Perché l'hosting nell'UE conta per i team SaaS e AI: GDPR, Schrems II e CLOUD Act

Il GDPR si applica ai dati personali che tratti nell'ambito delle attività di uno stabilimento nell'UE (articolo 3, paragrafo 1). Anche se non hai uno stabilimento nell'UE, si applica ai dati personali delle persone che si trovano nell'UE quando il trattamento riguarda l'offerta di beni o servizi a queste persone o il monitoraggio del loro comportamento nell'UE (articolo 3, paragrafo 2). Il luogo in cui sono ospitati i dati e l'azienda che li ospita determinano quanto entrano in gioco i trasferimenti internazionali e l'accesso da parte di autorità straniere. Il GDPR limita i trasferimenti di dati personali fuori dal SEE, la legge statunitense può obbligare i provider statunitensi di servizi cloud e di comunicazione a consegnare i dati che conservano all'estero, e i prompt AI contengono spesso dati personali.

Questo articolo spiega le regole in modo semplice e si chiude con una checklist per scegliere un provider. Non è una consulenza legale: per il tuo caso specifico, chiedi al tuo responsabile della protezione dei dati (DPO) o a un avvocato.

La regola del GDPR sui trasferimenti

Il capo V del GDPR (articoli da 44 a 50) disciplina i “trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali”. Un paese terzo è qualsiasi paese al di fuori dell'UE e dello Spazio economico europeo. L'articolo 44 fissa il principio: i dati personali possono uscire solo se sono rispettate le condizioni di quel capo. Le strade principali sono tre:

• Decisione di adeguatezza (articolo 45): la Commissione europea stabilisce che un paese protegge i dati personali a un livello sostanzialmente equivalente a quello dell'UE. I dati possono allora essere trasferiti verso quel paese senza ulteriori garanzie.
• Garanzie adeguate (articolo 46): per esempio le clausole contrattuali tipo che la Commissione ha adottato con la decisione (UE) 2021/914, o le norme vincolanti d'impresa all'interno di un gruppo di società (articolo 47).
• Deroghe (articolo 49): eccezioni ristrette per situazioni specifiche, non una base per l'hosting ordinario.

Violare queste regole rientra nella fascia di sanzioni più alta del GDPR: fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, se superiore (articolo 83, paragrafo 5).

Schrems II: perché un contratto da solo non bastava

Il 16 luglio 2020 la Corte di giustizia dell'UE si è pronunciata sulla causa C-311/18, nota come Schrems II. Ha dichiarato invalido il Privacy Shield UE-USA, all'epoca la decisione di adeguatezza per gli Stati Uniti. La Corte ha rilevato che i programmi di sorveglianza statunitensi non erano limitati allo stretto necessario e che le persone i cui dati venivano trasferiti non avevano modo di rivolgersi a un organo indipendente che offrisse garanzie equivalenti a quelle del diritto dell'Unione.

Le clausole contrattuali tipo sono sopravvissute, ma con una condizione. La protezione deve essere sostanzialmente equivalente a quella dell'UE, e la valutazione deve tenere conto degli elementi rilevanti dell'ordinamento giuridico del paese di destinazione, in particolare dell'accesso da parte delle autorità pubbliche. Esportatore e destinatario devono verificarlo prima del trasferimento. Se le clausole non possono essere rispettate, il trasferimento va sospeso o interrotto.

Per i team, firmare le clausole non basta: prima di farvi affidamento, devi esaminare la legge del paese verso cui trasferisci i dati.

L'EU-US Data Privacy Framework

Il 10 luglio 2023 la Commissione ha adottato la decisione di esecuzione (UE) 2023/1795, una nuova decisione di adeguatezza per l'EU-US Data Privacy Framework (DPF). I dati personali possono fluire senza garanzie aggiuntive verso le aziende statunitensi che aderiscono al framework. Le aziende aderiscono impegnandosi a rispettare una serie di obblighi in materia di privacy; il Dipartimento del Commercio degli Stati Uniti amministra il framework, e la Federal Trade Commission o il Dipartimento dei Trasporti, a seconda dell'organizzazione, fa rispettare gli impegni. Sul fronte governativo, il framework limita l'accesso dei servizi di intelligence statunitensi a quanto necessario e proporzionato e ha istituito una Data Protection Review Court per i reclami delle persone nell'UE.

Due cose da tenere a mente:

• Vale solo per le aziende che aderiscono. Un provider statunitense non certificato ha bisogno di un'altra strada, come le clausole contrattuali tipo.
• È stato contestato. Il 3 settembre 2025 il Tribunale dell'UE ha respinto un ricorso di annullamento (causa T-553/23), e il ricorrente ha proposto impugnazione dinanzi alla Corte di giustizia (causa C-703/25 P); l'impugnazione era ancora pendente quando è stato scritto questo articolo. Entrambi i precedenti framework per gli Stati Uniti, Safe Harbour e Privacy Shield, sono stati dichiarati invalidi da quella Corte.

Il CLOUD Act statunitense: il luogo non dice tutto

Il Clarifying Lawful Overseas Use of Data Act è stato promulgato il 23 marzo 2018 come parte del Consolidated Appropriations Act, 2018. Ha aggiunto il 18 U.S.C. 2713: i fornitori di servizi di comunicazione elettronica o di elaborazione remota devono adempiere agli obblighi previsti da quel capitolo (capitolo 121 del titolo 18) di conservare, salvare in backup o divulgare comunicazioni e dati relativi ai clienti in loro “possession, custody, or control” (possesso, custodia o controllo), attraverso la procedura legale applicabile, indipendentemente dal fatto che questi dati si trovino dentro o fuori dagli Stati Uniti.

