AI Act e IA nelle data room 2026: guida per le imprese italiane

L'AI Act in sintesi: cosa cambia per chi usa una data room

Il Regolamento (UE) 2024/1689 sull'intelligenza artificiale non impone obblighi specifici ai provider di Virtual Data Room come categoria di alto rischio. Impone però obblighi di trasparenza chiari per qualsiasi funzionalità di IA che generi contenuto o interagisca con gli utenti: chi apre una data room e riceve un sommario generato da IA deve saperlo.

Il mercato delle VDR ha adottato funzionalità di intelligenza artificiale a ritmo accelerato fra il 2024 e il 2026: sommari automatici dei documenti, assistenti Q&A che leggono l'intero indice e rispondono in linguaggio naturale, strumenti di redazione automatica per oscurare informazioni sensibili. Queste funzionalità sono già in uso nelle operazioni di M&A italiane, nelle due diligence di fondi di private equity e nelle comunicazioni con gli LP. Il Regolamento AI porta tre obblighi concreti: informativa agli utenti, etichettatura dei contenuti generati da IA, e verifica che le funzionalità IA del provider siano sviluppate con dati di addestramento conformi. Per il mercato italiano, il punto di ingresso per scegliere una data room virtuale conforme al Regolamento AI 2026 è verificare come il provider gestisce questi tre aspetti.

Scenario: NordCapital Advisors S.r.l. e la due diligence aumentata dall'IA

NordCapital Advisors S.r.l. è una boutique di M&A con sede a Milano, otto professionisti e un portafoglio di operazioni concentrate nel mid-market manifatturiero del Nord Italia. Nel secondo trimestre del 2026, la società avvia la due diligence per la cessione di una fonderia familiare della provincia di Brescia a un acquirente tedesco. La data room scelta include, nella configurazione enterprise, un assistente Q&A basato su modello linguistico di grandi dimensioni: l'acquirente può interrogare l'intero archivio documentale in linguaggio naturale, ricevere un sommario dei contratti di fornitura principali e ottenere una lista automatica dei potenziali rischi contrattuali.

Il responsabile legale dell'acquirente tedesco, abituato ai requisiti del Regolamento AI già in vigore in Germania, chiede formalmente al team di NordCapital Advisors: il provider VDR ha documentato la conformità AI Act per le funzionalità di analisi documentale? L'assistente Q&A informa esplicitamente gli utenti che le risposte sono generate da un sistema di IA? I dati dei documenti caricati vengono usati per addestrare modelli IA del provider? Queste tre domande sintetizzano i requisiti che il Regolamento AI pone alle funzionalità IA delle VDR: trasparenza, informativa e limitazione dell'uso dei dati. NordCapital Advisors contatta il provider per richiedere la documentazione relativa.

La situazione è comune a molti deal team italiani nel 2026: le funzionalità IA sono già integrate nelle piattaforme in uso, ma la documentazione della loro conformità al Regolamento AI resta spesso lacunosa. Il Regolamento AI non impone di non usare l'IA nelle data room, ma impone di usarla con trasparenza e con adeguata informativa agli utenti.

Il Regolamento AI UE: le tappe di applicazione

Il Regolamento (UE) 2024/1689, pubblicato in Gazzetta Ufficiale il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, si applica in modo graduale per categorie di sistemi IA, con scadenze distribuite su un arco di due anni. Conoscere le scadenze è importante per capire quali obblighi sono già attivi per i provider VDR che offrono funzionalità di IA.

La prima scadenza rilevante è stata il 2 febbraio 2025: da quella data si applicano le disposizioni sulle pratiche IA vietate (Titolo II, Articolo 5). Si tratta dei sistemi IA che per progettazione manipolano le persone senza che ne siano consapevoli, classificano i soggetti in base al comportamento sociale, o usano identificazione biometrica remota in tempo reale negli spazi pubblici. Nessuna di queste categorie riguarda le data room.

