Nessuno ti contesterà mai di aver usato l’intelligenza artificiale.
Ti contesteranno cosa ci hai messo dentro. E cosa non hai detto al cliente.
È una distinzione che nella maggior parte degli studi professionali italiani non è ancora arrivata, e il motivo è semplice: il rischio deontologico legato all’intelligenza artificiale non fa rumore. Non c’è un allarme che suona quando un collaboratore incolla una cartella clinica in una chat gratuita. Non c’è una notifica quando una bozza generata da un modello finisce in un atto senza che nessuno l’abbia riletta. Le cose vanno bene finché non arriva un reclamo, un esposto, un accesso agli atti. E a quel punto la domanda non sarà se l’AI ha sbagliato, ma se tu eri in grado di dimostrare come hai lavorato.
Dal 10 ottobre 2025, peraltro, non è più solo una questione di prudenza. È legge.
Il rischio non è che l’AI sbagli. È che nessuno se ne accorga
Un errore visibile si corregge. Un modello che inventa una sentenza inesistente con tono sicuro, invece, produce un testo perfettamente plausibile: sintassi corretta, riferimenti verosimili, struttura impeccabile. Il problema non è la qualità apparente dell’output. È che assomiglia troppo a qualcosa di giusto perché qualcuno si fermi a controllarlo.
Lo stesso vale per i dati. Incollare un nome, un codice fiscale o un importo in un prompt non produce nessun effetto percepibile: la risposta arriva, il lavoro procede, la giornata continua. Il fatto che quel dato sia uscito dallo studio, sia transitato su un server di cui non conosci l’ubicazione e possa essere finito nell’addestramento di un modello non lascia tracce visibili da questa parte dello schermo.
Il rischio deontologico dell’intelligenza artificiale è tutto qui: è silenzioso, è cumulativo, e diventa evidente solo quando qualcuno lo va a cercare.
Cosa è cambiato il 10 ottobre 2025
Con la legge 23 settembre 2025 n. 132, entrata in vigore il 10 ottobre 2025, l’Italia si è dotata di un quadro normativo generale sull’intelligenza artificiale, anticipando l’attuazione del Regolamento UE 2024/1689. Ed è l’articolo 13 quello che riguarda direttamente il tuo studio.
Due obblighi, operativi da subito, senza periodo transitorio.
Il limite d’uso. L’articolo 13 limita l’utilizzo dei sistemi di intelligenza artificiale nelle professioni intellettuali alle attività strumentali e di supporto, con prevalenza del lavoro intellettuale che è oggetto della prestazione d’opera. Detto in modo brutale: l’AI può preparare, non può decidere. La valutazione critica e la responsabilità restano interamente tue, e non è un principio morale, è una condizione di legittimità della prestazione.
L’obbligo informativo. Il comma 2 dispone che le informazioni sui sistemi di intelligenza artificiale utilizzati dal professionista siano comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo, nel rispetto del rapporto fiduciario.
Qui serve onestà su un punto che molti articoli online semplificano. La norma non specifica una forma scritta obbligatoria, e la dottrina ha già rilevato che la formulazione è poco chiara su cosa esattamente si debba comunicare al cliente. Nella pratica, però, la forma scritta è l’unica che ti permette di dimostrare di aver adempiuto: Confprofessioni e l’Associazione Nazionale Forense hanno predisposto un modulo informativo da allegare alla lettera d’incarico, che specifica natura, provenienza e funzione di supporto degli strumenti utilizzati e le garanzie adottate per la tutela dei dati.
A questo si aggiunge l’AI Act. L’articolo 4 del Regolamento UE 2024/1689 impone dal 2 febbraio 2025 a chi utilizza sistemi di intelligenza artificiale di adottare misure per l’alfabetizzazione del proprio personale, e il 2 agosto 2026 il regolamento è arrivato alla piena applicazione, con l’avvio della vigilanza delle autorità nazionali. Il Digital Omnibus ha rinviato gli obblighi sui sistemi ad alto rischio, non l’alfabetizzazione, che resta vigente in forma alleggerita.
Tre fonti diverse, un messaggio unico: se usi questi strumenti devi saper dire chi li usa, come, su quali dati e con quale controllo.
Uso dell’intelligenza artificiale e segreto professionale: dove si rompe
Il tema dell’uso dell’intelligenza artificiale e del segreto professionale si gioca su un passaggio banale e sottovalutato: cosa succede al testo dopo che premi invio.
Le versioni gratuite. Nella maggior parte dei servizi consumer i contenuti inseriti possono essere utilizzati per migliorare i modelli, salvo disattivazione esplicita nelle impostazioni. Non è illegale — è nelle condizioni che tutti accettano senza leggere. È incompatibile, però, con un dovere di segretezza che nei codici deontologici di commercialisti, avvocati, consulenti del lavoro e medici è formulato in termini assoluti, e che sul piano penale è presidiato dall’articolo 622 del codice penale.
