Sono le nove di sera, la comparsa di controparte è di sessanta pagine e l’udienza è giovedì. Incollarla in una chat e chiedere un riassunto per punti costa venti secondi e fa risparmiare due ore. È un gesto che in uno studio si fa senza pensarci, ed è per questo che vale la pena guardare che cosa succede mentre lo si fa.
Rivelare non richiede un pubblico
L’articolo 622 del codice penalesi apre in una scheda nuova punisce chi, avendo notizia di un segreto per ragione della propria professione, lo rivela senza giusta causa, se dal fatto può derivare nocumento: reclusione fino a un anno o multa da 30 a 516 euro, e si procede a querela della persona offesa.
La parola su cui si ferma chi legge quella norma per la prima volta è «rivela». Suona come una confidenza a qualcuno, e una casella di testo non sembra qualcuno. Ma dall’altra parte della casella c’è una società, con i suoi dipendenti, i suoi registri e le sue condizioni d’uso: il testo è stato comunicato a un terzo, che l’ha ricevuto, conservato per un tempo che decide lui e, a seconda del contratto, usato per addestrare. Il fatto che il terzo sia un programma non toglie la società che c’è dietro.
La multa, per inciso, è la parte trascurabile. Il nocumento che serve a integrare il reato è la stessa cosa che chiude un rapporto con un cliente e apre una richiesta di risarcimento, e quella non ha un massimo di 516 euro.
Il consiglio dell’ordine non aspetta la querela
Il codice deontologico forensesi apre in una scheda nuova arriva prima e da un’altra parte. L’articolo 13 vincola l’avvocato alla rigorosa osservanza del segreto professionale e al massimo riserbo su fatti e circostanze apprese nell’attività di rappresentanza e assistenza; l’articolo 28 lo ripete come dovere e come diritto primario, e aggiunge la cosa che di solito si dimentica: l’obbligo resta anche quando il mandato è finito, rinunciato o mai accettato.
La sanzione per la violazione parte dalla censura e arriva, nei casi gravi, alla sospensione da uno a tre anni. Non serve che qualcuno sporga querela e non serve che il cliente si sia accorto di niente: basta un procedimento disciplinare, e i procedimenti disciplinari nascono anche da una segnalazione di controparte.
Il segreto non è solo dell’avvocato che firma
Il dovere del codice deontologico non si ferma a chi ha il mandato: l’avvocato deve farlo osservare anche ai propri collaboratori, ai dipendenti e a chi frequenta lo studio per la pratica. Il GDPRsi apre in una scheda nuova arriva alla stessa conclusione da un’altra strada e in modo più duro: non guarda chi ha premuto invio, guarda chi è titolare del trattamento. Un praticante che alle nove di sera incolla una comparsa in una chat non espone se stesso, espone lo studio.
Non è un’ipotesi di scuola. Nel caso su cui si è pronunciato il Tribunale di Firenze (un atto che citava sentenze inesistenti generate da ChatGPT), il difensore ha dichiarato che quelle citazioni venivano dalla ricerca fatta da una collaboratrice di studio, del cui uso dell’intelligenza artificiale non era a conoscenza. È la frase che conta più della decisione: davanti al giudice non era una difesa, era l’ammissione che dentro lo studio non c’era una regola.
La conseguenza pratica è breve. Se la regola sta nella testa del titolare, esiste per il titolare e per nessun altro; perché esista per tutti deve essere scritta, deve dire quali strumenti si possono usare con quali documenti, e deve essere letta da chi entra. Una pagina basta, e una pagina è anche l’unica lunghezza che qualcuno legge davvero.
Poi c’è il regolamento, ed è l’unico che chiede di dimostrare
Lo studio è titolare del trattamento dei dati dei clienti. Incollare un atto in un servizio esterno è un trattamento: va giustificato con una base giuridica, va coperto da un rapporto con quel fornitore, va valutato per il trasferimento fuori dall’Unione se il fornitore sta fuori, e va accompagnato da misure adeguate al rischio ai sensi dell’articolo 32.
