IN BREVE
Un atto processuale può contenere informazioni rivolte al giudice e alle parti, ma anche istruzioni nascoste destinate a un sistema di intelligenza artificiale incaricato di analizzarlo. È il rischio emerso nel caso statunitense Elliott v. New York Bariatric Group, nel quale un litigante inserì testo bianco di dimensioni minime diretto a un ipotetico sistema di IA. La prompt injection non coincide con un’allucinazione: investe l’integrità dell’atto, il contraddittorio, la sicurezza degli strumenti e l’effettività del controllo umano. Nell’ordinamento italiano manca una disciplina processuale specifica, ma i principi vigenti e le regole sull’impiego dell’IA nella giustizia consentono di individuare rischi e cautele.
Quando un atto parla anche alla macchina
L’atto processuale è una comunicazione destinata al giudice e alle parti. La sua conoscibilità rende percepibili domande, allegazioni ed eccezioni e consente il contraddittorio. Quando viene acquisito da un sistema di IA, lo stesso contenuto diventa anche un input: il programma può estrarlo, inserirlo nella propria finestra di contesto e usarlo per sintetizzare, classificare o ricercare. Una sequenza che il lettore considera parte del documento può allora essere interpretata dal modello come comando.
La dinamica è descritta nell’approfondimento su che cos’è una prompt injection. Nel processo, però, l’istruzione può essere rivolta occultamente non al giudice o alla controparte, ma allo strumento che potrebbe analizzare l’atto.
Il caso Elliott v. New York Bariatric Group
Nel Memorandum of Decision del 6 agosto 2026, la Superior Court of Connecticut esaminò i depositi di un ricorrente che agiva senza avvocato. Alcuni contenevano istruzioni in caratteri minuscoli e bianchi, impercettibili nella lettura ordinaria, dirette a indurre un ipotetico sistema di IA ad aderire alla sua posizione.
Il tribunale dichiarò di non usare IA per decidere o valutare gli atti: il tentativo non produsse quindi l’effetto perseguito. La reazione riguardò l’inserimento deliberato di una comunicazione occulta, ritenuta incompatibile con l’integrità del procedimento. Al ricorrente fu revocato il deposito elettronico in quella causa, restando possibile quello cartaceo. Non venne stabilito un divieto generale di usare l’IA nella preparazione degli atti. Il resoconto Reuters offre ulteriore contesto, ma si tratta di una decisione straniera, priva di efficacia come precedente nei processi italiani.
Prompt injection e allucinazione
Nell’allucinazione il sistema genera informazioni inesatte o riferimenti inesistenti; il rischio nasce soprattutto dall’uso di un output non verificato, come mostra il caso della Cassazione penale n. 23006/2026. Nella prompt injection, invece, la deviazione deriva da un’istruzione inserita nell’input o nel materiale acquisito.
Anche un sistema RAG può recuperare insieme a una fonte autentica un’istruzione estranea. Verificare l’esistenza della fonte è necessario, ma non garantisce che il modello la tratti soltanto come dato.
L’atto processuale come possibile input ostile
Un documento del fascicolo può contenere sequenze rivolte allo strumento, anche se non sono visibili alla persona. Ciò non significa che ogni anomalia grafica sia un attacco o che ogni istruzione abbia effetto. Un sistema potrebbe però omettere passaggi, orientare una ricerca o, se dotato di funzioni operative, tentare di usare strumenti non necessari e propagare il comando in archivi condivisi.
Le conseguenze dipendono da modello, separazione tra dati e istruzioni, filtri, permessi e controllo umano. Anche la qualificazione giuridica richiede prudenza: contano condotta, scopo, idoneità, effetti e rito. Nell’ordinamento italiano un prompt nascosto non integra automaticamente nullità, reato, illecito disciplinare o sanzione processuale.
