AI Act per studi professionali: cosa cambia davvero.

Cos'è l'AI Act e perché riguarda anche gli studi

L'AI Act (Regolamento UE 2024/1689) è il primo quadro normativo organico al mondo dedicato all'intelligenza artificiale. La sua logica di fondo è semplice: invece di vietare o consentire l'AI in blocco, gradua gli obblighi in base al rischio che ogni sistema pone per i diritti delle persone. Più alto è il rischio, più stringenti sono le regole; per gli usi a rischio basso, di fatto, non cambia quasi nulla.

Il punto chiave per chi gestisce uno studio è capire in che ruolo si trova. Il regolamento distingue, semplificando, tra chi sviluppa e immette sul mercato sistemi AI (il fornitore, su cui gravano gli obblighi più pesanti) e chi semplicemente li utilizza nella propria attività professionale (il deployer, ossia l'utilizzatore). Uno studio commercialista che adotta un assistente AI integrato nel gestionale, uno strumento di classificazione documenti o un generatore di bozze è, quasi sempre, un deployer — non uno sviluppatore.

Questo cambia tutto: gli obblighi del deployer sono molto più contenuti di quelli del fornitore. Restano però due aree che riguardano direttamente lo studio, qualunque strumento usi: l'alfabetizzazione AI del personale (art. 4) e gli obblighi di trasparenza verso le persone. Le vediamo entrambe più avanti.

Le 4 classi di rischio

Il cuore dell'AI Act è la classificazione dei sistemi in quattro categorie di rischio. A ciascuna corrisponde un diverso pacchetto di obblighi:

Classe di rischio	Cosa comporta	Esempi
Inaccettabile	Pratiche vietate: non possono essere immesse sul mercato né usate nell'UE.	Social scoring da parte di autorità, manipolazione subliminale, alcune forme di sorveglianza biometrica indiscriminata.
Alto rischio	Obblighi stringenti: gestione della qualità dei dati, documentazione tecnica, registrazione log, sorveglianza umana, robustezza e accuratezza.	AI usata in selezione del personale, accesso al credito, infrastrutture critiche, alcuni ambiti giudiziari.
Rischio limitato	Soprattutto obblighi di trasparenza: l'utente deve sapere che sta interagendo con un'AI o che un contenuto è generato/manipolato.	Chatbot e assistenti conversazionali, generatori di testo o immagini.
Rischio minimo	Uso sostanzialmente libero, senza obblighi specifici imposti dal regolamento.	Filtri antispam, classificazione automatica di documenti, suggerimenti di completamento testo.

Dove si collocano gli strumenti tipici di uno studio? Nella grande maggioranza dei casi, in fondo alla scala. Un assistente AI che risponde a domande sul portafoglio clienti, uno strumento che classifica e archivia documenti, un generatore di bozze di email o lettere: di norma rientrano nel rischio limitato o minimo. Non perché siano poco importanti, ma perché non decidono autonomamente su diritti fondamentali delle persone. L'attenzione, per questi strumenti, si concentra quindi sulla trasparenza e sull'uso consapevole, non su procedure di conformità pesanti.

Attenzione però a un'eccezione di buon senso: se uno studio usasse un sistema AI per selezionare candidati in fase di assunzione, quello specifico uso potrebbe ricadere tra i sistemi ad alto rischio. La classificazione segue la finalità d'uso, non l'etichetta del prodotto.

Le tempistiche di applicazione

L'AI Act è entrato in vigore il 1° agosto 2024, ma non si applica tutto in una volta: il legislatore europeo ha previsto un'applicazione scaglionata su più anni, per dare tempo a fornitori e utilizzatori di adeguarsi. Le tappe principali, da leggere con prudenza perché le date precise vanno sempre verificate sul testo ufficiale e sugli atti attuativi:

• Inizio 2025 (indicativamente): scattano i divieti sulle pratiche a rischio inaccettabile e l'obbligo di alfabetizzazione AI del personale.
• Metà 2025 (indicativamente): entrano in applicazione le regole sui modelli per finalità generali (GPAI), che riguardano soprattutto chi fornisce i grandi modelli.
• 2026–2027 (secondo il calendario di applicazione): si applicano in modo scaglionato gli obblighi sui sistemi ad alto rischio, con scadenze diverse a seconda della categoria.

