Per un’iniziazione pratica all’uso consapevole dell’intelligenza artificiale
Un’abbondanza che non nutre
Ogni giorno il lettore attento trova sulle principali testate specialistiche commenti accurati al Regolamento (UE) 2024/1689, alle modifiche introdotte dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, alla Legge 23 settembre 2025, n. 132, ai provvedimenti del Garante e alla giurisprudenza che comincia a formarsi. Sono contributi spesso eccellenti, firmati da giuristi, avvocati, docenti, giornalisti e divulgatori di indiscussa autorevolezza, scritti con una proprietà di linguaggio curata e con un rigore che merita rispetto.
Eppure, nel confronto quotidiano con i Clienti, emerge una distanza che non riesco più a considerare marginale. Chi deve concretamente adottare uno strumento di intelligenza artificiale, il titolare di uno studio, l’imprenditore, il responsabile dei sistemi informativi di una media azienda, raramente trova in questa produzione una risposta alla domanda che davvero gli interessa. Non “che cosa dice la norma”, ma “che cosa devo fare lunedì mattina, nel mio contesto, con le mie risorse”.
A mio parere siamo di fronte a una vera e propria bulimia informativa. Si accumulano obblighi, interpretazioni, scadenze e schemi, ma l’informazione resta tale e non si trasforma in metodo. Il lettore ne esce più preoccupato che preparato, e spesso finisce per imboccare una delle due strade peggiori, l’immobilismo prudente oppure l’adozione improvvisata. Nelle pagine che seguono provo a mostrare, con qualche esempio concreto, che cosa significhi davvero passare dalla norma all’operatività, e perché proprio questo passaggio richieda competenze che raramente si trovano riunite.
Lo stesso strumento, utilizzatori diversissimi
L’intelligenza artificiale generativa è oggi accessibile a chiunque, in distribuzioni e configurazioni profondamente diverse. Esistono versioni gratuite per uso personale, abbonamenti individuali, piani business ed enterprise, accessi tramite API, soluzioni verticali integrate nei gestionali e modelli installati su infrastruttura propria. A questa varietà di offerta corrisponde una varietà ancora maggiore di utilizzatori.
Il professionista che opera da solo, lo studio associato con più sedi sul territorio, la micro impresa artigiana, la media azienda manifatturiera con un ufficio tecnico strutturato, la società di consulenza internazionale e il gruppo multinazionale utilizzano la medesima tecnologia con finalità, volumi, rischi e capacità organizzative che non hanno quasi nulla in comune. Ciò che differisce in larga parte non è tanto lo strumento, quanto la modalità con cui viene inserito nei processi. Il professionista singolo tende a servirsi di versioni pensate per il consumo personale anche quando vi inserisce dati riferibili ai clienti. Lo studio strutturato vede spesso ciascun collaboratore scegliere il proprio strumento, senza una regola comune. La piccola impresa convive con un uso spontaneo e non governato da parte dei dipendenti, quella che gli addetti ai lavori chiamano shadow AI. La media azienda integra l’IA nei gestionali senza avere mappato i flussi di dati che ne derivano, mentre i grandi gruppi faticano a conciliare le policy centrali con le prassi delle singole sedi.
Ne deriva una conseguenza che la produzione dottrinale tende a trascurare. La medesima disposizione genera oneri pratici radicalmente diversi a seconda di chi la deve applicare. L’art. 4 dell’AI Act, nella formulazione sostituita dal Digital Omnibus ed efficace dal 27 luglio 2026, chiede a fornitori e deployer di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale, tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione e del contesto d’uso, e precisa che non è richiesto di garantire un livello specifico per alcuna persona. Per un professionista singolo ciò può tradursi in un percorso formativo documentato e in una nota interna di poche righe. Per un’azienda con trecento dipendenti significa un piano differenziato per funzione, una ricognizione degli strumenti in uso e verifiche periodiche. Stessa norma, due universi operativi.
È significativo che lo stesso legislatore europeo abbia avvertito il problema. Il nuovo art. 4, par. 2, impegna la Commissione e gli Stati membri a sostenere fornitori e deployer, in particolare le PMI, e affida alla Commissione il compito di pubblicare esempi pratici di come adempiere all’obbligo. È un riconoscimento che viene dall’interno della norma stessa. Il “come” non discende automaticamente dal “cosa”, e va costruito.
Il contratto che nessuno legge
C’è poi un aspetto che considero il vero punto cieco. Pochissimi utilizzatori leggono con attenzione i termini di licenza o di servizio della soluzione che adottano. Eppure è lì, prima ancora che nei regolamenti europei, che si decide gran parte di ciò che si può e non si può fare.
