GDPR, AI Act e governance AI

L’intelligenza artificiale generativa è entrata stabilmente nella quotidianità degli studi professionali. Avvocati, commercialisti, consulenti del lavoro, notai e professionisti di ogni settore utilizzano sempre più frequentemente strumenti come ChatGPT, Claude, Gemini o Microsoft Copilot per predisporre bozze di documenti, effettuare ricerche, sintetizzare atti, elaborare pareri, tradurre testi o supportare numerose attività amministrative e organizzative.
L’impressione è che l’adozione di queste tecnologie stia seguendo un percorso profondamente diverso rispetto a quello delle precedenti innovazioni digitali. Se l’introduzione di nuovi software gestionali o di piattaforme documentali è stata generalmente accompagnata da procedure di acquisto, valutazioni tecniche, configurazioni informatiche e percorsi formativi, l’intelligenza artificiale è spesso entrata negli studi professionali in modo spontaneo, attraverso iniziative individuali dei singoli professionisti o collaboratori.
Questa circostanza spiega perché il dibattito giuridico si sia inizialmente concentrato su una domanda apparentemente semplice: è possibile utilizzare strumenti di intelligenza artificiale nel rispetto del GDPR?
La risposta, tuttavia, rischia oggi di essere insufficiente.
L’evoluzione della disciplina europea dimostra infatti che il problema non consiste più esclusivamente nel verificare la liceità del singolo trattamento di dati personali effettuato mediante sistemi di AI. Il vero cambiamento riguarda il modo in cui le organizzazioni sono chiamate a governare l’utilizzo di queste tecnologie, integrandole all’interno dei propri processi decisionali, organizzativi e di gestione del rischio.
Il passaggio che gli studi professionali sono oggi chiamati ad affrontare è, dunque, quello dalla semplice compliance alla costruzione di una vera e propria AI Governance. In merito, abbiamo pubblicato il volume Intelligenza artificiale generativa per professionisti – Dal legal prompting al workflow: metodo, tecniche e strumenti, disponibile su Shop Maggioli e su Amazon, e il corso Master in Compliance Management – Come realizzare un sistema di governance integrato – II edizione.

1. Dalla domanda “si può utilizzare?” alla domanda “come deve essere governata?”

Per oltre un anno il confronto tra professionisti si è concentrato prevalentemente sugli aspetti privacy.
È possibile inserire dati personali all’interno di ChatGPT? Occorre anonimizzare i documenti? Qual è la base giuridica del trattamento? Dove vengono conservati i dati?
Si tratta di interrogativi assolutamente legittimi, ma accomunati da un elemento: considerano l’intelligenza artificiale come un singolo trattamento di dati personali.
Questa impostazione riflette inevitabilmente l’approccio del GDPR, che disciplina il trattamento dei dati attraverso principi ormai consolidati quali liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza (art. 5 GDPR).
Anche nel contesto dell’intelligenza artificiale tali principi continuano evidentemente a trovare piena applicazione.
L’utilizzo di un sistema di AI non sospende né attenua gli obblighi derivanti dal Regolamento europeo. Al contrario, richiede al titolare del trattamento di valutare attentamente la liceità dell’operazione, la proporzionalità del trattamento, le misure di sicurezza adottate, gli eventuali trasferimenti verso Paesi terzi, la posizione del fornitore quale responsabile del trattamento e, ove necessario, l’effettuazione di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR.
Tuttavia, fermarsi a questa analisi significa osservare soltanto una parte del fenomeno.
L’intelligenza artificiale non costituisce semplicemente un nuovo strumento attraverso il quale vengono trattati dati personali.
Essa modifica profondamente le modalità di svolgimento dell’attività professionale, introduce nuovi processi decisionali, redistribuisce responsabilità, impone nuove competenze e richiede un diverso modello organizzativo.
È qui che il concetto di compliance inizia a mostrare i propri limiti. In merito, abbiamo pubblicato il volume Intelligenza artificiale generativa per professionisti – Dal legal prompting al workflow: metodo, tecniche e strumenti, disponibile su Shop Maggioli e su Amazon.

