Informativa IA

Redatta ai sensi della norma ISO/IEC 42001:2023 · Versione 1.0 – 5 novembre 2026

Premessa

Questa informativa spiega come funziona l'intelligenza artificiale (IA) della piattaforma TwoMuch, cosa fa, quali sono i suoi limiti e come segnalare un problema. Si applica a tutti gli utenti.

La piattaforma è sviluppata e gestita da AEVI S.r.l., startup innovativa con sede a Roma (Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.). L'organizzazione adotta un sistema di gestione conforme alle norme ISO/IEC 27001:2022 e ISO/IEC 42001:2023.

Questa informativa integra, e non sostituisce, i Termini e condizioni di servizio, di cui è parte integrante (art. 5.1), l'Informativa privacy resa ai sensi del Regolamento (UE) 2016/679 (GDPR) e l'Accordo sul trattamento dei dati allegato ai Termini. Per le condizioni del servizio e il trattamento dei dati personali si rinvia a quei documenti. L'utente può inoltre utilizzarla per informare i propri clienti sui sistemi di IA impiegati nella sua attività professionale, come previsto dall'art. 13 della legge 23 settembre 2025, n. 132.

1. Quando si interagisce con un sistema di IA

Nella piattaforma l'utente interagisce con un sistema di IA ogni volta che usa una delle funzioni seguenti.

Le risposte e i testi che produce sono generati automaticamente da un modello linguistico, non scritti da una persona. La piattaforma non prende decisioni automatizzate che producono effetti giuridici o che incidono in modo significativo sull'utente o sui suoi clienti. Ogni contenuto dell'IA è solamente una proposta: diventa documento, impegno, firma o invio solo dopo la revisione e/o la conferma da parte dell'utente.

Non sono funzioni di IA e non usano modelli linguistici: l'accesso con nome utente, password e codice OTP, la firma elettronica con SPID o CIE, l'invio via email ai referenti, i memo programmati, la rubrica e il calendario, il modulo Editor quando l'utente scrive direttamente e il caricamento dei file da parte dell'utente.

2. Uso previsto e finalità

L'IA di TwoMuch serve a supportare il lavoro del professionista, non a sostituirne il giudizio. I TwoVector sono destinati ai professionisti che operano nella singola materia: TwoVector OdV231 è pensato per i componenti degli Organismi di Vigilanza nominati ai sensi del D.Lgs. n. 231/2001 e per i professionisti che li assistono. Sono di prossimo rilascio TwoVector CS per i componenti dei Collegi sindacali e TwoVector DPO per chi ricopre il ruolo di Data Protection Officer. L'IA è usata per questi compiti:

• Assistente AI: rispondere a domande su normativa, giurisprudenza e best practice e analizzare i documenti aziendali caricati (es. Modello 231, parti speciali, procedure, verbali).
• Analisi e confronto dei documenti: individuare possibili gap, aree di rischio e suggerimenti operativi da sottoporre alla valutazione dell'utente.
• Trascrizione e resoconto: trascrivere integralmente le registrazioni delle riunioni, redigere un sunto e individuare gli impegni assunti.
• Bozze di documenti: proporre testi da completare nell'Editor (verbali, missive, relazioni, documenti formali).

Usi non previsti. L'IA non è progettata per:

• fornire pareri legali o sostituire la consulenza di un avvocato;
• valutare, selezionare o profilare persone (dipendenti, candidati, segnalanti);
• decidere al posto dell'utente su proposte di sanzioni, segnalazioni o esiti di verifiche;
• risolvere controversie (ad esempio arbitrati) o svolgere attività per conto di un'autorità giudiziaria;
• elaborare dati estranei all'incarico o categorie particolari di dati non necessarie.

Utilizzarla per finalità diverse da quelle indicate è contrario ai Termini e condizioni di servizio (art. 5.6).

3. Come funziona, in breve

L'Assistente usa un modello linguistico di grandi dimensioni (LLM, Large Language Model) con architettura RAG (Retrieval-Augmented Generation): prima recupera i passaggi pertinenti dalle fonti selezionate dall'utente, poi genera la risposta basandosi su quelli.

Non effettua ricerche sul web aperto.

L'utente può scegliere su quali fonti lavora l'Assistente, con tre livelli:

1. Dataset proprietario: normativa nazionale e dell'Unione europea collegata al D.Lgs. n. 231/2001, giurisprudenza (di merito e di legittimità), best practice. Il dataset è stato creato ed è aggiornato all'occorrenza da AEVI S.r.l. La data dell'ultimo aggiornamento sarà indicata in piattaforma.
2. Tutti i documenti dell'azienda: i documenti che l'utente decide di caricare per l'azienda selezionata, letti insieme al dataset proprietario.
3. Un solo documento: un singolo documento scelto dall'utente, ad esempio una policy o una procedura.

Quando si interrogano i documenti aziendali, la risposta indica da quali documenti del cliente è tratta.

I dati dell'utente. I documenti, le conversazioni e le trascrizioni restano separati per azienda cliente e non sono mai usati per addestrare i modelli di IA. Si raccomanda di caricare solo i dati personali necessari all'incarico e, quando possibile, di anonimizzare o pseudonimizzare i documenti, ad esempio sostituendo i nominativi con le iniziali o ruoli aziendali. I modelli linguistici sono erogati da un fornitore italiano di infrastruttura per l'IA, selezionato e controllato nell'ambito del nostro sistema di gestione, con le garanzie descritte di seguito. Il dettaglio dei trattamenti è nell'Informativa privacy e nell'Accordo sul trattamento dei dati.

