DIRITTO & AI · GOVERNANCE E ORGANIZZAZIONE
L’intelligenza artificiale entra nello studio attraverso strumenti, dati e decisioni quotidiane. Governarla significa stabilire prima che cosa può essere affidato al sistema, con quali cautele e sotto quale responsabilità.
IN BREVE
Una policy sull’intelligenza artificiale non coincide con un divieto generale e non si esaurisce nell’informativa al cliente. È il metodo con cui lo studio seleziona i sistemi, governa i dati, protegge il segreto professionale, assegna ruoli e autorizzazioni, verifica gli output e documenta le scelte. L’IA rimane uno strumento. La valutazione giuridica, la strategia difensiva e la responsabilità della prestazione restano umane.
Quando uno studio legale adotta un sistema di intelligenza artificiale, il primo errore è pensare che la questione coincida con la scelta di un prodotto affidabile. Il contratto con il fornitore e le caratteristiche tecniche sono essenziali, ma non esauriscono il problema. Lo stesso sistema può essere utilizzato in modo prudente oppure esporre il cliente e il professionista a rischi ingiustificati. La differenza dipende dalla qualità dell’organizzazione che lo circonda.
La governance è precisamente questo insieme di decisioni. Individua gli usi ammessi, distingue le attività a basso rischio da quelle che richiedono cautele rafforzate, stabilisce quali informazioni non devono essere inserite, assegna responsabilità interne e impone la verifica del risultato prima che produca effetti nella pratica professionale. Non serve a rallentare l’innovazione. Serve a renderla compatibile con il rapporto fiduciario e con la funzione dell’avvocato.
Non basta scegliere un buon prodotto
La reputazione del fornitore, la versione a pagamento o la dichiarazione secondo cui i dati non saranno impiegati per addestrare il modello sono elementi utili, ma non autorizzano da soli qualsiasi utilizzo. Prima dell’adozione occorre comprendere almeno dove vengono trattati i dati, per quanto tempo sono conservati, chi può accedervi, se sono previsti trasferimenti, quali funzioni di registrazione sono attive e se l’utente può controllare la cronologia o escludere impieghi ulteriori.
Occorre poi distinguere il sistema dalla singola attività. Usare l’IA per migliorare la chiarezza di un testo già anonimizzato non equivale ad affidarle un fascicolo contenente dati sanitari, segreti commerciali o una strategia processuale. La valutazione non può quindi arrestarsi al nome dello strumento. Deve considerare finalità, dati, contesto, destinatari dell’output e conseguenze di un eventuale errore.
Il dato viene prima del prompt
Per lo studio legale il prompt non è soltanto un’istruzione. Può diventare un contenitore di dati personali, informazioni riservate, valutazioni difensive e documenti del cliente. Prima di scriverlo occorre domandarsi se il dato sia realmente necessario e se possa essere eliminato, generalizzato o sostituito. Pseudonimizzare significa ridurre la riconoscibilità, non rendere automaticamente anonima l’informazione. Anche una combinazione di fatti, date e circostanze può consentire di identificare una persona.
Il GDPR continua ad applicarsi quando l’utilizzo del sistema comporta un trattamento di dati personali. Restano centrali i principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. Lo studio deve inoltre poter dimostrare le proprie valutazioni secondo il principio di responsabilizzazione. L’IA non crea una zona franca rispetto alla disciplina sulla protezione dei dati.
La qualificazione dei ruoli non deriva dall’etichetta commerciale scelta dal fornitore. Deve essere verificata sulla base delle attività effettive e del potere decisionale esercitato sulle finalità e sui mezzi del trattamento. Le condizioni contrattuali vanno quindi confrontate con il funzionamento reale del servizio e con le Linee guida EDPB sui concetti di titolare e responsabile.
Segreto professionale e riservatezza
La protezione dei dati personali e il segreto professionale si sovrappongono solo in parte. Un’informazione può non essere un dato personale e rimanere comunque riservata per la sua natura professionale. Possono rientrarvi una strategia negoziale, un parere non ancora comunicato, la posizione processuale del cliente, un progetto industriale o il contenuto di una trattativa.
Per questo la domanda non è soltanto se il trattamento sia conforme al GDPR. Occorre anche verificare se l’affidamento dell’informazione al sistema sia coerente con i doveri di segretezza, riservatezza, diligenza e competenza. La Guida del CCBE sull’uso dell’intelligenza artificiale generativa da parte degli avvocati e il BrevIArio dell’Ordine degli Avvocati di Torino convergono sulla necessità di un controllo consapevole, della protezione delle informazioni del cliente e della verifica umana. Sono indicazioni professionali preziose, da leggere nel quadro delle norme vigenti e delle specificità del caso concreto.
L’IA resta strumentale alla prestazione
L’articolo 13 della legge 23 settembre 2025, n. 132 colloca l’utilizzo professionale dell’IA entro un criterio chiaro.
1. L’utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali è finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale e con prevalenza del lavoro intellettuale oggetto della prestazione d’opera.
