Introdurre un sistema di IA nello studio legale: checklist preliminare AI Act + GDPR

1. Che cosa vogliamo fare?

Prima dello strumento viene la finalità.

SISTEMA:

___________________________

FORNITORE:

___________________________

CASO D’USO:

___________________________

FINALITÀ:

___________________________

UTENTI AUTORIZZATI:

___________________________

Domanda:

“Possiamo descrivere in una frase che cosa vogliamo fare con questo sistema?”

□ Sì

□ No

Se non riusciamo a definire chiaramente il caso d’uso, è difficile valutare correttamente tutto il resto.

2. Qual è il nostro ruolo ai fini dell’AI Act?

Verificare la posizione dello studio rispetto al sistema utilizzato.

Ad esempio, occorre accertare se lo studio opera come deployer o assume, nel caso concreto, un ruolo differente previsto dall’AI Act.

RUOLO INDIVIDUATO:

___________________________

FONTE / MOTIVAZIONE:

___________________________

Verificare inoltre:

□ il sistema rientra nella definizione di sistema di IA applicabile;

□ sono state considerate eventuali pratiche vietate pertinenti;

□ è stata verificata l’eventuale classificazione prevista dall’AI Act;

□ sono stati individuati gli obblighi effettivamente applicabili al caso concreto.

Non attribuire automaticamente a qualsiasi sistema utilizzato dallo studio la qualifica di sistema ad alto rischio.

3. Chi utilizzerà il sistema?

L’art. 4 AI Act disciplina l’alfabetizzazione in materia di IA.

Per lo studio la domanda pratica è:

“Lo studio ha adottato misure adeguate al contesto per sostenere lo sviluppo dell’AI literacy delle persone che utilizzano il sistema per suo conto?”

Verificare:

□ utenti individuati;

□ istruzioni interne disponibili;

□ limiti del sistema conosciuti;

□ rischi di errore e affidamento eccessivo considerati;

□ formazione/informazione adeguata al caso d’uso.

MISURE ADOTTATE:

___________________________

L’art. 4 non richiede di garantire uno specifico livello individuale di AI literacy. Le misure devono essere valutate tenendo conto, tra l’altro, delle conoscenze, dell’esperienza e della formazione delle persone interessate e del contesto nel quale il sistema viene utilizzato.

L’AI literacy non va quindi identificata automaticamente con l’obbligo di frequentare uno specifico corso o conseguire una certificazione: occorre fare riferimento al contenuto effettivo dell’articolo 4 dell’AI Act.

4. Quali dati utilizzeremo?

Se il sistema tratta dati personali, verificare l’applicazione del GDPR.

DATI UTILIZZATI:

___________________________

Verificare almeno:

□ finalità del trattamento;

□ base giuridica;

□ minimizzazione;

□ categorie di dati;

□ eventuali dati particolari o giudiziari;

□ tempi di conservazione;

□ soggetti che possono accedere ai dati;

□ eventuali trasferimenti verso Paesi terzi.

Per lo studio aggiungere una domanda ulteriore:

“Il sistema riceverà informazioni coperte da segreto professionale o comunque riservate?”

□ Sì

□ No

Se sì:

MISURE / VALUTAZIONE:

___________________________

5. Abbiamo verificato il fornitore?

Prima di utilizzare il servizio verificare almeno ciò che è pertinente al caso concreto.

□ identità del fornitore;

□ condizioni contrattuali;

□ ruoli privacy;

□ eventuale nomina a responsabile del trattamento quando necessaria;

□ sub-responsabili, se pertinenti;

□ localizzazione dei dati;

□ trasferimenti internazionali;

□ conservazione;

□ utilizzo degli input/output da parte del provider;

□ possibilità di cancellazione o restituzione dei dati;

□ documentazione di sicurezza disponibile.

NOTE:

___________________________

La dichiarazione commerciale “GDPR compliant” non sostituisce questa verifica.

6. La sicurezza è adeguata al caso d’uso?

Verificare, in modo proporzionato:

□ controllo degli accessi;

□ account individuali;

□ autenticazione adeguata;

□ autorizzazioni coerenti con le funzioni;

□ protezione delle credenziali;

□ possibilità di revocare gli accessi;

□ logging, quando pertinente;

□ gestione degli incidenti;

□ possibilità di interrompere o disabilitare il servizio, quando necessaria.

Se il sistema utilizza strumenti o funzioni agentiche, rinviare anche alla:

“Scheda di verifica preliminare degli agenti AI nello studio legale”.

7. Chi controlla il risultato?

Definire il ruolo del professionista.

OUTPUT UTILIZZABILI SENZA ULTERIORE ATTIVITÀ:

___________________________

OUTPUT CHE RICHIEDONO VERIFICA:

___________________________

AZIONI CHE RICHIEDONO AUTORIZZAZIONE:

___________________________

Per l’attività professionale mantenere distinta:

AUTOMAZIONE DELL’ATTIVITÀ

≠

TRASFERIMENTO DELLA RESPONSABILITÀ.