I termini d’uso stabiliscono se i dati inseriti possano essere impiegati dal fornitore per addestrare i propri modelli e se l’utilizzatore possa escluderlo in modo documentabile, dove i dati vengano trattati e conservati, a chi spettino i contenuti generati, quali usi siano vietati, quali limitazioni di responsabilità operino in caso di errore o di violazione di dati, quale legge e quale foro regolino le controversie. Le differenze tra la versione consumer e il piano business di uno stesso prodotto sono spesso sostanziali e non riguardano soltanto il numero di funzioni disponibili, ma la presenza stessa di un accordo sul trattamento dei dati conforme all’art. 28 GDPR.
Chi inserisce in uno strumento gratuito il contenuto di un atto, di una perizia, di un bilancio o di un fascicolo del personale, senza aver verificato queste condizioni, rischia di realizzare un trattamento di dati personali privo di un adeguato inquadramento contrattuale con il fornitore, un trasferimento verso Paesi terzi non presidiato ai sensi degli artt. 44 e seguenti del GDPR, una violazione degli obblighi di riservatezza professionale o contrattuale e, nei casi più gravi, la divulgazione di segreti aziendali. Sono illeciti concreti e sanzionabili, che nascono quasi sempre non dalla malafede ma dalla semplice disattenzione.
C’è però un passaggio ulteriore, meno evidente. Leggere il contratto non basta, se non si è in grado di comprendere ciò a cui il contratto rinvia. Molte clausole decisive si riferiscono a impostazioni tecniche, come l’esclusione dei dati dall’addestramento attivabile a livello di account o di organizzazione, la scelta della regione di elaborazione, i tempi di conservazione dei log, la differenza tra l’uso tramite interfaccia e l’uso tramite API, i connettori che danno allo strumento accesso alla posta, ai documenti o al gestionale. Un giurista che non conosce il funzionamento di queste configurazioni rischia una valutazione formalmente ineccepibile ma priva di effetti reali. Un tecnico che le imposta senza conoscerne le implicazioni giuridiche rischia scelte efficienti ma non coerenti con gli obblighi del titolare. È il primo segnale di un filo che attraversa tutto questo ragionamento.
Come, non cosa. L’esempio dello studio legale
Prendiamo un caso volutamente semplice. Uno studio legale si chiede se e come introdurre l’IA. La letteratura disponibile gli spiegherà con dovizia che l’art. 13 della Legge 132/2025 ammette l’uso dei sistemi di intelligenza artificiale nelle professioni intellettuali per le sole attività strumentali e di supporto, con prevalenza del lavoro intellettuale oggetto della prestazione, e che il professionista deve informarne il cliente con linguaggio chiaro, semplice ed esaustivo. Tutto corretto. Ma le domande essenziali dello studio restano ancora aperte.
Le risposte dipendono da variabili che nessuna norma può fissare in astratto. Conta la dimensione dello studio, perché un avvocato che lavora da solo e una struttura con venti professionisti e dieci assistenti hanno esigenze di governo degli accessi del tutto incomparabili. Conta la tipologia di atti, perché la redazione di una diffida standard, la ricerca di precedenti, l’analisi di un fascicolo voluminoso e la preparazione di un parere complesso presentano livelli di utilità e di rischio molto diversi. Conta il numero di utenti e la gestione delle loro credenziali, perché ogni accesso è un potenziale punto di esposizione. Conta infine la distribuzione geografica delle sedi, perché flussi documentali e responsabilità devono restare coerenti anche quando il lavoro si svolge in luoghi diversi.
Vi è poi un tema raramente affrontato, quello della conservazione. Se l’IA concorre alla formazione di un documento che entra nel fascicolo, occorre domandarsi che cosa conservare, in quale forma e per quanto tempo, nel rispetto del Codice dell’amministrazione digitale (D.Lgs. 82/2005) e delle Linee guida AgID sulla formazione, gestione e conservazione dei documenti informatici. Conviene mantenere traccia delle istruzioni impartite allo strumento e delle fonti verificate ? A mio parere sì, almeno per gli atti di maggiore rilievo, perché la tracciabilità del processo è la migliore prova della diligenza professionale. Ma la risposta giuridica, da sola, non dice ancora nulla su formati, metadati, impronte di integrità, e rapporto con il conservatore, che sono scelte squisitamente tecniche dalle quali dipende il valore probatorio di ciò che si conserva.
Infine, il valore più interessante per uno studio non sta tanto nel generare testo, quanto nel valorizzare il proprio patrimonio di conoscenza. L’analisi dei casi pregressi, l’individuazione di fattispecie ricorrenti, la ricostruzione di questioni già decise con sentenza passata in giudicato possono diventare un vantaggio competitivo reale, a condizione che l’archivio sia ordinato, che gli accessi siano profilati e che ogni risultato venga verificato sulla fonte originale prima di essere utilizzato. Anche qui la dimensione tecnica è decisiva. Un sistema che indicizza l’intero archivio dello studio deve rispettare gli stessi permessi che regolano l’accesso ai fascicoli, altrimenti il collaboratore che lavora su una pratica potrebbe ottenere, con una semplice domanda, informazioni relative a clienti di cui non si occupa, con evidenti riflessi sul segreto professionale. Senza questo lavoro preliminare l’IA amplifica il disordine anziché ridurlo.