La differenza con le prime due norme è il verso della prova. Nel penale e nel disciplinare qualcuno deve dimostrare che avete sbagliato; nel GDPR siete voi a dover dimostrare di aver fatto le cose per bene, ed è il principio di responsabilizzazione dell’articolo 5, paragrafo 2. Alla domanda «che misure avete preso prima di dare quel documento a un fornitore terzo», la risposta «l’ho letto io prima» non è una misura.
Le misure che il regolamento riconosce hanno una forma nota, e nessuna di esse è un’intenzione. Il trattamento va scritto nel registro dell’articolo 30 con la sua finalità, la sua base giuridica e i suoi destinatari; il fornitore va nominato responsabile con l’accordo dell’articolo 28; il trasferimento fuori dall’Unione va retto da uno degli strumenti del capo V; e quando il trattamento è su larga scala o riguarda categorie particolari serve la valutazione d’impatto dell’articolo 35. Quali di questi scattano davvero dipende da come lo strumento è configurato, ed è il primo posto in cui una scelta tecnica accorcia un elenco di adempimenti.
Le tre domande da farsi prima di incollare
Tutto quello scritto sopra si comprime in un controllo di venti secondi, che è più o meno il tempo che si ha alle nove di sera. Sono tre domande, in quest’ordine.
Uno: in questo testo c’è qualcosa che riporta a una persona? Non «c’è un nome»: c’è un codice fiscale, un IBAN, un numero di ruolo, una data di nascita, un indirizzo, un identificativo catastale. Se la risposta è sì, il testo così com’è non esce.
Due: la domanda che sto per fare ha bisogno di quel dato? Quasi mai. «Riassumi per punti», «trova le eccezioni preliminari», «questo termine è perentorio» sono domande sulla struttura di un testo e sul diritto, non sulle persone. Se la risposta è no, il dato va sostituito e non c’è altro da decidere.
Tre: se la risposta mi torna, so rimettere i valori veri al loro posto? È la domanda che distingue un lavoro utile da un esercizio: un riassunto pieno di segnaposto che poi qualcuno deve ricopiare a mano ha consumato il tempo che doveva far risparmiare.
E dal 2025 c’è anche l’obbligo di dirlo
Alle tre norme di sopra, dal 10 ottobre 2025, se ne aggiunge una quarta: l’articolo 13 della legge 132/2025si apre in una scheda nuovachiede al professionista di dire al cliente che usa sistemi di intelligenza artificiale (che cosa chiede esattamente sta qui).
È l’unica delle quattro che cambia qualcosa anche per chi finora non aveva fatto niente di male. Finché l’uso della chat era una questione fra sé e sé, tacerlo non era omettere; da quando informare è un obbligo, non averlo fatto è una cosa in più da spiegare, e la si spiega davanti a un cliente che nel frattempo lo ha scoperto da solo.
La strada che resta è togliere i dati prima, non dopo
Nessuna delle norme qui sopra vieta lo strumento. Vietano di dare a un terzo i dati del cliente, che è un’altra cosa. Un riassunto di sessanta pagine in cui le parti si chiamano [FULLNAME_1] e [FULLNAME_2] è utile esattamente quanto l’altro, perché quello che serve è la struttura delle domande, non l’anagrafica.
La condizione perché funzioni è che la sostituzione avvenga prima che il testo esca, e sul computer dello studio. Un servizio in rete che anonimizza per conto vostro ha visto il documento in chiaro per poterlo anonimizzare, e a quel punto avete due fornitori invece di uno. È il motivo per cui Omissia lavora in locale: l’analisi, il modello che riconosce i valori e la corrispondenza fra segnaposto e nomi veri restano sulla macchina, cifrati con il portachiavi di sistema, e la corrispondenza sparisce quando sparisce la pratica.
Che cosa esattamente vada tolto da un atto sta nell’articolo che elenca i valori, e che cosa continui a identificare un fascicolo dopo che i nomi sono spariti sta in quello sui metadati.