Si può usare Kimi con i dati aziendali? Regole per una PMI.

kimi.ai o kimi.com: con quale società si sta lavorando?

Kimi è raggiungibile da due domini, e al 22 ottobre 2026 i documenti legali dei due siti dicono cose diverse.

Su kimi.ai, il sito internazionale che dall’Italia si apre in italiano, i termini in vigore dal 13 agosto 2026 indicano come controparte NOVASCENT PRIVATE LIMITED, società registrata a Singapore e presentata come Moonshot AI. La stessa società è titolare del trattamento nella privacy policy di pari data. Si applica la legge di Singapore, con arbitrato presso il SIAC. Anche il sito ufficiale moonshot.ai rimanda a kimi.ai.

Su kimi.com, termini e privacy in vigore dal 31 agosto 2026 indicano Beijing Moonshot Technology Co., Ltd., con sede nel distretto di Haidian a Pechino, legge cinese e foro di Pechino. La privacy policy di questo dominio dice che i dati sono conservati nella Repubblica popolare cinese.

C’è poi un terzo contratto, quello delle API su platform.kimi.ai: i termini aggiornati al 30 luglio 2026 hanno come controparte Moonshot AI PTE. LTD., anch’essa di Singapore.

Per il regolamento interno questo significa che scrivere «Kimi è ammesso» lascia aperta la scelta del dominio a chi lavora, e con il dominio cambiano controparte, legge applicabile e paese di conservazione. La clausola deve nominare l’indirizzo da usare e vietare espressamente l’altro.

Consumer, Kimi Business e API: tre condizioni diverse sui dati

I piani individuali in abbonamento e la versione gratuita seguono i termini e la privacy consumer. Secondo questi documenti i contenuti inseriti dall’utente vengono usati per addestrare e migliorare i modelli, sulla base del legittimo interesse o del consenso a seconda della giurisdizione. Su kimi.com la privacy prevede l’uso di input e output per ottimizzare i modelli dopo la de-identificazione.

Kimi Business è il piano aziendale a postazioni, con un’ulteriore opzione Custom per organizzazioni da 150 postazioni in su. La pagina del piano dichiara che i dati aziendali non vengono usati per l’addestramento per impostazione predefinita e che restano in uno spazio di lavoro isolato. È l’unica versione di Kimi in cui il divieto di addestramento è la regola di partenza.

Le API sono a consumo, con credito ricaricabile. I termini della piattaforma prevedono che i contenuti del cliente possano essere usati per fornire e migliorare i servizi, salvo diverso accordo espresso per iscritto. Un’azienda che collega Kimi a un proprio software tramite API deve quindi negoziare un accordo enterprise se vuole escludere quell’uso, e lo stesso vale per un fornitore che le propone un’integrazione basata su Kimi.

Opt-out via email e conservazione: cosa succede alle conversazioni

Nella versione consumer di kimi.ai l’opposizione all’addestramento non passa dalle impostazioni. Termini e privacy del 13 agosto 2026 indicano di scrivere all’indirizzo membership@moonshot.ai, e precisano che la richiesta vale solo per il futuro e non rimuove i contenuti già usati. Nelle pagine consultate non risulta un interruttore equivalente a quelli di altri assistenti. Su kimi.com il canale indicato è il servizio clienti.

Un opt-out via email ha due debolezze per un’azienda. È legato al singolo account, quindi va ripetuto per ogni persona e per ogni account nuovo. Non lascia traccia nell’interfaccia, per cui nessuno può controllare a colpo d’occhio se è attivo. Chi lo usa deve almeno conservare la propria richiesta e l’eventuale risposta.

Sulla durata di conservazione la privacy di kimi.ai non fissa un periodo generale: i dati restano per il tempo necessario alle finalità. Un periodo preciso compare solo per l’impronta vocale, che viene distrutta quando non serve più o entro tre anni dall’ultima interazione. Per le API i termini rinviano alla cancellazione secondo la legge applicabile alla cessazione del rapporto, senza indicare termini.

