Uno studio legale che adotta strumenti di intelligenza artificiale deve trattarli come qualsiasi altro trattamento di dati personali: base giuridica, valutazione d’impatto e registro dei trattamenti sono obbligatori già oggi sotto il GDPR. Con l’entrata in vigore progressiva dell’AI Act (Reg. UE 2024/1689), gli studi che usano sistemi AI per attività a impatto sui diritti dei clienti rientrano nella categoria dei ‘deployer’ e assumono responsabilità dirette. Ignorare questo doppio binario normativo non è un’opzione: le sanzioni GDPR arrivano fino al 4% del fatturato globale, quelle AI Act fino al 3%.
Punti chiave
- Punto 1 — Lo studio legale che usa AI è ‘deployer’ ai sensi dell’AI Act e risponde in proprio.
- Punto 2 — Il GDPR impone DPIA prima di usare AI su dati sensibili di clienti o fascicoli.
- Punto 3 — Serve una policy interna scritta che regoli accesso, uso e conservazione degli output AI.
Adottare un tool AI per la redazione di atti, la ricerca giurisprudenziale o la gestione dei fascicoli non è una scelta meramente tecnologica: è un atto giuridicamente rilevante che attiva obblighi precisi sotto due regimi normativi distinti. Chi non si è ancora posto la domanda — “siamo in regola?” — deve farlo adesso, prima che lo faccia un’autorità di controllo.
Il tema è approfondito in un’analisi pubblicata da Diritto.it, che esamina l’intersezione tra compliance GDPR e le nuove responsabilità introdotte dall’AI Act per i professionisti che utilizzano sistemi di intelligenza artificiale nella loro attività quotidiana.
Il contesto normativo
Il Regolamento UE 2016/679 (GDPR), all’art. 35, impone la valutazione d’impatto sulla protezione dei dati (DPIA) ogni volta che un trattamento — incluso quello automatizzato tramite AI — può comportare un rischio elevato per i diritti degli interessati. Per uno studio legale, i fascicoli contengono quasi sempre dati sensibili ex art. 9 GDPR: dati sulla salute, sulla vita sessuale, sulle convinzioni religiose. Ogni sistema AI che elabora questi dati attiva l’obbligo di DPIA senza margini di discrezionalità.
Sul versante AI Act (Reg. UE 2024/1689, in vigore dal 1° agosto 2024 con applicazione scaglionata), gli studi legali rientrano nel ruolo di deployer ai sensi dell’art. 3, n. 4: soggetti che usano un sistema AI nell’ambito della propria attività professionale. I deployer di sistemi ad alto rischio — categoria che può includere strumenti usati in ambito legale per profilare parti o valutare rischi — sono soggetti agli obblighi degli artt. 26-29, tra cui la verifica della documentazione tecnica del fornitore e la sorveglianza umana degli output.
Cosa cambia per lo studio
- Registro dei trattamenti aggiornato. Ogni tool AI che elabora dati di clienti va censito nel registro ex art. 30 GDPR con indicazione della base giuridica, delle categorie di dati trattati e dei tempi di conservazione degli output.
- DPIA obbligatoria per AI su dati sensibili. Prima di attivare qualsiasi sistema AI che elabora dati di fascicoli contenenti informazioni ex art. 9 GDPR, va completata e documentata la valutazione d’impatto.
- Verifica del fornitore AI. Lo studio deve acquisire dal provider la documentazione tecnica del sistema (art. 13 AI Act) e verificare che non rientri tra i sistemi vietati ex art. 5 AI Act.
- Policy interna scritta. Serve un documento interno che stabilisca chi può usare lo strumento AI, su quali dati, con quale supervisione umana e come gestire gli output prima di inserirli in atti ufficiali.
- Informativa ai clienti aggiornata. Se l’AI elabora dati del cliente, l’informativa ex art. 13 GDPR va integrata con il riferimento al trattamento automatizzato e alle eventuali decisioni basate su di esso.
Attenzione a
Affidarsi alle garanzie contrattuali del fornitore senza verifica propria. Il fatto che il provider dichiari la conformità GDPR e AI Act non esonera lo studio dalla responsabilità di deployer. Il Garante Privacy può contestare il trattamento allo studio, non al fornitore, se manca la DPIA o il registro è incompleto. La delega contrattuale non sostituisce l’adempimento diretto.
Trattare gli output AI come documenti definitivi senza revisione. Un atto redatto o modificato con ausilio AI e privo di revisione critica da parte dell’avvocato espone a responsabilità disciplinare ex art. 9 del Codice Deontologico Forense, oltre al rischio di errori materiali non rilevati. La sorveglianza umana non è una raccomandazione: sotto l’AI Act è un obbligo per i sistemi ad alto rischio.
Domande frequenti
Uno studio legale che usa ChatGPT per redigere atti deve fare la DPIA?
Dipende dai dati inseriti nel prompt. Se lo studio carica o descrive dati personali di clienti — specialmente dati sensibili ex art. 9 GDPR come condizioni di salute o orientamento sessuale — la DPIA è obbligatoria ex art. 35 GDPR. L’uso di dati anonimi o di testi generici non la richiede, ma in pratica la linea è sottile e conviene eseguirla per precauzione.
L’AI Act si applica già agli studi legali italiani nel 2025?
Parzialmente. Il Regolamento UE 2024/1689 è in vigore dal 1° agosto 2024, ma l’applicazione è scaglionata: le norme sui sistemi vietati si applicano dal 2 febbraio 2025, quelle sui sistemi ad alto rischio dal 2 agosto 2026. Gli obblighi generali per i deployer e i requisiti di trasparenza sono però già rilevanti per orientare le scelte tecnologiche degli studi oggi.
Lo studio deve aggiornare l’informativa privacy se usa strumenti AI?
Sì. Se il sistema AI elabora dati personali dei clienti, l’informativa ex art. 13 GDPR va integrata con l’indicazione del trattamento automatizzato, le finalità, la base giuridica e — se il sistema prende decisioni automatizzate rilevanti — le informazioni sulla logica impiegata ex art. 22 GDPR. Un’informativa generica che non menzioni l’uso di AI è incompleta e potrebbe essere contestata dal Garante.
Fonte di riferimento: Diritto.it