L’ubicazione dei dati. Sapere se i dati restano nello Spazio economico europeo o transitano fuori non è pignoleria da DPO: è una delle informazioni che, secondo il modulo Confprofessioni-ANF, andrebbe comunicata al cliente.
I dati sanitari. Per gli studi medici e dentistici la soglia è più alta di tutte le altre professioni, perché i dati relativi alla salute rientrano tra le categorie particolari dell’articolo 9 del GDPR, con un regime di divieto generale derogabile solo a condizioni specifiche. Una cartella clinica incollata in una chat gratuita non è un’imprudenza: è un trattamento fuori base giuridica.
Il piano Team o Business. È la differenza che conta davvero. Le versioni con contratto business prevedono di norma l’esclusione dei dati dall’addestramento e condizioni contrattuali opponibili. Costano poche decine di euro al mese in più per utente. Sono la sola configurazione in cui la frase “uso l’AI sui documenti dei clienti” può stare in piedi.
Le otto domande che rivelano il rischio reale
Il test che trovi a fine articolo mette insieme otto domande. Non sono un quiz: ognuna corrisponde a un punto in cui, negli studi italiani, il rischio si concentra davvero.
1. Che tipo di studio hai. Non è una formalità anagrafica. Il perimetro cambia radicalmente: un consulente del lavoro tratta dati di dipendenti di aziende terze, un medico tratta categorie particolari, un avvocato ha un vincolo di segretezza che regge anche di fronte all’autorità giudiziaria.
2. Quali strumenti usi oggi. Versione gratuita, abbonamento personale o piano con garanzie contrattuali non sono tre gradini di comodità. Sono tre regimi giuridici diversi.
3. Che tipo di dati incolli nei prompt. È la domanda che pesa di più, e l’opzione più istruttiva è “non ci avevo mai fatto caso”. Perché è la risposta vera nella maggior parte degli studi, ed è anche esattamente il punto in cui la responsabilità comincia.
4. Se hai verificato le condizioni sul trattamento dati. Non serve leggere trenta pagine di termini di servizio. Serve saper rispondere a una domanda sola: i dati che inserisco vengono usati per addestrare il modello? Se non lo sai, non puoi dirlo al cliente. E ora la legge ti chiede di dirglielo.
5. Se esiste una policy interna scritta. “Se ne parla ma non è scritta” e “ognuno fa come crede” producono lo stesso identico risultato quando qualcuno chiede conto di come si è lavorato: nessuna prova.
6. Se hai informato i clienti. È la domanda che misura l’adempimento all’articolo 13. Attenzione all’opzione “non credo sia necessario nel mio caso”: la norma si applica a tutte le professioni intellettuali, ordinistiche e non, senza soglie dimensionali e senza eccezioni per chi usa l’AI “solo un po’”.
7. Se sai dove vengono elaborati e conservati i dati. Server UE, server extra-UE o “non lo so”. Le prime due risposte sono posizioni difendibili, perché sai cosa stai facendo. La terza no.
8. Se verifichi l’output prima di consegnarlo. Questa è la domanda che chiude il cerchio. Consegnare un output “così com’è, per risparmiare tempo” significa che la prevalenza del lavoro intellettuale umano non c’è stata. Non è una svista procedurale, è il presupposto della prestazione che viene a mancare.
Il punteggio va da 0 a 21. Sotto i 7 il quadro è ragionevolmente sotto controllo. Tra 7 e 13 ci sono aree che conviene sistemare prima che diventino un problema con un cliente o con l’Ordine. Sopra 14 i punti critici sono più di uno e non è il caso di aspettare il prossimo incarico delicato.
I cinque errori più diffusi negli studi italiani
Non sono impressioni. I dati dell’Osservatorio Professionisti e Innovazione Digitale del Politecnico di Milano fotografano un comparto che ha adottato l’AI molto più in fretta di quanto abbia costruito i presidi.
- Nessun adeguamento sulla sicurezza dei dati. Poco più del 20% degli studi ha effettuato interventi di adeguamento a seguito dell’introduzione dell’IA. Tra i grandi studi la quota sale al 72%.
- Nessuna regola su chi può usare cosa. Meno del 25% degli studi ha definito regole di accesso agli strumenti in base alla seniority degli utilizzatori. Il praticante e il socio hanno gli stessi permessi e responsabilità molto diverse.
- Nessun controllo strutturato degli output. Circa la metà degli studi ha definito una procedura per verificare gli output prima che vengano rilasciati ai clienti. L’altra metà consegna senza rete.
- Nessuna attenzione a dove finiscono i dati. L’attenzione al luogo di archiviazione dei dati risulta scarsa, proprio mentre diventa un’informazione da comunicare al cliente.
- Nessuna formazione documentata. È l’errore che rende inefficaci i rimedi agli altri quattro, ed è anche quello che l’articolo 4 dell’AI Act ti chiede di poter dimostrare.
La policy minima: una pagina, cinque righe
Non serve un manuale. Serve un documento che esista, sia datato e sia stato letto da tutti.
