In una frase
I dati dei mandati vanno inseriti solo in un'IA di cui può documentare per iscritto il contratto di responsabile del trattamento, il luogo di hosting e i termini di cancellazione — e dal 2 agosto 2026 l'AI Act europeo richiede inoltre che l'uso dell'IA sia segnalato in modo trasparente.
Perché ChatGPT e simili sono problematici senza un accordo aggiuntivo
Chi copia atti, contratti o e-mail dei clienti in uno strumento di IA liberamente accessibile mette in gioco segreti professionali. Tre aspetti lo rendono rischioso:
- Trasferimenti verso paesi terzi: le offerte standard elaborano spesso i suoi dati su server statunitensi, senza che possa controllare o garantire il luogo del trattamento.
- Utilizzo per l'addestramento: senza un accordo esplicito, i suoi input possono essere riutilizzati per migliorare il modello — casi sensibili inclusi.
- Termini di conservazione: quanto a lungo i prompt restano memorizzati e chi vi accede è raramente documentato con chiarezza nei servizi per il grande pubblico.
Per lo studio questo significa: senza accordi aggiuntivi manca la base giuridica anche solo per immettere i dati dei mandati. Maggiori informazioni in Perché non usare semplicemente ChatGPT.
La checklist per ogni strumento di IA
Prima che uno strumento possa accedere a fascicoli reali, cinque punti dovrebbero essere dimostrabili — solo allora si può parlare di un'IA conforme alla protezione dei dati:
- Contratto di responsabile del trattamento (DPA): un contratto firmato che vincola il fornitore in qualità di responsabile del trattamento.
- Trasparenza sui sub-responsabili: un elenco aperto e aggiornato di tutti i fornitori coinvolti.
- Hosting nell'UE o "EU pinning": la garanzia che il trattamento resti nell'UE — anche quando vengono attivati modelli premium.
- Termini di cancellazione e conservazione: documentazione di quanto a lungo i dati vengono conservati e quando vengono cancellati.
- Modello di ruoli e accessi: chi, nel suo studio, vede quali dati — e il fatto che il fornitore stesso non abbia alcun accesso in chiaro.
Se manca uno di questi punti, non si tratta di un dettaglio ma di un criterio di esclusione.
Dal 2 agosto 2026: l'AI Act europeo
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza previsti dall'articolo 50 dell'AI Act europeo: i contenuti generati dall'IA e l'uso di chatbot devono essere riconoscibili come tali. Gli obblighi più severi per i sistemi ad alto rischio di cui all'allegato III sono stati rinviati al 2 dicembre 2027 tramite il "Digital Omnibus" — ma rinviare non significa cancellare. L'entità delle sanzioni è pensata sul serio: fino a 35 milioni di euro o il 7 % del fatturato annuo mondiale. Per gli studi legali questo significa: l'uso dell'IA va documentato, segnalato e integrato nella propria compliance.
Il mascheramento dei dati personali e l'oscuramento tramite IA come seconda linea di difesa
Anche con un trattamento impeccabile, la minimizzazione dei dati resta la migliore garanzia. Una seconda linea di difesa interviene prima ancora che un modello venga interpellato: i dati personali vengono individuati e mascherati, i documenti oscurati prima della trasmissione. In questo modo lascia lo studio il minor testo in chiaro possibile. Come funziona nella pratica lo mostrano l'articolo sul mascheramento dei dati personali e quello sull'oscuramento di PDF assistito dall'IA.
Come lo realizza SmartLegalPro
SmartLegalPro è progettato per l'hosting nell'UE. Anche il modello premium opzionale (il componente aggiuntivo Fable) viene automaticamente ancorato a regioni dell'UE e utilizzato solo dopo un esplicito opt-in dello studio. I dati dei mandati non confluiscono nell'addestramento. Quali fornitori siano coinvolti è indicato apertamente nell'elenco dei sub-responsabili; come l'IA viene impiegata e segnalata è spiegato nella pagina sulla trasparenza dell'IA.
Resta essenziale: l'IA non sostituisce l'esame dell'avvocato. I tribunali hanno ribadito più volte che l'obbligo di verifica dell'avvocato sussiste per ogni risultato prodotto dall'IA. SmartLegalPro ne fornisce lo strumento — dal grafo dei fatti alla seconda verifica delle scadenze, fino al regolatore di autonomia nell'Anwaltsportal. Il controllo resta a Lei.
