Caricare un atto o un contratto su una piattaforma AI generativa senza verificare le condizioni di trattamento dei dati equivale a una comunicazione non autorizzata a terzi, con conseguente violazione del GDPR. Lo studio legale è titolare del trattamento e risponde direttamente delle scelte tecnologiche adottate dai propri collaboratori. Prima di usare qualsiasi strumento AI con dati reali dei clienti, servono una valutazione d’impatto, clausole contrattuali adeguate con il fornitore e una policy interna documentata.
Punti chiave
- Punto 1 — Inserire dati personali dei clienti in piattaforme AI senza DPA firmato viola l’art. 28 GDPR.
- Punto 2 — Lo studio legale resta titolare del trattamento e non può delegare la responsabilità al fornitore AI.
- Punto 3 — Il Garante Privacy italiano ha già sanzionato trattamenti basati su consenso insufficiente verso servizi cloud esteri.
Ogni volta che un avvocato o un collaboratore di studio copia il testo di una perizia, un contratto o una mail del cliente dentro ChatGPT, Copilot o qualsiasi altro modello linguistico, sta potenzialmente trasferendo dati personali a un titolare esterno senza base giuridica adeguata. Il problema non è teorico: il GDPR non fa eccezioni per gli strumenti di produttività professionale, e lo studio legale risponde come titolare del trattamento.
Il tema è al centro di un’analisi pubblicata su Diritto.it, che esamina i rischi specifici dell’uso delle piattaforme AI generativa negli studi professionali italiani, con particolare attenzione al rapporto tra segretezza professionale, obblighi deontologici e normativa sulla protezione dei dati.
Il contesto normativo
Il quadro di riferimento principale è il Regolamento UE 2016/679 (GDPR). L’art. 28 impone che ogni fornitore esterno che tratti dati per conto del titolare sia qualificato come responsabile del trattamento e vincolato da un Data Processing Agreement scritto. L’art. 44 vieta il trasferimento di dati verso paesi terzi privi di adeguate garanzie: la maggior parte dei provider AI ha server negli Stati Uniti, il che rende rilevante la verifica delle Standard Contractual Clauses adottate. Sul piano deontologico, l’art. 9 del Codice Deontologico Forense impone il segreto professionale: condividere informazioni riservate dei clienti con sistemi che le usano per addestrare modelli è una violazione potenzialmente disciplinare, oltre che normativa. Il Garante per la protezione dei dati personali ha già adottato provvedimenti cautelari nei confronti di OpenAI nel 2023, confermando l’applicabilità del GDPR ai servizi AI rivolti a utenti italiani.
Cosa cambia per lo studio
- Mappatura degli strumenti in uso. Prima di qualsiasi altra cosa, lo studio deve censire quali piattaforme AI usano i collaboratori, anche informalmente. Strumenti adottati senza autorizzazione espongono comunque il titolare del trattamento.
- Verifica del DPA con il fornitore. Ogni piattaforma AI deve essere inquadrata come responsabile ex art. 28 GDPR. Verificare se il fornitore offre un Data Processing Agreement e se esclude l’uso dei dati inseriti per il training del modello: molti servizi gratuiti non lo fanno.
- Pseudonimizzazione prima dell’inserimento. Per i casi in cui l’uso di AI è necessario, anonimizzare o pseudonimizzare i dati prima di caricarli è la misura tecnica minima accettabile. Sostituire nome, CF e riferimenti identificativi con segnaposto riduce il rischio in modo concreto.
- Policy interna scritta e formazione. Una policy sull’uso degli strumenti AI, firmata da tutti i collaboratori, non è un adempimento burocratico: è la prova documentale che lo studio ha adottato misure organizzative adeguate ex art. 24 GDPR.
- Valutazione d’impatto (DPIA) nei casi critici. Se lo studio tratta categorie particolari di dati (salute, condanne penali, dati sensibili in senso lato) e intende usare AI generativa su quei file, la DPIA ex art. 35 GDPR non è facoltativa.
Attenzione a
Fidarsi delle impostazioni predefinite. La modalità standard di molte piattaforme AI prevede che i dati inseriti possano essere usati per migliorare il modello. Disabilitare questa opzione richiede un’azione esplicita nelle impostazioni dell’account — e in alcuni piani gratuiti non è possibile farlo. Usare un account personale gratuito per attività di studio è il caso più a rischio.
Confondere anonimizzazione e pseudonimizzazione. Solo l’anonimizzazione vera — irreversibile — esclude l’applicazione del GDPR. La pseudonimizzazione riduce il rischio ma non elimina gli obblighi normativi. Chi inserisce un documento con il solo nome sostituito da “CLIENTE X” ma lascia intatto il numero di causa o il codice fiscale non ha anonimizzato nulla.
Domande frequenti
Posso usare ChatGPT per redigere atti con dati reali dei clienti?
Solo se hai verificato che OpenAI agisca come responsabile del trattamento ex art. 28 GDPR, hai firmato un DPA e hai disabilitato l’uso dei dati per il training. Con gli account gratuiti nessuna di queste condizioni è soddisfatta. La soluzione più sicura resta pseudonimizzare i dati prima di inserirli, qualunque sia la piattaforma.
Lo studio legale rischia sanzioni se un collaboratore usa AI senza autorizzazione?
Sì. Il titolare del trattamento — cioè lo studio — risponde delle violazioni commesse da chiunque operi al suo interno, anche senza autorizzazione. La mancanza di una policy interna scritta aggrava la posizione dello studio davanti al Garante, perché dimostra l’assenza di misure organizzative adeguate richieste dall’art. 24 GDPR.
Quali piattaforme AI sono conformi al GDPR per uso professionale?
Alcune soluzioni enterprise di OpenAI, Microsoft Azure OpenAI e Google Vertex AI offrono DPA conformi e garanzie di non uso dei dati per il training. Tuttavia la conformità dipende dal piano contrattuale scelto, non dal brand. Verificare sempre la documentazione legale del fornitore e non presumere che la versione business sia automaticamente adeguata senza lettura del contratto.
Fonte di riferimento: Diritto.it