AI Act per studi legali: obblighi, rischi e cosa fare davvero

Gli studi legali sono fra i soggetti più esposti dell'intero perimetro dell'AI Act, e fra i meno preparati. La combinazione è pericolosa: l'intelligenza artificiale generativa è entrata negli studi più velocemente di quasi ogni altra tecnologia degli ultimi vent'anni, spesso dal basso, per iniziativa dei singoli, senza policy, senza governance e senza che il titolare sappia con precisione chi la usa e per cosa.

Questa guida spiega che cosa impone la norma, che cosa serve fare in concreto, e dove si concentra il rischio reale, che non è quello che la maggior parte degli studi si aspetta.

Perché uno studio legale rientra nell'obbligo

L'articolo 4 del Regolamento UE 2024/1689, nella formulazione in vigore dal 27 luglio 2026, obbliga fornitori e deployer di sistemi di AI ad adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di AI del proprio personale.

La parola che sfugge quasi sempre è deployer. Non significa "chi sviluppa l'AI": significa chi la utilizza nell'esercizio della propria attività. Uno studio che usa ChatGPT per riassumere una sentenza, Copilot per redigere una mail, o un gestionale con funzioni di AI integrate è a tutti gli effetti un deployer.

L'articolo 4 si applica a tutti i sistemi di AI, indipendentemente dalla classe di rischio. Non serve che lo studio usi un sistema ad alto rischio: basta che usi l'AI.

Non ci sono soglie dimensionali. Uno studio di trenta professionisti e uno studio individuale hanno lo stesso obbligo; cambia la proporzionalità delle misure, non la loro necessità.

All'obbligo europeo se ne somma uno italiano, in vigore dal 10 ottobre 2025 e specifico per le professioni intellettuali: l'articolo 13 della legge 132/2025 impone di comunicare al cliente le informazioni sui sistemi di AI utilizzati «con linguaggio chiaro, semplice ed esaustivo», e ammette l'AI nelle sole attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista. Nella pratica si assolve con una clausola informativa nel mandato.

Le date che contano

In Italia la vigilanza è della legge 132/2025, che ha designato AgID e ACN: i decreti che attribuiscono loro i poteri sanzionatori del regolamento sono stati approvati in via definitiva il 4 agosto 2026. Il quadro completo sta nella guida alla legge 132/2025.

Il rischio vero non è la sanzione

Nei materiali commerciali sulla formazione AI Act questa parte si legge raramente.

Per uno studio legale, la probabilità di essere sanzionato specificamente per violazione dell'articolo 4 è, oggi, relativamente bassa: le autorità stanno partendo dai sistemi ad alto rischio e dai grandi deployer. Se il ragionamento si ferma qui, la conclusione è "aspettiamo".

Sarebbe un errore, perché il rischio serio per uno studio legale è un altro, ed è molto più concreto:

Rischio deontologico e di responsabilità professionale. Un atto depositato con riferimenti giurisprudenziali inventati dal modello è un danno al cliente e alla reputazione dello studio, con possibili conseguenze in sede disciplinare. Nel marzo 2025 il Tribunale di Firenze ha esaminato un caso di questo tipo.

Rischio sul segreto professionale. Documenti di causa incollati in un piano consumer di un servizio di AI generativa possono finire nell'addestramento del modello. È un problema di GDPR e, prima ancora, di segreto professionale.

Rischio da mancata governance in caso di contestazione. Nel momento in cui qualcosa va storto (un reclamo, un data breach, una contestazione del cliente) la domanda che arriva è: quali misure aveva adottato lo studio? Un registro della formazione e una policy scritta sono la differenza fra una posizione difendibile e una indifendibile.

L'articolo 4, in altre parole, non è il rischio: è lo strumento con cui si documenta di aver gestito gli altri tre. È per questo che conviene trattarlo bene invece che minimamente.

Che cosa deve contenere la formazione

La norma non impone un programma. Un percorso che regge a una verifica, per uno studio legale, copre almeno questi punti:

1. Come funziona davvero un modello linguistico: abbastanza da capire perché genera citazioni inesistenti con la stessa sicurezza con cui genera quelle vere. È il modulo che previene il danno più grave.
2. Il perimetro dell'AI Act: deployer, classi di rischio, cosa si applica allo studio e cosa no.
3. Dati, segreto professionale e GDPR: differenza fra piani consumer, business e API; che cosa non deve mai entrare in un prompt.
4. Verifica dell'output: protocolli di controllo delle fonti; quando l'AI è utilizzabile e quando no.
5. Casi d'uso concreti per lo studio: ricerca, sintesi documentale, prima bozza, traduzione, gestione dello scadenzario. Con i limiti di ciascuno.
6. La policy interna: chi può usare cosa, su quali dati, con quale supervisione.
7. La documentazione: come si tiene il registro e cosa ci si mette dentro.

Il registro: il documento che serve davvero

L'articolo 4 non produce un attestato da appendere. Produce un registro: la traccia che dimostra chi è stato formato, quando, su cosa, e con quali aggiornamenti successivi.

Un registro adeguato contiene, come minimo:

• l'elenco dei sistemi di AI utilizzati nello studio e da chi
• le persone formate, con ruolo e data
• i contenuti erogati e la durata
• il materiale distribuito
• la policy interna adottata e la data di adozione
• il piano di aggiornamento, perché la formazione non è un evento una tantum: l'AI evolve e la conformità va mantenuta

L'ultimo punto è quello che quasi tutti trascurano. Un corso fatto una volta nel 2026 e mai più aggiornato, nel 2028 non dimostra granché.

Come lavoro con gli studi legali

Non arrivo con materiale generico sull'intelligenza artificiale.

Ho progettato e sviluppato LexDay, un gestionale cloud per studi legali: pratiche, calcolo automatico delle scadenze processuali, calcolatori legali conformi alla normativa vigente, parcelle e recupero crediti. Costruire software che deve produrre numeri giusti su termini processuali insegna, molto concretamente, dove l'automazione regge e dove va sorvegliata.

È lo stesso criterio che porto in aula: non che cosa l'AI promette, ma dove si rompe, e come accorgersene prima che finisca in un atto.

Il formato standard è una giornata da sei ore presso lo studio, divisibile in due mezze giornate, con il registro della formazione e una bozza di policy interna consegnati al termine. In presenza in Veneto, Lombardia e Canton Ticino, oppure online.