2. Il principio di accountability come ponte verso la governance

In realtà il GDPR aveva già anticipato questa evoluzione.
L’articolo 24 del Regolamento introduce il principio di accountability, imponendo al titolare del trattamento non soltanto di rispettare la normativa, ma di essere in grado di dimostrare di avere adottato misure tecniche e organizzative adeguate alla natura, all’ambito di applicazione, al contesto e alle finalità del trattamento, tenendo conto dei rischi per i diritti e le libertà delle persone fisiche.
L’accountability rappresenta probabilmente il principio più innovativo introdotto dal GDPR.
Essa supera la logica dell’adempimento formale e attribuisce alle organizzazioni una responsabilità permanente nella gestione del rischio.
Applicato all’intelligenza artificiale, questo principio conduce inevitabilmente a una conclusione: non è sufficiente stabilire se un determinato prompt sia conforme al GDPR.
Occorre chiedersi se l’organizzazione disponga di procedure che disciplinino l’utilizzo dell’AI, se il personale abbia ricevuto adeguata formazione, se gli strumenti impiegati siano stati valutati sotto il profilo della sicurezza, se esistano controlli sugli output prodotti e se siano chiaramente individuate le responsabilità decisionali.
In altri termini, l’accountability rappresenta il punto di contatto tra la disciplina della protezione dei dati personali e il più ampio concetto di governance dell’intelligenza artificiale.

3. L’AI Act consacra una logica di governance

Il Regolamento (UE) 2024/1689, meglio noto come AI Act, conferma e rafforza questa evoluzione.
Sebbene l’attenzione si concentri spesso sulla classificazione dei sistemi in funzione del rischio, il vero elemento di novità introdotto dal regolamento consiste nell’adozione di un modello di governo dell’intelligenza artificiale fondato sulla responsabilizzazione dei diversi operatori coinvolti lungo l’intero ciclo di vita dei sistemi.
L’AI Act non si limita infatti a vietare alcune pratiche o a imporre obblighi ai fornitori di sistemi ad alto rischio.
Esso costruisce un ecosistema regolatorio nel quale ciascun soggetto — provider, deployer, importatore, distributore e utilizzatore — è chiamato ad assumere specifiche responsabilità.
Particolarmente significativa, anche per gli studi professionali, è la previsione contenuta nell’articolo 4, dedicata alla cosiddetta AI literacy.
La disposizione stabilisce che fornitori e deployer adottino misure idonee a garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di intelligenza artificiale da parte del personale e degli altri soggetti coinvolti nell’utilizzo dei sistemi.
La norma potrebbe apparire, a una prima lettura, di carattere meramente programmatico. In realtà essa introduce un principio destinato ad avere effetti concreti sulle organizzazioni. Il legislatore europeo riconosce infatti che la conformità normativa non dipende esclusivamente dalle caratteristiche tecniche del sistema, ma anche dalle competenze di chi lo utilizza.
In altre parole, un’organizzazione non governa realmente l’intelligenza artificiale se i propri collaboratori ignorano il funzionamento dei modelli linguistici, i limiti degli output generati, il rischio di allucinazioni, le implicazioni in materia di riservatezza o le conseguenze derivanti dall’inserimento di informazioni sensibili all’interno dei prompt.

4. Compliance e governance non sono sinonimi

Nel linguaggio giuridico e aziendale i termini “compliance” e “governance” vengono frequentemente utilizzati come sinonimi. In realtà descrivono due concetti profondamente diversi.
La compliance consiste nell’insieme delle attività necessarie a garantire il rispetto della normativa applicabile. La governance rappresenta invece il sistema attraverso il quale un’organizzazione assume decisioni, distribuisce responsabilità, gestisce i rischi, monitora i risultati e orienta l’utilizzo delle proprie risorse verso obiettivi coerenti con la propria strategia.
L’intelligenza artificiale rende questa distinzione particolarmente evidente.
Uno studio può essere perfettamente conforme al GDPR sotto il profilo documentale e, allo stesso tempo, non possedere alcun modello di governo dell’AI.
Può aver aggiornato il registro dei trattamenti, predisposto informative, nominato responsabili del trattamento e adottato misure di sicurezza adeguate, ma lasciare ai singoli professionisti la scelta degli strumenti da utilizzare, delle informazioni da inserire nei prompt e delle modalità di verifica degli output prodotti.
Una situazione di questo tipo non costituisce necessariamente una violazione normativa, ma rappresenta un evidente deficit di governance ed è proprio questo il terreno sul quale gli studi professionali saranno chiamati a confrontarsi nei prossimi anni.

