Quando l'intelligenza artificiale entra in studio, che cosa va aggiunto al registro dei trattamenti?

Quando un assistente di intelligenza artificiale riceve dati personali o documenti riferibili a persone fisiche, il suo impiego deve entrare nella mappa privacy dello studio. Nel registro dei trattamenti non occorre descrivere ogni prompt, ma rendere tracciabili finalità, categorie di dati, soggetti coinvolti, fornitore, trasferimenti e misure. La domanda non è se lo strumento sia moderno o diffuso, ma quali dati escono dallo studio, per quale scopo e con quali garanzie.

Per studi professionali e PMI, prudenza non significa divieto assoluto. Un assistente può supportare prime bozze, sintesi di norme o controlli formali. Ma chi incolla un contratto, una dichiarazione, una relazione o una mail di cliente attiva un flusso da governare prima della produttività.

Gli strumenti entrati in studio senza essere mappati

Gli assistenti generativi entrano spesso dalla porta laterale: un collaboratore apre un account gratuito, un reparto acquista una licenza con carta aziendale, il gestionale attiva un riepilogo o una suite di posta introduce la scrittura assistita. Il registro continua così a descrivere soltanto gestionali, archivi cartacei, PEC e cloud documentale.

La ricognizione deve includere applicazioni web, estensioni del browser, funzioni integrate nei software adottati, chatbot, trascrittori, traduttori e strumenti di estrazione dai documenti. Anche l'uso da smartphone e account personali va considerato: una credenziale privata non elimina la responsabilità organizzativa del titolare quando il contenuto proviene dall'attività lavorativa.

Un censimento efficace parte dai processi quotidiani: redazione di atti, bilanci, risposte ai clienti, gestione del personale, preventivi, recupero crediti, due diligence e analisi documentale. Per uno studio che opera per conto della clientela, la ricognizione si collega alla domanda affrontata in In che modo uno studio di commercialisti mappa i trattamenti svolti per conto dei clienti?, perché ruolo privacy e dati trattati possono cambiare in base all'incarico.

Perché un assistente di scrittura è a tutti gli effetti un trattamento

Il GDPR definisce trattamento in modo ampio: raccolta, registrazione, consultazione, comunicazione, raffronto, cancellazione e ogni operazione sui dati personali. Incollare un testo, chiederne la sintesi e ricevere una versione rielaborata può comportare trasmissione al fornitore, analisi automatizzata, memorizzazione temporanea, cronologia e accesso di subfornitori.

Lo strumento non richiede necessariamente una voce isolata nel registro se è una modalità tecnica di un trattamento già descritto. Tuttavia, una scheda dedicata o un'integrazione visibile di quella esistente è spesso più leggibile e distingue l'IA per bozze interne dal trattamento principale, come consulenza fiscale, amministrazione del personale o contenzioso.

Elemento della scheda	Come descriverlo per un assistente di redazione
Denominazione	Supporto alla redazione e revisione di bozze mediante assistente IA, indicando il processo di studio coinvolto.
Finalità	Prime bozze, sintesi di testi autorizzati, miglioramento di struttura e leggibilità, senza sostituire la valutazione professionale.
Categorie di dati	Dati identificativi e professionali, dati nei documenti di lavoro e, solo in casi definiti, dati particolari o giudiziari.
Interessati	Clienti, referenti, dipendenti, collaboratori, fornitori, controparti e altri soggetti presenti nella pratica.
Destinatari	Fornitore, eventuali subresponsabili contrattuali e soggetti autorizzati interni.
Conservazione e trasferimenti	Tempi per cronologia e file, ubicazione del trattamento, paesi coinvolti e garanzie per trasferimenti.
Misure	Account nominativi, autenticazione forte, profili autorizzativi, istruzioni d'uso, controlli sui prompt e verifica umana dell'output.

Le basi giuridiche non sono richieste espressamente dall'articolo 30 per ogni scheda del titolare, ma indicarle nella documentazione di supporto evita ambiguità. La descrizione deve essere concreta: formule come “uso dell'IA per ogni esigenza dello studio” non aiutano personale e verificatori.

