GLM e Z.ai al lavoro: cosa scrivere nel regolamento aziendale.

Zhipu AI, Z.ai e GLM: chi firma il contratto?

GLM è il nome dei modelli linguistici sviluppati da Zhipu AI. Su Hugging Face l’organizzazione che li pubblica, zai-org, si presenta come Zhipu AI (Z.ai), e Z.ai è il marchio con cui sono offerti la chat, le API e gli abbonamenti.

Il contratto però non è con un soggetto chiamato Zhipu. Per chat.z.ai la privacy policy aggiornata al 29 settembre 2025 e i termini del 14 aprile 2026 indicano come titolare e controparte JINGSHENG HENGXING TECHNOLOGY PTE. LTD, con sede a Singapore, insieme alle società affiliate del gruppo Z.ai. Si applica la legge di Singapore e le controversie vanno in arbitrato presso il SIAC, con sede a Singapore.

Esiste anche una piattaforma cinese dei modelli GLM, bigmodel.cn. Nelle pagine consultate per questo articolo non abbiamo verificato le sue condizioni né il rapporto societario tra la società di Singapore e Zhipu AI di Pechino. Per questo il regolamento dovrebbe nominare i servizi ammessi, cioè la chat su chat.z.ai e le API con i termini pubblicati su docs.z.ai, ed escludere le altre piattaforme finché qualcuno non ne ha letto i termini.

Le pagine consultate non indicano un rappresentante nell’Unione ai sensi dell’art. 27 del GDPR. Una ricerca del 22 ottobre 2026 non ha trovato provvedimenti del Garante, dell’EDPB o di altre autorità europee su Zhipu AI o Z.ai.

I modi di usare GLM: chat, API, Coding Plan e modelli scaricabili

La chat su chat.z.ai è gratuita e segue i termini per gli utenti individuali. Le API sono a consumo, con alcuni modelli della linea Flash offerti gratuitamente, e hanno termini aggiuntivi che prevalgono su quelli generali in caso di conflitto. Il GLM Coding Plan è un abbonamento pensato per lo sviluppo software, utilizzabile solo con gli strumenti di programmazione supportati indicati da Z.ai. Nelle pagine consultate non risulta un piano enterprise con condizioni proprie per la chat.

Accanto ai servizi ci sono i modelli open weight su Hugging Face. A ottobre 2026 l’organizzazione zai-org pubblica tra gli altri GLM-5, GLM-5.2, GLM-5.3 da 753 miliardi di parametri, GLM-5.3-Flash da 321 miliardi e GLM-4.7-Flash, un modello mixture of experts indicato come 30B-A3B.

Da questa scelta dipende dove arrivano i contenuti. Con la chat i contenuti arrivano a Z.ai con la licenza descritta nella sezione successiva. Con le API arrivano a Z.ai come responsabile del trattamento, sotto un accordo scritto. Con un modello scaricato ed eseguito in proprio non arrivano a Z.ai affatto.

La licenza sui contenuti nei termini di chat.z.ai

La sezione IV dei termini del 14 aprile 2026 contiene tre previsioni che chi usa la chat per lavoro dovrebbe conoscere. Z.ai si riserva di trattare i contenuti per migliorare i servizi. L’utente autorizza l’uso dei contenuti che non costituiscono dati personali per sviluppare le tecnologie di machine learning, e il loro trattamento fuori dalla propria giurisdizione. Infine concede a Z.ai una licenza ampia, perpetua e irrevocabile sui contenuti.

La privacy policy colloca l’addestramento dei modelli tra i trattamenti basati sul legittimo interesse. Nelle impostazioni non risulta un interruttore per opporsi; il canale indicato è l’indirizzo user_feedback@z.ai. I dati restano finché esiste l’account, mentre le conversazioni cancellate spariscono dalla cronologia e vengono eliminate automaticamente anche dai sistemi del fornitore.

Per una PMI il punto delicato sono proprio i contenuti non personali. Una ricetta, il disegno di un componente, il listino di un fornitore o la bozza di un capitolato non contengono dati personali, e ricadono quindi nell’autorizzazione all’uso per l’addestramento. Sono anche le informazioni che un’impresa alimentare o manifatturiera protegge di più. Una licenza perpetua e irrevocabile non si ritira cancellando la conversazione.

Nel regolamento, quindi, la chat gratuita di Z.ai si ammette solo per testi che l’azienda ha già pubblicato o che potrebbe pubblicare senza danno.

Le API di Z.ai con l’accordo di trattamento dei dati

Per le API le condizioni cambiano. I termini, alla sezione IV.7 e nei termini aggiuntivi per le API, stabiliscono che i contenuti non vengono usati per sviluppare o migliorare i servizi salvo che il cliente acconsenta espressamente.

Z.ai pubblica un Data Processing Addendum for API Services. Il cliente è titolare del trattamento e Z.ai responsabile, con obblighi di assistenza e di notifica delle richieste ricevute dalle autorità. Secondo il documento i contenuti inseriti o generati sono elaborati in tempo reale e non vengono salvati sui server di Z.ai; gli altri dati del cliente sono cancellati alla fine del contratto, salvo obblighi di legge.

