Esiste un'AI davvero conforme al segreto professionale? La risposta onesta

Chi cerca un’AI conforme al segreto professionale cerca la risposta sbagliata a una domanda giusta. La risposta onesta è: non esiste un’AI conforme di per sé, perché il segreto professionale è un obbligo del professionista, non una proprietà del software. La conformità non si compra con una licenza: si costruisce con il modo in cui usi lo strumento — e per fortuna i criteri che la rendono possibile sono pochi e verificabili.

Questa guida approfondisce una domanda che tocchiamo anche nella pillar AI e segreto professionale per gli studi legali: qui la smontiamo pezzo per pezzo, con i criteri da usare quando un fornitore ti dice che il suo prodotto “è conforme”.

Perché nessuna AI può essere conforme “di per sé”

Il segreto professionale — per gli avvocati l’art. 622 c.p. e il codice deontologico, per notai e commercialisti le rispettive discipline — vincola la persona, non lo strumento. Vieta di rivelare a terzi non necessari le informazioni apprese in ragione dell’incarico. Un software non può violarlo né rispettarlo: può solo rendere più facile o più difficile che tu lo violi.

Da qui discendono due conseguenze pratiche:

1. Nessuna certificazione del fornitore ti copre. “GDPR compliant”, “SOC 2”, “zero data retention” descrivono come il fornitore tratta i dati che riceve. Ma il punto critico è a monte: nel momento in cui il nome del cliente e i dettagli della pratica arrivano ai server del fornitore, un terzo non necessario li ha già visti.
2. La stessa AI può essere usata in modo compatibile o incompatibile. ChatGPT con un atto incollato in chiaro espone il cliente; lo stesso ChatGPT con un testo già privato dei dati identificativi lavora su informazioni che non rivelano nessuno. Lo strumento è identico, la conformità no.

Il quadro normativo va nella stessa direzione: la L. 132/2025, art. 13 chiede al professionista di informare il cliente sull’uso dei sistemi di AI, e il principio di minimizzazione del GDPR art. 5(1)(c) impone di trattare solo i dati necessari allo scopo. Nessuna delle due norme parla di “AI conformi”: parlano di condotte del professionista.

I tre criteri verificabili

Se la conformità dipende dall’uso, servono criteri che puoi controllare tu, senza fidarti delle promesse commerciali. Sono tre.

1. Minimizzazione a monte

La domanda da farsi non è “cosa fa il fornitore dei miei dati?”, ma “quali dati gli sto dando?”. Per la stragrande maggioranza dei compiti — riassumere, confrontare, impostare una bozza, spiegare una clausola — all’AI serve la struttura del documento, non l’identità delle persone. Mascherare nomi, codici fiscali, indirizzi e riferimenti di causa prima dell’invio significa che il terzo non necessario non riceve informazioni coperte dal segreto in forma riconoscibile.

È il criterio più potente perché non dipende da nessuno: né dalle impostazioni del fornitore, né dalle sue policy future.

2. Elaborazione locale dove possibile

Ogni passaggio che avviene sul dispositivo è un passaggio che il segreto non deve nemmeno giustificare. Vale per l’AI stessa, quando un modello locale basta al compito, ma vale soprattutto per la fase di preparazione: se lo strumento che maschera i dati carica il documento su un server per elaborarlo, hai esposto il file in chiaro a un terzo prima ancora di arrivare all’AI. La guida su mascherare i dati in locale spiega perché questo requisito non è negoziabile.

3. Tracciabilità di cosa è uscito

Se un cliente, un collega di studio o un organo disciplinare ti chiede “cosa hai condiviso con l’AI su questa pratica?”, devi poter rispondere. In pratica: rivedere il testo mascherato prima dell’invio, sapere quali categorie di dati sono state sostituite, conservare in studio la corrispondenza tra segnaposto e valori reali. La conformità che non puoi dimostrare vale poco.

La checklist quando un fornitore dice “siamo conformi”

Domanda al fornitore	Risposta compatibile con il segreto
Dove viene elaborato il documento?	Sul dispositivo del professionista, non su un server
Cosa esce dallo studio?	Solo testo già privato dei dati identificativi
Posso rivedere cosa viene mascherato prima dell’invio?	Sì, con revisione manuale voce per voce
La conformità è “garantita”?	Nessuna garanzia assoluta: chi la promette sta vendendo, non informando

L’ultima riga è un test affidabile: chi ti promette la conformità “garantita al 100%” sta ignorando che l’obbligo è tuo e che nessuno strumento può assumerselo.

Come si colloca PrivActa

PrivActa non è un’AI conforme al segreto professionale — per le ragioni viste, non può esserlo nessun prodotto. È uno strumento di supporto all’anonimizzazione che rende praticabili i tre criteri: lavora in locale, su macOS e Windows, senza caricare i documenti su alcun server; riconosce 49 categorie di dati italiani (nomi, codici fiscali, indirizzi, IBAN, riferimenti) e li sostituisce con pseudonimi coerenti; e prima dell’export ti fa rivedere manualmente ogni entità, così sai esattamente quale testo esce dallo studio. La valutazione deontologica resta tua; lo strumento ti dà il controllo tecnico per esercitarla. Puoi provarlo gratis 3 giorni, senza carta.

Domande frequenti

Esiste un’AI certificata come conforme al segreto professionale? No. Il segreto vincola il professionista, non il software: nessun fornitore può certificare al posto tuo che il tuo uso lo rispetta. Esistono però criteri verificabili — minimizzazione a monte, elaborazione locale, tracciabilità — che rendono l’uso compatibile.

Un’AI “GDPR compliant” rispetta automaticamente il segreto professionale? No: le garanzie GDPR riguardano il trattamento del fornitore, il segreto riguarda cosa tu riveli a terzi non necessari. Sono piani diversi, e il secondo resta a tuo carico. Per capire cosa è lecito fare in concreto, vedi “ChatGPT legale”: cosa significa davvero.

Quali criteri rendono l’uso dell’AI compatibile con il segreto? Minimizzazione a monte (mascherare prima dell’invio), elaborazione locale dove possibile, tracciabilità di cosa è uscito. Tutti e tre verificabili senza fidarsi delle promesse commerciali.

Basta un piano Enterprise? Migliora le garanzie contrattuali, ma i dati che incolli escono comunque dallo studio. La quantità di dati identificativi che invii resta una tua scelta, con qualunque piano.

Per il quadro completo su norme, rischi e metodo torna alla pillar AI e segreto professionale; sugli adempimenti in arrivo, leggi anche AI Act per i professionisti: gli adempimenti del 2026.