Decisione umana e regole applicabili
Il regolamento (UE) 2024/1689, considerando 61 e Allegato III, punto 8, lettera a), include tra i sistemi ad alto rischio quelli destinati ad assistere un’autorità giudiziaria nella ricerca e interpretazione dei fatti e del diritto e nell’applicazione della legge al caso concreto. Non ogni software usato negli uffici giudiziari è però automaticamente ad alto rischio: rilevano finalità, incidenza sull’esito e condizioni dell’articolo 6; le attività puramente accessorie o amministrative sono distinte. Quando applicabile, l’articolo 14 esige una sorveglianza umana capace di comprendere limiti e anomalie, evitare l’automatismo, interpretare l’output, ignorarlo, rovesciarlo o interrompere il sistema.
In Italia, l’articolo 15 della legge 23 settembre 2025, n. 132 stabilisce:
«Nei casi di impiego dei sistemi di intelligenza artificiale nell’attività giudiziaria è sempre riservata al magistrato ogni decisione sull’interpretazione e sull’applicazione della legge, sulla valutazione dei fatti e delle prove e sull’adozione dei provvedimenti».
La disposizione affida inoltre al Ministero della giustizia la disciplina degli impieghi organizzativi, di semplificazione e amministrativi; fino alla compiuta attuazione dell’AI Act, sperimentazione e impiego negli uffici giudiziari ordinari devono essere autorizzati dal Ministero; promuove infine la formazione di magistrati e personale su benefici e rischi. Non crea una fattispecie tipica di prompt injection, ma conferma che la valutazione e la decisione non possono essere delegate al sistema.
Le Raccomandazioni CSM dell’8 ottobre 2025, integrate dalla risoluzione del 22 luglio 2026, richiamano verifica umana, protezione dei dati, controllo di input e output e uso di ambienti istituzionali autorizzati. L’aggiornamento ammette attività analitiche, ricostruttive e organizzative, ma mantiene escluse la redazione dei provvedimenti e del dispositivo e l’uso di sistemi non autorizzati dal Ministero.
Rischi per processo e professionisti
Un contenuto progettato per non essere percepito pone problemi di trasparenza e conoscibilità; se mira a orientare l’analisi, può incidere su integrità della comunicazione, contraddittorio e diritto di difesa. Secondo rito e circostanze possono rilevare lealtà e probità processuale, buona fede e divieto di abuso. Per l’avvocato si aggiungono doveri deontologici e responsabilità sull’atto sottoscritto. Un prompt nascosto non coincide automaticamente con una comunicazione ex parte: descriverlo come tentativo di indirizzare occultamente lo strumento è una lettura funzionale, non una qualificazione consolidata.
Il bersaglio può essere anche il sistema della controparte, del consulente o dello studio. Se un agente AI legge archivi o usa servizi esterni, crescono i rischi per segreto professionale, dati e integrità dei flussi. La responsabilità di governare ambiente e verifiche resta umana.
Cautele operative
Le indicazioni di OWASP LLM01, della OWASP Prompt Injection Prevention Cheat Sheet e di NIST AI 100-2e2025 non sono norme processuali, ma orientano misure coerenti con i doveri professionali:
- trattare documenti esterni come contenuti potenzialmente ostili;
- separare istruzioni e dati e limitare permessi e strumenti;
- controllare testo visibile, livelli, metadati e contenuti nascosti in presenza di anomalie;
- verificare gli output sulle fonti originarie;
- usare ambienti autorizzati, proteggere i dati e documentare gli incidenti;
- mantenere una supervisione umana capace di fermare la deviazione.
Conclusione
La prompt injection negli atti non giustifica il rifiuto dell’innovazione né la delega della giurisdizione alla macchina. Richiede strumenti nei quali l’IA assista ricerca e organizzazione senza diventare destinataria invisibile delle comunicazioni processuali. La decisione resta davvero umana solo se magistrati e professionisti conoscono le fonti, comprendono i limiti del sistema, verificano gli output e conservano il governo effettivo delle operazioni.