AI Act per i professionisti: gli adempimenti del 2026

L’AI Act per i professionisti funziona così: chi usa assistenti AI come ChatGPT, Claude o Gemini nello studio è un deployer (utilizzatore) e nel 2026 deve, come minimo, garantire l’alfabetizzazione di chi usa l’AI (art. 4), governare l’uso degli strumenti e rispettare gli obblighi di trasparenza nei casi previsti. A questi si aggiunge, in Italia, l’obbligo di informare il cliente sull’uso dell’AI introdotto dalla L. 132/2025 — e resta pienamente applicabile il GDPR sui dati che si immettono.

Questa guida traduce il quadro per avvocati, commercialisti, notai e consulenti del lavoro. Fa parte del percorso su AI e segreto professionale; per il quadro generale rivolto alle aziende — scadenze complete, sistemi ad alto rischio, sanzioni — vedi la guida sugli obblighi dell’AI Act dal 2 agosto 2026, che qui non ripetiamo.

Il tuo ruolo nell’AI Act: deployer, non fornitore

L’ AI Act (Reg. UE 2024/1689) distingue chi sviluppa sistemi di AI (fornitori) da chi li usa (deployer). Uno studio professionale che usa un assistente AI generico per riassumere, redigere bozze o analizzare documenti è un deployer: non deve certificare modelli né redigere documentazione tecnica, ma non è nemmeno fuori dal perimetro.

Un punto rassicurante e uno di attenzione. Quello rassicurante: l’uso tipico di studio — assistenti AI generici per compiti d’ufficio — rientra di norma negli usi a rischio minimo o limitato, non tra i sistemi ad alto rischio. Quello di attenzione: gli obblighi del deployer valgono a prescindere dalla dimensione; lo studio con tre persone non è esentato.

I tre adempimenti che toccano lo studio nel 2026

1. AI literacy (art. 4): formare chi usa l’AI

È il primo obbligo che riguarda tutti gli utilizzatori, applicabile già dal 2 febbraio 2025: assicurare che chi usa sistemi di AI abbia un livello sufficiente di competenza e consapevolezza dei rischi, calibrato sul ruolo. In uno studio significa che titolari, collaboratori e praticanti devono sapere cosa un assistente AI fa degli input, cosa non incollare mai e come verificare gli output. Non serve un master: serve una formazione proporzionata e documentata. Il come è nella guida dedicata all’obbligo di AI literacy dell’art. 4.

2. Uso governato e trasparenza

Il deployer usa i sistemi secondo le istruzioni del fornitore e rispetta gli obblighi di trasparenza dell’art. 50 nei casi previsti — ad esempio informare le persone quando interagiscono con un sistema di AI o quando un contenuto è generato artificialmente. Per uno studio la traduzione pratica è una policy interna: strumenti ammessi, dati vietati, verifica degli output. Come scriverla in piccolo, con un modello in 10 punti, è il tema della guida sulla policy AI per lo studio professionale.

3. Informativa al cliente (L. 132/2025, art. 13)

Qui il diritto italiano aggiunge un tassello che l’AI Act non prevede: l’art. 13 della L. 132/2025 art. 13 impone al professionista di informare il cliente, con linguaggio chiaro, sull’uso di sistemi di AI nello svolgimento dell’incarico. La legge fissa anche il principio di fondo: l’AI è uno strumento di supporto, la prestazione resta personale e la responsabilità in capo al professionista. Forme, clausole ed esempi pratici sono nella guida sull’obbligo di informare il cliente della L. 132/2025.

Quello che l’AI Act non cancella: GDPR e segreto

L’AI Act non sostituisce il GDPR: quando l’assistente AI tratta dati personali, restano tutti gli obblighi del titolare del trattamento, a partire dalla minimizzazione dell’ GDPR art. 5(1)(c) — trattare solo i dati adeguati, pertinenti e limitati a quanto serve. Il rapporto tra le due normative è approfondito in AI Act e GDPR: come coordinarli. E per il professionista si aggiunge il vincolo che precede entrambe: il segreto professionale, che copre quasi tutto ciò che passa per lo studio.

I tre piani convergono su un unico gesto concreto: non far uscire in chiaro i dati dei clienti verso un assistente AI. È l’adempimento quotidiano, quello che si gioca a ogni copia-incolla.

La checklist 2026 dello studio

1. Censisci gli strumenti: quali AI si usano in studio davvero, inclusi gli account personali.
2. Forma le persone (art. 4) e conserva traccia di programma, date e partecipanti.
3. Scrivi la policy di studio: una pagina, con la regola dei dati mascherati al centro.
4. Aggiorna il mandato: clausola informativa sull’uso dell’AI (L. 132/2025, art. 13).
5. Adotta una misura tecnica di minimizzazione, così la regola sui dati regge anche nei giorni pieni.

Sul quinto punto: PrivActa è uno strumento di supporto all’anonimizzazione che individua 49 categorie di dati italiani — nomi, codici fiscali, IBAN, partite IVA, indirizzi — e le maschera con segnaposto coerenti in locale, sul computer dello studio, prima che il testo raggiunga qualunque assistente AI; la revisione manuale pre-export lascia l’ultima parola al professionista. Non è un timbro di conformità: gli adempimenti restano tuoi. È la misura tecnica che li accompagna. Puoi vedere come funziona o partire dal verticale per gli avvocati.

Domande frequenti

L’AI Act si applica anche a un piccolo studio professionale? Sì: gli obblighi dipendono dal ruolo e dal rischio, non dalla dimensione. Chi usa assistenti AI per lavoro è un deployer e deve almeno garantire l’AI literacy e un uso governato.

Quali sono gli adempimenti di un professionista che usa ChatGPT? AI literacy del personale (art. 4), uso conforme alle istruzioni del fornitore, trasparenza nei casi previsti, minimizzazione dei dati personali immessi (GDPR) e informativa al cliente (L. 132/2025).

Cosa aggiunge la L. 132/2025 rispetto all’AI Act? L’obbligo, per le professioni intellettuali, di informare il cliente in linguaggio chiaro sull’uso dell’AI nell’incarico; la prestazione resta personale.

Uno strumento di anonimizzazione mette lo studio a norma con l’AI Act? No: è una misura tecnica di minimizzazione che riduce l’esposizione. Formazione, governance e informativa restano adempimenti del professionista.