Per uno studio non c'è motivo di allarme: gli obblighi che lo riguardano più da vicino — alfabetizzazione e trasparenza — sono tra i primi a diventare operativi e, al tempo stesso, tra i più gestibili. Il consiglio pratico è non rincorrere le date, ma mettere ordine nei propri strumenti AI con calma, in modo da farsi trovare pronti man mano che il calendario avanza. In caso di dubbi specifici è bene verificare con il proprio Ordine o con un consulente, perché il quadro attuativo è ancora in evoluzione.

Obbligo di alfabetizzazione AI (AI literacy)

È probabilmente l'obbligo più trasversale e quello che riguarda ogni studio, a prescindere dallo strumento usato. L'art. 4 del Reg. UE 2024/1689 stabilisce che fornitori e deployer devono adottare misure per garantire, nella misura del possibile, un livello adeguato di alfabetizzazione in materia di AI del proprio personale e di chi opera per loro conto.

In concreto, per uno studio non significa organizzare master universitari, ma assicurarsi che chi usa l'AI nel lavoro quotidiano abbia consapevolezza di:

• Cosa sa fare davvero lo strumento, e cosa no
• Quali sono i suoi limiti: può sbagliare, può "inventare" (allucinazioni), va sempre verificato
• Quando serve il controllo umano, soprattutto su atti che producono effetti per il cliente
• Come trattare i dati: cosa si può e cosa non si può inserire in uno strumento AI

La misura va calibrata sul contesto: il livello di formazione richiesto è proporzionato al tipo di sistema usato e al ruolo delle persone. Una breve sessione interna documentata, ripetuta nel tempo, è già un punto di partenza ragionevole — e dimostrabile in caso di necessità.

Obblighi di trasparenza

La seconda area che tocca direttamente lo studio è la trasparenza, prevista per i sistemi a rischio limitato. Il principio è che le persone non devono essere ingannate sul fatto di avere a che fare con un'AI o con contenuti generati artificialmente. In sintesi:

• Quando una persona interagisce con un sistema AI (ad esempio un chatbot), deve poterlo capire, salvo che sia palese dal contesto
• I contenuti generati o manipolati dall'AI (testi, immagini, audio, video) devono, nei casi previsti, essere segnalati come tali

Nel rapporto studio↔cliente questo si traduce in scelte semplici e di buon senso. Se lo studio mette a disposizione del cliente un assistente AI — per esempio per ricevere documenti o rispondere a domande di primo livello — è corretto che il cliente sappia che sta dialogando con uno strumento automatico, con la possibilità di parlare con una persona. Allo stesso modo, una comunicazione importante redatta con l'aiuto dell'AI resta sotto la responsabilità professionale di chi la firma: la trasparenza non sostituisce mai il controllo umano sul contenuto.

AI Act + GDPR: due binari da rispettare insieme

Un equivoco frequente è pensare che l'AI Act "assorba" il GDPR. Non è così: sono due binari distinti che corrono in parallelo e vanno rispettati entrambi. L'AI Act disciplina i sistemi di intelligenza artificiale in quanto tali; il Regolamento UE 2016/679 (GDPR) continua a disciplinare ogni trattamento di dati personali, anche quando avviene tramite AI.

Per uno studio significa che i dati dei clienti dati in pasto a uno strumento AI — anagrafiche, documenti contabili, informazioni fiscali — restano dati personali a tutti gli effetti. Vanno quindi rispettati i principi GDPR di sempre: base giuridica del trattamento, minimizzazione, finalità determinate, sicurezza, e in particolare il rapporto con il fornitore dello strumento, che tipicamente agisce come responsabile del trattamento e va inquadrato con un apposito accordo.

In pratica, le due verifiche vanno fatte insieme: "questo strumento AI in che classe di rischio ricade?" (AI Act) e "come tratta i dati personali dei miei clienti, e con quali garanzie?" (GDPR). Per il secondo aspetto rimandiamo alla nostra guida GDPR per studi commercialisti.

