Contesto normativo italiano IA 2026: GDPR, AI Act, Legge 132/2025
C'e' una narrazione ricorrente negli studi professionali italiani che suona piu' o meno cosi': "L'IA non e' ancora regolamentata. Aspettiamo il quadro definitivo, poi ci adeguiamo". Questa narrazione e' falsa nei fatti. Nel 2026 il quadro normativo applicabile all'uso di IA in uno studio professionale italiano e' composto da almeno tre strati sovrapposti, gia' in vigore e gia' sanzionabili.
In questo articolo mappiamo i riferimenti normativi essenziali per un titolare di studio commercialista, legale o di consulenza, organizzati per finalita' di consultazione rapida con consulenti, clienti e auditor. Non e' un commento accademico. E' un riferimento di lavoro.
Strato 1: GDPR (Regolamento UE 2016/679)
Il GDPR e' in vigore dal 25 maggio 2018. Si applica integralmente a qualunque trattamento di dati personali, inclusi quelli effettuati tramite strumenti di IA generativa. Gli articoli rilevanti per l'uso di IA sono diversi; quelli operativamente piu' frequenti sono i seguenti.
Articolo 5 (principi del trattamento)
Liceita', correttezza, trasparenza. Limitazione delle finalita'. Minimizzazione. Esattezza. Limitazione della conservazione. Integrita' e riservatezza. Responsabilizzazione (accountability). Ogni uso di IA su dati personali deve poter essere ricondotto a questi principi e documentato.
Articolo 6 (base giuridica)
Ogni trattamento richiede una base giuridica esplicita: consenso, esecuzione di un contratto, obbligo legale, interesse vitale, interesse pubblico, legittimo interesse. L'uso di IA generativa su dati di clienti richiede di identificare quale base giuridica si applica e di documentarla. La base giuridica non e' "il cliente non si lamentera'".
Articolo 9 (categorie particolari)
Dati sanitari, biometrici, genetici, orientamento sessuale, opinioni politiche, convinzioni religiose. Disciplina rinforzata. Divieto di trattamento salvo eccezioni tassative (consenso esplicito, interesse pubblico rilevante, finalita' di medicina, ricerca, etc.). L'uso di IA su dati sanitari ricade quasi sempre in questa categoria.
Articolo 10 (dati giudiziari)
Dati relativi a condanne penali e reati. Disciplina rinforzata. Rilevante per studi legali penalisti.
Articoli 13-14 (informativa)
Obbligo di informare l'interessato sulle finalita', basi giuridiche, destinatari, trasferimenti, tempi di conservazione, diritti. Se usi IA su dati cliente, l'informativa deve menzionarlo in modo chiaro.
Articolo 25 (privacy by design)
Privacy by design e by default. Le scelte tecniche e organizzative devono incorporare la protezione dei dati gia' nella progettazione. L'adozione di IA enterprise con DPA firmato e opt-out training attivo e' una scelta coerente. L'adozione di IA consumer e' una scelta incoerente.
Articolo 28 (responsabile del trattamento)
Obbligo di Data Processing Agreement scritto con ogni sub-processor. Mancanza di DPA con il provider IA e' violazione autonoma, indipendentemente dall'esito del trattamento. E' la prima cosa da verificare quando si valuta uno strumento IA.
Articolo 30 (registro delle attivita' di trattamento)
Tenuta del registro dei trattamenti (ROPA). Obbligatorio per organizzazioni con piu' di 250 dipendenti o per trattamenti che presentano rischio per i diritti degli interessati. Gli studi professionali con uso strutturato di IA dovrebbero tenerlo anche sotto soglia, perche' il rischio del trattamento spesso e' elevato.
Articolo 32 (sicurezza)
Misure tecniche e organizzative adeguate al rischio: crittografia, integrita', disponibilita', resilienza, test periodici, capacita' di ripristino. L'uso di IA consumer non soddisfa questi requisiti per dati riservati.
Articolo 33 (notifica data breach)
Obbligo di notifica al Garante entro 72 ore dalla scoperta della violazione. Un bilancio cliente esposto via shadow AI puo' integrare una violazione notificabile.
Articolo 35 (DPIA)
Valutazione d'impatto sulla protezione dei dati. Obbligatoria in presenza di rischio elevato. L'uso di IA generativa su dati clienti spesso ci ricade. Il Garante ha pubblicato linee guida sui criteri.
Articoli 44-49 (trasferimenti extra-UE)
Per vendor USA (OpenAI, Anthropic, Google, Microsoft tutti USA-based) servono:
- Standard Contractual Clauses (SCCs) 2021 della Commissione UE, oppure
- Data Privacy Framework (DPF) dove il vendor sia certificato, oppure
- Decisione di adeguatezza del paese terzo.