Base giuridica e minimizzazione quando i dati escono dallo studio

L'assistente non crea una nuova base giuridica, che resta quella del trattamento principale: esecuzione di contratto o misure precontrattuali, obbligo legale, legittimo interesse correttamente valutato oppure, nei casi appropriati, consenso. Se cambia finalità, cambia l'analisi. Il consenso non può essere una formula generica per coprire un caricamento evitabile su un servizio esterno.

La minimizzazione opera prima del prompt. Occorre chiedersi se il modello necessiti davvero di nominativo, codice fiscale, indirizzo, numero di pratica o allegato completo. Spesso basta un estratto, dati fittizi o una struttura documentale senza riferimenti identificativi.

• Sostituire nomi, ragioni sociali, indirizzi, email, numeri di telefono, coordinate bancarie e identificativi fiscali con segnaposto coerenti.
• Eliminare date puntuali, riferimenti a procedimenti, numeri di fascicolo e combinazioni di dettagli che rendono riconoscibile una persona.
• Non caricare dati relativi a salute, appartenenza sindacale, vita sessuale, procedimenti giudiziari o minori, salvo valutazione specifica e garanzie effettivamente adeguate.
• Usare un estratto strettamente necessario invece di un intero contratto, verbale o dossier cliente.
• Verificare sempre l'output: l'assistente può inventare fonti, alterare clausole o reintrodurre inferenze non presenti nel testo.

Pseudonimizzare non equivale sempre ad anonimizzare. Se lo studio conserva la chiave che riconduce il segnaposto al cliente, il dato resta personale. L'anonimizzazione è utile solo se la reidentificazione non è ragionevolmente possibile, considerando contesto, informazioni disponibili e combinazioni di elementi trasmessi.

Il rapporto con il fornitore: nomina, titolarità autonoma, riutilizzo dei contenuti

Prima di autorizzare un servizio vanno letti contratto, condizioni del piano acquistato, informativa privacy, elenco dei subfornitori e documentazione tecnica. Le etichette “enterprise” o “privacy friendly” non sostituiscono la verifica: conta ciò che il fornitore si impegna a fare con input, output, file, log e dati di account.

Se il fornitore tratta i contenuti solo per erogare il servizio secondo istruzioni documentate dello studio, va valutata la nomina a responsabile ai sensi dell'articolo 28 GDPR. L'atto deve definire oggetto, durata, natura, finalità, categorie di dati, istruzioni, misure, subresponsabili, assistenza e restituzione o cancellazione. Per i punti essenziali è utile approfondire Quali contenuti deve avere l'atto di nomina a responsabile esterno previsto dall'articolo 28 del GDPR?.

Non ogni fornitore è però responsabile. Se usa i contenuti per finalità proprie, quali addestramento, sviluppo generalizzato del modello, profilazione commerciale o miglioramento non circoscritto al servizio, può agire almeno per tale porzione come titolare autonomo. Vanno quindi verificate compatibilità, trasparenza, basi giuridiche e possibilità concreta di escludere il riutilizzo. Una nomina firmata non corregge un ruolo diverso nei fatti.

Le clausole rilevanti riguardano uso dei contenuti per addestramento o miglioramento, valore predefinito delle opzioni di esclusione, conservazione di prompt e cronologie, cancellazione, subresponsabili, ubicazione di server e assistenza tecnica. Gli eventuali trasferimenti verso paesi terzi vanno valutati ai sensi degli articoli 44 e seguenti GDPR, comprese garanzie e circostanze del trasferimento.

Segreto professionale e dati dei clienti negli atti caricati

Per avvocati, commercialisti, consulenti del lavoro, notai e altri professionisti regolamentati, la privacy è solo una parte del controllo. Un atto può contenere strategie difensive, situazioni patrimoniali, informazioni fiscali, dati disciplinari, sanitari o circostanze riservate di terzi. Segreto professionale e regole deontologiche impongono di valutare se la comunicazione a un servizio esterno sia compatibile con incarico, rapporto fiduciario e obblighi di categoria.