Cosa deve fare concretamente uno studio

Tradotto in operatività, mettersi in linea con l'AI Act non richiede progetti faraonici. Per uno studio di dimensioni ordinarie, i passi sono pochi e concreti:

1. Inventario degli strumenti AI: fare un elenco onesto di cosa si usa davvero (assistenti, classificatori di documenti, generatori di testo, funzioni AI dentro i software). Spesso ce ne sono più di quanti si pensi.
2. Classificazione del rischio: per ciascuno, individuare la classe di rischio in base alla finalità d'uso (di norma limitato o minimo per uno studio).
3. Formazione del team (art. 4): garantire l'alfabetizzazione AI con sessioni interne proporzionate e documentate.
4. Scelta di fornitori conformi: privilegiare strumenti che dichiarano la conformità e che non riusano i dati dei clienti per addestrare i propri modelli.
5. Governance interna minima: una breve policy d'uso dell'AI nello studio (cosa si può fare, cosa no, chi controlla cosa) e il coordinamento con la documentazione privacy esistente.

Sanzioni

L'AI Act prevede un sistema sanzionatorio graduato in base alla gravità della violazione, secondo una logica analoga a quella del GDPR. Gli importi vanno letti come tetti massimi, applicati con criteri di proporzionalità: l'importo effettivo dipende sempre dal caso concreto, dalla gravità, dalla durata e dalla cooperazione del soggetto.

Scegliere strumenti AI già conformi

La leva più efficace per uno studio non è diventare esperto di compliance AI, ma scegliere bene gli strumenti. Spostare il lavoro su un chatbot pubblico generico, in cui si incollano dati dei clienti, è la scelta che concentra più rischi: sul fronte AI Act (trasparenza, governance) e soprattutto sul fronte GDPR (dove finiscono quei dati? vengono riusati per addestrare il modello?).

Molto meglio adottare strumenti AI integrati nel gestionale, pensati per il contesto professionale, con due caratteristiche da pretendere:

• Dati segregati per studio: le informazioni di ogni studio restano isolate e non vengono mescolate o riusate altrove
• Fornitore che dichiara la conformità e che non riusa i dati dei clienti per addestrare i propri modelli

In questo modo gran parte degli obblighi viene assorbita "a monte" dalla scelta del fornitore, e allo studio resta da curare la parte interna — formazione e regole d'uso. Per approfondire come l'AI può essere usata bene nello studio, vedi la nostra guida sull'intelligenza artificiale per commercialisti.

Checklist AI Act per lo studio

1. Hai un inventario aggiornato di tutti gli strumenti AI usati in studio?
2. Hai classificato il rischio di ciascuno in base alla finalità d'uso?
3. Hai garantito l'alfabetizzazione AI del team (art. 4), con formazione documentata?
4. Rispetti gli obblighi di trasparenza quando il cliente interagisce con un'AI?
5. I tuoi strumenti AI sono coordinati con la conformità GDPR (base giuridica, accordo col fornitore)?
6. I fornitori dichiarano la conformità e non riusano i dati per addestrare i modelli?
7. Hai una breve policy interna sull'uso dell'AI in studio?
8. Eviti l'uso "selvaggio" di chatbot pubblici con dati dei clienti?

Conclusione

L'AI Act non è un muro da scalare, ma un quadro di buon senso che premia chi usa l'intelligenza artificiale in modo consapevole. Per la quasi totalità degli studi professionali, la sostanza si riduce a tre mosse: sapere quali strumenti si usano, formare il team a usarli bene, e scegliere fornitori seri che tengano i dati al sicuro. Il resto — i tetti sanzionatori da decine di milioni, gli obblighi sui sistemi ad alto rischio — riguarda soprattutto chi sviluppa l'AI o la impiega in ambiti delicati, non lo studio che la usa per lavorare meglio.

La direzione, semmai, è chiara: chi inizia ora a mettere ordine nei propri strumenti AI si farà trovare pronto man mano che il calendario di applicazione avanza, senza rincorse dell'ultimo minuto. E lo farà con un vantaggio competitivo, perché usare l'AI in modo conforme e trasparente è anche un argomento di fiducia verso i clienti.

Optlyx Prisma integra l'intelligenza artificiale dentro il gestionale, con dati segregati per studio: ogni studio lavora su un perimetro isolato, le informazioni dei clienti non vengono riusate per addestrare modelli, e gli strumenti AI sono pensati per il contesto professionale. È l'opposto del chatbot pubblico: l'AI dove serve, senza disperdere i dati dei clienti fuori dal controllo dello studio.

Domande frequenti sull'AI Act