Lo stesso ragionamento vale, con le dovute differenze, per l’imprenditore. La piccola impresa che vuole automatizzare il servizio clienti e la media azienda che intende applicare sistemi automatizzati alla selezione del personale si muovono in perimetri normativi e organizzativi molto distanti. Nel secondo caso si entra nell’area dei sistemi ad alto rischio individuati dall’Allegato III dell’AI Act, i cui obblighi sono stati differiti dal Digital Omnibus ma richiedono comunque una preparazione che non si improvvisa a ridosso della scadenza, e che coinvolge allo stesso tempo il diritto del lavoro, la protezione dei dati, la sorveglianza umana sul sistema e la qualità tecnica dei dati utilizzati.
Quanto costa davvero
C’è un interrogativo che accomuna tutti, dal professionista alla multinazionale. Quanto costa tutto questo ? Nella percezione diffusa l’investimento coincide con il canone della licenza a pagamento, scelta per ottenere maggiori tutele e servizi. È una percezione comprensibile, ma incompleta.
Il costo reale di un’adozione corretta comprende voci che raramente compaiono nel preventivo. C’è il tempo dedicato alla formazione del personale e al suo aggiornamento, c’è la redazione di una policy interna d’uso e la sua manutenzione nel tempo, c’è la revisione dei contratti con i fornitori e delle lettere d’incarico con i clienti. Può rendersi necessaria una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR, e occorre comunque integrare gli strumenti con i sistemi documentali e con il processo di conservazione digitale. Soprattutto c’è il tempo necessario per verificare gli output prima di utilizzarli, che è al tempo stesso il vero presidio contro l’errore e la principale voce di costo nascosto.
Ignorare questi oneri non li elimina. Li sposta in avanti, spesso nel momento meno opportuno, quello del contenzioso, dell’ispezione o della violazione di dati. Una stima onesta del costo complessivo, al contrario, consente di decidere con lucidità se, dove e in quale misura l’IA produca un vantaggio effettivo per quella specifica organizzazione. In questa prospettiva anche il costo di un supporto qualificato va letto per ciò che è, non una spesa aggiuntiva ma lo strumento che rende prevedibili e governabili tutte le altre.
Dove il diritto incontra la tecnica
Gli esempi che precedono non sono casi marginali. Mostrano che ogni passaggio operativo, dalla lettura del contratto alla gestione degli accessi, dalla conservazione degli atti alla valorizzazione dell’archivio, si colloca nel punto esatto in cui la regola giuridica incontra la scelta tecnica. Non è un caso. Il GDPR e l’AI Act sono costruiti secondo un principio di neutralità tecnologica e fissano obiettivi, come la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR) o misure di sicurezza adeguate al rischio (art. 32 GDPR), senza indicare le configurazioni con cui raggiungerli. È proprio nella traduzione dell’obiettivo in configurazione che la conformità si vince o si perde.
Da qui derivano due errori simmetrici, che incontro con una certa frequenza. Il primo è l’approccio esclusivamente giuridico, che produce policy e informative impeccabili sulla carta ma inapplicabili – senza considerare la specifica infrastruttura tecnologica nella pratica – perché ignorano come gli strumenti funzionano davvero e che cosa consentono di impostare. Il secondo è l’approccio esclusivamente tecnico, che produce configurazioni efficienti ma prive di un ancoraggio normativo – fondamentale per completamento – senza una base giuridica verificata, senza un accordo sul trattamento adeguato, senza tempi di conservazione coerenti con le finalità. In entrambi i casi resta uno spazio vuoto tra ciò che si è scritto e ciò che accade, ed è esattamente in quello spazio che si generano le responsabilità e le sanzioni.
Per questo ritengo che imprese e professionisti, superata la fase dell’orientamento, abbiano bisogno di affidarsi a chi disponga di competenze trasversali tra la materia giuridica e quella tecnica. Queste competenze possono essere riunite in un unico professionista dalla formazione ibrida, capace di leggere con lo stesso sguardo la clausola contrattuale e l’impostazione della console di amministrazione. Oppure possono essere distribuite in un gruppo multidisciplinare, nel quale il giurista, il responsabile della protezione dei dati, l’esperto di sicurezza informatica, lo specialista di gestione documentale e il consulente di organizzazione lavorano insieme. In questo secondo caso è però indispensabile una regia unitaria e un linguaggio comune, altrimenti la frammentazione tra specialisti finisce per riprodurre all’interno del gruppo la stessa distanza tra norma e tecnica che si voleva colmare.
