Che cosa prevede davvero la legge italiana e perché informazione, trasparenza e consenso non sono la stessa cosa
IN BREVE
L’articolo 13 della legge n. 132/2025 impone al professionista di comunicare al cliente, con linguaggio chiaro, semplice ed esaustivo, le informazioni relative all’uso di sistemi di intelligenza artificiale.
Informazione e consenso non coincidono: la norma introduce un obbligo informativo, non una generale autorizzazione preventiva del cliente.
L’informazione prevista dalla legge italiana deve inoltre essere distinta sia dall’informativa privacy del GDPR sia dagli specifici obblighi di trasparenza dell’articolo 50 dell’AI Act.
L’avvocato utilizza un sistema di intelligenza artificiale per riordinare alcuni documenti, predisporre una prima bozza di una clausola contrattuale o confrontare possibili argomentazioni. Deve dirlo al cliente? E, soprattutto, deve chiedergli il permesso prima di farlo?
Dal 2025 la prima domanda ha una risposta normativa precisa. La seconda, invece, richiede una distinzione fondamentale. La legge italiana prevede espressamente un obbligo di informazione sull’utilizzo dei sistemi di intelligenza artificiale nelle professioni intellettuali, ma informare il cliente non significa automaticamente dover ottenere il suo consenso all’utilizzo dell’IA.
La distinzione dalla quale partire è quindi:
INFORMAZIONE AL CLIENTE ≠ CONSENSO DEL CLIENTE
Comprenderla è importante perché intorno alla parola “trasparenza” stanno oggi convergendo normative diverse, che perseguono finalità differenti. La legge italiana sull’intelligenza artificiale disciplina il rapporto fiduciario tra professionista e destinatario della prestazione; l’AI Act introduce specifici obblighi di trasparenza per determinate categorie di sistemi e utilizzi; il GDPR disciplina invece la trasparenza del trattamento dei dati personali. Le tre discipline possono incontrarsi nello stesso caso concreto, ma non sono intercambiabili.
La regola italiana è nell’art. 13 della legge n. 132/2025
Il punto di partenza è la legge 23 settembre 2025, n. 132. Il suo art. 13 è specificamente dedicato alle professioni intellettuali e contiene due regole strettamente collegate.
Il primo comma stabilisce che l'utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali è finalizzato alle sole attività strumentali e di supporto all'attività professionale, mantenendo la prevalenza del lavoro intellettuale oggetto della prestazione. Il secondo comma introduce l'obbligo informativo nei confronti del destinatario della prestazione.
La disposizione stabilisce:
«Per assicurare il rapporto fiduciario tra professionista e cliente, le informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista sono comunicate al soggetto destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo».
Il dato testuale è particolarmente significativo. La norma non considera l'informazione un adempimento meramente burocratico, ma ne indica espressamente la funzione: assicurare il rapporto fiduciario tra professionista e cliente.
Possiamo quindi leggere insieme i due commi:
IA COME STRUMENTO DI SUPPORTO → PREVALENZA DEL LAVORO INTELLETTUALE → INFORMAZIONE AL CLIENTE → TUTELA DEL RAPPORTO FIDUCIARIO
Per l'avvocato questo si inserisce in un quadro professionale nel quale autonomia e indipendenza del giudizio intellettuale rimangono centrali. L'art. 3 della legge professionale forense richiede inoltre che la professione sia esercitata con indipendenza, lealtà, probità, dignità, decoro, diligenza e competenza.
L'intelligenza artificiale entra quindi nello studio come strumento. Non diventa il soggetto che assume la prestazione professionale e non sostituisce il giudizio dell'avvocato.
Che cosa bisogna dire al cliente?
Qui il testo legislativo è contemporaneamente chiaro e aperto. È chiaro perché impone che siano comunicate le “informazioni relative ai sistemi di intelligenza artificiale utilizzati dal professionista” e richiede un linguaggio chiaro, semplice ed esaustivo. È aperto perché non stabilisce un formulario obbligatorio né elenca analiticamente tutte le informazioni che devono essere inserite nella comunicazione.
Non sarebbe quindi corretto trasformare una nostra futura best practice in un contenuto normativo inesistente.
La norma vigente ci dice che l'informazione deve esserci e quali caratteristiche linguistiche deve possedere. Stabilire invece, in termini operativi, quale livello di dettaglio adottare in funzione del tipo di utilizzo appartiene al lavoro interpretativo e organizzativo.
