GDPR e riepiloghi AI delle riunioni: quale endpoint usare

In Autorec la trascrizione avviene sul tuo computer. Il riepilogo AI è l’unico passaggio che può uscirne. Se lo attivi, la trascrizione va a un provider LLM scelto da te e, da quel momento, quel provider diventa responsabile del trattamento di tutti i dati personali presenti nella riunione.

Questo articolo parla di come scegliere quel provider. Non è una consulenza legale: cosa consentono la tua base giuridica e la tua propensione al rischio lo decidono il tuo responsabile della protezione dei dati (DPO) o il tuo legale. Le informazioni sui provider qui sotto vengono dalla loro documentazione, verificata a ottobre 2026. Le policy cambiano, quindi controlla le pagine linkate prima di fare affidamento su una riga.

Cosa invia davvero Autorec

Il riepilogo AI di Autorec resta spento finché non aggiungi un provider in Impostazioni → Riepilogo AI. Quando parte, una sola richiesta HTTPS va direttamente dal tuo computer all’URL base API che hai configurato. Non c’è nessun server di Autorec in mezzo.

Il corpo della richiesta contiene:

il tuo prompt di riepilogo, come messaggio di sistema
il testo della trascrizione, come messaggio utente
il nome del modello e la lunghezza massima del riepilogo

Contiene anche gli eventuali campi aggiuntivi che inserisci tu in Extra request fields (JSON), come le opzioni di instradamento di un provider. Sono impostazioni, non dati sulla riunione. Non esce nient’altro: niente audio, video, screenshot, nomi di file o elenco dei partecipanti. Viene inviata l’intera trascrizione, quindi una riunione lunga significa molto testo.

Il titolo e il riepilogo che tornano indietro vengono salvati accanto alla registrazione, sul tuo disco. La chiave API sta nella configurazione locale di Autorec, ed è facoltativa per i server locali.

Audio e video, che contengono voci e volti, non lasciano mai la macchina. Il testo sì, e il testo resta un dato personale quando qualcuno pronuncia nomi, dettagli sulla salute o stipendi. Una trascrizione non è anonima solo perché è testo.

Il nostro articolo su GDPR e HIPAA copre la parte della registrazione: base giuridica, consenso, conservazione. Vale tutto anche qui. Questo articolo aggiunge il passaggio del fornitore.

Le impostazioni Riepilogo AI di Autorec con il menu dei provider aperto, che mostra i preset raggruppati in aggregatori, API dirette, inferenza veloce, server locali e Custom

Cosa verificare prima di scegliere un provider

Quattro domande decidono quasi tutto.

Dove vengono trattati i dati? “UE” non è una parola magica, ma toglie di mezzo gran parte della questione dei trasferimenti. Un trattamento negli Stati Uniti richiede un meccanismo di trasferimento e una valutazione del trasferimento.

Esiste un accordo sul trattamento dei dati? Se il provider tratta dati personali per tuo conto, l’articolo 28 del GDPR richiede un contratto, il cosiddetto DPA. Verifica di poterlo accettare senza passare da una call commerciale.

Per quanto tempo viene conservato il contenuto? Molti provider di API conservano i prompt per un breve periodo per il monitoraggio degli abusi, anche quando non li usano per l’addestramento. La “conservazione zero” di solito è un accordo da richiedere, non l’impostazione predefinita.

Il contenuto viene usato per l’addestramento? Per il traffico via API tra i grandi nomi ormai è raramente l’impostazione predefinita, ma non vale per tutti, e può cambiare tra il piano gratuito e quello a pagamento.

Provider ospitati nell’UE

Mistral

Mistral è la prima opzione europea nell’elenco dei provider di Autorec (Provider → Mistral, URL base https://api.mistral.ai/v1, modello predefinito mistral-small-latest).

Regione: il centro assistenza di Mistral dice che per impostazione predefinita i dati sono ospitati nell’Unione Europea, e negli Stati Uniti solo se usi esplicitamente il suo endpoint API statunitense. Mistral elenca anche i suoi sub-responsabili, alcuni fuori dall’UE, nel suo Trust Center.
DPA: Mistral pubblica un Data Processing Addendum nell’ambito dei suoi termini commerciali.
Addestramento: questa è la riga da leggere con attenzione. Il centro assistenza di Mistral dice che con il piano a consumo hai il diritto di escludere i tuoi dati dall’addestramento in qualsiasi momento, e descrive l’interruttore: in Mistral Studio, Privacy → Anonymous improvement data. La modalità gratuita di Studio dichiara che Mistral può usare i tuoi dati per addestrare i suoi modelli. Il prodotto di chat per i consumatori e l’API hanno interruttori separati. Quindi non dare nulla per scontato: apri la pagina Privacy dell’account la cui chiave hai inserito in Autorec e controlla.
Conservazione: Mistral offre un’opzione Zero Data Retention per le chiamate API supportate, chat completions comprese, sui piani a pagamento. La richiedi tramite il supporto e Mistral può approvarla o rifiutarla. Le pagine di assistenza di Mistral che sono riuscito a consultare non indicano il periodo di conservazione predefinito dei contenuti API, quindi non scrivo un numero. Chiedi o leggi il DPA.

Scaleway

Le Generative APIs di Scaleway sono ospitate a Parigi e dichiarano compatibilità con OpenAI, compreso un endpoint chat completions. In Autorec non c’è un preset, quindi scegli Custom… e inserisci l’URL base dalla console di Scaleway.

Secondo la pagina sulla privacy dei dati di Scaleway, l’azienda non raccoglie, legge, riutilizza né analizza prompt o output, e non li usa per addestrare modelli. L’eccezione è un’indagine per uso improprio o per un guasto, nel qual caso i dati possono essere conservati fino a due settimane. La pagina indica Scaleway come responsabile del trattamento e rimanda alla sua informativa sulla privacy e alle condizioni del servizio AI per la parte contrattuale.

