Il Garante privacy ha indicato l’intelligenza artificiale come priorità assoluta per il 2024-2025, con riflessi diretti sugli studi legali che usano strumenti AI per ricerca, redazione o gestione clienti. Chi tratta dati personali tramite sistemi AI deve verificare la base giuridica del trattamento ex art. 6 GDPR e aggiornare il registro dei trattamenti. Ignorare questi adempimenti espone a sanzioni fino al 4% del fatturato annuo globale.
Punti chiave
- Il Garante ha trattato oltre 1.900 reclami nel 2023 e intensifica i controlli su sistemi AI.
- Gli studi legali che usano AI devono aggiornare il registro dei trattamenti ex art. 30 GDPR.
- L’AI Act europeo introduce obblighi aggiuntivi per i sistemi ad alto rischio già applicabili.
Se lo studio usa ChatGPT, tool di ricerca giurisprudenziale basati su AI o software predittivi per la valutazione dei rischi, ha già un problema di compliance da affrontare adesso. Il Garante ha segnalato l’AI come fronte prioritario di enforcement, e gli studi legali — che trattano per definizione dati personali sensibili — sono tra i soggetti più esposti.
La relazione annuale del Garante per la protezione dei dati personali, presentata al Parlamento nel 2024, mette l’intelligenza artificiale al centro delle priorità istituzionali per il prossimo biennio, affiancando temi come sovranità digitale, tutela dei lavoratori e diritti fondamentali. La fonte completa è disponibile su Agenda Digitale.
Il contesto normativo
Il quadro di riferimento è il Regolamento UE 2016/679 (GDPR), in particolare l’art. 5 sui principi del trattamento, l’art. 6 sulla base giuridica, l’art. 22 sulle decisioni automatizzate e l’art. 35 sulla valutazione d’impatto (DPIA). A questi si affianca il Regolamento UE 2024/1689 (AI Act), in vigore dal 2 agosto 2024, che classifica alcuni sistemi AI come ad alto rischio — tra cui quelli usati in ambito legale per valutare prove o prevedere esiti giudiziari — imponendo obblighi di trasparenza, registrazione e supervisione umana. Sul fronte nazionale, il d.lgs. 101/2018 ha adattato l’ordinamento italiano al GDPR e continua a regolare i poteri sanzionatori del Garante, che nel 2023 ha irrogato sanzioni per oltre 11 milioni di euro.
Cosa cambia per lo studio
- Censimento degli strumenti AI in uso. Ogni tool che elabora dati di clienti o controparte — anche un semplice assistente di scrittura — va mappato nel registro dei trattamenti ex art. 30 GDPR, con indicazione della finalità, della base giuridica e delle misure di sicurezza adottate.
- Verifica della base giuridica. L’uso di AI su dati personali dei clienti richiede una base giuridica solida: di norma il contratto (art. 6, par. 1, lett. b GDPR) o il legittimo interesse (lett. f), ma mai un’applicazione automatica. Valuta caso per caso e documenta la scelta.
- DPIA obbligatoria per trattamenti ad alto rischio. Se lo studio usa AI per profilare clienti, valutare probabilità di successo di una causa o analizzare documenti su larga scala, scatta l’obbligo di valutazione d’impatto ex art. 35 GDPR prima di avviare il trattamento.
- Aggiornamento delle informative. I clienti devono sapere se i loro dati vengono elaborati da sistemi AI. L’informativa ex art. 13 GDPR va integrata con questa indicazione specifica, inclusa la logica del sistema e le conseguenze del trattamento automatizzato.
- Supervisione umana obbligatoria per decisioni rilevanti. L’art. 22 GDPR vieta decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici sull’interessato. Nessun output AI può sostituire la valutazione professionale dell’avvocato senza un controllo umano documentato.
Attenzione a
Trasferimento dati verso paesi terzi. La maggior parte dei provider AI di fascia consumer (OpenAI, Google, Anthropic) elabora dati su server extra-UE. Ogni trasferimento richiede garanzie adeguate ex artt. 44-49 GDPR — tipicamente clausole contrattuali standard — e va verificato prima di inserire nel prompt qualsiasi dato identificativo del cliente. Molti studi commettono questo errore per default, usando l’interfaccia web pubblica invece delle API con contratto DPA.
Confondere l’anonimizzazione con la pseudonimizzazione. Rimuovere il nome dal documento prima di caricarlo su un tool AI non basta se restano altri elementi identificativi (numero di causa, data, comune, professione). Il Garante ha già contestato questa pratica: solo l’anonimizzazione effettiva esclude l’applicazione del GDPR, e il test va fatto con rigore tecnico, non con buon senso.
Domande frequenti
Uno studio legale che usa ChatGPT per redigere atti deve fare la DPIA?
Dipende dal tipo di dati inseriti nei prompt. Se si trattano dati personali identificativi di clienti o controparti su larga scala, la DPIA ex art. 35 GDPR è obbligatoria. Per un uso occasionale e con dati anonimizzati in modo efficace, l’obbligo non scatta automaticamente, ma la valutazione va comunque documentata.
Quali sanzioni rischia uno studio legale che viola il GDPR nell’uso dell’AI?
Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato annuo globale, applicandosi il massimo tra i due. Nel 2023 il Garante italiano ha irrogato sanzioni per oltre 11 milioni di euro complessivi. Anche violazioni formali — come registro dei trattamenti non aggiornato — possono comportare misure correttive e sanzioni fino a 10 milioni di euro.
L’AI Act si applica già agli studi legali italiani?
Il Regolamento UE 2024/1689 è in vigore dal 2 agosto 2024, ma le disposizioni sui sistemi ad alto rischio diventano pienamente applicabili in fasi successive fino ad agosto 2026. Gli studi che sviluppano o usano sistemi AI classificabili come ad alto rischio in ambito legale devono comunque avviare subito la mappatura e la valutazione di conformità.
Fonte di riferimento: AgendaDigitale