L’impronta vocale merita una riga nel regolamento. Se viene usata per riconoscere una persona, può rientrare tra i dati biometrici che l’art. 9 del GDPR tratta come categoria particolare. Il modo più semplice per evitarla è vietare l’input vocale negli account usati per lavoro.

Contratto di trattamento, trasferimenti e autorità: cosa manca

La privacy consumer di kimi.ai dice che i dati possono essere trasferiti e conservati su server fuori dal paese di residenza, con garanzie adeguate che non vengono specificate, e non indica il paese di conservazione. Non ha una sezione dedicata allo Spazio economico europeo: le informazioni aggiuntive per area geografica riguardano solo gli Stati Uniti. La privacy della piattaforma API, nella versione del 30 aprile 2025 che è la più recente trovata, colloca i server a Singapore e contiene invece una sezione sul SEE con le basi giuridiche.

Nelle pagine consultate non abbiamo trovato un accordo di trattamento dei dati pubblicato, né per Kimi Business né per le API. Un supplemento per i clienti business esteri era raggiungibile su kimi.com, ma al 22 ottobre 2026 l’indirizzo rimanda alla home. I termini API chiedono al cliente di fornire le informative e raccogliere i consensi necessari. Nessuna policy indica il rappresentante nell’Unione che l’art. 27 del GDPR richiede, salvo eccezioni, ai titolari stabiliti fuori dall’UE.

Sul fronte delle autorità, una ricerca sui siti del Garante e dell’EDPB al 22 ottobre 2026 non ha restituito provvedimenti su Kimi o Moonshot AI.

Dal punto di vista dell’azienda resta valido quanto scritto nel regolamento generale: se nello strumento entrano dati personali serve un contratto con il fornitore ai sensi dell’art. 28 del GDPR e, per i trasferimenti fuori dall’UE, una delle garanzie del Capo V. Finché questi documenti non sono disponibili, conviene limitare Kimi Business ai dati riservati che non contengono dati personali di clienti, fornitori o dipendenti.

I modelli open weight di Kimi e le loro licenze

Moonshot AI pubblica su Hugging Face i pesi di diversi modelli: Kimi-K2, K2.5, K2.6, K2.7-Code e Kimi-K3, quest’ultimo da 2,8 mila miliardi di parametri. Scaricare i pesi ed eseguirli su un’infrastruttura propria, o di un fornitore di hosting scelto dall’azienda, significa che i testi non passano dai server di Moonshot AI e che termini e privacy del servizio Kimi non si applicano. Valgono le licenze dei modelli.

Kimi-K2.6 ha una licenza indicata come Modified MIT. L’uso commerciale è libero; l’obbligo di mostrare la dicitura Kimi K2.6 nell’interfaccia scatta solo oltre 100 milioni di utenti attivi mensili o 20 milioni di dollari di ricavi mensili, soglie che una PMI non raggiunge. Kimi-K3 ha una licenza propria, la Kimi K3 License: ammette l’uso commerciale, chiede un accordo separato a chi offre il modello come servizio con più di 20 milioni di dollari di ricavi in dodici mesi e prevede lo stesso obbligo di marchio. L’uso interno, non esposto a terzi, è esente da questi obblighi.

Il limite pratico sono le dimensioni. Un modello come Kimi-K3 richiede un’infrastruttura di calcolo che una piccola impresa di norma non ha in sede, quindi la strada concreta è un fornitore che lo esegue nell’UE per conto dell’azienda, con un proprio contratto di trattamento. In quel caso il regolamento nomina il fornitore di hosting, non Moonshot AI. Se poi l’azienda mette il modello a disposizione di clienti, per esempio come chatbot sul sito, possono scattare alcuni obblighi del fornitore previsti dall’AI Act, e il progetto va valutato a parte.

