IA în SaaS și cloud: cine poartă riscul conform contractelor

Companiile folosesc tot mai des inteligența artificială generativă ca serviciu: un abonament la ChatGPT, funcțiile Copilot din Microsoft 365, un API integrat într-o aplicație internă. O analiză juridică publicată de ICT Security Magazine pe 11 octombrie 2026 arată cum sunt încadrate aceste servicii în contractele SaaS și cloud existente și cum împart termenii furnizorilor riscul între cel care oferă serviciul și cel care îl folosește. Pe ARX News am scris despre AI Act din perspectiva furnizorilor de modele, în legătură cu obligațiile de notificare a incidentelor; de data aceasta, perspectiva este cea a clientului.

Acest articol se bazează pe o singură sursă, o analiză juridică, nu un aviz tehnic. Textul pe care l-am putut consulta tratează pe larg termenii ChatGPT și se întrerupe în partea despre Microsoft Copilot: despre celelalte servicii menționate, cum ar fi Google Gemini, nu oferim detalii.

Contextul: reguli europene și contracte de adeziune

Potrivit ICT Security Magazine, cadrul european privind IA pune accentul pe prevenirea riscurilor, guvernanță și repartizarea prealabilă a obligațiilor între actorii din lanț, dar lasă deschise mai multe aspecte practice, unde decide contractul. Modelele generative nu se cumpără: clientul primește un drept de utilizare limitat în timp și ca mod de folosire, iar modelul și infrastructura rămân ale furnizorului (paradigma AI-as-a-Service, o formă de SaaS).

Autorul observă că aceste contracte sunt adesea standard, redactate de operatori străini și, în practică, nenegociabile, cu efecte asupra riscurilor, răspunderii, datelor și proprietății intelectuale. Alternativa, un sistem dezvoltat la comandă pe seturi de date alese de client, oferă mai mult control (acces la codul sursă și la algoritmi, posibilitatea de a apela la alți dezvoltatori), dar costă mai mult și este mai puțin răspândită.

Ce prevăd termenii: cazul ChatGPT

Din analiza termenilor OpenAI prezentată de sursă reies câteva puncte care îi privesc direct pe responsabilii IT și de securitate:

• Documente de citit împreună: termenii de utilizare, condițiile planurilor plătite (Plus, Team, Enterprise), politica de confidențialitate și, pentru companii, Data Processing Addendum (DPA).
• Date de intrare și de ieșire: utilizatorul rămâne titularul inputurilor și primește drepturile asupra outputurilor în limitele legii, fără garanția originalității. În planurile pentru consumatori, conținutul poate fi folosit la antrenarea modelelor, cu excepția cazului în care utilizatorul alege opt-out; în planurile enterprise, potrivit sursei, de regulă nu.
• Serviciu „as is” și „as available”: nicio garanție privind acuratețea, fiabilitatea, continuitatea sau potrivirea pentru un anumit scop. Utilizatorul răspunde de deciziile luate pe baza outputurilor și trebuie să le verifice.
• Răspundere limitată: un plafon al despăgubirilor legat de suma plătită într-o perioadă (de exemplu, ultimele douăsprezece luni) sau de un prag fix, plus excluderea daunelor indirecte, inclusiv pierderea de date, beneficiul nerealizat și prejudiciul de imagine.
• Despăgubire (indemnification) în sarcina utilizatorului pentru utilizările ilicite; contractele business pot include protecții pentru client, de exemplu privind proprietatea intelectuală, în limite precise.
• Utilizări interzise: inginerie inversă și extragerea modelului, dezvoltarea de sisteme concurente cu ajutorul outputurilor, utilizarea în domenii cu risc ridicat fără supraveghere umană. Încălcarea poate duce la suspendarea contului.
• Modificări unilaterale: furnizorul poate modifica, suspenda sau întrerupe serviciul și poate actualiza condițiile cu preaviz.

