Il piano d’azione europeo su cybersicurezza e intelligenza artificiale amplia il perimetro di conformità per gli studi legali italiani, che trattano dati sensibili e usano sempre più strumenti AI. Chi adotta software basati su modelli di frontiera senza una valutazione del rischio rischia già oggi di violare il Regolamento UE 2024/1689 (AI Act). Monitorare l’evoluzione normativa non è più una scelta strategica ma un obbligo di diligenza professionale.
Punti chiave
- Punto 1 — L’AI Act (Reg. UE 2024/1689) classifica certi strumenti legali come sistemi ad alto rischio con obblighi specifici.
- Punto 2 — Gli studi che usano AI per analisi predittive o gestione documentale devono documentare le scelte tecnologiche adottate.
- Punto 3 — Il piano UE prevede investimenti e standard che entreranno nei contratti pubblici e nelle gare d’appalto entro il 2025-2026.
Gli studi legali italiani che usano strumenti di intelligenza artificiale — dalla redazione automatica di atti all’analisi della giurisprudenza — stanno già operando dentro un quadro normativo che si sta stringendo. L’AI Act è in vigore dal 1° agosto 2024, con applicazione progressiva: le norme sui sistemi ad alto rischio diventano vincolanti da agosto 2026, ma le disposizioni sui modelli di frontiera (GPAI) si applicano già da agosto 2025.
La Commissione europea ha presentato un piano d’azione integrato su cybersicurezza e intelligenza artificiale che punta a ridurre le dipendenze tecnologiche dell’UE, rafforzare la resilienza delle infrastrutture digitali e orientare gli investimenti verso capacità industriali europee. I dettagli nell’analisi di Agenda Digitale.
Il contesto normativo
Il Regolamento UE 2024/1689 (AI Act) è il riferimento centrale. L’art. 6 definisce i criteri per classificare un sistema AI come ad alto rischio: rientrano in questa categoria i sistemi usati nell’amministrazione della giustizia e nei processi decisionali legali. L’art. 13 impone obblighi di trasparenza e l’art. 14 richiede supervisione umana effettiva. Parallelamente, il Regolamento UE 2022/2554 (DORA), applicabile dal 17 gennaio 2025 agli operatori finanziari, stabilisce uno standard di resilienza operativa digitale che sta già influenzando i capitolati contrattuali anche fuori dal settore finanziario. Sul piano della protezione dei dati, l’art. 25 del GDPR (Reg. UE 2016/679) — privacy by design — si sovrappone agli obblighi AI Act ogni volta che un sistema elabora dati personali dei clienti dello studio.
Cosa cambia per lo studio
- Se usi strumenti AI per ricerca giurisprudenziale, redazione di atti o due diligence, devi verificare se il fornitore ha registrato il sistema nel database europeo dei sistemi ad alto rischio, operativo da febbraio 2025.
- I contratti con i fornitori di software AI vanno aggiornati con clausole che garantiscano la conformità al AI Act: in assenza, la responsabilità per uso di un sistema non conforme può ricadere sull’utente professionale (art. 25 AI Act).
- Il piano UE prevede schemi di certificazione della cybersicurezza — basati sull’EU Cybersecurity Act (Reg. UE 2019/881) — che diventeranno requisiti nelle gare pubbliche: gli studi che assistono PA o partecipano a bandi devono anticipare questi requisiti nelle verifiche pre-contratto.
- La dipendenza da modelli AI extra-UE (es. GPT-4, Claude) espone a rischi di trasferimento dati verso paesi terzi: verificare le clausole contrattuali standard del fornitore rispetto all’art. 46 GDPR è già un adempimento dovuto.
- Nei contenziosi in materia di responsabilità da prodotto o danno da algoritmo, il piano UE e l’AI Liability Directive (ancora in iter) stanno ridisegnando il regime probatorio: documentare ora le scelte tecnologiche dello studio serve anche a costruire una difesa futura.
Attenzione a
Il rischio più sottovalutato è trattare l’AI Act come una norma lontana. Le scadenze intermedie — agosto 2025 per i GPAI, agosto 2026 per i sistemi ad alto rischio — arriveranno senza che molti studi abbiano avviato un audit interno degli strumenti in uso. Un fornitore che cambia le condizioni del servizio dopo l’entrata in vigore degli obblighi può lasciare lo studio in una posizione di non conformità da un giorno all’altro.
Secondo errore frequente: confondere la conformità GDPR con la conformità AI Act. Sono regimi distinti con obblighi aggiuntivi e non sovrapponibili. Avere un DPO nominato e un registro dei trattamenti aggiornato non copre gli obblighi di trasparenza, supervisione umana e gestione del rischio previsti dagli artt. 9, 13 e 14 del Regolamento 2024/1689.
Domande frequenti
Un software AI per la redazione di atti legali è considerato ad alto rischio secondo l’AI Act?
Dipende dall’uso concreto. L’art. 6 e l’Allegato III del Reg. UE 2024/1689 classificano come ad alto rischio i sistemi che incidono sull’accesso alla giustizia e sui processi decisionali legali. Un tool per ricerca giurisprudenziale pura ha un profilo di rischio diverso rispetto a un sistema che genera valutazioni predittive sull’esito di una causa. In ogni caso, verificare la classificazione del fornitore nel registro europeo è il primo passo.
Chi risponde se un sistema AI usato dallo studio non è conforme all’AI Act?
L’art. 25 del Reg. UE 2024/1689 prevede obblighi specifici per i ‘deployer’, cioè chi usa il sistema in contesto professionale. Lo studio legale che adotta uno strumento AI non conforme può essere ritenuto responsabile in solido con il fornitore, specialmente se ha modificato le istruzioni d’uso o ignorato le limitazioni dichiarate. Il contratto con il fornitore deve includere garanzie di conformità esplicite.
Il piano di cybersicurezza UE impone nuovi obblighi agli studi legali già nel 2025?
Non direttamente nel 2025 per gli studi privati non qualificati come operatori di servizi essenziali. Tuttavia, gli schemi di certificazione previsti dal EU Cybersecurity Act (Reg. UE 2019/881) stanno diventando requisiti nelle gare pubbliche e nei contratti con PA. Uno studio che assiste enti pubblici o partecipa a procedure d’appalto deve già verificare i capitolati tecnici aggiornati per evitare esclusioni o inadempimenti contrattuali.
Fonte di riferimento: AgendaDigitale