IONOS

IONOS AI Model Hub descrive endpoint compatibili con OpenAI e dice che tutto il trattamento avviene nei suoi data center tedeschi (Berlino) e che i dati dei clienti non vengono mai usati per addestrare modelli. Non ho trovato un periodo di conservazione dichiarato, quindi chiedi a loro prima di farci passare il contenuto delle riunioni. Anche qui usa Custom….

Altri

Anche OVHcloud AI Endpoints e Aleph Alpha sono europei. Mentre scrivevo non sono riuscito a verificare dalle loro pagine ufficiali i termini attuali e la compatibilità delle API, quindi non sono in tabella.

Provider statunitensi

OpenAI e Anthropic hanno entrambi un preset in Autorec. Le impostazioni predefinite delle loro API sono migliori di quanto si pensi. La questione aperta è il trasferimento negli Stati Uniti, non l’addestramento.

OpenAI: la sua documentazione dice che i dati delle API non vengono usati per addestrare i modelli a meno che tu non dia il consenso, e che i log di monitoraggio degli abusi sono conservati per impostazione predefinita fino a 30 giorni. La Zero Data Retention richiede un’approvazione preventiva. La residenza dei dati nell’UE (il prefisso eu.api.openai.com) è un’impostazione di progetto e ha delle condizioni, come la Zero Data Retention o un monitoraggio degli abusi modificato, e non tutti i modelli sono supportati.
Anthropic: il suo centro privacy dice che input e output degli utenti API vengono cancellati dal backend entro 30 giorni, e che input e output dei prodotti commerciali non vengono usati per l’addestramento per impostazione predefinita. Il suo DPA con le clausole contrattuali standard è incorporato automaticamente nei Commercial Terms. Non sono riuscito a verificare un’opzione di trattamento solo nell’UE, quindi non ne dichiaro una.

In sintesi

Provider	Regione del trattamento	Conservazione	Addestramento	DPA
Mistral	UE per impostazione predefinita; endpoint USA su scelta	ZDR su richiesta per i piani a pagamento; periodo predefinito non indicato nelle pagine che ho consultato	Interruttore di esclusione in Studio; il piano gratuito può essere usato	Addendum pubblicato
Scaleway	Parigi, Francia	Nessuna conservazione dei prompt; fino a due settimane per indagini su guasti	Non usati	Termini da responsabile del trattamento nell’informativa privacy e nelle condizioni AI
IONOS	Germania (Berlino)	Non indicata	Mai usati, secondo IONOS	Non verificato
OpenAI	USA; residenza UE facoltativa, con condizioni	Fino a 30 giorni (log anti-abuso); ZDR previa approvazione	Non usati salvo tuo consenso	Non verificato
Anthropic	Non dichiarato come solo UE	Cancellati entro 30 giorni	Non per impostazione predefinita	Incorporato nei Commercial Terms

“Non verificato” significa che non l’ho letto, non che non esista.

I gateway aggiungono un soggetto

Un aggregatore come OpenRouter davanti a un modello rende responsabile del trattamento anche l’aggregatore, oltre all’azienda che fa girare il modello. Puoi limitare questa catena, anche con opzioni a livello di richiesta come il flag di conservazione zero di OpenRouter, che puoi impostare in Extra request fields (JSON). Il nostro articolo sulla privacy con OpenRouter spiega le impostazioni. Se punti a una documentazione pulita, un unico contratto diretto con un unico provider europeo è più semplice da documentare di un livello di instradamento.

Quando il locale è la risposta migliore

Un endpoint nell’UE riduce il rischio. Un modello sul tuo computer elimina del tutto il responsabile del trattamento: nessun fornitore, nessun DPA, nessun trasferimento, nessuna questione di conservazione. Per riunioni con dati sanitari, segreto professionale, pratiche HR o qualsiasi cosa coperta da un NDA stretto con un cliente, spesso è la scelta più facile da difendere.

Il prezzo è hardware e qualità. Un modello piccolo su un portatile scrive un riepilogo più grezzo di uno grande in cloud, e le trascrizioni lunghe richiedono tempo. La nostra guida agli LLM locali mostra come collegare Autorec a Ollama o LM Studio.

Una divisione ragionevole:

riunioni interne di routine: un endpoint ospitato nell’UE con l’addestramento disattivato e un DPA firmato
riunioni delicate: un modello locale, oppure niente riepilogo e solo la trascrizione

Puoi cambiare provider nelle Impostazioni in qualsiasi momento, e i riepiloghi si generano registrazione per registrazione, quindi la divisione non deve essere tutto o niente.

Una breve checklist

Scegli il provider e accetta il suo DPA sull’account di cui userai la chiave.
Verifica l’impostazione sull’addestramento su quell’account, non in generale.
Richiedi la Zero Data Retention se il provider la offre e il tuo livello di rischio lo richiede.
Informa i partecipanti che un provider AI tratta la trascrizione. L’informativa sulla registrazione dovrebbe indicare la categoria di responsabile del trattamento.
Inserisci il provider nel tuo registro delle attività di trattamento.
Lascia disattivato Riepiloga automaticamente dopo la trascrizione per le riunioni che vuoi rivedere prima.

Autorec tiene l’audio sul tuo computer e ti mostra esattamente quale testo ne esce. Contratti e policy restano compito tuo. Per la parte della registrazione leggi la guida su GDPR e HIPAA, e per sapere perché evitiamo i bot nelle riunioni, l’articolo sul registratore senza bot.