La seconda scadenza è stata il 2 agosto 2025: da quella data si applicano gli obblighi per i modelli IA di uso generale (GPAI), le regole di governance e l'obbligo di registrazione per i sistemi ad alto rischio. Per i provider VDR che integrano modelli GPAI di terze parti per il Q&A documentale, entrano in vigore gli obblighi di trasparenza legati all'uso di tali modelli.

La terza scadenza, 2 agosto 2026, segna la piena applicazione del Regolamento, inclusi i sistemi IA ad alto rischio dell'Allegato III (tra cui sistemi usati in ambito occupazionale, sistemi di credito e sistemi nell'istruzione) e le disposizioni più complete sugli obblighi di trasparenza dell'Articolo 50. Da agosto 2026, le funzionalità IA nelle VDR che rientrano nell'ambito di applicazione devono rispettare integralmente le disposizioni di trasparenza.

Come il Regolamento AI classifica le funzionalità IA nelle data room

Il Regolamento AI distingue quattro livelli di rischio per i sistemi IA, con obblighi crescenti. Comprendere dove si collocano le funzionalità IA tipiche delle VDR è il primo passo per una valutazione corretta.

Le funzionalità di analisi e sommario documentale, come i riepiloghi automatici di contratti o i report di rischio generati da IA, non rientrano nelle categorie ad alto rischio dell'Allegato III. L'Allegato III elenca categorie specifiche: sistemi biometrici per identificazione remota, sistemi usati nell'infrastruttura critica, sistemi per le decisioni in ambito occupazionale, sistemi di scoring del credito e altri. Una funzionalità che riassume un contratto di fornitura o risponde a una domanda sull'indice documentale non ricade in nessuna di queste categorie.

Le funzionalità IA delle VDR si collocano tipicamente nel livello di rischio limitato, soggette agli obblighi di trasparenza dell'Articolo 50. Questo livello include i sistemi che interagiscono con le persone (chatbot, assistenti Q&A), che generano contenuto testuale o visivo, e che producono documenti o risposte attribuiti a una fonte umana. La regola di base è: se un utente riceve un output generato da un sistema IA senza saperlo, il provider è in violazione dell'Articolo 50.

Un caso che merita attenzione è quello dei sistemi di redazione automatica: i tool che oscurano automaticamente informazioni sensibili usano tecniche di NLP e talvolta classificazione IA. Se la redazione è presentata come lavoro umano, si potrebbe configurare un obbligo di informativa. In pratica, i provider che documentano chiaramente che la redazione è assistita da IA soddisfano il requisito.

Pratiche IA vietate e data room: il perimetro che non si applica

Le pratiche IA vietate dal Regolamento (Articolo 5) comprendono l'identificazione biometrica remota in tempo reale per finalità di contrasto, la categorizzazione biometrica basata su caratteristiche sensibili, la valutazione del rischio individuale basata su comportamenti sociali (social scoring) e la manipolazione subliminale. Per le data room queste categorie sono irrilevanti: nessuna piattaforma VDR commerciale ha per oggetto l'identificazione biometrica di massa o il social scoring.

Vale però notare un profilo di attenzione relativo alla profilazione degli utenti. I sistemi di analitica avanzata integrati in alcune VDR, come il tempo di lettura per pagina o la heatmap documentale, non costituiscono social scoring. Se però venissero utilizzati per inferire caratteristiche personali degli utenti potrebbero richiedere una valutazione più attenta rispetto all'Articolo 5 e alle disposizioni GDPR sulla profilazione. La linea tra analitica di deal e profilazione delle persone è un'area che i responsabili legali delle operazioni più sofisticate monitorano.

Il requisito principale che si applica alle data room è la trasparenza: informare gli utenti quando stanno interagendo con un sistema IA e non presentare contenuto generato da IA come se fosse produzione umana. Su questo punto il modulo Q&A delle data room con assistenza IA richiede attenzione specifica.

