Il Regolamento UE 2024/1689 (AI Act) impone obblighi diretti anche agli studi legali che usano strumenti di intelligenza artificiale, non solo a chi li sviluppa. Chi utilizza un sistema AI classificato ad alto rischio deve documentarne l’uso, formare il personale e conservare i log per almeno sei mesi. Le sanzioni per inosservanza arrivano fino al 3% del fatturato mondiale annuo o 15 milioni di euro.
Punti chiave
- Punto 1 — Dal 2 agosto 2025 scattano gli obblighi per i sistemi AI ad alto rischio usati negli studi.
- Punto 2 — Lo studio legale che usa AI è ‘deployer’ e risponde di istruzioni d’uso, log e formazione.
- Punto 3 — Le sanzioni arrivano fino al 3% del fatturato annuo mondiale o 15 milioni di euro.
Se il tuo studio usa un assistente AI per la ricerca giuridica, la redazione di atti o la gestione documentale, il Regolamento UE 2024/1689 ti riguarda già oggi. Non sei solo un utente passivo: sei un deployer con obblighi precisi di trasparenza, documentazione e formazione. Ignorarlo espone lo studio a sanzioni amministrative significative e, sul piano civilistico, a responsabilità verso i clienti per uso non conforme di strumenti tecnologici.
La notizia di partenza è l’analisi pubblicata da Agenda Digitale sugli obblighi pratici dell’EU AI Act per le imprese italiane: mappatura degli strumenti in uso, classificazione dei rischi, formazione del personale e trasformazione della conformità in leva competitiva.
Il contesto normativo
Il Regolamento UE 2024/1689 (EU AI Act) è entrato in vigore il 1° agosto 2024 con un’applicazione graduale per fasce di rischio. Gli obblighi più rilevanti per i deployer di sistemi ad alto rischio diventano pienamente esigibili dal 2 agosto 2025 (art. 85, par. 3, Reg. 2024/1689). Per i sistemi a rischio inaccettabile — già vietati — il divieto opera dal 2 febbraio 2025 (art. 5). Sul piano interno, il d.lgs. di recepimento non è ancora adottato, ma l’Agenzia per l’Italia Digitale (AgID) è designata come punto di contatto nazionale. La responsabilità del deployer si affianca, senza sostituirla, alla responsabilità del fornitore: l’art. 26 del Regolamento elenca tassativamente gli obblighi di chi mette in uso il sistema, tra cui la conservazione dei log per almeno sei mesi e la comunicazione agli utenti finali dell’interazione con l’AI.
Cosa cambia per lo studio
- Mappatura immediata degli strumenti AI in uso. Ogni software che usa modelli generativi o decisionali va censito: ricerca giuridica assistita, redazione automatica di contratti, analisi predittiva del contenzioso. Serve un registro interno aggiornato con fornitore, versione e categoria di rischio AI Act.
- Classificazione del rischio per ciascun sistema. Gli strumenti usati in ambito legale che incidono su diritti fondamentali o sull’accesso alla giustizia possono ricadere nella categoria ad alto rischio (Allegato III, Reg. 2024/1689). La classificazione errata è già di per sé una violazione sanzionabile.
- Formazione obbligatoria del personale. L’art. 26, par. 6, impone al deployer di garantire che il personale abbia competenze sufficienti per usare il sistema AI in modo conforme. Una circolare interna non basta: servono percorsi documentati e verificabili.
- Aggiornamento dei contratti con i fornitori SaaS. I contratti con i fornitori di software AI devono contenere le garanzie previste dall’art. 25: accesso alla documentazione tecnica, istruzioni d’uso aggiornate, notifica di cambiamenti rilevanti al modello. Molte condizioni standard attuali non le prevedono.
- Revisione delle clausole nei contratti con i clienti. Se lo studio usa AI per attività che incidono direttamente sugli interessi del cliente, va valutata l’opportunità di inserire clausole informative o di limitazione della responsabilità coerenti con il principio di trasparenza dell’art. 50 del Regolamento.
Attenzione a
Confondere l’uso personale con l’esonero dagli obblighi. Alcuni studi ritengono che usare ChatGPT o strumenti analoghi in modo non sistematico li escluda dall’ambito del Regolamento. Non è così: l’art. 3, par. 1, n. 4, definisce deployer chiunque usi un sistema AI nell’ambito di un’attività professionale, indipendentemente dalla frequenza o dalla scala d’uso. Il confine tra uso occasionale e uso professionale è sottile e la prova contraria è a carico dello studio.
Sottovalutare le sanzioni accessorie. Oltre alle sanzioni pecuniarie (fino al 3% del fatturato annuo mondiale o 15 milioni di euro per violazioni degli obblighi dei deployer, art. 99 Reg. 2024/1689), l’autorità nazionale può imporre la sospensione dell’uso del sistema. Per uno studio che ha integrato l’AI nei flussi di lavoro, la sospensione è un rischio operativo concreto, non solo economico.
Domande frequenti
Uno studio legale è soggetto all’EU AI Act se usa ChatGPT per redigere atti?
Sì. L’art. 3, par. 1, n. 4 del Reg. UE 2024/1689 qualifica come ‘deployer’ chiunque utilizzi un sistema AI nell’ambito di un’attività professionale. L’uso di modelli generativi per la redazione di atti rientra in questa definizione, con conseguenti obblighi di trasparenza, formazione e conservazione dei log.
Quali sanzioni rischia uno studio legale per violazione dell’EU AI Act?
Le violazioni degli obblighi specifici dei deployer (art. 99 Reg. 2024/1689) comportano sanzioni fino al 3% del fatturato annuo mondiale o 15 milioni di euro, se superiore. L’autorità nazionale può inoltre disporre la sospensione immediata dell’uso del sistema non conforme.
Entro quando uno studio legale deve adeguarsi all’EU AI Act per i sistemi ad alto rischio?
Gli obblighi per i deployer di sistemi AI ad alto rischio (Allegato III, Reg. 2024/1689) diventano pienamente esigibili dal 2 agosto 2025. I divieti per i sistemi a rischio inaccettabile sono già operativi dal 2 febbraio 2025. Non esistono proroghe automatiche per le libere professioni.
Fonte di riferimento: AgendaDigitale