Uso dell’IA nei servizi ai clienti degli studi legali: obblighi informativi
Dal 10 ottobre 2025, ogni avvocato che si avvale di sistemi di intelligenza artificiale nello svolgimento dell'incarico è tenuto a informarne preventivamente il cliente. L'art. 13 della L. 23 settembre 2025, n. 132 — prima legge organica italiana in materia di IA — ha trasformato un'opportunità tecnologica in un obbligo deontologico e contrattuale, con riflessi su mandato e responsabilità professionale. La materia tocca il rapporto fiduciario, i doveri di trasparenza del Codice Deontologico Forense, la disciplina del GDPR e la tenuta processuale degli atti. Sapere cosa, come e quando comunicare al cliente non è più una buona prassi: è un adempimento presidiato da sanzioni civili, disciplinari e — come dimostrano le prime pronunce di responsabilità aggravata — da rischi processuali concreti.
01L'art. 13 della L. 132/2025: il nuovo quadro normativo
La L. 23 settembre 2025, n. 132, pubblicata in G.U. n. 223 del 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025, anticipa in chiave nazionale il Regolamento (UE) 2024/1689 (AI Act) e detta, per le professioni intellettuali, due principi cardine:
- Strumentalità. L'IA può essere utilizzata «solo come strumento di supporto» alle attività professionali, «con prevalenza del lavoro intellettuale» oggetto della prestazione d'opera. Non sostituisce il giudizio critico del professionista.
- Trasparenza preventiva. Le informazioni sui sistemi di IA impiegati devono essere comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo», a tutela del rapporto fiduciario.
L'obbligo è preventivo, non ex post: il cliente deve sapere sin dall'avvio dell'incarico se e come l'IA supporterà l'attività. La norma si applica a tutte le prestazioni, giudiziali e stragiudiziali, indipendentemente dal valore economico o dalla materia.
A integrare il quadro è intervenuto il Consiglio Nazionale Forense, che con circolare del 13 ottobre 2025 (Newsletter n. 352/2025, a firma del Presidente Avv. Francesco Greco) ha trasmesso ai Consigli dell'Ordine uno schema di informativa tipo. Il documento, pur privo di natura vincolante, costituisce il riferimento operativo per assicurare uniformità nelle comunicazioni al cliente e coerenza con il Codice Deontologico Forense e con il Regolamento (UE) 2016/679 (GDPR). Lo schema prevede la doppia sottoscrizione, avvocato e cliente, da allegare alla procura o alla lettera d'incarico.
02Cosa deve contenere l'informativa al cliente
L'informativa deve coprire almeno cinque profili.
Tipologia di sistema utilizzato
Vanno indicati la denominazione (o categoria) dello strumento, la sua natura — generativa o non generativa — e l'architettura: sistema chiuso, con banca dati controllata, oppure sistema online basato su dati non verificabili direttamente. Va precisato anche se il prodotto è sviluppato in Italia, nell'Unione Europea o in Paesi terzi: dato rilevante per i flussi transfrontalieri di dati e per gli obblighi GDPR.
Funzione di supporto e ambito di impiego
L'informativa elenca le attività concretamente coperte dall'IA: ricerca normativa e giurisprudenziale, analisi preliminare di documenti, predisposizione di bozze o sintesi, gestione organizzativa di studio, traduzioni. Va esclusa espressamente la formulazione finale della strategia difensiva o del parere, riservata al giudizio critico dell'avvocato.
Garanzie sui dati e sulla riservatezza
Vanno descritte le misure tecniche e organizzative adottate per la conformità al GDPR: anonimizzazione o pseudonimizzazione dei dati immessi, esclusione dell'uso dei prompt per l'addestramento del modello, sede del trattamento, valutazione d'impatto (DPIA) ove necessaria.
Verifica umana dei risultati
Va dichiarato espressamente che ogni output dell'IA è verificato e validato personalmente dall'avvocato, che ne assume la piena responsabilità professionale.
Diritto di limitare o revocare l'uso dell'IA
Il cliente deve poter limitare o escludere l'impiego dell'IA nel proprio incarico. La clausola va prevista sin dal conferimento del mandato e non può essere desunta per implicito.
Il versante speculare dell'informativa — il rischio di citazioni inesistenti generate dall'IA e la prima giurisprudenza italiana sulla responsabilità aggravata ex art. 96 c.p.c. — è oggetto di trattazione autonoma nell'articolo «IA e giurisprudenza: allucinazioni nell'era digitale», a cui si rinvia per la disamina dei precedenti dei Tribunali di Firenze, Torino, Latina e Siracusa.
03Profili deontologici e tutela dei dati personali
Sul piano deontologico, l'informativa entra nel solco dei doveri di lealtà, correttezza e trasparenza (artt. 9, 11 e 27 CDF) e del dovere di competenza (art. 14 CDF): l'avvocato deve conoscere lo strumento che impiega e saperne valutare limiti e affidabilità.
Sul versante GDPR, l'uso di sistemi generativi che processano atti, pareri o documenti del cliente comporta un trattamento di dati personali, spesso di natura particolare (giudiziaria, sanitaria, finanziaria). Da qui l'obbligo di:
- aggiornare l'informativa privacy ex art. 13 GDPR con il riferimento puntuale ai sistemi di IA utilizzati;
- valutare la necessità di una DPIA (Data Protection Impact Assessment) ex art. 35 GDPR;
- verificare la base giuridica del trasferimento extra-UE (artt. 44 ss. GDPR), spesso ineludibile con i principali fornitori statunitensi;
- escludere contrattualmente l'utilizzo dei prompt per l'addestramento del modello.
Ulteriori riferimenti operativi sono offerti dalla Guida CCBE sull'IA generativa per gli avvocati (tradotta dal CNF nell'autunno 2025) e dal vademecum della Commissione Processo Civile dell'Ordine di Roma del 17 febbraio 2026.
04Best practice operative per lo studio legale
Per adeguare lo studio agli obblighi della L. 132/2025 suggerisco quattro azioni concrete:
- Aggiornare il mandato professionale inserendo una clausola dedicata all'eventuale uso dell'IA, allegando lo schema di informativa CNF adattato al profilo dello studio.
- Predisporre un registro interno dei sistemi di IA utilizzati, delle finalità di impiego, delle categorie di dati trattati e delle misure di sicurezza adottate.
- Definire una policy di studio con protocolli vincolanti per la verifica degli output, la formazione del personale e la revisione periodica dei fornitori.
- Formare collaboratori e dipendenti: l'art. 4 dell'AI Act, applicabile dal 2 febbraio 2025, impone obblighi di alfabetizzazione (AI literacy) a chiunque utilizzi sistemi di IA in ambito professionale.
L'IA è oggi una leva di efficienza imprescindibile per la professione forense. Governata correttamente, rafforza il rapporto fiduciario. Usata senza informativa e senza controllo, lo distrugge — con costi disciplinari, processuali ed economici che la prima giurisprudenza sta già quantificando.
I cinque elementi essenziali dell'informativa IA al cliente
Denominazione, natura generativa o non, sistema chiuso od online, provenienza geografica (Italia, UE, Paesi terzi).
Ricerca normativa, analisi documenti, bozze, sintesi, gestione di segreteria. Mai sostituzione della strategia difensiva.
Anonimizzazione dei dati, no training del modello sui prompt, sede del trattamento, DPIA ove necessaria.
Ogni output dell'IA è validato personalmente dall'avvocato, che mantiene la piena responsabilità professionale.
Il cliente può limitare od escludere l'uso dell'IA nel proprio incarico, in ogni momento, con effetto immediato.
