Trasparenza AI · Versione 1 · Aggiornata 18/08/2026

Uso dell'intelligenza artificiale in Incassia

Questa pagina descrive in modo chiaro e verificabile come Incassia usa l'intelligenza artificiale, quali dati tratta, per quanto tempo li conserva e quali diritti puoi esercitare. Redatta ai sensi del Regolamento (UE) 2024/1689 (AI Act), degli articoli 13-22 del Regolamento (UE) 2016/679 (GDPR) e del provvedimento del Garante Privacy sull'uso dell'AI nei servizi B2B.

Principi

Consenso esplicito opt-in: nessuna funzione AI si attiva senza autorizzazione preventiva dell'operatore.
Human oversight: ogni output AI è modificabile e richiede conferma umana prima di azioni ad alto impatto (invio PEC, lettera legale, messa in mora).
Trasparenza: ogni risposta generata da AI è marcata visibilmente e riconducibile a questa pagina.
Log 180 giorni: ogni decisione AI è registrata e revisionabile per 6 mesi (art. 26.6 AI Act), poi purgata.
Nessuna profilazione automatica del debitore: non usiamo AI per decisioni automatizzate che producano effetti giuridici (art. 22 GDPR).

Provider AI e cascade con failover

Per garantire continuità del servizio, ogni richiesta AI viene instradata a un provider secondo un ordine di priorità configurato lato piattaforma. Se il provider primario non è raggiungibile o ritorna un errore transitorio, la richiesta viene rigiocata sul successivo. Tutti i provider elencati agiscono come sub-responsabili del trattamento ai sensi dell'art. 28 GDPR; i trasferimenti extra-UE sono coperti da DPA e Clausole Contrattuali Standard (SCC).

OpenAI Ireland Ltd. — provider primario. Chat, reasoning, trascrizione (Whisper).
Anthropic PBC — fallback (modelli Claude).
Google Ireland Ltd. — fallback (modelli Gemini).
Lovable AI Gateway — fallback finale (a sua volta instrada verso i medesimi fornitori upstream).

Ogni chiamata AI viene registrata in ai_call_log con provider effettivamente servente, modello, timestamp ed esito (retention 180 giorni), consentendo audit puntuale a posteriori.

Sistemi AI in uso

Affidabilità cliente (analisi deterministica)

Classe rischio: Minimo

Sintesi comportamento di pagamento del cliente in una label testuale (affidabile / regolare / da monitorare / attenzione elevata) a partire da fatture, pagamenti e promesse. Non usa modelli AI generativi né machine learning: è un calcolo deterministico basato su soglie configurabili.

Provider · modello (default): Incassia (interno) · deterministic-rules-v1
Base giuridica: Interesse legittimo del titolare (art. 6.1.f GDPR) per gestione del credito
Dati in ingresso: invoices, invoice_payments, payment_promises, customers.risk_score, risk_config.affidabilita_thresholds
Dati in uscita: label testuale, contributo dei fattori, azioni suggerite
Retention log: 0 giorni
Human oversight: Utente umano decide sempre le azioni finali. Analisi read-only, nessun effetto automatico.

Assistente comandi

Classe rischio: Minimo

Interpretare comandi in linguaggio naturale per navigare e agire nell'app

Provider · modello (default): Lovable AI Gateway · google/gemini-3-flash-previewUpstream registrato: Google Ireland Ltd. (Gemini). In caso di failover la richiesta può essere servita da altro provider della cascade (vedi sezione precedente).
Base giuridica: Consenso esplicito dell'operatore (GDPR Art. 6.1.a)
Dati in ingresso: testo comando operatore
Dati in uscita: azione suggerita, link contestuale
Retention log: 180 giorni
Human oversight: Ogni azione è solo proposta: l'operatore conferma o annulla

Assistente supporto tecnico

Classe rischio: Minimo

Rispondere a domande operative degli utenti sulla piattaforma

Provider · modello (default): Lovable AI Gateway · google/gemini-3-flash-previewUpstream registrato: Google Ireland Ltd. (Gemini). In caso di failover la richiesta può essere servita da altro provider della cascade (vedi sezione precedente).
Base giuridica: Consenso operatore
Dati in ingresso: domanda utente, contesto pagina, knowledge base pubblica
Dati in uscita: risposta testuale con link a documentazione
Retention log: 180 giorni
Human oversight: Risposta sempre marcata AI; operatore può aprire ticket umano

Generatore bozze comunicazioni

Classe rischio: Limitato

Redigere bozze di sollecito/messa in mora modulate su tono policy

Provider · modello (default): Lovable AI Gateway · google/gemini-3-flash-previewUpstream registrato: Google Ireland Ltd. (Gemini). In caso di failover la richiesta può essere servita da altro provider della cascade (vedi sezione precedente).
Base giuridica: Consenso esplicito operatore
Dati in ingresso: dati fattura, anagrafica cliente, tono policy
Dati in uscita: testo bozza comunicazione marcato AI-generated
Retention log: 180 giorni
Human oversight: Nessun invio automatico: revisione umana obbligatoria prima dell'invio

Risolutore aggregati

Classe rischio: Limitato

Suggerire abbinamenti pagamento → fattura in caso di ambiguità

Provider · modello (default): Lovable AI Gateway · google/gemini-3-flash-previewUpstream registrato: Google Ireland Ltd. (Gemini). In caso di failover la richiesta può essere servita da altro provider della cascade (vedi sezione precedente).
Base giuridica: Legittimo interesse (recupero credito) + consenso operatore
Dati in ingresso: descrizione bonifico, anagrafica cliente, importi fatture aperte
Dati in uscita: proposta di abbinamento con confidenza
Retention log: 180 giorni
Human oversight: L'abbinamento suggerito richiede conferma manuale prima di essere registrato

Trascrizione dettatura

Classe rischio: Minimo

Convertire dettatura vocale in testo per campi note/comunicazioni

Provider · modello (default): Lovable AI Gateway · openai/whisper-1Upstream registrato: OpenAI Ireland Ltd.. In caso di failover la richiesta può essere servita da altro provider della cascade (vedi sezione precedente).
Base giuridica: Consenso esplicito operatore + attivazione microfono
Dati in ingresso: audio breve dettato dall'operatore
Dati in uscita: testo trascritto
Retention log: 30 giorni
Human oversight: Testo prodotto sempre editabile dall'operatore prima del salvataggio

Dati NON trattati con AI

Password, credenziali, chiavi API.
Dati bancari completi (IBAN, movimenti).
Dati particolari GDPR Art. 9 (salute, biometrici, giudiziari).
Anagrafiche debitori persone fisiche fuori dal contesto strettamente necessario alla comunicazione.

Diritti dell'utente

In qualunque momento puoi:

Revocare il consenso all'uso dell'AI (Impostazioni → AI). Le funzioni AI verranno immediatamente disabilitate; il flusso manuale rimane disponibile.
Richiedere revisione umana di una decisione supportata da AI (art. 86 AI Act, art. 22 GDPR).
Richiedere cancellazione dei log AI riferiti alla tua utenza.
Presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'AI Office europeo.

Contatti per l'esercizio dei diritti: dpo@incassia.it. Puoi anche compilare il modulo online dedicato (art. 86 AI Act).

Titolare e DPO

Titolare del trattamento: Incassia. Data Protection Officer: dpo@incassia.it.