La scelta tra le due soluzioni dipende ancora una volta dalla dimensione e dalla complessità dell’organizzazione. Per il professionista singolo, lo studio di piccole dimensioni o la micro impresa, un unico interlocutore in grado di coprire entrambi i versanti è spesso la soluzione più efficace ed economicamente sostenibile. Per strutture articolate, con più sedi, sistemi integrati o impieghi dell’IA in ambiti sensibili, un gruppo coordinato offre la profondità specialistica che un singolo difficilmente può garantire su tutti i fronti.
Occorre infine sgombrare il campo da un equivoco. Affidarsi a un supporto qualificato non significa trasferirgli la responsabilità. Il titolare del trattamento resta tenuto a dimostrare la conformità ai sensi degli artt. 5, par. 2, e 24 GDPR, e il professionista intellettuale resta personalmente responsabile della prestazione, che l’art. 13 della Legge 132/2025 vuole fondata sulla prevalenza del suo apporto intellettuale. Proprio perché la responsabilità non si sposta, la scelta di chi ci accompagna merita attenzione. È ragionevole chiedersi se il consulente sappia leggere insieme il contratto e la configurazione, se proporzioni le soluzioni alla realtà che ha davanti, se documenti le scelte compiute in modo da poterle dimostrare e se formi le persone, anziché limitarsi a consegnare documenti destinati a restare in un cassetto.
Dalla norma al metodo
Esiste comunque uno spazio, finora poco presidiato, per una funzione divulgativa di base, capace di aiutare l’utilizzatore a impostare in modo almeno idoneo il proprio percorso, a porsi le domande giuste e a riconoscere il momento in cui serve davvero un supporto specialistico. Istruire, prima ancora che spiegare. Una divulgazione di questo tipo non sostituisce la consulenza, ma la rende più efficace, perché porta al tavolo un interlocutore consapevole, che sa che cosa chiedere e sa valutare ciò che riceve.
Immagino un percorso in brevi pillole, una sorta di piccolo bignami operativo. Ciascuna partirebbe da una disposizione precisa di un regolamento, di una legge o di un decreto legislativo per chiarire a chi si applichi davvero, che cosa occorra fare in concreto e in quale sequenza, quali errori ricorrano più spesso nella prassi, quali oneri reali comporti in termini di tempo, risorse e documentazione e in quale punto il versante giuridico e quello tecnico debbano necessariamente incontrarsi. Il punto di partenza sarebbe ciò che serve a tutti, ossia sapere quali strumenti si usano e a quali condizioni contrattuali, per arrivare progressivamente agli obblighi di alfabetizzazione e di trasparenza, al rapporto con il fornitore come responsabile del trattamento, alla valutazione d’impatto, all’informativa al cliente, alla policy interna, alla conservazione degli output e, da ultimo, alla stima del costo complessivo di adozione.
Per riflettere, e per proseguire
Lascio questa riflessione volutamente aperta, affidando al lettore alcune domande che ciascuno può rivolgere alla propria organizzazione. Sappiamo con esattezza quali strumenti di intelligenza artificiale vengono utilizzati, da chi e con quali dati ? Abbiamo letto, almeno una volta, le condizioni contrattuali che li regolano, e sappiamo tradurle nelle impostazioni effettivamente attive ? I nostri clienti sanno che ce ne serviamo, e in quale misura ? Chi verifica ciò che lo strumento produce, e dove resta traccia di quella verifica ? Chi, al nostro interno o al nostro fianco, è in grado di tenere insieme il profilo giuridico e quello tecnico delle scelte che stiamo compiendo ? Siamo in grado di stimare quanto ci costa davvero, in ore e in rischi, l’uso che ne facciamo oggi ? E, domanda forse più scomoda di tutte, stiamo adottando l’IA perché migliora il nostro lavoro o soltanto perché temiamo di restare indietro ?
Se a queste domande la risposta è incerta, non c’è motivo di allarmarsi. È semplicemente il segnale che il passaggio dal “cosa” al “come” non è ancora avvenuto. Proprio per questo, qualora la riflessione incontri l’interesse dei lettori, potrebbe prendere forma un vero e proprio playbook operativo sul modello anglosassone, uno strumento agile che raccolga in sintesi le azioni da compiere sul piano organizzativo e pratico, dalla ricognizione iniziale fino alla verifica periodica. Un punto di partenza da adattare alla dimensione e alla natura di ciascuna realtà, con il supporto delle competenze giuridiche e tecniche che quell’adattamento richiede. Un passo dopo l’altro, perché la conformità non resti un esercizio di lettura ma diventi, finalmente, un modo di lavorare.
