Riassumere un contratto, scrivere la bozza di una lettera, tradurre un documento, spiegare una norma: gli strumenti di intelligenza artificiale generativa fanno risparmiare tempo vero. Molti collaboratori li usano già, spesso con il proprio account personale e senza dirlo. Il problema non è usare ChatGPT nello studio professionale, ma come lo si usa e con quali dati.
Cos’è l’IA generativa?
L’IA generativa è un tipo di intelligenza artificiale capace di produrre contenuti nuovi (testi, immagini, audio, codice) a partire da una richiesta scritta in linguaggio naturale, detta prompt. ChatGPT, Claude, Gemini, Copilot e strumenti simili si basano su modelli linguistici addestrati su enormi quantità di testo.
Il punto da ricordare: non “sanno” le cose come un database. Producono la risposta più plausibile, che spesso è corretta, a volte no.
Quali sono i rischi concreti per uno studio?
1. Riservatezza dei dati
Tutto ciò che incolli in un servizio di IA viene inviato ai server del fornitore. A seconda del servizio e del piano (gratuito, a pagamento personale, aziendale) può essere conservato, letto in caso di controlli o usato per migliorare i modelli. Per uno studio vincolato al segreto professionale e al GDPR, inserire nomi, codici fiscali, contratti o bilanci di clienti in un servizio non autorizzato può configurare un trattamento illecito o persino un data breach (→ misure di sicurezza GDPR e data breach).
2. Errori e “allucinazioni”
I modelli possono inventare con assoluta sicurezza riferimenti normativi, sentenze, numeri e citazioni. In Italia e all’estero sono già stati segnalati casi di atti con riferimenti giurisprudenziali inesistenti generati dall’IA. La responsabilità resta del professionista.
3. Uso nascosto (shadow AI)
Se lo studio non dà regole e strumenti, i collaboratori useranno comunque l’IA, con account personali e senza controllo. È la situazione più rischiosa.
4. Nuove truffe
L’IA viene usata anche dai criminali per email di phishing perfette e voci clonate. E i documenti ricevuti da terzi possono contenere istruzioni nascoste pensate per ingannare gli assistenti di IA che li leggono (prompt injection).
Cosa dice la legge italiana: la Legge 132/2025
La Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la prima legge italiana sull’intelligenza artificiale. Per le professioni intellettuali (articolo 13) stabilisce in sostanza due principi:
- l’IA può essere usata solo per attività strumentali e di supporto: il lavoro intellettuale del professionista deve restare prevalente;
- per garantire il rapporto di fiducia, il professionista deve informare il cliente sui sistemi di IA utilizzati, con linguaggio chiaro, semplice ed esaustivo.
In pratica: conviene aggiornare la lettera d’incarico o l’informativa con una clausola sull’uso dell’IA.
E l’AI Act europeo?
Il Regolamento (UE) 2024/1689 (AI Act) si applica in modo graduale. Per chi usa sistemi di IA in ambito professionale, i temi principali sono:
- l’alfabetizzazione sull’IA: misure perché chi usa questi strumenti ne conosca possibilità e limiti (articolo 4, il cui testo è stato rivisto nel 2026 con il cosiddetto Digital Omnibus);
- gli obblighi di trasparenza (articolo 50), applicabili dal 2 agosto 2026, per esempio sui contenuti generati o manipolati artificialmente, come i deepfake;
- gli obblighi più pesanti riguardano i sistemi ad alto rischio, la cui applicazione è stata posticipata dal Digital Omnibus a dicembre 2027 e agosto 2028.
Per la gran parte degli studi, l’uso di un assistente per scrivere o riassumere non è “ad alto rischio”, ma la formazione del personale e la trasparenza verso i clienti sono comunque buone pratiche, e in parte obblighi.
Una policy interna sull’IA in 10 punti
Ecco una base da adattare con il proprio consulente:
- Strumenti autorizzati: solo quelli indicati dallo studio, con account dello studio, non personali.
- Piani professionali con impegni contrattuali sull’uso dei dati (niente addestramento sui contenuti, conservazione limitata, server in UE ove possibile).
- Mai dati identificativi di clienti in strumenti non autorizzati: nomi, codici fiscali, IBAN, dati sanitari, contenziosi.
- Anonimizza prima di incollare: sostituisci nomi e dettagli con segnaposto.