2. Per assicurare il rapporto fiduciario tra professionista e cliente, le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista sono comunicate al soggetto destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo.
La regola non impone di rinunciare agli strumenti più evoluti. Impone di non trasferire alla macchina il governo della prestazione. L’avvocato può utilizzare l’IA per ricercare, organizzare, confrontare, sintetizzare o sviluppare ipotesi. Deve però comprendere il procedimento seguito, verificare le fonti, correggere gli errori, valutare la pertinenza e assumere personalmente la decisione professionale.
L’informazione al cliente è una componente di questo sistema, non il suo sostituto. Il portale ha già esaminato quando e come informare il cliente e il modello predisposto dal CNF. La sottoscrizione di un modulo non sana un uso tecnicamente inadeguato, una violazione della riservatezza o la mancata verifica dell’output.
AI Act e ruolo dello studio
Nell’AI Act lo studio che utilizza un sistema sotto la propria autorità può assumere il ruolo di deployer, ossia di soggetto che impiega il sistema nel proprio contesto professionale. La qualificazione è stata approfondita nell’articolo dedicato a provider e deployer. Non ne deriva che ogni impiego professionale sia automaticamente ad alto rischio o soggetto a tutti gli obblighi previsti dal regolamento.
Gli obblighi applicabili dipendono dalla funzione del sistema, dal ruolo concretamente assunto e dalla classificazione prevista dalla normativa. La governance interna deve quindi partire da un inventario degli strumenti e degli utilizzi. Solo dopo è possibile verificare quali disposizioni dell’AI Act siano pertinenti, quali cautele discendano dal GDPR e quali ulteriori obblighi derivino dalla disciplina professionale, processuale o contrattuale.
La formazione non può essere ridotta a una dimostrazione delle funzioni del software. Deve mettere le persone in condizione di riconoscere limiti, rischi, usi impropri e necessità di controllo. Il percorso AI Literacy organizza questi prerequisiti tecnici e professionali in modo progressivo.
Il controllo umano deve essere concreto
Controllo umano non significa limitarsi a leggere rapidamente un testo ben formulato. Un output linguisticamente plausibile può contenere riferimenti inesistenti, ricostruzioni incomplete o passaggi incompatibili con i documenti del fascicolo. La verifica deve essere proporzionata alla funzione dell’output. Una bozza interna richiede cautele diverse da un atto processuale, da un parere o da una comunicazione destinata al cliente.
Lo studio dovrebbe definire attività che non possono essere delegate, controlli minimi per ciascuna tipologia di utilizzo e casi nei quali è necessaria una seconda verifica. Deve inoltre prevenire l’automazione inconsapevole. Quando un sistema o un agente AI può utilizzare strumenti, accedere a documenti o eseguire azioni, i permessi devono essere limitati e le operazioni sensibili devono rimanere soggette ad approvazione umana.
La mappa operativa dello studio
Leggi la mappa in formato testuale
- Scelta. Valutare sistema, fornitore e condizioni d’uso.
- Dati. Limitare, anonimizzare e proteggere le informazioni.
- Regole. Definire usi ammessi, ruoli e autorizzazioni.
- Utilizzo. Applicare procedure proporzionate al rischio.
- Controllo. Verificare output, fonti e conseguenze.
- Documentazione. Registrare valutazioni, controlli e decisioni.
Questa sequenza non deve trasformarsi in burocrazia fine a sé stessa. La documentazione deve essere proporzionata e utile a ricostruire perché uno strumento è stato scelto, quali cautele sono state adottate e chi ha verificato l’attività. Anche la policy deve essere viva. Va aggiornata quando cambiano il sistema, le condizioni del fornitore, la normativa, le funzioni utilizzate o il tipo di dati trattati.
Dalla mappa alla procedura
Il passaggio successivo è operativo. Nel Lab è disponibile la checklist preliminare AI Act e GDPR per lo studio legale, utile per avviare il censimento e non dimenticare le verifiche essenziali. La checklist non sostituisce l’analisi giuridica e non produce automaticamente conformità. Serve a trasformare la mappa in una sequenza controllabile.
La buona governance non promette l’assenza assoluta di errori. Costruisce un ambiente nel quale gli errori sono meno probabili, più facilmente riconoscibili e gestibili. È questo il punto nel quale tecnologia, diritto e deontologia tornano a incontrarsi. L’innovazione non riduce il ruolo dell’avvocato. Ne rende ancora più evidente la responsabilità.
Fonti e documenti di riferimento
- Regolamento (UE) 2024/1689 nel testo consolidato.
- Regolamento (UE) 2016/679.
- Legge 23 settembre 2025, n. 132.
- EDPB, Opinion 28/2024 sui dati personali nel contesto dei modelli di IA.
- Guida CCBE sull’uso dell’intelligenza artificiale generativa da parte degli avvocati.
- Ordine degli Avvocati di Torino, BrevIArio normativo sull’uso dell’IA.
Fonti verificate al 4 settembre 2026. I documenti professionali sono utilizzati come riferimenti interpretativi e operativi e non sono equiparati alle fonti normative vincolanti.