Cos'è lo zero data retention?

Definizione

Lo zero data retention è una configurazione del fornitore in cui un servizio elabora audio o testo per restituire un risultato e non conserva poi né gli input né gli output. Non ha una definizione legale, quindi il suo ambito esatto dipende dal contratto e dalle impostazioni del fornitore.

Cosa comprende

Lo zero data retention, spesso abbreviato ZDR, è un’impostazione di prodotto e non una categoria giuridica. Nessuna legge né autorità di regolazione lo definisce. Un fornitore che lo offre si impegna, nei propri termini o nelle proprie impostazioni, a non conservare i dati che una richiesta porta con sé una volta restituita la risposta. Per un servizio vocale significa l’audio, la trascrizione o entrambi. Per un servizio di LLM significa il prompt e l’output.

L’espressione nasconde diverse scelte, e due fornitori possono usarla per cose diverse. Copre solo l’audio o anche il testo? Si applica a tutti gli endpoint o ad alcuni? Si conservano metadati come timestamp, durate o identificativi di richiesta? E le tracce di errore, le cache, il monitoraggio degli abusi e i backup? Un’impostazione che copre alcune di queste cose e non altre è comunque chiamata zero retention da certi fornitori, quindi la fonte di verità è il contratto.

Cosa richiede

Nulla nella legge lo richiede e nulla nella legge gli attribuisce uno status. È un modo per rispettare obblighi che esistono, come il principio di limitazione della conservazione dell’articolo 5, paragrafo 1, lettera e), del GDPR, che dice che i dati personali devono essere conservati in forma identificabile per un arco di tempo non superiore al necessario. Non conservare nulla rende più facile dimostrarlo per il passaggio di quel fornitore. Non dà una base giuridica per trattare i dati in primo luogo, e non elimina altri obblighi.

Non risolve nemmeno se un fornitore sia un business associate ai sensi di HIPAA. La guida dell’HHS sul cloud computing tratta come business associate un fornitore cloud che conserva PHI elettroniche anche se non può vedere i dati, e descrive l’eccezione del semplice vettore come limitata ai servizi di trasmissione che conservano le informazioni solo temporaneamente. Se un servizio di elaborazione che non conserva nulla ricada dentro o fuori quella linea è una questione per il consulente legale. Si vedano HIPAA e GDPR.

Cosa significa per un agente vocale

Lo zero retention presso un fornitore è un anello di una catena. Una chiamata di un agente vocale può toccare un operatore telefonico, un servizio di riconoscimento vocale, un LLM, un servizio di sintesi vocale, la propria piattaforma e le proprie analisi. Se un fornitore non conserva nulla, gli altri possono ancora conservare audio, trascrizioni e log, e così può fare lei.

Rinuncia anche a cose che potrebbe volere. Senza audio né trascrizioni archiviati, il debug di una chiamata andata male, la revisione della qualità, la risoluzione delle contestazioni e i dati di addestramento sono più difficili, e alcune norme possono richiedere di conservare una registrazione altrove. Si veda la conservazione dei dati per come fissare i periodi per tipo di dato, e il consenso alla registrazione delle chiamate per quando la registrazione sia consentita.

Un rapporto SOC 2 può mostrare come un fornitore controlli l’accesso ai dati che detiene, ma non prova che non ne detenga. Si chiedano per iscritto i termini di conservazione. La guida sull’IA vocale on-premise tratta le scelte di implementazione che tengono i dati all’interno della propria infrastruttura.

Domande da porre al consulente legale

Cosa esattamente non conserva questo fornitore, e quali endpoint, piani o regioni copre?
Quali metadati, log, cache e backup restano, e per quanto tempo?
Come si attiva e si verifica l’impostazione, per account o per richiesta?
Un fornitore che non conserva nulla ha comunque bisogno di un accordo di business associate o di un accordo sul trattamento dei dati?
Quali registrazioni dobbiamo conservare noi stessi, date le norme di settore e le possibili contestazioni?

Guide

IA vocale on-premise: cos'è e come funziona

Fonti

Questa pagina offre informazioni generali, non consulenza legale. Le regole cambiano da paese a paese, da stato a stato e da caso d'uso a caso d'uso, e si evolvono. Consulta le fonti indicate e chiedi a un legale qualificato prima di farvi affidamento.

Ultima verifica il 19 ottobre 2026