È ragionevole, ad esempio, che il cliente comprenda almeno che il professionista può utilizzare determinati sistemi di IA nello svolgimento di attività strumentali o di supporto e che la prestazione professionale, la verifica e la decisione rimangono sotto il controllo dell'avvocato. Andare oltre, indicando categorie di strumenti, finalità d'impiego, eventuale trattamento dei dati o specifiche cautele, può diventare opportuno o necessario a seconda del caso e delle altre normative applicabili.
Dobbiamo però distinguere:
CONTENUTO ESPRESSAMENTE IMPOSTO DALLA LEGGE → NORMA
MODALITÀ OPERATIVE ULTERIORI → INTERPRETAZIONE E BEST PRACTICE
A questa seconda parte è dedicato il Lab sul modello CNF, senza presentarlo come formulario imposto dal legislatore.
L’avvocato deve chiedere il consenso?
L'art. 13 della legge n. 132/2025 parla di comunicazione delle informazioni, non di autorizzazione preventiva del cliente.
Non possiamo quindi trasformare:
“devo informarti che utilizzo sistemi di IA”
in:
“posso utilizzare sistemi di IA soltanto se mi autorizzi”.
Sono proposizioni giuridicamente diverse.
Naturalmente possono esistere situazioni nelle quali il rapporto contrattuale, la natura dell'incarico o altre discipline rendano necessarie valutazioni ulteriori. Ma dall'art. 13, comma 2, non deriva, in quanto tale, un generale obbligo di acquisire il consenso del cliente all'utilizzo dell'intelligenza artificiale.
La formula da conservare è quindi:
OBBLIGO DI INFORMAZIONE ≠ OBBLIGO GENERALE DI CONSENSO
Questo punto diventa ancora più importante quando entra in gioco il GDPR, perché anche nel diritto della protezione dei dati il termine “consenso” viene spesso utilizzato impropriamente come se fosse la base giuridica necessaria per qualsiasi trattamento.
Non è così.
E se nell’IA inserisco i dati del cliente?
A quel punto compare un secondo livello normativo. Se attraverso il sistema di IA vengono trattati dati personali, dobbiamo esaminare anche il GDPR.
Gli artt. 13 e 14 del regolamento (UE) 2016/679 disciplinano le informazioni che il titolare deve fornire all'interessato rispettivamente quando i dati sono raccolti presso quest'ultimo e quando non sono stati ottenuti presso di lui. Tra le informazioni rilevanti rientrano, secondo i casi, finalità, base giuridica, destinatari o categorie di destinatari, eventuali trasferimenti verso paesi terzi, periodo di conservazione e ulteriori elementi necessari a garantire un trattamento corretto e trasparente.
Questo significa che l'informazione professionale prevista dalla legge n. 132/2025 e l'informativa privacy possono convivere, ma rispondono a domande differenti.
La prima dice, in sostanza:
IL PROFESSIONISTA UTILIZZA L'IA NELLA PRESTAZIONE?
La seconda affronta invece:
COME VENGONO TRATTATI I DATI PERSONALI?
Non è necessariamente sufficiente rispondere alla prima domanda per avere adempiuto alla seconda.
E vale anche il contrario: avere una perfetta informativa GDPR non significa automaticamente aver adempiuto all'obbligo professionale specificamente introdotto dall'art. 13 della legge n. 132/2025.
Possiamo quindi fissare:
INFORMAZIONE SULL'USO DELL'IA ≠ INFORMATIVA PRIVACY
E il consenso privacy?
Anche qui dobbiamo evitare l'automatismo.
Il GDPR prevede diverse basi giuridiche per il trattamento dei dati personali. Il consenso è soltanto una di esse. La scelta della base giuridica dipende dalla finalità e dalle caratteristiche del trattamento concreto.
Perciò non è corretto affermare:
USO DELL'IA CON DATI PERSONALI = CONSENSO GDPR SEMPRE NECESSARIO
Prima dobbiamo ricostruire il trattamento: quali dati entrano nel sistema, per quale finalità, quale soggetto li tratta, quale servizio viene utilizzato, dove vengono elaborati, se esistono ulteriori destinatari, quale base giuridica è applicabile e quali misure sono necessarie.