Non è prudente ritenere un documento caricabile perché il fornitore dichiara la cifratura o è stato nominato responsabile. Occorre chiedersi se quel contenuto debba uscire dallo studio per ottenere il risultato. Per gli atti più delicati, sarà spesso ragionevole lavorare su testo anonimizzato, usare strumenti autorizzati in ambiente contrattualmente controllato o rinunciare all'assistente.

Anche un collaboratore benintenzionato può esporre informazioni riservate copiando nella chat una mail del cliente. Le istruzioni agli autorizzati devono quindi essere specifiche, accompagnate da formazione, esempi di prompt ammessi e canali interni per chiedere un parere in caso di dubbio.

Che cosa aggiunge il Regolamento UE 2024/1689 al quadro esistente

Il Regolamento UE 2024/1689, noto come AI Act, non sostituisce il GDPR né rende automaticamente illecito l'uso di un assistente generativo. Introduce un quadro basato sul rischio, con obblighi differenziati per fornitori, soggetti che immettono sistemi sul mercato e utilizzatori professionali. L'applicazione è graduale, secondo date e disposizioni previste dal Regolamento.

Per uno studio, il punto immediato è non trattare l'IA come una scatola nera acquistata dall'IT. L'articolo 4 richiede a fornitori e deployer misure per assicurare un adeguato livello di alfabetizzazione in materia di IA alle persone che operano per loro conto, considerando conoscenze tecniche, esperienza, formazione e contesto d'uso.

Un assistente di scrittura non è ad alto rischio solo per il suo nome. Lo studio deve però verificare il caso d'uso: IA impiegata per valutare persone, selezionare candidati, assumere decisioni con effetti rilevanti o trattare ambiti regolati può richiedere un'analisi più approfondita. Restano fermi i principi GDPR, inclusi liceità, trasparenza, minimizzazione, sicurezza e valutazione d'impatto quando il rischio elevato lo richiede.

Una politica d'uso interna scritta e mostrabile

Una politica interna breve, approvata e consegnata al personale vale più di un divieto generico aggirato per chiudere una pratica urgente. Deve tradurre i principi in decisioni ripetibili: strumenti autorizzati, soggetti abilitati ad attivarli, account da usare, contenuti vietati e responsabili delle impostazioni contrattuali e tecniche.

Il documento dovrebbe indicare almeno l'obbligo di usare account aziendali autorizzati, il divieto di caricare file completi senza verifica, minimizzazione preventiva, divieto o condizioni rafforzate per dati particolari e giudiziari, revisione umana di ogni output e divieto di presentare testi generati come pareri verificati. Deve prevedere anche la segnalazione di errori, caricamenti impropri o incidenti al referente privacy.

È utile assegnare responsabilità riconoscibili: titolare o direzione approvano gli strumenti, responsabile IT configura accessi e conservazione, referente privacy verifica ruoli e documenti, responsabili di area valutano i casi d'uso, autorizzati applicano le istruzioni. La politica può richiedere verifiche preventive per nuovi strumenti e revisioni quando il fornitore modifica termini, funzioni, server o opzioni sull'addestramento.

La documentazione non deve restare in una cartella dimenticata. Registro, nomine, istruzioni, elenco dei servizi autorizzati e prove di formazione devono potersi mostrare insieme in caso di richiesta o controllo. TrattamentiInRegola aiuta a costruire passo passo registro dei trattamenti, nomine e informative pronti da organizzare e da esibire, collegando processi reali, fornitori e responsabilità interne. Per un confronto metodologico su costi e attività necessarie, può essere utile anche Quanto costa mettersi in regola con il GDPR in uno studio e quali voci pesano?.

In sintesi, l'assistente IA va inserito nel registro quando entra nel flusso di dati dello studio, con descrizione aderente all'uso effettivo, controlli sul fornitore e regole che riducano i contenuti caricati. GDPR, segreto professionale e AI Act richiedono governo documentato, non fiducia generica nella tecnologia. Per impostare una mappatura sostenibile sul vostro caso concreto, potete scrivere dal modulo di contatto e confrontarvi con Jimenez Julien.