Intelligenza artificiale nello studio professionale: cosa prevedono CNDCEC, GDPR e Legge 132/2025

L'intelligenza artificiale sta entrando rapidamente negli studi professionali, offrendo strumenti in grado di velocizzare i flussi di lavoro, ampliare le capacità di analisi e modificare il modo in cui vengono progettati ed erogati i servizi di consulenza.

Questa evoluzione, però, non può essere trattata solo come un intervento di efficienza tecnologica, perché incide direttamente sui fondamenti della professione: responsabilità deontologica, riservatezza dei dati e rapporto fiduciario con il cliente.

Le disposizioni introdotte dalla Legge 132/2025, unite alle modifiche del Codice Deontologico del CNDCEC e agli obblighi del GDPR, definiscono un obiettivo chiaro: favorire un’adozione sicura dell’intelligenza artificiale senza snaturare la funzione intellettuale e sociale del professionista.

L’AI può essere utilizzata nello studio professionale?

L’articolo 13 della Legge 132/2025 stabilisce che i sistemi di AI possono essere utilizzati esclusivamente per attività strumentali e di supporto, nel rispetto della prevalenza del lavoro intellettuale umano.

Per dare attuazione a questo principio, il CNDCEC ha aggiornato il proprio Codice Deontologico, integrando nell’articolo 21 tre obblighi fondamentali.

Riserva di prevalenza: il professionista resta sempre responsabile

Il professionista è tenuto ad assicurare che l’esito complessivo della prestazione rimanga il frutto prevalente della propria attività intellettuale.

Divieto di sostituzione: il controllo umano è obbligatorio

Il professionista non può in alcun modo abdicare alla propria funzione intellettuale in favore della macchina. Ogni contenuto generato dall'intelligenza artificiale deve essere verificato prima di essere utilizzato, poiché i modelli generativi possono produrre informazioni inesatte o riferimenti normativi inesistenti (allucinazioni).

Per questo motivo, il professionista ha il dovere deontologico di:

1. validare criticamente ogni output generato;
2. verificare puntualmente le fonti e la veridicità delle informazioni utilizzate;
3. preservare l'autonomia di giudizio, evitando il cosiddetto "bias di automazione", cioè l’eccessiva fiducia nelle risposte fornite dal software.

Obbligo di trasparenza: il cliente deve essere informato

Il professionista deve comunicare al cliente se e come l’AI viene utilizzata nello svolgimento dell’incarico, quali garanzie sono previste e in quale misura la prestazione resta affidata al controllo umano.

Per supportare concretamente l'adeguamento a queste prescrizioni, il CNDCEC ha elaborato una clausola contrattuale tipo da inserire nei mandati professionali, nel rispetto di cinque pilastri operativi:

Il quadro sanzionatorio

Il CNDCEC ha contestualmente aggiornato il Codice delle sanzioni disciplinari, a conferma della rilevanza attribuita all’utilizzo consapevole e controllato dell’intelligenza artificiale. In particolare:

• l'utilizzo dell'AI al di fuori dei limiti strumentali e di supporto configura una violazione grave dell’Articolo 21, sanzionabile con la sospensione dall'esercizio della professione fino a sei mesi;
• la mancata o incompleta informativa al cliente sull'uso di sistemi AI comporta l'applicazione della sospensione disciplinare fino a tre mesi.

Come utilizzare l'AI rispettando GDPR e sicurezza dei dati

La protezione dei dati personali e del segreto professionale è uno dei principali limiti operativi all’uso dell’AI. Commercialisti, avvocati e altri professionisti gestiscono informazioni altamente sensibili: dati patrimoniali, fiscali, sanitari, giudiziari, finanziari e industriali. Per questo, ogni strumento adottato deve essere valutato non solo per la sua utilità, ma anche per la sua sicurezza, tracciabilità e conformità al GDPR.

In particolare, è opportuno considerare tre aspetti principali.

Verifica della localizzazione dei dati

È importante accertarsi che i server su cui risiedono i sistemi di calcolo (specie se in cloud) siano situati all'interno dello Spazio Economico Europeo (SEE) o in paesi destinatari di decisioni di adeguatezza, scongiurando trasferimenti transfrontalieri illeciti.

Analisi delle condizioni d'uso

Di norma, gli strumenti gratuiti di AI generativa utilizzano i prompt inseriti dagli utenti per addestrare i propri modelli linguistici di base. Caricare una dichiarazione dei redditi, un bilancio o una bozza di ricorso in tali sistemi può comportare rischi rilevanti sotto il profilo della riservatezza. Per questo motivo è preferibile ricorrere esclusivamente a soluzioni professionali di livello "Enterprise", le quali garantiscono contrattualmente l'anonimizzazione e la cifratura dei dati inseriti, nonché la possibilità di escluderne il riutilizzo per scopi di addestramento algoritmico.

Formazione di collaboratori e dipendenti

L'articolo 4 dell'AI Act impone requisiti stringenti in materia di alfabetizzazione informatica per il personale di studio. Il titolare deve formare dipendenti e collaboratori sui rischi della cosiddetta Shadow AI: la prassi non autorizzata di utilizzare strumenti di intelligenza artificiale gratuiti o non censiti per sbrigare più velocemente mansioni d'ufficio.

In sintesi

L'intelligenza artificiale rappresenta un'opportunità concreta per aumentare efficienza e qualità del lavoro negli studi professionali, ma richiede un utilizzo consapevole.

Le specifiche disposizioni normative delineano un modello preciso:

• l'AI supporta il professionista, ma non lo sostituisce;
• il controllo umano rimane indispensabile;
• la protezione dei dati deve essere garantita fin dalla scelta degli strumenti;
• il cliente deve essere informato con trasparenza.

Gli studi che adotteranno questi principi potranno integrare l'AI nei propri processi mantenendo al centro ciò che continua a distinguere la professione: competenza, responsabilità e fiducia.