Obblighi di trasparenza: sommari AI, Q&A assistito, redazione automatica

L'Articolo 50 del Regolamento AI definisce quattro obblighi di trasparenza principali. I provider di sistemi IA che interagiscono con le persone devono informare chiaramente gli utenti che stanno interagendo con un sistema IA, a meno che questo non sia evidente dal contesto. I provider di sistemi IA che generano contenuto sintetico (testo, audio, immagini) devono etichettare il contenuto come generato da IA. I provider di GPAI usati per generare contenuto devono incorporare marcatori tecnici quando tecnicamente praticabile. I deployer di sistemi IA ad alto rischio devono informare le persone fisiche che sono soggette a tali sistemi.

Per una Virtual Data Room con funzionalità IA, questo si traduce in tre requisiti operativi concreti. Il primo riguarda il Q&A assistito da IA: quando un utente pone una domanda sull'indice documentale e riceve una risposta generata da un modello linguistico, l'interfaccia deve indicare chiaramente che la risposta è prodotta da un sistema IA e non da un operatore umano. Il secondo riguarda i sommari documentali generati da IA: i riepiloghi automatici di contratti, clausole o strutture documentali devono essere etichettati come generati da IA. Il terzo riguarda la redazione assistita: i documenti in cui le oscurazioni sono state eseguite automaticamente da un sistema IA devono indicarlo, in particolare se il documento oscurato viene poi presentato come materiale di due diligence a una controparte.

Un aspetto pratico spesso trascurato riguarda i dati di addestramento. Alcuni provider VDR migliorano i propri modelli IA usando i documenti caricati dalle aziende clienti, in forma anonimizzata o aggregata. Il Regolamento AI non vieta esplicitamente questa pratica, ma il GDPR impone trasparenza sul trattamento dei dati personali contenuti in quei documenti. La clausola contrattuale da richiedere al provider è: 'I documenti caricati dagli utenti non vengono utilizzati per addestrare, affinare o valutare modelli IA del provider o di terze parti.' Per approfondire il profilo GDPR, si veda la scheda data room GDPR: requisiti, conformità e provider.

AI Act, GDPR e normativa italiana: la sovrapposizione dei regimi

Per le imprese italiane che usano una data room con funzionalità IA, il Regolamento AI non opera in isolamento. Si sovrappone con il GDPR, con la normativa NIS2 recepita in Italia con il D.Lgs. 138/2024 e con il DORA per gli enti finanziari. Capire le sovrapposizioni evita di gestire tre compliance project separati su quello che è, nella pratica, un unico insieme di obblighi tecnici.

Il GDPR si applica quando le funzionalità IA della data room trattano dati personali. I sommari automatici di contratti di lavoro, le risposte del Q&A che citano nomi di persone fisiche, le redazioni automatiche di documenti contenenti identificativi personali: tutti questi flussi attivano il GDPR. Il Regolamento AI e il GDPR si rafforzano a vicenda: la trasparenza dell'Articolo 50 AI Act copre l'aspetto informativo verso gli utenti del sistema IA, mentre il GDPR copre i diritti degli interessati i cui dati personali sono trattati. La base giuridica del trattamento rimane un obbligo GDPR indipendente dall'AI Act.

Il D.Lgs. 138/2024 (recepimento NIS2 in Italia) e il DORA per gli enti finanziari introducono un profilo aggiuntivo: la valutazione del rischio dei fornitori IKT terzi. Se una data room offre funzionalità IA che elaborano documenti su server di terze parti, quel fornitore è un sub-processore IKT da includere nel registro dei contratti IKT dell'ente soggetto a NIS2 o DORA. Per approfondire il profilo DORA, si veda la scheda DORA e data room in Italia; per NIS2, la scheda NIS2 e data room in Italia.

La domanda pratica da porre al provider è: le funzionalità IA del vostro prodotto elaborano i documenti caricati su server in UE o li trasmettono a modelli ospitati extra-UE? Per i provider con hosting EU verificato e modelli IA ospitati in UE, la risposta all'intersezione AI Act + GDPR + NIS2 è più semplice. Per provider che inviano i dati a modelli ospitati negli Stati Uniti, le complicazioni dei trasferimenti extra-UE si sommano agli obblighi AI Act, specialmente per le aziende in settori regolati. Per un confronto sui provider con hosting europeo verificato, si veda la scheda data room con hosting in Europa.

