Informativa al cliente sull’uso dell’IA: il modello predisposto dal CNF

Come utilizzare nello studio legale lo schema previsto per l’art. 13 della legge n. 132/2025

L’art. 13 della legge 23 settembre 2025, n. 132 ha introdotto per le professioni intellettuali una regola che abbiamo già esaminato nel nostro approfondimento: quando il professionista utilizza sistemi di intelligenza artificiale, le relative informazioni devono essere comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo, allo scopo espressamente dichiarato dalla legge di assicurare il rapporto fiduciario tra professionista e cliente.

Per l’avvocato, tuttavia, non è necessario partire da un foglio bianco. Il Consiglio Nazionale Forense ha predisposto uno specifico schema di informativa, trasmettendolo ai Presidenti dei Consigli dell’Ordine con comunicazione del 13 ottobre 2025. Il CNF precisa che lo schema, «se ritenuto utile», può essere agevolmente utilizzato dai colleghi nell’interlocuzione con il cliente e con la parte assistita. Comunicazione CNF

Il metodo operativo può essere rappresentato così:

NORMA → FONTE PROFESSIONALE ISTITUZIONALE → MODELLO CNF → COMPRENSIONE → UTILIZZO NELLO STUDIO

1. DocumentoAccedere al modello istituzionale collegato nell’articolo.
2. Uso concretoIndividuare come l’IA interviene nella prestazione.
3. AdattamentoVerificare e adattare l’informazione al rapporto professionale.
4. DistinzioniTenere distinti informazione sull’uso dell’IA, disciplina dei dati e controllo della prestazione.

Il download istituzionale è conservato. Il modello non sostituisce la valutazione del caso concreto.

Non proponiamo quindi un modello concorrente presentandolo come se mancassero indicazioni istituzionali. Partiamo dallo strumento che l’organo istituzionale dell’avvocatura ha già predisposto e cerchiamo di comprenderne contenuto, funzione e limiti.

Che cosa contiene il modello CNF

Lo schema è molto essenziale. Dopo l’identificazione dell’avvocato, informa il cliente della possibilità che, durante l’esecuzione dell’incarico giudiziale o stragiudiziale, il professionista ricorra a sistemi di IA per attività strumentali o di supporto.

Il modello chiarisce poi quattro elementi sostanziali. L’IA può essere utilizzata durante l’incarico; il suo impiego deve avvenire nel rispetto del GDPR e dei doveri deontologici, tutelando privacy e riservatezza; l’utilizzo rimane circoscritto a funzioni di supporto, per le quali vengono indicati alcuni esempi; infine, il risultato prodotto dal sistema deve essere sottoposto a verifica attenta e accurata dell’avvocato, comprendendo anche il controllo delle fonti. Fac-simile informativa CNF

La struttura concettuale può essere rappresentata così:

POSSIBILE USO DELL’IA
↓
ATTIVITÀ STRUMENTALI E DI SUPPORTO
↓
PRIVACY + RISERVATEZZA + DEONTOLOGIA
↓
VERIFICA DELL’AVVOCATO
↓
CONTROLLO DELLE FONTI

È interessante notare quanto questo schema coincida con il percorso che abbiamo ricostruito negli approfondimenti precedenti.

Per quali attività il CNF contempla l’uso dell’IA?

Lo schema contiene un’elencazione dichiaratamente esemplificativa. Vi rientrano attività organizzative e di segreteria, ricerca normativa e giurisprudenziale, analisi preliminare dei documenti, predisposizione di bozze o sintesi. Fac-simile informativa CNF

L’elenco non deve quindi essere interpretato come una lista normativa chiusa delle sole operazioni consentite. La disposizione legislativa utilizza una categoria più generale: attività strumentali e di supporto all’attività professionale, ferma la prevalenza del lavoro intellettuale oggetto della prestazione.

Questo è un punto sul quale dobbiamo distinguere accuratamente le fonti:

LA LEGGE → stabilisce il principio delle attività strumentali e di supporto e della prevalenza del lavoro intellettuale

IL MODELLO CNF → traduce operativamente il principio e fornisce alcuni esempi

Non dobbiamo trasformare gli esempi del CNF in un catalogo legislativo.

Il passaggio sulla verifica è particolarmente importante

Il modello prevede che il risultato ottenuto attraverso sistemi di IA sia sottoposto a una verifica attenta e accurata dell’avvocato, comprendendo il controllo delle fonti. ordineavvocatienna.it

Dopo quanto abbiamo appena visto a proposito delle allucinazioni degli LLM e di Cass. pen. n. 23006/2026, questo passaggio assume un valore operativo ancora maggiore.