Le SCCs richiedono Transfer Impact Assessment (TIA) ai sensi delle raccomandazioni EDPB 01/2020.
Strato 2: EU AI Act (Regolamento UE 2024/1689)
In vigore dal 1 agosto 2024 con enforcement progressivo. Si applica a chiunque immetta sul mercato, metta in servizio o utilizzi sistemi di IA nell'Unione Europea.
Cosa significa per uno studio professionale
Gli studi rientrano nell'ambito dell'AI Act come:
- Deployer (utilizzatore): se usano sistemi di IA terzi nei propri processi.
- Provider: se rivendono o personalizzano sistemi di IA per i propri clienti.
Articolo 6 (sistemi ad alto rischio)
Definisce quali sistemi rientrano nella categoria high-risk. Maggior parte dell'uso tipico in uno studio non rientra. Decisioni automatizzate su clienti (scoring fiscale, prioritizzazione, classificazione) possono ricadere.
Articolo 9 (gestione del rischio per sistemi high-risk)
Sistema di gestione del rischio continuativo, identificazione e analisi dei rischi, misure di mitigazione, test prima dell'immissione sul mercato. Applicabile a sistemi high-risk.
Articolo 13 (trasparenza per sistemi high-risk)
Sistemi high-risk devono essere accompagnati da istruzioni d'uso chiare, informazioni su caratteristiche, capacita', limiti, rischio residuo.
Articolo 14 (supervisione umana per sistemi high-risk)
Sistemi high-risk devono permettere supervisione umana effettiva. L'utilizzatore deve poter intervenire, monitorare, sospendere.
Articolo 50 (trasparenza per IA generativa e deepfake)
Enforcement dal 2 agosto 2026. Obbligo di:
- Etichettare contenuti sintetici generati da IA (immagini, audio, video, testo).
- Informare l'utente quando interagisce con un sistema di IA (chatbot, assistenti).
- Disclosure di deepfake (contenuti che imitano persone reali).
Ricade su chi usa avatar video, clonazione vocale, bot client-facing, sintesi di documenti firmati. Esempio: un video promozionale dello studio generato con avatar IA deve recare disclosure visibile.
Annex III (lista sistemi high-risk)
Lista tassativa di settori e usi considerati high-risk: identificazione biometrica, infrastrutture critiche, istruzione, occupazione, accesso a servizi pubblici essenziali, applicazione della legge, gestione migrazione, amministrazione giustizia, processi democratici. Verifica caso per caso se l'uso che ne fai ricade in uno dei punti.
GPAI Code of Practice
Codice di Buone Pratiche per General-Purpose AI Models, volontario, pubblicato a settembre 2025. Sottoscritto da OpenAI, Anthropic, Google. Gli operatori downstream (cioe' chi usa questi modelli nei propri servizi) possono richiamarlo nelle proprie policy come riferimento di responsabilita' della catena.
Strato 3: Legge italiana 132/2025
Legge 23 settembre 2025, n. 132 ("Disposizioni e deleghe al Governo in materia di intelligenza artificiale"), Gazzetta Ufficiale Serie Generale n. 223 del 25 settembre 2025, in vigore dal 10 ottobre 2025.
Primo quadro organico italiano sull'IA. Integra l'AI Act UE, non lo sostituisce. Decreti attuativi attesi entro ottobre 2026.
Articoli chiave per professionisti
Articolo 3. Centralita' della persona e supervisione umana significativa. Principio generale applicabile a tutti gli usi di IA.
Articolo 4. Principi in materia di informazione e riservatezza dei dati personali: l'uso dell'IA nell'informazione non deve pregiudicare liberta' e pluralismo dei media; il trattamento dei dati resta lecito, corretto e trasparente; le comunicazioni sul trattamento vanno rese "con linguaggio chiaro e semplice", garantendo la conoscibilita' dei rischi e il diritto di opposizione.
L'obbligo di formazione NON sta qui. L'alfabetizzazione IA e' l'articolo 4 del Regolamento (UE) 2024/1689 (AI Act), non della legge italiana. Dal 27 luglio 2026 e' inoltre nella versione sostituita dal Regolamento (UE) 2026/1744, che l'ha trasformato da obbligo di garantire un livello a obbligo di adottare misure proporzionate al ruolo e al contesto: un obbligo di mezzi, non di risultato. Sul piano nazionale il riferimento che tocca i professionisti e' invece l'articolo 13 (sotto). Cross-link operativo con il pilastro Formazione del nostro articolo su governance AI come capacita' permanente.
