Il decreto italiano sull’intelligenza artificiale non risolve il problema centrale della responsabilità: chi firma la decisione resta giuridicamente esposto anche quando il processo decisionale reale lo ha condotto un algoritmo. Per uno studio legale o un commercialista che usa strumenti AI, questo significa che la delega tecnologica non scherma da responsabilità civile o disciplinare. Occorre documentare ogni passaggio in cui l’AI ha contribuito alla decisione professionale, per poter dimostrare il mantenimento del controllo umano sostanziale.
Punti chiave
- Il decreto afferma il primato umano ma non definisce chi controlla concretamente i processi algoritmici.
- Chi firma una decisione assistita da AI resta responsabile anche se l’algoritmo ha guidato il ragionamento.
- La governance frammentata del decreto aumenta il rischio di lacune applicative in ambito lavoro e biometria.
Se il tuo studio usa strumenti di intelligenza artificiale per analisi documentale, due diligence o redazione di atti, hai un problema di responsabilità che il decreto italiano sull’AI non risolve. La firma resta tua, ma il percorso che porta alla decisione può essere diventato opaco. In caso di contenzioso, dimostrare che hai esercitato un controllo reale — e non solo formale — sull’output dell’algoritmo è onere che ricade interamente su di te.
Secondo un’analisi pubblicata da Agenda Digitale, la disciplina italiana sull’AI riafferma il primato umano ma lascia irrisolto il nodo decisivo: chi controlla davvero i processi algoritmici. Tra governance frammentata, biometria, lavoro e responsabilità penale, il rischio concreto è che la persona conservi la firma mentre perde il dominio sostanziale della decisione.
Il contesto normativo
Il decreto legislativo di recepimento dell’AI Act europeo (Reg. UE 2024/1689) introduce obblighi di supervisione umana per i sistemi AI ad alto rischio, ma rinvia a provvedimenti attuativi la definizione concreta delle modalità di controllo. Sul piano della responsabilità civile, l’art. 2049 c.c. continua ad applicarsi: il professionista che si avvale di uno strumento — anche algoritmico — risponde dei danni che ne derivano, salvo prova di caso fortuito. In ambito penale, l’assenza di una norma specifica sull’errore algoritmico lascia spazio all’applicazione delle regole generali sulla colpa professionale ex art. 43 c.p., con tutte le incertezze interpretative che ne conseguono. Sul versante lavoristico, l’art. 1-bis del d.lgs. 152/1997 (introdotto dal d.lgs. 104/2022) impone già oggi trasparenza sugli algoritmi usati nella gestione del rapporto di lavoro, ma le sanzioni restano blande e i controlli sporadici.
Cosa cambia per lo studio
- Documenta il controllo umano in ogni fase. Se usi AI per redigere pareri, contratti o memorie, conserva traccia scritta delle verifiche che hai condotto sull’output. In caso di esposto disciplinare o azione di responsabilità, quella documentazione è la tua prima linea di difesa.
- Rivedi le clausole di esonero nei contratti con i fornitori AI. La maggior parte dei termini di servizio dei provider esclude ogni responsabilità per errori dell’algoritmo. Verifica se hai una copertura assicurativa professionale che copra espressamente i danni derivanti da output AI errati.
- Attenzione ai sistemi biometrici nei luoghi di lavoro. Se assisti aziende che usano riconoscimento facciale o analisi comportamentale per gestire i dipendenti, il decreto non ha ancora chiarito il perimetro del “controllo umano” richiesto. Agisci in via cautelativa con policy interne dettagliate e pareri scritti al cliente.
- Segnala ai clienti il rischio di governance frammentata. Le norme si distribuiscono tra AGID, Garante Privacy, Ispettorato del Lavoro e autorità di vigilanza settoriali. Non esiste ancora un’autorità nazionale AI unica: il cliente che viola contemporaneamente più regimi può trovarsi esposto a sanzioni parallele.
- Aggiorna i modelli di incarico professionale. Inserisci una clausola che descriva esplicitamente l’eventuale uso di strumenti AI nella prestazione e le modalità di supervisione adottate. Protegge te e informa correttamente il cliente ai sensi dell’art. 1 della l. 247/2012 (ordinamento forense).
Attenzione a
Falsa sicurezza del “primato umano”. Il decreto afferma che l’uomo deve mantenere il controllo, ma non stabilisce standard minimi verificabili. Uno studio che si limita a leggere in diagonale l’output di un sistema AI prima di trasmetterlo al cliente non soddisfa — secondo un’interpretazione rigorosa — il requisito di supervisione effettiva. Il rischio disciplinare è reale già oggi, prima ancora che le norme attuative siano emanate.
Cumulo sanzionatorio multilivello. Un uso scorretto dell’AI in ambito lavoristico può attivare contemporaneamente il Garante Privacy (per violazione del GDPR), l’Ispettorato del Lavoro (per violazione dell’art. 1-bis d.lgs. 152/1997) e, in caso di discriminazione algoritmica, il giudice del lavoro. Consulta il cliente su tutti e tre i fronti prima che il problema esploda.
Domande frequenti
Chi risponde dei danni causati da un’AI usata da un avvocato o commercialista?
Il professionista risponde in via principale, sulla base dell’art. 2049 c.c. e delle regole sulla colpa professionale ex art. 43 c.p. Il decreto italiano sull’AI non introduce uno scudo di responsabilità per chi usa sistemi algoritmici: la firma resta tua, e con essa l’onere di dimostrare di aver esercitato un controllo reale sull’output prima di trasmetterlo al cliente o al giudice.
Un’azienda può usare l’AI per gestire i dipendenti senza violare la legge italiana?
Può farlo, ma deve rispettare l’art. 1-bis del d.lgs. 152/1997, che impone trasparenza sugli algoritmi usati nella gestione del rapporto di lavoro, e le norme GDPR sul trattamento automatizzato. Se il sistema usa dati biometrici, serve una valutazione d’impatto privacy e, in molti casi, l’autorizzazione del Garante. Il decreto AI non ha ancora chiarito i limiti operativi specifici.
Quale autorità controlla l’AI in Italia e a chi segnalare una violazione?
Non esiste ancora un’autorità nazionale AI unica. Le competenze si distribuiscono tra AGID, Garante Privacy, Ispettorato del Lavoro e autorità di vigilanza settoriali (es. Banca d’Italia, IVASS). La segnalazione va indirizzata all’autorità competente per il settore e il tipo di violazione. La frammentazione rende complessa la gestione del contenzioso multi-autorità.
Fonte di riferimento: AgendaDigitale