Papermark: IA conforme all'AI Act per i deal team italiani

Papermark è ideale per funzionalità IA conformi all'AI Act per deal team italiani che vogliono hosting EU, SOC 2 e GDPR nativa in un'unica piattaforma. Il provider ha sede a Berlino, hosting predefinito su AWS Francoforte (eu-central-1) sotto giurisdizione UE, cifratura AES-256 a riposo e TLS 1.2 in transito, conformità GDPR nativa, SOC 2 Type II e ISO/IEC 27001. Le funzionalità IA di Papermark (chat AI sui documenti, Q&A semantico) sono sviluppate con elaborazione dei modelli in EU, eliminando il profilo di rischio del trasferimento extra-UE dei documenti.

Per un deal team italiano che usa Papermark, la verifica di conformità AI Act si riduce a tre punti: l'interfaccia informa gli utenti quando il Q&A è assistito da IA, i sommari automatici sono etichettati come contenuto generato da IA, e i documenti non vengono usati per addestrare modelli di terze parti (garantito contrattualmente nel piano Enterprise). I prezzi pubblicati sono: Free €0, Pro €24/mese, Business €59/mese, Data Rooms €99/mese con data room illimitate e tre membri inclusi, Enterprise su richiesta.

Oltre alla conformità AI Act, la scelta di Papermark risolve contestualmente gli obblighi GDPR, semplifica la documentazione NIS2 per le aziende nei settori essenziali e importanti, e riduce il rischio DORA per gli enti finanziari. Il piano Enterprise include il self-hosting su infrastruttura propria del cliente, che elimina strutturalmente il rischio sub-processore per le istituzioni con requisiti di sovranità tecnica.

Errori comuni nella gestione AI Act per chi usa una data room

Il primo errore è assumere che il Regolamento AI riguardi solo i provider e non chi usa una data room come cliente. L'Articolo 50 crea obblighi anche in capo ai deployer, cioè a chi mette in uso un sistema IA in un contesto professionale. Se un'azienda attiva le funzionalità IA di una VDR in un processo di M&A senza informare le controparti che alcune risposte o sommari sono generati da IA, potrebbe configurarsi un obbligo di informativa non rispettato.

Il secondo errore è confondere la conformità GDPR con la conformità AI Act. I due regolamenti hanno radici comuni nella protezione dei diritti fondamentali, ma obblighi distinti. Avere un DPA firmato con il provider VDR non è sufficiente per la conformità AI Act: occorre verificare anche la trasparenza delle funzionalità IA, l'etichettatura dei contenuti generati e la documentazione dei sistemi IA usati.

Il terzo errore è non chiedere al provider una dichiarazione esplicita sull'uso dei dati per l'addestramento dei modelli IA. Alcuni provider VDR inseriscono nelle condizioni generali una clausola che consente l'uso dei documenti caricati per migliorare i propri modelli, in forma anonimizzata. Per le operazioni di M&A, dove i documenti contengono informazioni altamente sensibili e spesso coperte da NDA, questa clausola è incompatibile con gli obblighi di riservatezza.

Il quarto errore è trattare l'AI Act come un adempimento una-tantum. Il Regolamento prevede revisioni periodiche degli allegati e l'evoluzione delle funzionalità IA dei provider VDR. Una funzionalità oggi classificata come rischio limitato potrebbe essere riclassificata in futuro. Il contratto con il provider dovrebbe includere un obbligo di notifica in caso di modifiche sostanziali alle funzionalità IA.

Il quinto errore, frequente nelle operazioni cross-border, è ignorare la dimensione internazionale. Il Regolamento AI si applica ai sistemi IA usati nel territorio UE, indipendentemente dalla nazionalità della controparte. La verifica della conformità AI Act del provider VDR è quindi un obbligo per tutti i deal con rilevanza nell'Unione Europea.