Restano due punti da verificare prima di inviare dati personali. Il primo è il luogo: i servizi sono forniti in genere da Singapore, dove i dati sono trattati, e sono possibili trasferimenti a società del gruppo o a terzi all’estero con meccanismi riconosciuti dalla legge che la privacy policy non specifica. Il secondo è lo strumento di trasferimento: il DPA non cita le clausole contrattuali tipo della Commissione europea.

Nel quadro del regolamento generale questo significa che il DPA risponde all’art. 28 del GDPR, mentre per il Capo V l’azienda deve ancora sapere su quale garanzia si basa il trasferimento verso Singapore e verso eventuali altri paesi. Finché la risposta non è scritta, le API si possono usare per dati riservati non personali, con dati personali ridotti al minimo o tolti.

GLM-4.7-Flash in locale: cosa cambia per i dati

Tra i modelli pubblicati da Z.ai, GLM-4.7-Flash è quello di taglia più realistica per una piccola impresa che vuole eseguire un modello su un server proprio. Ha licenza MIT, che permette uso commerciale, modifica e redistribuzione senza obblighi verso Z.ai oltre al mantenimento della nota di copyright e di licenza. I modelli più grandi della famiglia, come GLM-5.3, richiedono risorse di calcolo che di norma una PMI non ha in sede; la loro licenza, in stile MIT, chiede una revisione di sicurezza a Z.ai solo a chi offre il modello come servizio con oltre 10 miliardi di dollari di ricavi in dodici mesi.

Eseguendo il modello in locale, prompt, documenti e risposte restano sull’infrastruttura dell’azienda. Termini e privacy di chat.z.ai non si applicano, perché il servizio di Z.ai non viene usato, e non serve un accordo di trattamento con Z.ai.

Gli obblighi restano, e ricadono tutti sull’azienda. Resta titolare dei dati che entrano nel modello, con la base giuridica, la minimizzazione e le misure di sicurezza del GDPR. Diventa anche responsabile di ciò che prima faceva il fornitore: chi accede al server, se le conversazioni vengono registrate e per quanto, chi aggiorna il software. Se il server è presso un fornitore di hosting, il contratto di trattamento va fatto con lui.

Prima di scegliere questa strada conviene chiedere a chi gestisce l’infrastruttura quale hardware serve e provare il modello sui compiti reali. Un modello piccolo può bastare per classificare email o estrarre dati da documenti, e risultare meno accurato di un servizio in cloud su compiti più complessi.

Le regole dei termini Z.ai da riportare nel regolamento

I termini di chat.z.ai contengono alcuni divieti che un’azienda deve rispettare e che conviene ripetere nel regolamento, perché chi usa lo strumento difficilmente li legge.

Il primo riguarda le decisioni. È vietato usare Z.ai per decisioni automatizzate ad alto rischio, come quelle in materia di salute, istruzione, credito o infrastrutture critiche, o in sostituzione di servizi professionali medici, legali o finanziari. Il secondo riguarda i dati di altri: non si possono inserire dati personali di terzi senza autorizzazione. Per l’azienda il vincolo discende già dal GDPR, che chiede una base giuridica per ogni trattamento; nei termini diventa anche un obbligo contrattuale verso Z.ai.

C’è poi una regola sulla trasparenza più ampia di quella dell’AI Act. L’art. 50 chiede di dichiarare i deepfake e i testi generati pubblicati per informare il pubblico su questioni di interesse pubblico, salvo revisione umana con responsabilità editoriale. I termini di Z.ai chiedono di contrassegnare come generati dall’IA gli output e vietano di rimuovere gli identificativi aggiunti da Z.ai. Chi usa la chat per preparare testi o immagini per il marketing deve tenerne conto.

Sull’età, il servizio non è destinato ai minori di 18 anni senza il permesso dei genitori, e Z.ai dichiara di non raccogliere consapevolmente dati di minori di 13 anni. Per l’azienda è più semplice escludere dall’uso stagisti e apprendisti minorenni.

Clausole per GLM nel regolamento e casi in cui non conviene

Per GLM la classe massima di dati, secondo la suddivisione del regolamento generale, segue la forma d’uso. La chat di chat.z.ai si ammette solo per le informazioni libere. Le API di Z.ai, con il DPA accettato e archiviato, si ammettono per i dati riservati non personali; i dati personali si aggiungono solo dopo aver chiarito per iscritto la garanzia sui trasferimenti fuori dall’UE. GLM-4.7-Flash o un altro modello open weight eseguito su server controllati dall’azienda può arrivare alla seconda classe, compresi i dati personali, se il progetto ha superato la valutazione del consulente privacy e il server ha accessi e registri definiti.

Il GLM Coding Plan merita una riga a parte. Chi sviluppa software può passare allo strumento interi archivi di codice, che possono contenere chiavi di accesso o dati di prova presi da clienti reali. Prima di ammetterlo conviene leggere i termini dell’abbonamento e decidere quali repository si possono usare.

GLM via Z.ai è una scelta poco adatta quando un committente impone che i dati restino nell’UE, quando l’attività riguarda categorie particolari di dati o quando l’uso rientra nelle decisioni ad alto rischio vietate dai termini. In questi casi resta la via del modello in locale, a patto di avere qualcuno che lo gestisca. Un modello locale usato solo dai dipendenti è un caso diverso da un assistente aperto ai clienti: nel secondo caso l’azienda potrebbe assumere alcuni obblighi che l’AI Act pone sul fornitore, da verificare prima del lancio.