Chi può usare quali strumenti
Elenco nominativo degli strumenti autorizzati. Tutto il resto è vietato, comprese le versioni gratuite installate per curiosità.
Su quali dati
La regola più semplice che funziona: nessun dato identificativo del cliente nei prompt, salvo strumenti con contratto business e dati esclusi dall’addestramento.
Chi controlla prima della consegna
Nome e ruolo. Nessun output raggiunge il cliente senza passare da lì.
Cosa si dice al cliente
Il testo dell’informativa, allegato alla lettera d’incarico, aggiornato quando cambiano gli strumenti.
Quando si aggiorna e chi ha fatto formazione
Con le date. È la parte che nessuno scrive ed è l’unica che, in caso di contestazione, dimostra che lo studio si era organizzato.
In sintesi
Il rischio deontologico dell’intelligenza artificiale negli studi professionali non nasce dall’uso dell’AI, ma dall’uso non governato: dati dei clienti inseriti in strumenti consumer, output consegnati senza verifica, nessuna informativa al cliente, nessuna policy scritta. Dal 10 ottobre 2025 l’articolo 13 della legge 132/2025 impone due obblighi immediati a tutte le professioni intellettuali: l’AI può essere usata solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale umano, e l’uso va comunicato al cliente in modo chiaro, semplice ed esaustivo. A questo si aggiunge l’articolo 4 dell’AI Act sull’alfabetizzazione del personale, sotto vigilanza nazionale dal 2 agosto 2026. I quattro presidi minimi sono: strumenti con contratto business, nessun dato identificativo nei prompt su strumenti non autorizzati, verifica umana obbligatoria prima della consegna e una policy interna scritta e datata.
Domande frequenti
Sì, a condizione di non inserire dati identificativi o riservati dei clienti in versioni consumer, i cui contenuti possono essere utilizzati per l’addestramento dei modelli. Con un piano Team o Business che escluda contrattualmente l’uso dei dati per l’addestramento il perimetro cambia, ma restano necessari la verifica dell’ubicazione dei dati e il controllo umano sugli output. Su testi generici, privi di riferimenti a un cliente specifico, il problema non si pone.
Sì. L’articolo 13 della legge 132/2025, in vigore dal 10 ottobre 2025, prevede che le informazioni sui sistemi di intelligenza artificiale utilizzati siano comunicate al destinatario della prestazione con linguaggio chiaro, semplice ed esaustivo. La norma non impone espressamente la forma scritta, ma è l’unica che consenta di dimostrare l’adempimento: Confprofessioni e ANF hanno predisposto un modulo informativo da allegare alla lettera d’incarico.
I profili sono tre e vanno tenuti distinti. Sul piano deontologico, la violazione dei doveri di segretezza e diligenza è valutata dal proprio Ordine. Sul piano privacy, il trattamento illecito di dati personali espone alle sanzioni previste dal GDPR, con soglie più alte per i dati sanitari. Sul piano civilistico, la mancata informativa incide sul rapporto contrattuale con il cliente. La quantificazione del rischio nel caso concreto richiede una valutazione legale, che questo articolo non sostituisce.
Molto, ma non quello che si pensa. Non è il prezzo a fare la differenza: un abbonamento personale di tipo consumer offre più funzioni, non più garanzie contrattuali. La distinzione rilevante è tra piani consumer e piani business o enterprise, che prevedono di norma l’esclusione dei dati dall’addestramento e condizioni opponibili in caso di contestazione.
Dipende dalla struttura e dal tipo di trattamenti: la nomina del responsabile della protezione dei dati è obbligatoria solo nei casi previsti dall’articolo 37 del GDPR, che per gli studi medici e per chi tratta dati su larga scala va valutata con attenzione. La policy interna scritta, invece, serve a tutti, indipendentemente dalla dimensione, perché è ciò che rende dimostrabile il modo in cui lo studio lavora.
Fai il test sul rischio deontologico del tuo studio
Leggere un articolo sul rischio deontologico dell’intelligenza artificiale serve a inquadrare il problema. Non serve a sapere dove si trova il tuo studio.
Abbiamo costruito un test in otto domande, pensato per le professioni ordinistiche italiane: due minuti, nessuna registrazione per vedere il punteggio. Ti restituisce una misura del rischio sui tuoi comportamenti reali, non su una media di settore.
👉 Fai il test sul rischio deontologico
Se il risultato ti preoccupa, la buona notizia è che quasi tutto quello che emerge si corregge in poche settimane: non con un software, ma mettendo le persone dello studio in condizione di sapere cosa possono fare e cosa no. È esattamente il lavoro che facciamo in Digital Punk con i percorsi di formazione e adozione consapevole dell’AI: quella formazione che, dal 2 agosto 2026, deve anche essere dimostrabile.
E se prima del rischio ti interessa il conto economico, qui trovi il calcolatore su quanto ti costa non usare l’AI in studio.
Questo articolo ha finalità informative e non costituisce consulenza legale o deontologica. Per valutazioni vincolanti rivolgiti al tuo Ordine professionale o a un consulente privacy.