În planurile enterprise și în contractele negociate, tot potrivit sursei, apar SLA cu garanții de disponibilitate și service credits, plafoane de răspundere mai mari și clauze mai detaliate privind securitatea și protecția datelor. Prin DPA, clientul este operatorul datelor pe care le introduce, iar furnizorul este persoana împuternicită. Concluzia autorului: regimul răspunderii nu este uniform, ci depinde de puterea de negociere a clientului.

Lanțul de furnizori: cazul Copilot

Pentru Microsoft, sursa descrie un ecosistem mai stratificat: Copilot gratuit în Windows, Edge și Bing, Copilot Pro, Copilot for Microsoft 365 în aplicațiile de birou și în Teams, GitHub Copilot pentru cod și Copilot Studio pentru crearea de agenți. Modelele sunt dezvoltate de OpenAI și licențiate către Microsoft, care le rulează pe propria infrastructură Azure: când un utilizator folosește Copilot în Word sau Excel, promptul ajunge pe serverele Microsoft, care aleg ce model să folosească.

Pentru cine evaluează riscul terților, asta înseamnă că în spatele unui singur contract există un lanț de furnizori. Textul disponibil se oprește în acest punct.

Impactul pentru companiile europene și italiene

Analiza este juridică, dar consecințele sunt operaționale. Un serviciu de IA care prelucrează documente, cod sau date ale clienților este un furnizor TIC în toată regula. Pentru entitățile NIS2 (în Italia, Decretul Legislativ 138/2024), securitatea lanțului de aprovizionare face parte din măsurile de gestionare a riscurilor: termenii „as is”, cu plafoane de răspundere mici și fără SLA, trebuie tratați ca un risc rezidual de evaluat, nu ca un detaliu juridic. Acolo unde sunt implicate date personale, DPA și transferurile către țări terțe țin de GDPR; în sănătate, datele medicale introduse într-un prompt sunt categorii speciale de date.

Punctul cel mai concret este diferența dintre planuri: același serviciu poate avea reguli opuse privind folosirea datelor la antrenare, după cum angajatul folosește un cont personal sau pe cel al companiei.

Ce să faci acum

1. Inventar: fă lista serviciilor de IA folosite, inclusiv funcțiile activate în platforme deja contractate (suite de birou, medii de dezvoltare), și tipul de plan pentru fiecare.
2. Conturi personale: stabilește ce servicii sunt autorizate și cu ce conturi; unde se poate, permite accesul doar cu identitatea companiei (SSO) și limitează-le pe celelalte din proxy.
3. Date și antrenare: verifică în contract și în consola de administrare dacă inputurile și outputurile pot fi folosite la antrenare și documentează setarea aleasă.
4. DPA și subîmputerniciți: verifică rolurile, măsurile de securitate, lista subîmputerniciților, locul prelucrării și transferurile în afara Spațiului Economic European.
5. Riscul contractual: compară plafonul de răspundere, SLA și service credits cu cât de critice sunt procesele care depind de serviciu; pentru cele critice, negociază alte condiții sau pregătește o alternativă.
6. Verificarea umană a outputurilor: contractul o pune în sarcina ta. Fă din ea o regulă scrisă pentru deciziile importante, codul generat și textele destinate clienților.
7. Modificarea termenilor: desemnează pe cineva să urmărească comunicările furnizorilor și reevaluează riscul când se schimbă condițiile sau modelele.
8. Ieșirea: verifică cum se recuperează și cum se șterg datele la încheierea contractului.

Cum ajută ARXDOME

Dacă termenii pun în sarcina clientului utilizarea serviciului și deciziile luate pe baza outputurilor, ai nevoie de dovezi despre ce s-a întâmplat. ARX Sentry adună într-un singur loc logurile serverelor și ale firewallurilor, iar ARX Retain le păstrează pentru anii ceruți, pe stocare europeană cu blocarea obiectelor și legal hold, gata pentru un audit sau pentru o contestație cu furnizorul.

Ultima actualizare: 11 octombrie 2026