Articolo 13 comma 1. L'IA nelle professioni intellettuali e' consentita "solo al fine di esercitare le attivita' strumentali e di supporto" e "con prevalenza del lavoro intellettuale oggetto della prestazione d'opera". Tradotto: l'IA puo' assistere, non sostituire, il giudizio professionale qualificato.
Articolo 13 comma 2. Obbligo di informativa chiara al cliente sui sistemi IA utilizzati. Non e' opzionale. Va comunicata.
Articolo 26. Modifiche al codice penale:
- Introduce l'articolo 612-quater Codice Penale, "illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale": reclusione da 1 a 5 anni per chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati o alterati con l'IA e idonei a ingannare sulla loro autenticita'.
- Introduce l'aggravante comune dell'articolo 61 n. 11-decies Codice Penale per i reati commessi mediante sistemi di IA.
Rilevante per chiunque produca avatar video, voci clonate, bot client-facing, contenuti sintetici di qualunque tipo.
Autorita' designate
- AgID (Agenzia per l'Italia Digitale) per gli aspetti generali.
- Agenzia per la Cybersicurezza Nazionale per i profili di sicurezza.
- Garante Privacy per i profili di protezione dati.
Sanzioni
Vanno tenute distinte, perche' vengono da due strumenti diversi.
- AI Act (Reg. UE 2024/1689), articolo 99: la griglia e' graduata. Fino a 35 milioni di euro o 7% del fatturato globale annuo per le pratiche vietate dell'articolo 5; fino a 15 milioni o 3% per la generalita' degli altri obblighi, compreso l'articolo 50. L'obbligo di alfabetizzazione dell'articolo 4 non ha una sanzione pecuniaria dedicata: al piu' rileva come aggravante. Dal 2 agosto 2026 le autorita' nazionali esercitano pieni poteri di vigilanza e sanzione.
- Legge 132/2025: non istituisce quelle sanzioni amministrative. Sul punto delega il Governo (articolo 24) e introduce sanzioni penali (articolo 26, sopra).
Strato 4: norme italiane specifiche
Articolo 622 Codice Penale (rivelazione di segreto professionale)
Reclusione fino a un anno o multa. Aggravata per professioni con titolo di abilitazione. L'uso di IA consumer su dati cliente puo' integrare il reato.
Articoli 2392-2394 Codice Civile (responsabilita' amministratori)
Dovere di diligenza, azione sociale di responsabilita', responsabilita' verso creditori sociali. Rilevanti quando manca procedura IA in PMI e il danno si concretizza.
Articolo 2497 Codice Civile
Responsabilita' delle holding non vigilanti. Estende il perimetro di rilevanza ai gruppi.
Articolo 326 Codice Penale (segreto d'ufficio)
Rileva per commercialisti revisori di enti locali, avvocati dello Stato, consulenti tecnici d'ufficio, periti.
D.Lgs. 196/2003 (Codice Privacy)
Modificato da D.Lgs. 101/2018. Integrativo al GDPR, con specifiche per trattamenti giudiziari, sanitari, di ricerca.
Articolo 130 Codice Privacy (marketing)
Disciplina specifica per comunicazioni commerciali. Rilevante per uso di IA in attivita' di outreach, follow-up automatici, generazione di newsletter.
Strato 5: deontologia
ODCEC (commercialisti)
Il Consiglio Nazionale dei Dottori Commercialisti ed Esperti Contabili ha pubblicato riflessioni sull'uso di IA nella professione. Principi richiamati: diligenza, riservatezza, indipendenza di giudizio, divieto di delega cieca a sistemi automatizzati.
CNF (avvocati)
Il Consiglio Nazionale Forense ha emesso pareri specifici sull'IA in atti e nella relazione cliente-avvocato. Principi richiamati: supervisione umana qualificata, trasparenza con il cliente, divieto di redazione cieca.
Altre professioni
Notai, ingegneri, architetti, commercialisti delle PMI: ogni ordine sta progressivamente emettendo proprie linee guida. Verificare la posizione del proprio ordine di appartenenza.