Il Regolamento AI UE si applica alle Virtual Data Room?

Il Regolamento AI si applica ai sistemi di intelligenza artificiale messi in commercio o in uso nell'Unione Europea. Le funzionalità IA integrate nelle VDR, come il Q&A semantico, i sommari automatici e la redazione assistita, rientrano nell'ambito di applicazione come sistemi a rischio limitato, soggetti agli obblighi di trasparenza dell'Articolo 50.

Cosa impone l'Articolo 50 del Regolamento AI alle data room?

L'Articolo 50 richiede che gli utenti siano informati quando interagiscono con un sistema IA (come un assistente Q&A documentale) e quando ricevono contenuto generato da IA (come un sommario automatico). Il provider VDR deve implementare queste informative nell'interfaccia utente. L'azienda che usa la VDR deve verificare che queste informative siano attive e visibili alle controparti.

Da quando è in piena applicazione il Regolamento AI?

Il Regolamento AI è entrato in vigore il 1° agosto 2024. Le disposizioni sulle pratiche vietate si applicano dal 2 febbraio 2025. Gli obblighi per i modelli IA di uso generale (GPAI) e la governance si applicano dal 2 agosto 2025. La piena applicazione, inclusi i sistemi ad alto rischio dell'Allegato III e gli obblighi completi di trasparenza dell'Articolo 50, è dal 2 agosto 2026.

I documenti caricati in una data room possono essere usati per addestrare modelli IA?

Dipende dal contratto con il provider. Alcuni provider VDR includono clausole che consentono l'uso anonimizzato dei dati per il miglioramento dei modelli. Per operazioni M&A e due diligence, dove i documenti sono coperti da NDA e contengono informazioni altamente riservate, è essenziale verificare e, se necessario, escludere contrattualmente questa clausola.

Qual è la differenza tra AI Act e GDPR per una data room?

Il GDPR riguarda i dati personali: come vengono raccolti, trattati e conservati, e i diritti degli interessati. L'AI Act riguarda i sistemi di intelligenza artificiale: come vengono sviluppati, messi in commercio e usati. Per una data room con funzionalità IA che tratta documenti contenenti dati personali, entrambi si applicano e si integrano. Il DPA firmato con il provider copre il GDPR; la verifica delle informative AI e l'etichettatura dei contenuti generati da IA copre l'AI Act.

Una data room con Q&A assistito da IA richiede obblighi AI Act?

Sì. Un assistente Q&A che risponde in linguaggio naturale alle domande degli utenti sull'indice documentale è un sistema IA che interagisce con le persone. Ai sensi dell'Articolo 50, l'interfaccia deve informare chiaramente che le risposte sono generate da un sistema IA. Se questa informativa non è presente, il provider è in violazione del Regolamento AI.

Come si integra l'AI Act con DORA e NIS2 per le istituzioni finanziarie e i soggetti NIS2?

DORA e NIS2 impongono la valutazione del rischio dei fornitori IKT terzi. Se il provider VDR usa un modello IA di terze parti per elaborare i documenti caricati, quel modello è un sub-processore IKT da includere nel registro dei contratti IKT. L'AI Act aggiunge la verifica che quel sub-processore rispetti gli obblighi del Regolamento. In pratica: richiedere al provider VDR la lista dei sub-fornitori IA, la documentazione della loro conformità AI Act e la conferma che l'elaborazione avviene in UE.

Papermark è conforme all'AI Act?

Papermark dichiara funzionalità IA con elaborazione dei modelli in EU, informative di trasparenza integrate nell'interfaccia e garanzia contrattuale di non uso dei documenti per l'addestramento di modelli di terze parti. La combinazione con hosting AWS Francoforte (eu-central-1), SOC 2 Type II, ISO/IEC 27001 e GDPR nativa lo rende una scelta adeguata per deal team italiani che devono gestire la conformità AI Act nelle operazioni di M&A.