Come scrivere le clausole su Kimi nel regolamento

Il regolamento generale divide i dati in tre classi: dati mai inseribili, dati inseribili solo con strumenti approvati, informazioni libere. Per Kimi la classe massima dipende da dominio e piano.

La versione consumer di kimi.ai, gratuita o in abbonamento individuale, si può ammettere solo per le informazioni libere, cioè testi già pubblicati e contenuti senza dati personali né riservati, e solo se chi la usa ha inviato la richiesta di opt-out e ne conserva copia. Kimi Business, con account creati dall’azienda, può arrivare ai dati riservati non personali, come bozze di offerte o documentazione tecnica, finché il fornitore non mette a disposizione un accordo di trattamento; ottenuto quell’accordo, l’azienda può valutare se estenderlo ai dati personali. Le API si usano solo con un accordo scritto che escluda l’uso dei contenuti per migliorare i servizi. Il dominio kimi.com si esclude per qualsiasi dato aziendale.

Due clausole derivano dai termini del servizio. I termini di kimi.ai vietano di usare il servizio o i suoi output per sviluppare modelli concorrenti: chi in azienda raccoglie risposte di Kimi per addestrare un modello proprio deve saperlo. Sull’età minima i documenti non coincidono. I termini chiedono almeno 18 anni, o l’età più alta prevista dal paese, e sotto quella soglia il permesso di un genitore; la privacy policy parla invece di 13 anni. Per stagisti e apprendisti minorenni conviene escludere l’uso di Kimi con account aziendali, senza basarsi sulla soglia più bassa.

Le verifiche prima di approvare Kimi

Nelle pagine consultate non risulta un’opzione delle impostazioni che spenga l’addestramento negli account consumer, per cui il controllo passa da azioni amministrative e da documenti.

Il primo passo è fissare il dominio: nei segnalibri aziendali e nelle istruzioni compare solo kimi.ai, e chi aveva un account su kimi.com lo chiude o smette di usarlo per lavoro. Se l’azienda tollera account consumer per le informazioni libere, ogni persona scrive a membership@moonshot.ai dall’indirizzo dell’account, chiedendo di non usare i propri contenuti per l’addestramento, e inoltra la richiesta al responsabile.

Per Kimi Business conviene chiedere al fornitore, prima dell’acquisto, cinque documenti o risposte scritte: un accordo di trattamento ai sensi dell’art. 28 del GDPR; il paese in cui sono conservati i dati dello spazio di lavoro; lo strumento usato per i trasferimenti fuori dall’UE; i tempi di conservazione e di cancellazione; il nome del rappresentante nell’Unione. Le risposte vanno archiviate con la data, insieme a una copia dei termini in vigore.

Per le API la richiesta riguarda l’accordo scritto che esclude l’uso dei contenuti, e vale anche quando Kimi arriva in azienda dentro il prodotto di un terzo. A un fornitore che propone un’integrazione si chiede quale modello usa, con quale contratto e su quali server.

Quando conviene scegliere un altro strumento

Kimi è poco adatto quando l’attività richiede di inserire dati personali in modo ricorrente: anagrafiche clienti, pratiche del personale, corrispondenza con nomi e recapiti. Senza un accordo di trattamento e con il paese di conservazione non indicato, l’azienda non ha gli elementi per dimostrare di aver scelto un responsabile con garanzie adeguate.

Lo stesso vale per chi ha contratti con clausole di riservatezza o di localizzazione dei dati. Alcuni committenti, soprattutto nella manifattura per conto terzi e nella logistica, chiedono che i loro documenti restino nell’UE o presso fornitori approvati. Nelle pagine consultate nessuna versione del servizio indica un’opzione di conservazione dei dati nell’Unione.

In questi casi le alternative sono uno strumento con contratto di trattamento e opzioni di conservazione nell’UE, oppure un modello open weight eseguito da un fornitore europeo. Kimi resta utilizzabile per compiti su testi pubblici, come riassumere normative o preparare bozze generiche, purché la versione e il dominio siano quelli scritti nel regolamento.