L’Italia ha una legge organica sull’intelligenza artificiale: la legge 23 settembre 2025, n. 132si apre in una scheda nuova, in vigore dal 10 ottobre 2025. Non sostituisce il regolamento europeo, ci si affianca, e per un professionista la parte che conta sta in un articolo solo.
L’articolo 13, e le due condizioni che pone
La norma riguarda le professioni intellettuali. Dice che i sistemi di intelligenza artificiale si possono impiegare esclusivamente per attività strumentali e di supporto all’attività professionale, con la prevalenza del lavoro intellettuale del professionista, e che il cliente va informato in modo chiaro, semplice ed esaustivo sull’uso di quei sistemi.
Sono due condizioni distinte, e vale la pena non confonderle. La prima riguarda come si lavora: lo strumento è di supporto, la parte intellettuale resta della persona. La seconda riguarda che cosa si dice: il cliente deve saperlo.
Chi sta dentro «professioni intellettuali»
La norma non elenca le professioni e non nomina nessun albo, e questo è deliberato: usa la categoria delle professioni intellettuali, che il codice civile definisce all’articolo 2229 e che comprende sia quelle organizzate in ordini e collegi sia quelle che non lo sono. Ci stanno dentro avvocati, notai, dottori commercialisti ed esperti contabili, consulenti del lavoro, architetti, ingegneri, medici; e ci sta dentro anche chi vende una prestazione intellettuale senza avere un albo alle spalle.
La conseguenza pratica è che non esiste la risposta «da noi non si applica perché non siamo un ordine». Esiste invece una questione di proporzione: l’articolo 13 chiede un’informazione, non un sistema di gestione, e per uno studio di tre persone si soddisfa con un paragrafo nel mandato. Il rischio, davanti a una norma nuova, è sempre lo stesso: costruire un adempimento più grande di quello che la norma chiede, e poi non riuscire a mantenerlo.
Che cosa vuol dire «strumentale e di supporto»
La legge non elenca le attività ammesse, e non poteva farlo senza invecchiare in sei mesi. Il criterio è la prevalenza: se il contributo della macchina è la ricerca, la sintesi, la prima stesura o il controllo formale, e la valutazione resta di chi firma, la condizione è rispettata.
Non lo è quando la macchina decide. Un parere consegnato senza essere stato riletto, un atto costruito su citazioni non verificate, una risposta trasmessa al cliente perché sembrava sensata: sono i casi in cui il lavoro intellettuale non è prevalente, ed è irrilevante che nessuno se ne accorga.
Come questo si traduca in pratica sta nell’articolo sul controllo umano, insieme all’ordinanza del Tribunale di Firenze del 14 marzo 2025, che sullo stesso principio ha deciso un caso vero.
L’obbligo informativo, che non ha una forma
La legge non prescrive come informare. Restano al professionista il momento, il mezzo e le parole: il mandato, il preventivo, un’informativa a parte. Restano anche le conseguenze del non averlo fatto, che non sono una sanzione scritta nella legge ma un problema che si presenta più tardi, sul piano deontologico e in un eventuale contenzioso sulla responsabilità professionale.
Che cosa scriverci dentro, con una traccia da adattare, sta nell’articolo dedicato.
Che altro c’è dentro, e perché conviene saperlo
Gli altri cinque capi non riguardano lo studio nel suo lavoro quotidiano, e riguardano i suoi clienti. In sanità la legge disciplina l’uso dell’intelligenza artificiale a supporto di diagnosi e cure, con la validazione periodica degli algoritmi. Sul lavoro tocca l’impiego dei sistemi nella gestione del rapporto. Ci sono disposizioni sulla pubblica amministrazione e sulla giustizia, e una parte sul diritto d’autore.
E c’è la nuova fattispecie penale sui contenuti generati o alterati. L’articolo 612-quater del codice penalesi apre in una scheda nuova, «illecita diffusione di contenuti generati o alterati con sistemi di intelligenza artificiale», in vigore dallo stesso 10 ottobre 2025, punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto a una persona cedendo, pubblicando o comunque diffondendo, senza il suo consenso, immagini, video o voci falsificati o alterati con l’intelligenza artificiale e idonei a ingannare sulla loro genuinità. Si procede a querela, salvo i casi di vittima incapace o di fatto commesso contro una pubblica autorità a causa delle sue funzioni.
Due elementi vanno tenuti presenti perché la norma è più stretta di come viene raccontata: serve il danno ingiusto, quindi la diffusione da sola non basta, e la clausola di riserva lascia il posto ai reati più gravi quando ci sono. È la parte della legge che arriva in uno studio da un’altra porta: non come domanda su quale strumento usare, ma come pratica di qualcuno a cui è stata attribuita una cosa che non ha detto.
Tre discipline sullo stesso gesto, e quella che morde
Chi legge tre articoli su questi temi finisce con tre nomi in testa: AI Actsi apre in una scheda nuova, GDPRsi apre in una scheda nuova, legge 132. E con la sensazione di doverli rispettare tre volte. Si tengono insieme meglio guardando che cosa ciascuno chiede davvero quando un avvocato incolla un documento in un assistente.
L’AI Act guarda il sistema e chi lo mette sul mercato: per uno studio, che è un semplice utilizzatore, resta l’alfabetizzazione del personale e poco altro. La legge 132/2025 guarda il rapporto con il cliente: lo strumento è di supporto, e il cliente deve saperlo. Il GDPR guarda il documento: chi lo riceve, con quale base giuridica, per quanto tempo, con quale accordo e con quale strumento se esce dall’Unione.
Messi in fila si vede subito quale dei tre morde di più, e non è quello di cui si parla di più. Le prime due discipline si soddisfano con una pagina scritta bene, una volta. La terza chiede una scelta su come lavorare, e la chiede a ogni documento. L’AI Act lato utilizzatore e il GDPR davanti a un modello hanno ciascuno il loro articolo.
La parte che non è ancora scritta
Gli articoli 16 e 24 contengono deleghe al Governo: uno o più decreti legislativi da adottare entro il 10 ottobre 2026, su dati e algoritmi per l’addestramento, adeguamento dell’ordinamento nazionale all’AI Act, poteri delle autorità, sanzioni, formazione, e responsabilità civili e penali.
Vuol dire che il quadro non è chiuso, e che la parte sanzionatoria (cioè quella che di solito decide quanto una norma pesa) arriva dopo. Chi legge questo articolo fra un anno farà bene a controllare che cosa di quelle deleghe è diventato un decreto: la struttura della legge resterà, i numeri no.
Quello che questa legge non tocca
La 132/2025 non è una legge sulla protezione dei dati, e non modifica il GDPR. Il documento del cliente mandato a un fornitore resta un trattamento di dati personali con tutto quello che si porta dietro: base giuridica, informativa, nomina del responsabile, eventuale trasferimento fuori dall’Unione.
Detto altrimenti: informare il cliente che si usa l’intelligenza artificiale non autorizza a mandargli fuori i documenti. Sono due adempimenti diversi, che rispondono a due domande diverse, e chi li tratta come uno solo di solito ha risposto alla più facile.
L’altro pezzo del quadro, il regolamento europeo, sta nell’articolo sull’AI Act.