5. Come costruire una AI Governance nello studio professionale

La costruzione di un modello di AI Governance non coincide con la predisposizione di una semplice policy interna; richiede piuttosto una revisione complessiva dei processi organizzativi.
Lo studio dovrebbe anzitutto individuare gli strumenti di intelligenza artificiale effettivamente utilizzati dai propri professionisti e collaboratori, distinguendo le applicazioni autorizzate da quelle non consentite.
Occorre poi definire criteri chiari circa le tipologie di attività delegabili ai sistemi di AI, le informazioni che possono essere utilizzate all’interno dei prompt, le modalità di anonimizzazione dei documenti, le procedure di verifica degli output e i casi nei quali permane l’obbligo di controllo umano.
Accanto a tali aspetti assumono particolare rilievo la formazione continua del personale, la predisposizione di procedure di audit periodico, la valutazione dei fornitori e la definizione di responsabilità interne chiaramente individuabili.
La governance, infatti, non consiste nel limitare l’utilizzo dell’intelligenza artificiale, consiste nel renderne l’impiego prevedibile, controllabile e coerente con gli obblighi normativi e deontologici propri dell’attività professionale.

6. Conclusioni

L’intelligenza artificiale rappresenta probabilmente il primo caso nel quale una tecnologia è stata adottata massivamente prima che le organizzazioni avessero il tempo di costruire regole adeguate per governarla.
Per questo motivo il semplice rispetto degli obblighi previsti dal GDPR, pur rimanendo imprescindibile, non appare più sufficiente.
L’AI Act sembra indicare con chiarezza la direzione intrapresa dal legislatore europeo: il futuro della regolazione dell’intelligenza artificiale non sarà fondato esclusivamente sulla verifica della conformità, ma sulla capacità delle organizzazioni di dimostrare di possedere un sistema di governo della tecnologia, fondato sulla gestione del rischio, sulla formazione, sulla supervisione umana e sulla responsabilizzazione dei soggetti coinvolti.
Per gli studi professionali il tema non è dunque decidere se utilizzare o meno l’intelligenza artificiale. La vera sfida consiste nel costruire un modello organizzativo capace di governarla, trasformando uno strumento straordinariamente potente in un’opportunità di innovazione compatibile con i principi di tutela dei diritti, indipendenza professionale e affidabilità che costituiscono il fondamento stesso delle professioni intellettuali

Formazione per professionisti

Master in Compliance Management
Il Master in Compliance Management è un percorso di formazione specialistica della durata di 27 ore, pensato per offrire una visione chiara, aggiornata e completa delle principali aree della compliance aziendale. Il focus è sugli strumenti, gli obblighi e le responsabilità che imprese e professionisti devono conoscere e applicare per garantire la conformità e l’efficacia dei modelli organizzativi.
Grazie all’esperienza dei docenti e all’analisi di casi concreti, il Master si distingue per un taglio pratico e operativo che consentirà ai partecipanti di acquisire competenze e strumenti utili per gestire la compliance integrata in diversi contesti aziendali.
Il programma copre i principali ambiti della compliance: dalla governance aziendale alla responsabilità amministrativa degli enti (D.Lgs. 231/2001), dalla protezione dei dati personali e privacy alla gestione delle segnalazioni whistleblowing, dalla sostenibilità ESG e i nuovi obblighi europei e italiani alla regolamentazione sull’intelligenza artificiale (AI Act, Legge 132/2025 e successive attuazioni), fino alla cybersecurity (NIS 2) e alla gestione integrata del rischio.
Obiettivi formativi
Al termine del Master, i partecipanti saranno in grado di:
•  Analizzare e impostare un sistema di compliance integrata efficace
•  Conoscere i ruoli e le responsabilità previsti in materia di privacy e protezione dati
•  Redigere o aggiornare un Modello Organizzativo 231/2001
•  Identificare gli impatti etici, legali e organizzativi dell’AI Act e Legge 132/2025 per un uso conforme dell’AI
•  Applicare e integrare i nuovi obblighi ESG (CSRD, CSDDD, ESRS) nei processi aziendali
•  Gestire segnalazioni whistleblowing nel rispetto di tutele e privacy
•  Valutare le implicazioni operative di regolamenti e direttive UE in materia di cybersicurezza (NIS 2)
•  Applicare metodi di valutazione del rischio in chiave integrata e risk-based
>>>Per info ed iscrizioni<<<

Vuoi ricevere aggiornamenti costanti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!