Il fornitore dei modelli: privacy, addestramento, sostenibilità.

• Nessuna conservazione dei dati (zero data retention): domande e risposte sono elaborate in memoria e cancellate appena la risposta è inviata. Non vengono scritte su disco, salvate in database o registrate nei log. La politica è stata verificata da un ente terzo indipendente.
• Nessun addestramento: i contenuti non sono mai usati per addestrare o perfezionare modelli, né per altri scopi.
• Dati in Italia, sotto giurisdizione europea: l'elaborazione avviene in data center situati in Italia, nel rispetto del GDPR e sulla base di un accordo sul trattamento dei dati. I modelli, sia per l'Assistente sia per la trascrizione, sono eseguiti direttamente su questa infrastruttura: i contenuti non vengono inviati ad altri fornitori di IA.
• Sicurezza certificata: ISO/IEC 27001, 27017, 27018, 22301 e 20000, ISO 9001, CSA STAR Level 1, adesione a CISPE e qualificazione dell'Agenzia per la Cybersicurezza Nazionale.
• IA sostenibile: energia elettrica 100% da fonti rinnovabili (eolico e solare), raffreddamento senza consumo d'acqua, sistema di gestione ambientale ISO 14001, rispetto del principio "non arrecare un danno significativo" (DNSH) della Tassonomia UE e riuso o riciclo dell'hardware a fine vita.

4. Limiti del sistema

L'IA può sbagliare. Le sue risposte non hanno un'accuratezza assoluta e devono sempre essere verificate e validate per poter essere utilizzate. Questi sono i limiti noti:

I contenuti generati non costituiscono parere legale. La responsabilità dei documenti realizzati, firmati e inviati resta in capo al professionista.

5. Supervisione umana

TwoMuch è una piattaforma antropocentrica: in ogni modulo l'IA propone e il professionista decide. La supervisione umana è garantita su due livelli.

Da parte dell'utente, in ogni passaggio:

• nessuna risposta dell'Assistente diventa documento senza che l'utente decida di esportarla;
• nessun impegno entra in calendario senza la conferma dell'utente;
• nessun documento viene firmato senza che l'utente lo abbia reso definitivo e senza la verifica dell'identità tramite SPID o CIE;
• nessun documento o memo viene inviato senza l'azione esplicita dell'utente.

Da parte di AEVI S.r.l.:

• il dataset proprietario è curato e revisionato da professionisti esperti prima di ogni aggiornamento;
• la qualità delle risposte è verificata ogni trimestre su un campione di domande di prova, con esiti registrati nel sistema di gestione dell'IA;
• ogni segnalazione degli utenti è esaminata da una persona del team, che valuta e documenta le azioni correttive;
• prima del rilascio di un nuovo modello o di una nuova funzione di IA si eseguono test di accuratezza e una valutazione dei rischi.

È sempre possibile chiedere l'intervento di una persona. Per dubbi sul funzionamento dell'IA o su una risposta specifica è possibile contattare il nostro team scrivendo a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.. Risponde una persona, non un sistema automatico.

6. Segnalazioni e reclami

In caso di anomalia, risposta errata, comportamento discriminatorio (bias) o malfunzionamento, è possibile segnalarlo: ogni segnalazione ci aiuta a migliorare il sistema.

Cosa si può segnalare:

• risposte false, citazioni inesistenti o riferimenti normativi errati;
• risposte parziali, discriminatorie o non neutrali;
• errori di trascrizione o impegni rilevati in modo sbagliato;
• contenuti di un'azienda cliente comparsi lavorando su un'altra azienda cliente;
• malfunzionamenti, lentezze o errori della piattaforma.

Come segnalare:

• dalla piattaforma, con il pulsante "Segnala", ove disponibile;
• via email a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo., indicando data e ora, modulo usato e, se possibile, il testo della domanda e della risposta. Si raccomanda di non inserire nella segnalazione dati personali non necessari.

Cosa succede dopo:

1. Riceviamo la segnalazione e confermiamo all'utente la presa in carico entro 5 giorni lavorativi.
2. Una persona del nostro team la analizza e, se serve, sospende o corregge la funzione coinvolta.
3. Comunichiamo all'utente l'esito e le eventuali azioni correttive entro 7 giorni lavorativi dalla presa in carico.
4. Le segnalazioni sono registrate e riesaminate nel sistema di gestione dell'IA, per prevenire il ripetersi del problema.

Incidenti gravi. Se un problema dell'IA ha conseguenze rilevanti per l'utente o per i suoi clienti, lo informeremo senza ritardo. Se il problema comporta una violazione dei dati personali, si applicano i termini dell'Accordo sul trattamento dei dati (informazione al cliente entro 48 ore).

Reclami. Se la risposta non è soddisfacente, l'utente può presentare reclamo a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.. Per le questioni relative ai dati personali è possibile rivolgersi anche al Garante per la protezione dei dati personali.

7. Aggiornamenti e contatti

Aggiorniamo questa informativa quando cambiano le funzioni di IA, i modelli usati o i loro limiti noti. Ogni modifica sarà oggetto di avviso prima della sua entrata in vigore.