L’utilizzo dello strumento non elimina la necessità di verifica professionale quando richiesta dalla natura dell’attività.

8. Dobbiamo informare qualcuno?

È opportuno evitare regole generali che trasformino automaticamente l’impiego dell’IA in un determinato adempimento: la disciplina applicabile deve essere individuata sulla base della concreta fattispecie.

Verificare invece separatamente:

AI ACT

□ è applicabile una delle fattispecie dell’art. 50?

□ sono state consultate le Guidelines definitive della Commissione?

□ è pertinente il Code of Practice sulla trasparenza dei contenuti generati dall’IA?

RAPPORTO PROFESSIONALE

□ esistono specifici obblighi di informazione verso il cliente previsti dalla normativa italiana applicabile?

GDPR

□ devono essere fornite o aggiornate informazioni sul trattamento dei dati personali?

NOTE:

___________________________

Trasparenza AI Act, informazione professionale e trasparenza GDPR sono piani distinti e devono essere verificati separatamente.

Prima di dire “sì”

Abbiamo quindi verificato:

□ FINALITÀ

□ RUOLO E DISCIPLINA AI ACT

□ PERSONE E AI LITERACY

□ DATI E GDPR

□ FORNITORE

□ SICUREZZA

□ CONTROLLO PROFESSIONALE

□ TRASPARENZA E INFORMAZIONE

ESITO DELLA VERIFICA PRELIMINARE:

□ UTILIZZO POSSIBILE NELLE CONDIZIONI ESAMINATE

□ UTILIZZO POSSIBILE CON MISURE / LIMITAZIONI

___________________________

□ NECESSARI ULTERIORI APPROFONDIMENTI

___________________________

□ UTILIZZO NON AUTORIZZATO NELLA CONFIGURAZIONE ESAMINATA

___________________________

RESPONSABILE DELLA VERIFICA:

___________________________

DATA:

___________________________

EVENTUALE DATA DI RIESAME:

___________________________

NORMA

La checklist deve essere letta insieme alle disposizioni effettivamente applicabili al caso concreto.

Riferimenti principali:

• Regolamento (UE) 2024/1689 — AI Act, nel testo vigente;
• Regolamento (UE) 2016/679 — GDPR;
• normativa italiana applicabile in materia di intelligenza artificiale;
• Codice in materia di protezione dei dati personali;
• disciplina professionale e deontologica pertinente.

Il completamento dell’elenco non equivale a una dichiarazione o certificazione di conformità: la checklist costituisce esclusivamente uno strumento preliminare di supporto alla valutazione.

LINEE GUIDA E STRUMENTI UFFICIALI

Prima dell’utilizzo della checklist verificare sempre l’esistenza e lo stato di:

• Guidelines della Commissione / AI Office;
• orientamenti del Garante;
• atti delle autorità nazionali competenti;
• indicazioni professionali/deontologiche pertinenti;
• standard armonizzati applicabili;
• template e formulari ufficiali.

Per l’art. 50 AI Act utilizzare le Guidelines definitive pubblicate dalla Commissione nel luglio 2026.

Tenere distinto il Code of Practice on Transparency of AI-generated Content, che ha natura volontaria e deve essere descritto secondo il suo effettivo valore giuridico.

PROPOSTA HUMAIURIS

Questa checklist costituisce una proposta operativa di verifica preliminare.

Non introduce nuovi obblighi.

Non assegna punteggi.

Non attribuisce livelli di conformità.

Non certifica il sistema.

Serve a individuare le questioni che devono essere verificate prima dell’utilizzo.

QUANDO LA CHECKLIST NON BASTA

La presenza di una o più questioni critiche può rendere necessarie verifiche ulteriori.

A seconda della fattispecie possono essere pertinenti, ad esempio:

• classificazione specifica ai sensi dell’AI Act;
• DPIA ai sensi dell’art. 35 GDPR;
• valutazioni previste dall’AI Act quando applicabili;
• approfondimenti sui trasferimenti internazionali;
• analisi di cybersecurity;
• verifica contrattuale del provider;
• approfondimento deontologico.

La checklist non sostituisce tali valutazioni.

Nota metodologica

“Introdurre un sistema di IA nello studio legale: checklist preliminare AI Act + GDPR” è una proposta operativa HUMAIURIS.

Non costituisce un modello ufficiale, una certificazione di conformità o un parere sulla liceità del singolo caso d’uso.

Quando le istituzioni competenti mettono a disposizione linee guida, modelli, template o procedure ufficiali pertinenti, HUMAIURIS privilegia tali strumenti.

Fonti istituzionali

• Regolamento (UE) 2024/1689 — AI Act, testo consolidato vigente
• Regolamento (UE) 2016/679 — GDPR
• Commissione europea — Guidelines definitive sull’art. 50 AI Act
• Commissione europea — Code of Practice on Transparency of AI-generated Content, strumento volontario
• Garante per la protezione dei dati personali — Intelligenza artificiale

Ultima verifica normativa: 23 agosto 2026.