Dal 2 agosto 2025 l’obbligo di formazione sull’AI Act (art. 4 Reg. UE 2024/1689) è pienamente applicabile a tutte le imprese, compresi gli studi legali che usano strumenti di intelligenza artificiale. Il rinvio introdotto dal Digital Omnibus riguarda esclusivamente i sistemi ad alto rischio: tutti gli altri obblighi restano in vigore senza proroghe. Chi non forma i propri dipendenti rischia sanzioni e risponde delle conseguenze di un uso non supervisionato degli strumenti AI.
Punti chiave
- Dal 2 agosto 2025 l’art. 4 AI Act impone la formazione dei dipendenti che usano strumenti AI.
- Il rinvio del Digital Omnibus copre solo i sistemi ad alto rischio, non gli obblighi generali.
- Uno studio legale che usa AI senza formare i collaboratori espone se stesso a sanzioni dirette.
Molti studi legali hanno letto la proroga del Digital Omnibus come un via libera generalizzato a rimandare ogni adempimento legato all’AI Act. Non è così. L’obbligo di garantire un livello adeguato di alfabetizzazione sull’intelligenza artificiale ai propri dipendenti è operativo dal 2 agosto 2025, indipendentemente dal tipo di sistema usato. Se nello studio gira anche solo un tool di AI generativa per la redazione di atti o la ricerca giurisprudenziale, quell’obbligo vale già oggi.
Secondo quanto riportato da Agenda Digitale, il rinvio previsto dal cosiddetto Digital Omnibus tocca esclusivamente i sistemi ad alto rischio elencati nell’Allegato III del Regolamento UE 2024/1689. Gli obblighi trasversali — tra cui la formazione del personale — restano fermi alla scadenza originaria.
Il contesto normativo
Il riferimento diretto è l’art. 4 del Regolamento UE 2024/1689 (AI Act), che obbliga i provider e i deployer di sistemi di intelligenza artificiale ad assicurare che il proprio personale disponga di un livello sufficiente di competenze, conoscenze e comprensione in materia di AI — proporzionato al ruolo ricoperto e ai rischi connessi all’uso concreto dello strumento. La norma non rinvia a provvedimenti attuativi: è self-executing. Sul fronte della responsabilità per i danni da trattamento illecito di dati generati o trasmessi tramite AI, restano applicabili l’art. 82 del Regolamento UE 2016/679 (GDPR) e, in ambito nazionale, gli artt. 2050 e 2055 c.c. per la responsabilità solidale in caso di attività pericolosa esercitata con strumenti non adeguatamente presidiati.
Cosa cambia per lo studio
- Mappare subito quali strumenti AI sono già in uso nello studio — anche quelli non acquistati ufficialmente ma usati dai collaboratori in autonomia (Shadow AI) — e documentare l’analisi.
- Predisporre un programma di formazione misurabile: non basta una circolare interna. Servono contenuti, ore dedicate, attestazione della partecipazione e aggiornamento periodico.
- Aggiornare le policy interne sul trattamento dei dati per coprire l’uso degli strumenti AI, con attenzione alle istruzioni operative su cosa non inserire nei prompt (dati del cliente, informazioni riservate di controparte, segreti professionali).
- Inserire clausole specifiche nei contratti con i fornitori di servizi AI che definiscano ruoli di provider e deployer ai sensi dell’AI Act, con relativa allocazione delle responsabilità.
- Verificare se i sistemi in uso rientrano nelle categorie ad alto rischio dell’Allegato III: in quel caso il rinvio del Digital Omnibus concede più tempo, ma non azzera l’obbligo di formazione già scattato.
Attenzione a
Il rischio più sottovalutato è la Shadow AI: collaboratori che usano ChatGPT, Copilot o strumenti analoghi su dispositivi personali o account non aziendali per svolgere attività lavorative. In questi casi lo studio è comunque deployer di fatto, con tutti gli obblighi che ne derivano, inclusa la responsabilità per eventuali violazioni del GDPR se vengono processati dati personali di clienti o controparti.
Un secondo errore frequente è trattare la formazione come adempimento una tantum. L’art. 4 AI Act richiede un aggiornamento proporzionato all’evoluzione degli strumenti usati: un tool aggiornato con nuove funzionalità può cambiare il profilo di rischio e richiedere una nuova sessione formativa. Documentare ogni ciclo formativo con data, contenuti e partecipanti è la difesa minima in caso di ispezione o contenzioso.
Domande frequenti
Dal 2 agosto 2025 cosa deve fare uno studio legale che usa strumenti AI?
Deve garantire che tutti i dipendenti e collaboratori che usano strumenti AI abbiano ricevuto una formazione adeguata ai sensi dell’art. 4 del Regolamento UE 2024/1689. La formazione deve essere documentata, proporzionata al ruolo e aggiornata nel tempo. Non è sufficiente una comunicazione interna generica.
Il rinvio del Digital Omnibus sospende anche l’obbligo di formazione AI Act?
No. Il rinvio introdotto dal Digital Omnibus riguarda esclusivamente i sistemi ad alto rischio elencati nell’Allegato III dell’AI Act. L’obbligo di formazione previsto dall’art. 4 del Regolamento UE 2024/1689 è rimasto invariato ed è applicabile dal 2 agosto 2025 per tutte le categorie di deployer.
Uno studio legale è considerato deployer ai sensi dell’AI Act anche se usa solo ChatGPT?
Sì. Chi usa un sistema di intelligenza artificiale in un contesto professionale — anche uno strumento di AI generativa disponibile al pubblico — è qualificabile come deployer ai sensi dell’AI Act. Questo comporta l’applicazione degli obblighi di formazione e supervisione umana previsti dal Regolamento UE 2024/1689.
Fonte di riferimento: AgendaDigitale