AI negli studi professionali: cosa fare e cosa evitare con i dati dei clienti

Prendiamo uno studio di commercialisti a Caltanissetta. Se ogni mattina arrivano 40 email (richieste di documenti, scadenze, clienti che chiedono se una spesa si deduce), la tentazione di incollarle in un chatbot per avere bozze di risposta è forte. Funziona. Il problema è ciò che c’è dentro: nomi, codici fiscali, importi, a volte il certificato medico allegato a una pratica.

Commercialisti, avvocati e consulenti del lavoro mi fanno tutti la stessa domanda: «posso incollare questo in ChatGPT?». Dipende da cosa incolli, dove lo incolli e con quale contratto alle spalle. Qui trovi gli elementi per rispondere caso per caso, con la situazione a ottobre 2026. Non è consulenza legale: per la deontologia il riferimento resta il tuo Ordine, per i dubbi sul tuo caso un consulente privacy.

Cosa dice la legge italiana sull’AI nelle professioni intellettuali?

L’articolo 13 della legge 23 settembre 2025, n. 132 ammette l’AI nelle professioni intellettuali solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale oggetto della prestazione. La legge è stata pubblicata in Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025.

Tradotto: la bozza può scriverla la macchina, il parere no. Lo scrivi e lo firmi tu, dopo aver ricontrollato ogni riferimento.

La legge non riscrive la deontologia. Riservatezza, diligenza e responsabilità restano quelle del tuo codice. Il Consiglio nazionale dei dottori commercialisti e degli esperti contabili (CNDCEC), per esempio, ha approvato modifiche agli articoli 21 e 45 del Codice deontologico richiamando proprio l’art. 13. Se appartieni a un’altra professione, guarda cosa ha pubblicato il tuo Ordine.

Come si informa il cliente dell’uso dell’AI?

Il comma 2 dello stesso articolo 13 dice che le informazioni sui sistemi di AI usati dal professionista vanno comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo», per tutelare il rapporto di fiducia. La norma non indica un formato.

La soluzione pratica è una clausola nel mandato o una nota informativa allegata. Il CNDCEC ha pubblicato una clausola contrattuale tipo e il Consiglio nazionale forense (CNF) ha diffuso agli Ordini uno schema di informativa. Sono punti di partenza e vanno adattati agli strumenti che usi davvero, quindi prima serve l’elenco di quali sono.

Una clausola generica («lo studio può avvalersi di strumenti di AI») rispetta la forma e dice poco al cliente. Io indicherei per quali attività li usi (bozze, sintesi, traduzioni) e per quali no (pareri, decisioni sulle persone).

Cosa chiede il GDPR prima di incollare un dato?

Appena un dato personale entra in un chatbot hai fatto un trattamento, e valgono le regole del GDPR, cioè il Regolamento (UE) 2016/679. Prima di incollare, passa queste verifiche in ordine.

1. Base giuridica e finalità. Di solito i dati del cliente li tratti già per eseguire l’incarico. Usare un nuovo strumento per la stessa finalità non è per forza un trattamento nuovo, ma dipende da cosa fa il fornitore: se riusa i dati per addestrare i suoi modelli, il discorso cambia. Le condizioni sono diverse tra versione gratuita e versione aziendale, quindi leggi quelle del piano che hai.
2. Fornitore come responsabile del trattamento. Se lo è, serve il contratto previsto dall’art. 28. Con un account personale gratuito, di norma, quel contratto non c’è.
3. Dove vanno i dati. Se il fornitore è fuori dallo Spazio economico europeo servono garanzie. Il Garante per la protezione dei dati personali ricorda le strade: una decisione di adeguatezza, come l’EU-US Data Privacy Framework del 10 luglio 2023 per le imprese statunitensi certificate, oppure le clausole contrattuali tipo. Le deroghe dell’art. 49 sono eccezioni da leggere in modo restrittivo. I precedenti accordi con gli Stati Uniti sono stati annullati dalla Corte di giustizia dell’UE: verifica che la certificazione del fornitore sia in elenco e ancora valida.
4. Dati particolari e giudiziari. Salute, appartenenza sindacale, condanne penali passano ogni giorno negli studi legali e dai consulenti del lavoro. Il rischio sale, e con lui la prudenza richiesta.
5. Valutazione d’impatto. La DPIA (valutazione d’impatto sulla protezione dei dati) serve quando il trattamento può comportare un rischio elevato per i diritti delle persone, per esempio un trattamento su larga scala di dati sensibili. Controlla i criteri e l’elenco del Garante.
6. Informativa e registro. L’informativa ai clienti e il registro dei trattamenti vanno aggiornati se introduci uno strumento nuovo.

