La domanda «posso usare l’intelligenza artificiale nello studio» ha una risposta lunga e una corta. Quella corta è sì. Quella lunga è che, dal momento in cui si comincia, ci sono tre documenti che devono dirlo (e un quarto che se ne dimentica sempre), e che nessuno guarda finché non li chiede qualcuno.
Il registro dei trattamenti
L’articolo 30 del GDPRsi apre in una scheda nuova chiede al titolare di tenere un registro delle attività di trattamento, con le finalità, le categorie di interessati e di dati, i destinatari, i trasferimenti verso Paesi terzi e i termini di cancellazione.
L’uso di uno strumento di intelligenza artificiale su documenti dei clienti tocca almeno tre di quelle colonne. Aggiunge un destinatario, se il fornitore riceve i dati. Può aggiungere un trasferimento, se il fornitore sta fuori dall’Unione. E cambia le misure di sicurezza descritte, che sono la colonna in cui il registro smette di essere un elenco e diventa una dichiarazione.
L’esenzione per chi ha meno di 250 dipendenti non aiuta: non si applica quando il trattamento non è occasionale, e quello di uno studio non lo è mai.
La riga, scritta
«Aggiornare il registro» resta un’intenzione finché qualcuno non scrive la riga, e la riga è più corta di quanto la parola adempimento faccia temere. Questa è la forma che prende quando il documento esce verso un fornitore.
Finalità: supporto alla redazione e all’analisi di documenti nell’esecuzione dell’incarico professionale. Categorie di interessati: clienti, loro dipendenti, controparti e terzi citati nei documenti. Categorie di dati: dati identificativi, fiscali, retributivi e, dove ricorrono, categorie particolari ai sensi dell’articolo 9. Destinatari: il fornitore, con la sua ragione sociale, nominato responsabile con l’accordo del [data]. Trasferimenti: verso [Paese], sulla base di [decisione di adeguatezza / clausole contrattuali tipo], con valutazione d’impatto del trasferimento del [data]. Termini di cancellazione: quelli dichiarati dal fornitore, [n] giorni, oltre alle copie di sicurezza. Misure di sicurezza: sostituzione dei dati identificativi prima dell’invio, revisione umana dei valori proposti, istruzioni scritte alle persone autorizzate.
Quando invece lo strumento gira in ufficio la stessa riga si accorcia in modo visibile: i campi destinatari e trasferimenti restano vuoti, perché non c’è nessuno a cui i dati siano stati comunicati, e la finalità si aggiunge a un trattamento che nel registro c’era già. È la differenza fra aggiungere un trattamento e descriverne meglio uno esistente, e si vede tutta in due caselle.
La nomina del responsabile
Se il fornitore tratta dati per conto vostro, è un responsabile del trattamento, e l’articolo 28 chiede un contratto scritto che descriva oggetto, durata, natura e finalità, tipi di dati, categorie di interessati e obblighi del responsabile, compresa l’autorizzazione per i sub-responsabili.
Il punto pratico è che questo contratto o esiste o non esiste. Accettare le condizioni d’uso di un servizio gratuito premendo un pulsante non è una nomina a responsabile, ed è la situazione in cui si trova chiunque usi la versione consumer di un assistente sui documenti di lavoro.
La valutazione d’impatto
L’articolo 35 chiede una valutazione d’impatto quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, e indica fra i casi tipici il trattamento su larga scala di categorie particolari. Uno studio che elabora cedolini o dichiarazioni con detrazioni sanitarie sta trattando categorie particolari; se a quel trattamento si aggiunge l’invio a un fornitore esterno con una tecnologia nuova, la valutazione va almeno fatta e messa per iscritto, anche per concludere che il rischio elevato non c’è.
La conclusione conta meno del fatto di averla scritta: è il principio di responsabilizzazione dell’articolo 5, paragrafo 2, dove non basta aver ragione, bisogna poterlo dimostrare.
Il quarto documento, quello che si dimentica
I tre di sopra sono quelli di cui si parla. Ce n’è un quarto che non richiede nessuna valutazione e che quasi nessuno aggiorna: l’informativa che i clienti hanno già firmato.
Gli articoli 13 e 14 del GDPR chiedono di dire agli interessati, fra le altre cose, quali sono i destinatari o le categorie di destinatari dei loro dati e se esiste un trasferimento verso un Paese terzo, con l’indicazione della garanzia su cui si regge. Un fornitore che prima non c’era è un destinatario che prima non c’era: l’informativa che non lo nomina descrive un trattamento che non è più quello in corso.
Vale la pena non confonderlo con l’altro obbligo informativo, quello dell’articolo 13 della legge 132/2025si apre in una scheda nuova, che riguarda l’uso dell’intelligenza artificiale nella prestazione e non il destino dei dati. Sono due frasi diverse, in due documenti che possono anche essere lo stesso foglio, e chi ne scrive una sola di solito ha scritto quella più facile. Come si scrive la seconda è un discorso a parte.
La configurazione che accorcia l’elenco
Tutti e tre gli adempimenti nascono dallo stesso fatto: i dati escono. Se non escono, il quadro cambia. Un programma che gira sui computer dello studio non è un destinatario, non è un responsabile del trattamento e non produce un trasferimento: è uno strumento, come il gestionale installato in ufficio.
Resta il trattamento che fate voi, che nel registro c’era già. È il motivo per cui Omissia lavora in locale, e anche il motivo per cui l’area account offre un documento di conformità: una lettera con data, ora e versione del testo, da archiviare insieme al registro.
L’obbligo di informare il cliente, che è un’altra cosa ancora e vive nella legge 132/2025, è scritto in un articolo suo.