La giornata tipo del professionista nel 2026: un assistente digitale riassume fascicoli, redige bozze, suggerisce giurisprudenza. È rapido, comodo, quasi magico. Ma dal 2 agosto 2026 quella "magia" è entrata in un perimetro normativo preciso, che non riguarda solo chi costruisce i software, ma anche — e soprattutto — chi li usa. Nel linguaggio del regolamento europeo sull'intelligenza artificiale, chi impiega un sistema di IA sotto la propria autorità si chiama deployer: e i deployer hanno doveri nuovi.

Una data, un cambio di fase

Il regolamento (UE) 2024/1689 — l'AI Act, il primo grande quadro normativo al mondo sull'intelligenza artificiale — procede per tappe. Il 2 agosto 2026 è la tappa decisiva: da quella data si applicano i requisiti e gli obblighi per i sistemi di IA ad alto rischio elencati nell'allegato III del regolamento (art. 6); per i sistemi già immessi sul mercato prima di allora, gli obblighi scattano in caso di modifiche significative della progettazione (art. 111).

Non tutto ciò che suona come "intelligenza artificiale" è ad alto rischio: la classificazione dipende dall'uso a cui il sistema è destinato. L'allegato III elenca i settori sensibili (biometria, istruzione, lavoro, servizi essenziali e, per quanto qui interessa, amministrazione della giustizia) ma l'art. 6, comma 3, prevede una valvola di sfogo: un sistema dell'allegato III non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali (compito procedurale limitato, miglioramento di un'attività umana già completata, compito preparatorio che non sostituisce la valutazione umana). Chi ritiene che il proprio sistema non sia ad alto rischio deve però documentare questa valutazione prima dell'immissione sul mercato (art. 6, comma 4).

Il punto che tocca la giustizia

L'allegato III, punto 8, riguarda l'amministrazione della giustizia e i processi democratici: vi rientrano i sistemi di IA destinati a essere usati da un'autorità giudiziaria o per suo conto per assistere nella ricerca e nell'interpretazione dei fatti e del diritto e nell'applicazione della legge al caso concreto, nonché quelli usati "in modo analogo" nella risoluzione alternativa delle controversie. È il punto in cui il regolamento guarda direttamente al mondo del diritto: chi sviluppa o fornisce strumenti di ricerca giuridica assistita da IA ai tribunali o alle procedure di mediazione e arbitrato è un fornitore di un sistema potenzialmente ad alto rischio.

L'avvocato che usa l'IA nel proprio studio è invece un deployer: il professionista che impiega il sistema sotto la propria autorità (art. 3). E il regolamento si applica a lui direttamente, perché è stabilito nell'Unione, qualunque sia la sede del fornitore (art. 2).

Gli obblighi di chi usa l'IA

Per i sistemi ad alto rischio, l'art. 26 elenca i doveri del deployer, da tradurre nella pratica quotidiana:

• usare il sistema secondo le istruzioni del fornitore, senza forzarne l'impiego oltre la finalità prevista;
• garantire la sorveglianza umana: persone competenti devono comprendere capacità e limiti del sistema, interpretarne l'output, non subirne il fascino ("distorsione dell'automazione") e, in ultima istanza, decidere di non usarlo o di annullarne il risultato (art. 14);
• verificare che i dati immessi siano pertinenti e rappresentativi rispetto alla finalità;
• monitorare il funzionamento, segnalare al fornitore rischi o incidenti gravi, sospenderne l'uso in caso di pericolo;
• conservare i log generati dal sistema per almeno sei mesi;
• informare le persone fisiche soggette a decisioni prese o assistite dal sistema (art. 26, comma 11).