- Verifica sempre ogni riferimento normativo, sentenza, cifra o citazione sulle fonti ufficiali.
- Il professionista firma e risponde: l’IA prepara bozze, non decide.
- Informa il cliente sull’uso dell’IA, come prevede la Legge 132/2025.
- Proteggi gli account degli strumenti di IA con password robuste e autenticazione a due fattori: contengono la cronologia delle conversazioni.
- Formazione breve per tutti: cosa si può fare, cosa no, come riconoscere gli errori.
- Un referente a cui chiedere in caso di dubbio e a cui segnalare problemi.
Uso sicuro: esempi concreti
| Va bene | Meglio evitare |
|---|---|
| “Scrivi una bozza di lettera di sollecito di pagamento, tono cordiale” | Incollare l’elenco dei clienti morosi con nomi e importi |
| “Spiegami in parole semplici cos’è la cedolare secca” | Chiedere un parere fiscale e inoltrarlo al cliente senza verifica |
| “Riassumi questo testo di legge pubblico” | Caricare il contratto riservato di un cliente su un servizio gratuito |
| “Proponi una struttura per una relazione tecnica” | Copiare citazioni di sentenze senza controllarle |
Sicurezza: l’IA non sostituisce le basi
Uno studio che adotta l’IA in modo ordinato è anche uno studio più attento alla sicurezza in generale. L’IA, però, non protegge la rete né i computer: per quello servono backup, aggiornamenti, autenticazione a due fattori e una rete sorvegliata. Strega Defence nasce per questo: protegge la rete dello studio e avvisa il titolare in italiano semplice quando succede qualcosa che conta. Per approfondire il rapporto tra IA e sicurezza, leggi intelligenza artificiale e cybersecurity; per fare il punto, la checklist in 10 domande.
Questo articolo ha scopo divulgativo e non costituisce consulenza legale. La normativa sull’intelligenza artificiale è in evoluzione: verifica sempre i testi aggiornati.
Domande frequenti
Posso inserire i dati dei clienti in ChatGPT?
Non in un servizio non autorizzato dallo studio e privo di garanzie contrattuali sul trattamento dei dati. Si rischia di violare il segreto professionale e il GDPR. Se proprio serve, usa strumenti professionali approvati e anonimizza i dati prima di inserirli.
Devo dire al cliente che uso l’intelligenza artificiale?
Sì. La Legge 132/2025 prevede che il professionista informi il cliente sui sistemi di intelligenza artificiale utilizzati, con linguaggio chiaro, semplice ed esaustivo. Conviene farlo per iscritto, per esempio nella lettera d’incarico.
Cosa sono le allucinazioni dell’intelligenza artificiale?
Sono risposte false presentate come vere: norme, sentenze, dati o citazioni inventati dal modello in modo plausibile. Per questo ogni contenuto generato va verificato sulle fonti ufficiali prima di essere usato.
La versione a pagamento di ChatGPT è più sicura per la privacy?
Le versioni professionali e aziendali offrono di solito impegni contrattuali più forti, come l’esclusione dei contenuti dall’addestramento e controlli amministrativi. Le condizioni cambiano nel tempo e tra fornitori: vanno lette e verificate prima dell’adozione.
Serve una policy interna sull’uso dell’IA anche in uno studio piccolo?
Sì, e può essere di una sola pagina. Chiarisce quali strumenti usare, quali dati non inserire e chi verifica i risultati. Senza regole, i collaboratori useranno comunque l’IA, ma con account personali e senza controllo.
L’AI Act si applica agli studi professionali?
Sì, per chi usa sistemi di intelligenza artificiale nella propria attività professionale, con obblighi proporzionati al tipo di utilizzo. Per un uso di supporto alla scrittura gli obblighi sono limitati, ma formazione del personale e trasparenza sono comunque raccomandate.
Fonti e approfondimenti
- Legge 23 settembre 2025, n. 132 – Gazzetta Ufficiale n. 223 del 25/09/2025 (PDF) — Gazzetta Ufficiale.
- Legge sull’intelligenza artificiale: scheda — Normattiva.
- Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act) — EUR-Lex.
- Digital Omnibus on AI: pubblicato il Regolamento (UE) 2026/1744 (in inglese) — Cuatrecasas.
- Intelligenza artificiale: documenti e provvedimenti — Garante per la protezione dei dati personali.
- Regolamento (UE) 2016/679 (GDPR) — EUR-Lex.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
