Inserire dati aziendali riservati in un modello AI generalista — come ChatGPT o Gemini — può configurare una violazione del segreto industriale ai sensi dell’art. 98 del Codice della Proprietà Industriale (d.lgs. 30/2005). Il rischio non riguarda solo i clienti: riguarda lo studio stesso, ogni volta che un collaboratore usa uno strumento AI esterno per elaborare documenti sensibili. L’AI Act europeo (Reg. UE 2024/1689) introduce obblighi di trasparenza e gestione del rischio che si sovrappongono a queste tutele già esistenti.
Punti chiave
- Punto 1 — Caricare atti riservati su AI esterne può integrare violazione dell’art. 98 CPI.
- Punto 2 — L’AI Act UE 2024/1689 impone obblighi di risk management anche per utenti professionali.
- Punto 3 — La policy interna sugli strumenti AI è oggi una misura di diligenza professionale esigibile.
Se in studio usate strumenti AI per analizzare contratti, redigere pareri o elaborare dati aziendali dei clienti, avete già un problema di compliance che non potete ignorare. Il punto non è se l’AI funziona bene: è se i dati che ci caricate dentro restano riservati, e di chi è la responsabilità se non lo restano.
Il tema è tornato al centro del dibattito dopo episodi noti come il caso Samsung — in cui ingegneri avevano caricato codice sorgente riservato su ChatGPT — e le restrizioni interne adottate da Amazon sui propri strumenti AI. Agenda Digitale ha ricostruito il quadro tra AI Act europeo, segreto industriale e proprietà intellettuale.
Il contesto normativo
Il segreto industriale trova tutela nell’art. 98 del Codice della Proprietà Industriale (d.lgs. 10 febbraio 2005, n. 30): sono protette le informazioni aziendali che abbiano valore economico proprio perché segrete, siano soggette a misure ragionevoli di riservatezza e non siano generalmente note. La soglia non è alta: basta che l’informazione non sia liberamente accessibile e che l’azienda abbia adottato qualsiasi cautela a proteggerla.
Sul fronte europeo, il Regolamento UE 2024/1689 (AI Act) — applicabile progressivamente dal 2025 al 2027 — classifica i sistemi AI per livello di rischio e impone obblighi di trasparenza, documentazione tecnica e gestione del rischio anche a chi usa questi strumenti in ambito professionale, non solo a chi li sviluppa. A questo si affianca il GDPR (Reg. UE 2016/679), che presidia il trattamento dei dati personali eventualmente contenuti nei documenti caricati.
Cosa cambia per lo studio
- Valutate ogni strumento AI esterno come un sub-responsabile del trattamento. Se lo strumento processa dati personali, serve un Data Processing Agreement ai sensi dell’art. 28 GDPR. Molti studi saltano questo passaggio per gli strumenti SaaS usati dai collaboratori.
- Inserite una policy interna sull’uso dell’AI. Specificare quali categorie di documenti non possono essere caricate su sistemi esterni non è un eccesso di prudenza: è la misura minima che un giudice o un’autorità di vigilanza considererebbe ragionevole ai fini dell’art. 98 CPI.
- Informate i clienti aziendali del rischio. Se assistete imprese che vi trasmettono know-how, formule, strategie commerciali o dati tecnici riservati, indicate esplicitamente nei mandati come trattate quei dati e quali strumenti usate. Un’omissione qui può diventare un profilo di responsabilità professionale.
- Monitorate i contratti dei fornitori AI. Alcuni modelli generalisti usano i prompt per il re-training. Verificate i termini di servizio: OpenAI, Google e altri offrono versioni enterprise con garanzie di non utilizzo dei dati, ma la versione gratuita o base spesso non le include.
- Aggiornate le clausole di riservatezza nei contratti con i clienti per coprire esplicitamente l’uso di strumenti AI nella gestione delle informazioni trasmesse.
Attenzione a
Il rischio non si esaurisce nell’upload diretto. Anche descrivere nel prompt una strategia aziendale, un piano di ristrutturazione o il contenuto di una trattativa riservata equivale a divulgare informazioni protette. Non serve allegare un file: basta scrivere nel campo di testo. Molti collaboratori non percepiscono questa equivalenza.
La responsabilità può risalire allo studio, non solo al singolo. Se un associate usa un’AI non autorizzata per lavorare su un fascicolo riservato, e il cliente subisce un danno, lo studio risponde in via solidale. La mancanza di una policy interna documentata aggrava la posizione in caso di contestazione, sia sul piano deontologico che su quello risarcitorio.
Domande frequenti
Caricare documenti aziendali su ChatGPT viola il segreto industriale?
Sì, potenzialmente. Se i documenti contengono informazioni che soddisfano i requisiti dell’art. 98 CPI — segretezza, valore economico, misure di protezione adottate — il caricamento su un sistema AI esterno che non garantisce riservatezza può integrare una violazione. La responsabilità ricade su chi ha caricato il documento e, in certi casi, sul datore di lavoro o sul professionista che non ha adottato policy adeguate.
Lo studio legale che usa AI deve firmare un DPA con il fornitore?
Se tramite lo strumento AI vengono trattati dati personali di clienti o terzi, sì: l’art. 28 GDPR impone un contratto di trattamento con il fornitore che agisce da responsabile esterno. Molti fornitori enterprise offrono DPA standard, ma va verificato che copra effettivamente le finalità di utilizzo dello studio.
L’AI Act si applica già agli studi legali che usano strumenti AI?
In parte sì. Il Reg. UE 2024/1689 prevede un’applicazione graduale: le norme sui sistemi ad alto rischio diventano pienamente operative entro agosto 2026, ma gli obblighi di trasparenza per certi sistemi AI sono già in vigore dal febbraio 2025. Gli studi che usano AI in ambito professionale devono monitorare il calendario di applicazione e classificare i sistemi usati per livello di rischio.
Fonte di riferimento: AgendaDigitale