A questi si aggiungono gli obblighi di trasparenza dell'art. 50, che valgono anche fuori dall'area dell'alto rischio: chi interagisce con un sistema di IA deve saperlo; i contenuti sintetici devono essere marcati come generati artificialmente; chi pubblica testi generati dall'IA per informare il pubblico deve dichiararlo, salvo che il contenuto sia passato sotto una revisione umana con responsabilità editoriale di una persona fisica o giuridica. Un'eccezione che, per gli studi legali, ha un peso specifico: l'atto firmato dall'avvocato, che risponde del suo contenuto, è già di per sé il frutto di una revisione umana qualificata.

Il mestiere dell'avvocato: l'IA non delega il giudizio

Il regolamento europeo non esaurisce il tema: la professione forense ha le sue regole, e l'IA non le sospende. L'avvocato esercita la professione "con indipendenza, lealtà, probità, dignità, decoro, diligenza e competenza", fondando l'attività "sull'autonomia e sull'indipendenza dell'azione professionale e del giudizio intellettuale" (art. 3, l. 247/2012). Il giudizio intellettuale è, per definizione, non delegabile: l'IA può assistere la ricerca e la redazione, ma la valutazione giuridica, la strategia, la scelta, la firma, resta umana.

Due profili meritano attenzione.

Il primo è il segreto professionale: l'avvocato è tenuto alla rigorosa osservanza del segreto sui fatti appresi nell'attività di assistenza e risponde anche dei collaboratori (art. 6, l. 247/2012). Caricare atti, memorie e dati dei clienti su un sistema di IA esterno, magari gratuito, magari con sede fuori dall'UE, senza verificare dove finiscono i dati è, oggi, un rischio professionale di prima grandezza.

Il secondo è la formazione continua: l'obbligo di aggiornare costantemente la propria competenza (art. 11, l. 247/2012) comprende ormai l'alfabetizzazione sull'IA, tanto più che il regolamento esige che la sorveglianza umana sia affidata a persone "che dispongono della competenza, della formazione e dell'autorità necessarie".

C'è infine la responsabilità professionale.

Le obbligazioni dell'avvocato sono di mezzi, non di risultato: si pretende la diligenza del professionista di media attenzione e preparazione (art. 1176 c.c.). Ma la giurisprudenza è ferma nell'imporre al difensore doveri di informazione compiuta del cliente sui rischi della strategia, sull'opportunità di agire o non agire, con l'onere della prova a suo carico (Trib. Bari, sent. n. 3475/2026; Trib. Cassino, sent. n. 1317/2025).

Quando l'IA entra nella prestazione professionale, quel dovere di informazione si allarga: il cliente ha diritto di sapere se e come il suo caso è stato trattato con strumenti automatici, quali verifiche sono state fatte e chi risponde del risultato. La trasparenza non è solo un obbligo del regolamento europeo: è il presupposto del rapporto di fiducia.

Che cosa fare, in pratica

Per uno studio legale, adeguarsi significa soprattutto mettere ordine. Tre mosse concrete: mappare gli strumenti (quali sistemi di IA usiamo, per cosa, con quali dati?); adottare una policy interna che regoli l'uso dell'IA, la verifica degli output, la conservazione dei log e il divieto di caricare dati riservati su piattaforme non verificate; informare i clienti con chiarezza sulle modalità di utilizzo e sulle garanzie di riservatezza. A monte, la formazione: perché la regola d'oro resta quella che nessun algoritmo può sostituire: la responsabilità è di chi firma, e chi firma deve capire, verificare e, se serve, dire di no all'output del sistema.

La disciplina entrata in vigore il 2 agosto 2026 non è la fine dell'IA nelle professioni: è l'inizio della sua maggiore età. Usata con metodo, consapevolezza e controllo, l'IA resta uno strumento nelle mani del professionista, non il contrario.

E in questa fase di transizione, la differenza la fa chi si adegua per tempo, trasformando l'obbligo normativo in un vantaggio competitivo: rigore, riservatezza e affidabilità sono, oggi più che mai, il valore di uno studio.

Domande Frequenti (FAQ) su AI Act e Responsabilità dello Studio Legale