La sequenza corretta è:
USO DELL'IA → TRATTAMENTO CONCRETO → DATI COINVOLTI → RUOLI PRIVACY → FINALITÀ → BASE GIURIDICA → GARANZIE → INFORMAZIONE
Il tema coinvolge anche riservatezza, segreto professionale, rapporti con i fornitori, sicurezza, trasferimenti internazionali, conservazione e cancellazione dei dati.
Ma allora l’art. 50 dell’AI Act che cosa c’entra?
È proprio qui che rischia di nascere una delle confusioni più frequenti.
L'art. 50 del regolamento (UE) 2024/1689 contiene obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA. Dal 2 agosto 2026 tali obblighi sono applicabili e la Commissione europea ha pubblicato il 20 luglio 2026 specifiche Guidelines per chiarirne l'attuazione. EUR-Lex
Ma l'art. 50 non dice semplicemente:
“chiunque utilizzi l'IA deve sempre dirlo a chiunque”.
La disciplina è molto più specifica. Riguarda, tra l'altro, sistemi destinati a interagire direttamente con persone fisiche, sistemi di riconoscimento delle emozioni e categorizzazione biometrica, deep fake e determinate pubblicazioni testuali generate o manipolate dall'IA destinate a informare il pubblico su questioni di interesse pubblico. Per quest'ultima fattispecie lo stesso art. 50, paragrafo 4, contempla inoltre l'eccezione relativa al processo di revisione umana o controllo editoriale quando una persona fisica o giuridica detiene la responsabilità editoriale. EUR-Lex
Le Guidelines della Commissione confermano questa impostazione casistica e precisano l'ambito degli obblighi applicabili a provider e deployer. Strategia Digitale Europea
È quindi fondamentale distinguere:
ART. 13 L. 132/2025 ≠ ART. 50 AI ACT
Il primo introduce una disciplina italiana specificamente riferita all'utilizzo dell'IA nelle professioni intellettuali e al rapporto fiduciario con il destinatario della prestazione. Il secondo disciplina specifiche situazioni di trasparenza previste dal diritto europeo.
Possono entrambi essere applicabili in una determinata situazione, ma per ragioni differenti.
Un esempio rende tutto più semplice
Immaginiamo che un avvocato utilizzi un LLM come supporto per riordinare una memoria molto complessa. Il sistema suggerisce una possibile struttura argomentativa; l'avvocato controlla integralmente il risultato, verifica norme e precedenti, modifica il testo e assume personalmente la decisione sul contenuto dell'atto.
Sul piano professionale italiano dobbiamo porci il problema dell'informazione prevista dall'art. 13 della legge n. 132/2025.
Non possiamo invece concludere automaticamente che l'art. 50 AI Act imponga al difensore di apporre sull'atto una dichiarazione del tipo “questo documento è stato scritto con l'intelligenza artificiale”. L'art. 50 deve essere applicato verificando se la fattispecie concreta rientri in uno dei casi che disciplina; inoltre, per il testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico, il regolamento contempla espressamente l'ipotesi della revisione umana e della responsabilità editoriale. EUR-Lex
Questo esempio ci permette di vedere la differenza tra trasparenza professionale verso il cliente e trasparenza regolatoria verso le persone esposte a determinati sistemi o contenuti.
E se l’IA interagisce direttamente con il cliente?
Lo scenario cambia.
Supponiamo che lo studio metta a disposizione sul proprio sito un assistente virtuale che dialoga direttamente con potenziali clienti. A quel punto non stiamo più parlando soltanto dell'uso interno di un LLM da parte dell'avvocato.
L'art. 50, paragrafo 1, impone al provider di assicurare che i sistemi destinati a interagire direttamente con persone fisiche siano progettati e sviluppati affinché queste siano informate di stare interagendo con un sistema di IA, salvo che ciò risulti evidente nelle circostanze previste dalla norma. EUR-Lex
Occorrerà quindi ricostruire concretamente i ruoli nella catena del sistema, proprio come abbiamo imparato nell'articolo su provider e deployer.
La domanda non è più soltanto:
“L'avvocato usa l'IA?”
ma:
CHI È IL PROVIDER? → CHI È IL DEPLOYER? → CHE COSA FA IL SISTEMA? → CON CHI INTERAGISCE? → QUALI OBBLIGHI SI APPLICANO?
E se il sistema è high-risk?
Compare ancora un altro livello.