Tabella di sintesi: quale norma per quale problema
| Problema concreto | Norma applicabile | Articolo chiave | |---|---|---| | Sub-processor IA senza contratto | GDPR | Art. 28 | | Bilancio cliente in IA consumer | GDPR + CP | Art. 32 + Art. 622 | | Dati sanitari in IA generativa | GDPR rinforzato | Art. 9 | | Trasferimento dati a vendor USA | GDPR | Artt. 44-49 | | Avatar video promozionale | AI Act + L.132/2025 | Art. 50 + Art. 26 (612-quater c.p.) | | Bot client-facing senza disclosure | AI Act + L.132/2025 | Art. 50 + Art. 13 c.2 | | Decisione automatizzata su cliente | AI Act high-risk + GDPR | Artt. 6, 9, 14 AI Act + Art. 22 GDPR | | Personale non formato su IA | AI Act (non L.132/2025) | Art. 4 AI Act | | Delega cieca a IA in atto/parere | Deontologia + L.132/2025 | Art. 13 c.1 |
Sintesi operativa
Cosa fare per allinearsi al quadro normativo nei prossimi 90 giorni:
- Verificare se lo studio tiene un registro delle attivita' di trattamento (ROPA) ai sensi articolo 30 GDPR. Se no, attivarlo.
- Mappare l'uso attuale di IA e verificare per ciascuno strumento la presenza di DPA articolo 28.
- Verificare le basi giuridiche articolo 6 per ciascun uso di IA su dati personali.
- Aggiornare informativa privacy clienti (articoli 13-14 GDPR) per includere uso di IA dove rilevante.
- Pianificare DPIA (articolo 35) per casi a rischio elevato.
- Adottare e documentare misure di alfabetizzazione IA per il personale ai sensi dell'articolo 4 AI Act, come sostituito dal Reg. (UE) 2026/1744: e' un obbligo di mezzi, quindi cio' che conta e' poter mostrare le misure e la loro proporzionalita'.
- Verificare se i contenuti prodotti con IA generativa ricadono in obbligo di disclosure articolo 50 AI Act.
Cosa evitare:
- Aspettare i decreti attuativi della Legge 132/2025. La legge e' gia' in vigore.
- Confondere "non e' ancora chiarito tutto" con "non si applica".
- Trattare la normativa come optional. Le sanzioni si scalano fino a milioni di euro o percentuali del fatturato.
Il quadro e' applicato gia' oggi. La distinzione tra chi e' esposto e chi e' protetto non e' fra chi conosce tutto e chi non sa nulla. E' fra chi ha avviato un percorso di governance documentabile e chi no. Il percorso si attiva nel framework operativo descritto in governance AI come capacita' permanente, partendo dall'audit shadow AI delineato in shadow AI: il rischio nascosto.
Continua il percorso
Se vuoi ricevere i prossimi approfondimenti su AI governance, compliance e automazione per studi professionali, iscriviti a TDS Weekly: una email ogni due settimane, niente spam, conferma esplicita.
Iscriviti alla newsletter TDS Weekly
Articoli correlati:
- Governance AI come capacita' permanente dell'organizzazione
- Tre fraintendimenti sull'IA: consumer, API enterprise, self-hosted
Rettifica del 28 luglio 2026
Questo articolo conteneva tre riferimenti normativi sbagliati. Li correggiamo qui in chiaro invece di modificare il testo in silenzio, perche' scrivere di conformita' citando male le norme e' esattamente l'errore che questo sito dice di voler evitare.
| Diceva | Dice ora | Perche' | |---|---|---| | L'articolo 4 della Legge 132/2025 imporrebbe un "livello sufficiente di alfabetizzazione IA" | L'articolo 4 della legge italiana riguarda i principi in materia di informazione e riservatezza dei dati | L'obbligo di alfabetizzazione e' l'articolo 4 dell'AI Act, non della legge italiana. La frase virgolettata era testualmente quella del regolamento europeo. Dal 27 luglio 2026 e' inoltre nella versione sostituita dal Reg. (UE) 2026/1744: obbligo di adottare misure, non di garantire un livello | | L'articolo 21 introdurrebbe il reato di deepfake | E' l'articolo 26 | L'articolo 21 riguarda l'applicazione sperimentale dell'IA ai servizi del Ministero degli affari esteri. L'articolo 612-quater c.p. e l'aggravante dell'articolo 61 n. 11-decies c.p. sono introdotti dall'articolo 26 | | Le sanzioni "scalano sulla griglia AI Act: fino a 35 milioni o 7%", detto della legge italiana | Le due fonti sono distinte, e la griglia dell'AI Act e' graduata | La Legge 132/2025 non istituisce quelle sanzioni amministrative: delega il Governo (art. 24) e introduce sanzioni penali (art. 26). Nell'AI Act il tetto di 35 milioni/7% vale per le pratiche vietate dell'articolo 5, non per la generalita' degli obblighi |
Se hai citato questo articolo prima di oggi, sono questi i tre punti da rivedere.