In pratica, un provider statunitense con un data center a Francoforte può ricevere un ordine statunitense che riguarda i dati archiviati lì. Il GDPR pone però un vincolo: secondo l'articolo 48, una sentenza di un tribunale straniero o una decisione di un'autorità straniera che dispone un trasferimento o una comunicazione può essere riconosciuta o resa esecutiva nell'UE solo se si basa su un accordo internazionale, come un trattato di mutua assistenza giudiziaria. Questo non esclude ogni comunicazione, perché l'articolo 48 si applica “fatti salvi gli altri presupposti di trasferimento”, ma ogni comunicazione richiede comunque una base giuridica ai sensi dell'articolo 6 e un presupposto di trasferimento ai sensi del capo V. Il provider deve risolvere questo conflitto, che coinvolge anche i tuoi dati.

Per un destinatario statunitense certificato nell'ambito del DPF, la decisione di adeguatezza copre il trasferimento in sé: secondo l'EDPB, non servono uno strumento di trasferimento separato né misure supplementari. Verifica che il destinatario figuri ancora nella DPF List e continua a rispettare gli altri obblighi del GDPR. Ciò che una regione nell'UE, da sola, non cambia è la legge del paese a cui il provider deve rispondere.

Perché l'AI rende tutto più urgente

Il GDPR definisce dato personale qualsiasi informazione riguardante una persona identificata o identificabile, per esempio attraverso un nome, un numero di identificazione, dati relativi all'ubicazione o un identificativo online (articolo 4, punto 1). Guarda cosa elaborano di solito le funzioni AI:

• ticket di supporto e cronologie di chat con nomi, indirizzi email e numeri d'ordine,
• CV, contratti, fatture e referti medici caricati per riassunti o estrazione di dati,
• trascrizioni di chiamate e appunti delle riunioni,
• interi archivi di documenti indicizzati per la retrieval-augmented generation (RAG).

Ogni prompt con questi contenuti è un trattamento di dati personali e, se il modello gira in un paese terzo, può essere un trasferimento. Per ogni componente AI, quindi, poniti le stesse domande che ti poni per il database: dove gira l'inferenza, prompt e output vengono archiviati o registrati nei log e per quanto tempo, vengono usati per l'addestramento, e quale provider del modello c'è dietro l'API come sub-responsabile del trattamento?

Checklist: scegliere un provider

1. Sede e proprietà. Dove è costituito il provider, e a chi appartiene? Il CLOUD Act riguarda i dati in possesso, custodia o controllo di un provider, quindi l'azienda dietro il servizio conta quanto il data center.
2. Regione dei dati. Puoi scegliere una regione nell'UE per app, database, backup e log, e i dati restano lì a meno che non li sposti tu? Dove girano la dashboard, l'API e i dati dell'account?
3. Accesso remoto e trasferimenti successivi. Chi può accedere ai dati, e da dove? L'accesso da parte del personale del provider che si trova all'estero richiede una sicurezza adeguata. Rendere i dati disponibili a un'azienda distinta fuori dal SEE, come un sub-responsabile del trattamento, richiede una base di trasferimento ai sensi del capo V, che l'esportatore deve valutare e documentare. Avere server a Francoforte non basta, da soli, a risolvere la questione.
4. Sub-responsabili del trattamento. Chiedi l'elenco con il paese di ciascuna azienda. Secondo l'articolo 28, paragrafo 2, un responsabile del trattamento non può ricorrere a un altro responsabile senza la tua previa autorizzazione scritta, specifica o generale. Verifica come vieni informato delle modifiche.
5. Accordo sul trattamento dei dati (DPA). L'articolo 28, paragrafo 3, richiede un contratto (o un altro atto giuridico) con il tuo responsabile del trattamento. Verifica di poterlo firmare senza un contratto enterprise, e su quale strumento di trasferimento si basa se i dati escono dall'UE.
6. Certificazioni. I report ISO 27001 o SOC 2 del provider e dei suoi data center mostrano che i controlli di sicurezza sono sottoposti ad audit. Non dicono nulla su quale legge nazionale si applica, quindi leggili insieme ai punti 1 e 2.
7. Aspetti specifici dell'AI. Luogo dell'inferenza, conservazione di prompt e output, uso per l'addestramento e provider del modello dietro l'API.

Come lo gestisce Nodion

Nodion è gestita da Nodion GmbH, un'azienda tedesca con sede a Stoccarda. Le API e il control plane di Nodion sono ospitati in Germania. La regione EU Central si trova a Francoforte sul Meno; secondo la documentazione delle regioni, il suo data center ha le certificazioni ISO 27001, ISO 9001, ISO 14001 e ISO 50001, è conforme a PCI DSS e dispone di un report SOC 2, mentre il provider dell'infrastruttura ha la certificazione ISO 27001, è conforme a PCI DSS e dispone di un report SOC 1.

Scegli la regione quando crei un servizio, e in seguito non cambia. App, database, volumi, bucket, il registry, i log e le metriche di quel servizio restano nella regione che hai scelto. I provider dell'infrastruttura per ogni regione sono elencati come sub-responsabili del trattamento nella documentazione delle regioni, e puoi sottoscrivere il DPA in autonomia. Nodion gestisce anche regioni negli Stati Uniti, quindi scegli EU Central quando crei un servizio che deve girare nell'UE.