione vocale e consenso

La clonazione vocale replica un tratto biometrico (la voce) ed è trattata come trattamento di dato biometrico (GDPR Art. 9(1)).

7. Moderazione dei contenuti (modello guard)

ReQurv integra un modello di moderazione self-hosted che analizza i contenuti delle richieste prima dell'inferenza, classificandoli in 9 categorie: contenuto violento, atti illegali non violenti, contenuto sessuale, PII, suicidio e autolesionismo, atti non etici, topics politicamente sensibili, violazione del copyright, jailbreak.

Come il sistema opera, in piena trasparenza:

• verdetto non sicuro → la richiesta viene respinta con un errore che indica le categorie rilevate;
• verdetto controverso → la richiesta prosegue con un avvertimento aggiunto al contenuto;
• disponibilità garantita: se il modello di moderazione non è disponibile, la richiesta prosegue senza moderazione (fail-open). È una scelta architetturale documentata che privilegia la continuità del servizio: la moderazione non è mai un punto di singolo guasto della piattaforma.

Il modello di moderazione è self-hosted: i contenuti analizzati non lasciano il perimetro ReQurv.

8. Sicurezza, residenza dei dati e trasferimenti

9. Conservazione dei dati

10. Diritti degli interessati

I diritti previsti dal GDPR (accesso, rettifica, cancellazione, portabilità, opposizione) possono essere esercitati in qualsiasi momento contattando il team ReQurv. In autonomia, i clienti possono:

• eliminare i propri prompt salvati e le proprie API key dalla dashboard;
• revocare il consenso al marketing;
• eliminare membri dalla propria organizzazione (a cura dell'Owner).

11. Impegni continuativi

• Policy "solo modelli self-hosted": l'eventuale introduzione di un modello proveniente da un provider esterno è soggetta a preventiva valutazione dei trasferimenti (SCC/DPA), delle condizioni di no-training e del parere del DPO;
• Revisione periodica della presente valutazione ad ogni cambio significativo del sistema (nuovi modelli, nuove funzionalità, nuovi casi d'uso);
• Documentazione per i deployer: ReQurv mette a disposizione dei clienti le informazioni necessarie ad adempiere ai propri obblighi AI Act e GDPR sui casi d'uso finali;
• Trasparenza: la presente valutazione è pubblicata e aggiornata quando cambiano i fatti a cui si riferisce.

Appendix A — Riferimenti normativi

• GDPR (Reg. UE 2016/679): Art. 5 (principi), 6 (basi giuridiche), 6(4) (ulteriore trattamento), 9(1) e 9(2)(a) (categorie particolari e consenso esplicito), 13-14 (trasparenza), 15-22 (diritti degli interessati), 25 (data protection by design), 35 (DPIA)
• EU AI Act (Reg. UE 2024/1689): Art. 5 (pratiche vietate), Annex III (sistemi ad alto rischio), Art. 50 (trasparenza), Art. 53 (obblighi dei provider di modelli GPAI)
• NIST AI RMF 1.0 (gennaio 2023): funzione MAP — contesto, stakeholder e impatti del sistema
• EDPB-EDPS Joint Opinion 5/2021 sulla proposta AI Act