Premessa

L’intelligenza artificiale è ormai uno strumento di lavoro quotidiano anche negli studi professionali: bozze di documenti, ricerche normative, riconciliazioni contabili e chatbot per i clienti.

Meno noto è che il suo utilizzo è già oggi disciplinato da un impianto normativo articolato, parte del quale è pienamente in vigore. Non si tratta di una prospettiva futura: alcuni obblighi si applicano da mesi, altri diventeranno pienamente operativi nell’estate 2026, altri ancora sono in fase di definizione. Capire la differenza è essenziale per evitare errori di compliance.

Quali sono le fonti normative

La materia non è disciplinata da un’unica norma, ma da più livelli che si sovrappongono.

Il Regolamento europeo 2024/1689, noto come AI Act, è direttamente applicabile in tutti gli Stati membri e stabilisce cosa è vietato, cosa è considerato ad alto rischio e quali sono gli obblighi generali di chi utilizza sistemi di intelligenza artificiale nell’ambito di un’attività professionale.

La Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, è la prima legge italiana organica sull’IA e introduce, per le professioni intellettuali, un vincolo ulteriore e più specifico: la prevalenza del lavoro intellettuale e l’obbligo di informativa al cliente.

Per i professionisti, quindi, il tema non è solo tecnologico ma anche giuridico e organizzativo.

Chi utilizza strumenti di IA nello studio deve sapere quale norma si applica, a quale livello di rischio appartiene lo strumento e quali misure minime vanno adottate.

Il ruolo del professionista

L’AI Act distingue tra

• chi sviluppa e immette sul mercato un sistema di intelligenza artificiale, il provider, e
• chi lo utilizza nell’ambito della propria attività, il deployer o utilizzatore.

Il professionista che si avvale di un assistente generativo per bozze, ricerche o comunicazioni con i clienti rientra quasi sempre nella seconda categoria. Gli obblighi più pesanti, come la valutazione di conformità, la marcatura CE e la documentazione tecnica, restano in capo a chi sviluppa il sistema.

Questo però non significa che l’utilizzatore sia esente da doveri.

L’uso di uno strumento entrato nello studio tramite il gestionale, o attivato senza una scelta consapevole, non elimina la necessità di controllarne l’impiego, rispettarne le istruzioni e verificare l’output prima che diventi definitivo. In ottica SEO e pratica, è utile chiarire questo punto perché intercetta una delle principali domande informative degli studi professionali.

Obblighi già vigenti

Due obblighi meritano attenzione immediata perché sono già in vigore e riguardano la generalità degli studi professionali.

Il primo è l’obbligo di alfabetizzazione in materia di intelligenza artificiale, in vigore dal 2 febbraio 2025.

Non richiede corsi certificati, ma impone che chi utilizza sistemi di IA garantisca un livello adeguato di comprensione dei loro limiti e rischi da parte del personale coinvolto: titolare, collaboratori, praticanti e segreteria.

È opportuno conservare traccia della formazione svolta, perché in caso di controllo la documentazione è la prova più concreta della diligenza adottata.

Il secondo è l’articolo 13 della Legge 132/2025, dedicato alle professioni intellettuali.

La norma stabilisce che l’utilizzo dell’intelligenza artificiale è ammesso solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale oggetto della prestazione d’opera.

In pratica, la prestazione resta umana e non può ridursi a un output automatizzato semplicemente validato a posteriori.

Informativa al cliente

La legge richiede anche che le informazioni sui sistemi di intelligenza artificiale utilizzati siano comunicate con linguaggio chiaro, semplice ed esaustivo. Questo è un punto importante anche in chiave SEO, perché intercetta la query “informativa cliente intelligenza artificiale”.

Una clausola generica nella lettera d’incarico non basta. Serve un’informativa specifica, costruita sugli strumenti realmente utilizzati dallo studio, con indicazione del tipo di impiego, dei limiti e delle modalità di supervisione umana.

L’obiettivo non è solo la conformità normativa, ma anche il mantenimento del rapporto fiduciario con il cliente.

Classificazione del rischio

L’AI Act non tratta l’intelligenza artificiale come un blocco unico, ma distingue per livelli di rischio.

La maggior parte delle applicazioni correnti in uno studio, come riconciliazioni automatiche, classificazione di movimenti, ricerca normativa e bozze documentali, rientra nel rischio minimo.

In questi casi non vi sono obblighi specifici aggiuntivi dell’AI Act, ma restano fermi gli obblighi generali già vigenti, inclusa la protezione dei dati personali.

Un chatbot messo a disposizione dei clienti per rispondere a domande frequenti rientra invece nel rischio limitato e comporta un obbligo di trasparenza: il cliente deve poter capire che sta interagendo con un sistema automatizzato.

Per gli strumenti che producono valutazioni su una persona fisica destinate a incidere su una decisione rilevante, come credito, lavoro, istruzione o servizi essenziali, il sistema può rientrare nell’alto rischio e richiede verifiche ancora più stringenti.

Responsabilità professionale

La responsabilità della prestazione resta interamente in capo al professionista. L’intelligenza artificiale non è un centro di imputazione autonomo, ma uno strumento di supporto.

Da questo discende che la diligenza professionale comprende oggi anche la verifica critica dell’output generato automaticamente.

È utile, in chiave SEO e di autorevolezza, evidenziare che la sorveglianza umana non è un invito generico alla prudenza. Significa comprendere i limiti dello strumento, saper interpretare il risultato e poterlo correggere, ignorare o revocare prima che produca effetti. Firmare in blocco documenti generati automaticamente non soddisfa questo standard.

Cosa fare subito

Un percorso di adeguamento realistico parte dal censimento di tutti gli strumenti di intelligenza artificiale realmente utilizzati, compresi quelli non formalmente autorizzati, come account personali o estensioni dei gestionali.

Segue la classificazione del rischio di ciascuno strumento, con attenzione particolare a quelli che producono valutazioni su persone fisiche.

È poi opportuno predisporre un’informativa specifica per i clienti, da integrare nella lettera d’incarico, e introdurre una regola interna che imponga un controllo umano effettivo sugli output più rilevanti prima che diventino definitivi.

Completano il percorso la verifica degli accordi sul trattamento dei dati con i fornitori e un aggiornamento della polizza di responsabilità civile professionale.