L'art. 26 AI Act contiene specifici obblighi per i deployer dei sistemi di IA ad alto rischio. Tra questi vi sono misure organizzative e tecniche, sorveglianza umana affidata a persone competenti e, in determinate fattispecie, obblighi informativi specifici. In particolare, il paragrafo 11 prevede che i deployer di sistemi ad alto rischio dell'Allegato III che adottano o assistono nell'adozione di decisioni riguardanti persone fisiche informino queste ultime di essere soggette all'utilizzo del sistema. EUR-Lex
Ancora una volta, però:
UTILIZZARE UN LLM NELLO STUDIO ≠ UTILIZZARE AUTOMATICAMENTE UN SISTEMA HIGH-RISK
Prima occorre classificare il sistema e l'utilizzo concreto.
Questo è il metodo che HUMAIURIS deve continuare a seguire:
TECNOLOGIA → SISTEMA → UTILIZZO → RUOLO → RISCHIO → NORMA → OBBLIGO
Informare non significa scaricare la responsabilità
C'è infine un equivoco più sottile. L'avvocato non adempie correttamente ai propri doveri semplicemente scrivendo al cliente: «Utilizzo l'intelligenza artificiale».
L'informazione non è una clausola di deresponsabilizzazione.
Non può significare:
“TI HO DETTO CHE USO L'IA → QUINDI GLI ERRORI DELL'IA NON SONO MIEI”
Il sistema rimane uno strumento di supporto. L'art. 13, comma 1, della legge n. 132/2025 mantiene la prevalenza del lavoro intellettuale del professionista e la legge professionale forense continua a richiedere autonomia, indipendenza, diligenza e competenza.
Il collegamento con la sentenza della Cassazione che abbiamo appena analizzato diventa evidente: informare il cliente dell'utilizzo dell'IA non sostituisce la verifica dell'output.
Sono due obblighi o cautele collocati in momenti differenti:
INFORMARE → riguarda la trasparenza del rapporto professionale
VERIFICARE → riguarda il governo della prestazione
L'avvocato non deve scegliere tra trasparenza e controllo. Deve mantenere entrambi.
Come potrebbe essere costruita l’informazione al cliente?
Qui entriamo deliberatamente nel terreno della best practice, non nel testo letterale della norma.
Una comunicazione professionale efficace potrebbe spiegare, in termini comprensibili, che lo studio utilizza o può utilizzare sistemi di intelligenza artificiale per determinate attività strumentali e di supporto; che tali strumenti non sostituiscono l'attività intellettuale dell'avvocato; che il professionista mantiene il controllo e la responsabilità della prestazione; e, quando pertinente, che il trattamento dei dati personali avviene secondo la disciplina applicabile.
Non credo invece che la soluzione migliore sia consegnare al cliente una lunga pagina tecnica con nomi di modelli, parametri, token, architetture e formule incomprensibili. La legge stessa richiede un linguaggio chiaro, semplice ed esaustivo. Esaustivo non significa necessariamente tecnicamente sovraccarico.
La qualità dell'informazione dovrebbe essere valutata dal punto di vista di chi la riceve: il cliente deve poter comprendere che ruolo ha l'IA nella prestazione che sta acquistando.
Questo è anche il punto di raccordo con il modello operativo del Lab.
Da ricordare
USO DELL'IA → INFORMAZIONE AL CLIENTE
ma:
INFORMAZIONE ≠ CONSENSO
e ancora:
INFORMAZIONE EX L. 132/2025 ≠ INFORMATIVA GDPR
ART. 13 L. 132/2025 ≠ ART. 50 AI ACT
USO DELL'IA ≠ AUTOMATICAMENTE SISTEMA HIGH-RISK
INFORMARE ≠ TRASFERIRE LA RESPONSABILITÀ
Il principio complessivo può essere rappresentato così:
L'AVVOCATO PUÒ UTILIZZARE L'IA COME STRUMENTO → INFORMA IL CLIENTE → PROTEGGE I DATI → VERIFICA L'OUTPUT → MANTIENE IL CONTROLLO → DECIDE PERSONALMENTE
L'obbligo di informazione non serve quindi a mettere un'etichetta sull'intelligenza artificiale. Serve a preservare qualcosa di molto più importante: la consapevolezza del cliente e il rapporto fiduciario sul quale continua a fondarsi la prestazione professionale.
Continua il percorso
Provider e deployer → Lab modello CNF → Cass. pen. n. 23006/2026