Cosa puoi fare, cosa fai con cautela, cosa non farei

La regola pratica è un semaforo, e il colore dipende dai dati che entrano più che dal compito.

Compito	Dati dentro	Strumento	Mia posizione
Modello di lettera o di mandato	Nessun dato personale	Anche gratuito	Via libera, rileggi
Spiegazione di una circolare pubblica per i clienti	Nessun dato personale	Anche gratuito	Via libera, rileggi
Sintesi di un contratto del cliente	Dati personali comuni	Piano aziendale, accordo di trattamento, dati ridotti	Con cautela, documentando la scelta
Bozze di risposta alle email dei clienti	Nomi, importi, date	Piano aziendale, accordo di trattamento	Con cautela, controllo umano su ogni output
Pratiche con dati sanitari, giudiziari o segreti di causa	Categorie particolari	Strumento gratuito o account personale	Non lo farei
Selezione o valutazione di candidati e dipendenti	Dati dei lavoratori	Qualsiasi	Non lo farei senza un consulente

Per il primo gruppo, nella libreria trovi i prompt per gli studi professionali pensati per lavorare senza dati reali, per esempio smistare le email in arrivo.

Sostituire i nomi con «Cliente A» aiuta poco: se restano importi, comune, date e circostanze, la persona si riconosce lo stesso. Si chiama pseudonimizzazione e il GDPR continua ad applicarsi. Fallo comunque, perché riduce il danno se qualcosa va storto.

Quando l’AI entra nella gestione del personale scattano regole europee più severe, di cui parlo in AI Act e GDPR: cosa deve sapere un’impresa, e l’art. 11 della legge 132/2025 prevede che il datore di lavoro informi il lavoratore dell’uso dell’AI.

Il caso peggiore è quello invisibile: dati sanitari dentro un account personale di un collaboratore, senza che nessuno lo abbia deciso, perché qualcuno aveva fretta un giovedì pomeriggio. Una policy scritta serve soprattutto a questo.

Cosa l’AI non fa bene e quanto costa davvero

Un modello generativo, cioè il software che scrive il testo nei chatbot, produce testo plausibile e non verificato. Può inventare un articolo di legge, attribuire una massima a una sentenza che non l’ha mai pronunciata, sbagliare una scadenza con la stessa sicurezza con cui ne azzecca dieci. Per questo l’art. 13 parla di supporto: ogni citazione, ogni numero, ogni data va ricontrollata sulla fonte ufficiale.

Il costo vero è il tempo. Scrivere la policy, formare chi lavora, rileggere gli output. Se per controllare una bozza impieghi quanto per scriverla da zero, per quel compito lo strumento non ti serve. Succede spesso con gli atti fatti su misura riga per riga e con le norme uscite da poche settimane, che il modello può non conoscere.

Il piano aziendale a pagamento è una spesa a parte, e prezzi e condizioni cambiano: guarda la pagina ufficiale del fornitore, non una guida (situazione a ottobre 2026).

Chi lavora nello studio deve essere formato?

Lo studio che usa strumenti di AI è, per il Regolamento (UE) 2024/1689 (AI Act), un «deployer», cioè un utilizzatore. L’articolo 4 è stato riscritto dal Digital Omnibus on AI, il Regolamento (UE) 2026/1744. Nel testo approvato da Consiglio e Parlamento fornitori e utilizzatori devono prendere misure per sostenere l’alfabetizzazione in materia di AI del personale e di chi opera per loro conto, tenendo conto di conoscenze, esperienza, formazione e contesto d’uso.

L’obbligo non richiede di garantire un livello specifico a ogni persona. La Commissione europea e gli Stati membri devono aiutare le PMI, con esempi pratici.

Per uno studio significa una mezza giornata di formazione interna, 2 regole scritte e qualcuno a cui chiedere. Se cerchi formazione sul territorio, guarda gli eventi sull’AI in Sicilia.

Come si scrive una policy di una pagina?

Basta una pagina, non un manuale. Deve dire:

• quali strumenti sono ammessi e con quali account aziendali;
• cosa non si incolla mai (categorie particolari, segreti, dati di minori);
• chi controlla l’output prima che esca dallo studio;
• dove si annota l’uso dello strumento su una pratica, per poterlo spiegare al cliente;
• cosa fare se un dato finisce dove non doveva: se ricorrono i presupposti, la notifica di una violazione al Garante ha un termine di 72 ore (art. 33 GDPR), quindi la decisione va presa subito.

Se non sai da dove partire con gli strumenti, AI per le PMI siciliane: da dove cominciare spiega come scegliere il primo compito, e come scrivere prompt efficaci ti evita metà delle correzioni successive. Per cercare consulenti e fornitori sul territorio c’è l’elenco delle aziende AI siciliane.