Il modello CNF del 2025 precede quella pronuncia, ma la sequenza professionale che propone risulta pienamente coerente con il problema successivamente emerso in giurisprudenza:

IA GENERA O SUPPORTA → AVVOCATO VERIFICA → AVVOCATO CONTROLLA LE FONTI → AVVOCATO UTILIZZA IL RISULTATO

Il cliente deve firmare?

Lo schema CNF prevede uno spazio per la sottoscrizione dell’avvocato e, alla fine, una dichiarazione del cliente di essere stato informato e di aver compreso le indicazioni ricevute, seguita dalla relativa sottoscrizione. ordineavvocatienna.it

Ma occorre essere molto precisi sul significato giuridico di quella firma.

FIRMA PER PRESA D’ATTO ≠ CONSENSO ALL’USO DELL’IA

L’art. 13, comma 2, della legge n. 132/2025 configura infatti un obbligo di comunicazione delle informazioni. Non stabilisce, come regola generale, che l’utilizzo dell’IA sia subordinato al consenso del destinatario della prestazione.

La sottoscrizione prevista dal modello CNF svolge quindi una funzione particolarmente utile sul piano documentale: consente di attestare che l’informazione è stata resa e compresa. Non dobbiamo trasformarla, senza un diverso fondamento giuridico, in una richiesta generalizzata di autorizzazione all’utilizzo dell’intelligenza artificiale.

La distinzione può essere sintetizzata così:

IL CLIENTE È INFORMATO ✓

IL CLIENTE PRENDE ATTO ✓

IL CLIENTE DEVE SEMPRE “AUTORIZZARE L’IA” ✗

Il riferimento al GDPR non sostituisce l’informativa privacy

Il modello CNF afferma inoltre che l’utilizzo dei sistemi di IA avverrà nel rispetto del regolamento (UE) 2016/679 e dei doveri deontologici, per garantire privacy e riservatezza. ordineavvocatienna.it

Anche qui dobbiamo evitare un equivoco operativo.

La dichiarazione contenuta nel modello non trasforma l’informativa ex art. 13 L. 132/2025 nell’informativa prevista dagli artt. 13 e 14 GDPR. Se l’impiego concreto del sistema comporta trattamenti di dati personali che richiedono l’aggiornamento delle informazioni rese agli interessati, l’analisi deve essere effettuata separatamente.

Pertanto:

INFORMATIVA IA CNF ≠ INFORMATIVA PRIVACY GDPR

Le due informazioni possono essere coordinate documentalmente dallo studio, ma hanno presupposti e funzioni differenti.

Dobbiamo aggiungere qualcosa al modello CNF?

Le eventuali integrazioni appartengono al terreno della best practice e richiedono particolare prudenza.

Il modello istituzionale non dovrebbe essere modificato presentando il risultato come “modello CNF aggiornato”, perché si perderebbe la distinzione tra la fonte originaria e l’eventuale integrazione proposta.

La soluzione preferibile si articola invece su due livelli.

Livello 1 — MODELLO CNF
Il documento istituzionale rimane riconoscibile come tale e viene reso disponibile al lettore nella sua formulazione originaria.

Livello 2 — NOTE OPERATIVE HUMAIURIS
Accanto al documento possiamo spiegare quali ulteriori verifiche dovrebbe compiere lo studio in relazione ai sistemi concretamente utilizzati: protezione dei dati, riservatezza, condizioni contrattuali del fornitore, eventuali trasferimenti, conservazione dei dati, sicurezza, classificazione del sistema e applicabilità di specifiche disposizioni dell’AI Act.

In questo modo non attribuiamo al CNF contenuti che il CNF non ha inserito nel proprio schema e, contemporaneamente, non rinunciamo a costruire una governance più completa.

Il modello non sostituisce la governance dello studio

Questo è probabilmente il limite più importante da spiegare al lettore.

Consegnare e far sottoscrivere l’informativa non significa avere automaticamente governato correttamente l’intelligenza artificiale nello studio.

L’informazione al cliente è un tassello.

Prima ancora dell’utilizzo professionale del sistema occorre sapere quale sistema viene utilizzato, per quali attività, con quali dati, secondo quali condizioni, con quali misure di sicurezza e con quale controllo umano. Se vengono trattati dati personali occorre svolgere le valutazioni previste dalla disciplina sulla protezione dei dati; se il sistema rientra in specifiche categorie dell’AI Act devono essere individuati gli obblighi applicabili.

Il percorso organizzativo è quindi più ampio:

SCELTA DEL SISTEMA → VALUTAZIONE → REGOLE DI UTILIZZO → PROTEZIONE DEI DATI → INFORMAZIONE AL CLIENTE → CONTROLLO UMANO → VERIFICA DELL’OUTPUT → DOCUMENTAZIONE

L’informativa non sostituisce questo percorso. Ne costituisce una componente.