Prima di scegliere un agente di vendita AI, un cliente europeo attento fa tre domande: dove sono conservati i dati, la legge di quale paese può arrivarci e quanto può decidere l’AI da sola. Questa pagina spiega come risponde l’Europa, come costruiamo SYNC seguendo quelle risposte e dove non ci arriviamo ancora.
Dati conservati in Irlanda. Modelli di AI fuori dall’UE o senza regione fissa. Una persona approva prima di ogni invio.
Due volte in cinque anni, la più alta corte dell’UE ha annullato il quadro che la Commissione aveva approvato per trasferire dati personali ad aziende statunitensi. Dal 2023 ne è in vigore un terzo. Ha superato un primo esame in tribunale, poi è arrivata un’impugnazione.
Intanto la legge di un paese può seguire le sue aziende all’estero. E non vale solo per gli Stati Uniti: dal 18 agosto 2026 anche il diritto dell’UE consente all’autorità di uno Stato membro, in un procedimento penale, di ordinare a un fornitore che offre servizi nell’UE di consegnare prove elettroniche, ovunque siano archiviati i dati (Regolamento (UE) 2023/1543).
Conservare i dati in Europa risponde alla domanda su dove si trovano. Quale legge possa raggiungerli dipende da chi li detiene o li controlla, e da dove quell’azienda e il suo gruppo sono stabiliti o fanno affari. Per questo un cliente europeo attento fa entrambe le domande.
Il 6 ottobre 2015 la Corte di giustizia dell’UE ha dichiarato invalida la decisione della Commissione sul Safe Harbour (approdo sicuro). Era una decisione di adeguatezza: la constatazione, da parte della Commissione, che un paese fuori dall’UE protegge i dati personali abbastanza bene da poterveli trasferire senza ulteriori condizioni.
Comunicato stampa CGUE 117/15 (C-362/14) (inglese)Firmato il 23 marzo 2018. Quando riceve un atto giudiziario statunitense valido, come un mandato o un’ordinanza del giudice, un fornitore di servizi di comunicazione o cloud deve conservare o consegnare i dati in suo possesso, custodia o controllo, che siano archiviati negli Stati Uniti o altrove.
Public Law 115-141, Division V, congress.gov (inglese)Il 16 luglio 2020 la Corte ha dichiarato invalida la decisione di adeguatezza sul Privacy Shield (scudo per la privacy). Ha ritenuto che i programmi di sorveglianza statunitensi esaminati non fossero limitati allo stretto necessario. Le clausole contrattuali tipo, modelli di clausole che la Commissione approva per trasferire dati all’estero, sono rimaste valide, a condizione che chi trasferisce i dati verifichi che la legge del paese di destinazione ne consenta l’applicazione nella pratica.
Comunicato stampa CGUE 91/20 (C-311/18) (inglese)Il 10 luglio 2023 la Commissione ha adottato una nuova decisione di adeguatezza, per il quadro UE-USA per la protezione dei dati (Data Privacy Framework). Riguarda le aziende statunitensi che aderiscono al quadro impegnandosi a rispettare una serie dettagliata di obblighi in materia di privacy.
Commissione europea, IP/23/3721 (inglese)Il 3 settembre 2025 il Tribunale dell’UE ha respinto un ricorso di annullamento contro la decisione di adeguatezza del 2023, valutandola alla data in cui era stata adottata. Nell’ottobre 2025 è stata proposta impugnazione dinanzi alla Corte di giustizia.
Comunicato stampa CGUE 106/25 (T-553/23) (inglese) Impugnazione C-703/25 P, Gazzetta ufficiale (inglese)Il GDPR, la legge dell’UE sulla protezione dei dati dal 2018, è scritto attorno alla persona. Il suo primo articolo stabilisce che tutela i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali. La Carta dei diritti fondamentali dell’UE dedica a questo diritto un articolo a sé, l’articolo 8.
GDPR, articolo 1 e considerando 1 (inglese)L’AI Act del 2024 fissa regole in base al rischio. Tra i suoi scopi dichiarati c’è quello di promuovere la diffusione di un’intelligenza artificiale antropocentrica e affidabile. Un sistema ad alto rischio deve essere progettato in modo che persone fisiche possano supervisionarlo efficacemente: possono decidere di non usarlo, annullarne il risultato o fermarlo. Per la maggior parte dei sistemi ad alto rischio queste regole si applicano dal 2 dicembre 2027, dopo una modifica del 2026.
AI Act, articoli 1 e 14 (inglese) Regolamento (UE) 2026/1744 (inglese)In una dichiarazione comune sui diritti digitali, firmata nel dicembre 2022 (un impegno politico, non una legge), il Parlamento europeo, il Consiglio e la Commissione indicano una via europea alla trasformazione digitale che mette le persone al centro, con libertà di scelta di fronte agli algoritmi e all’AI e controllo individuale sui propri dati.
Dichiarazione sui diritti e i principi digitali (inglese)Puntiamo a rispettare le regole europee come il GDPR e l’AI Act. E andiamo oltre: costruiamo software con uno sguardo europeo.
Sul mercato europeo è un obbligo. Per noi è anche, semplicemente, il nostro modo di costruire, perché crediamo che ogni mercato ne guadagni. Per questo SYNC non è solo per l’Europa. La protezione che la via europea dà alle persone dovrebbe accompagnarle, da qualunque paese vengano.
Sono le regole che il prodotto rispetta oggi, non progetti. I limiti sono sulla stessa pagina, perché un cliente non dovrebbe scoprirli dopo.
I nostri fornitori di modelli di AI trattano dati fuori dall’UE.
Nessuno garantisce il trattamento nell’UE. Quale modello si occupa di un compito dipende dal compito. Questi sono i fornitori del nostro elenco di sub-responsabili, con ciò che l’elenco dice di ciascuno. Se un fornitore non pubblica dove ospita i dati, l’elenco lascia la sua sede tra parentesi quadre finché non viene confermata.
| Fornitore | Sede |
|---|---|
| Anthropic | Stati UnitiI dati sono conservati negli USA. Per impostazione predefinita una richiesta può essere elaborata in qualsiasi regione; l’API di Anthropic non offre un’opzione UE. |
| OpenAI | Tramite Groq e Together AISYNC usa i modelli aperti di OpenAI (gpt‑oss) su Groq e Together AI; nessun dato arriva a OpenAI. |
| Nessuna regione fissaGoogle può elaborare le richieste in qualsiasi paese in cui ha strutture. Su Google Cloud (Vertex AI) esiste una regione UE, che non usiamo. | |
| Moonshot AI (Kimi) | Tramite Together AIKimi gira sui server di Together AI; nessun dato arriva a Moonshot AI. |
| Together AI (modelli aperti) | Nessuna regione fissaTogether sceglie il data center per ogni richiesta. Un hosting solo nell’UE richiede un endpoint dedicato, che non usiamo. |
| DeepInfra | Stati UnitiOspita il modello di embedding aperto usato da SYNC (multilingual-e5-large-instruct). [Tempi di conservazione da confermare] |
| Groq | Stati UnitiGroq può elaborare dati anche in altri paesi in cui opera. Offre una regione UE solo nel piano Enterprise; non la usiamo. |
Una pagina sull’Europa invita ai paroloni. Ecco quelli che lasciamo fuori, e perché. Per qualsiasi domanda: innovate@isyncso.com.
Lascia la tua email di lavoro. SYNC legge il sito della tua azienda e ti manda una prima analisi: cosa vendi, chi probabilmente lo compra e fino a cinque aziende valutate dalla A alla D, ognuna con la sua fonte.