Informativa ai clienti sull'IA: la clausola da copiare

Dal 10 ottobre 2025 chi esercita in Italia una professione intellettuale deve dire al cliente quali sistemi di intelligenza artificiale usa. Lo prevede il comma 2 dell’articolo 13 della legge 132/2025. È un dovere nuovo, che si aggiunge a quello antico del segreto professionale.

Gli Ordini hanno già pubblicato i loro moduli: spiegano bene ruolo dell’IA e controllo umano, ma sui dati del cliente quasi tutti rinviano al GDPR e basta. Non li butterei: li completerei con una frase scritta da chi sa quale assistente usa lo studio. La clausola d’esempio qui sotto la propone in due versioni.

Articolo 13 della legge 132/2025: cosa chiede al professionista

L’articolo ha due commi. Il primo tiene l’IA in un ruolo strumentale e di supporto, perché deve prevalere il lavoro intellettuale del professionista. Il secondo obbliga a comunicare a chi riceve la prestazione le informazioni sui sistemi usati, per proteggere il rapporto di fiducia.

Vale per tutte le professioni intellettuali, con o senza albo. Per la sanità la stessa legge, all’articolo 7, aggiunge il diritto dell’interessato a sapere che si usa l’IA: ne parla la guida sui referti medici.

Dei tre aggettivi della norma, chiaro, semplice ed esaustivo, l’ultimo è quello che mi fa più pensare. Un foglio che dice «uso l’IA nel rispetto del GDPR» è chiaro e semplice, ma lascia aperta la domanda che il cliente si fa per prima.

Modelli di informativa IA: CNF, CNDCEC, Firenze, Confprofessioni

Nell’ottobre 2025 sono usciti, a pochi giorni l’uno dall’altro, i testi che oggi girano negli studi. Abbiamo letto per intero quelli di Consiglio nazionale forense, commercialisti, Ordine degli avvocati di Firenze, Confprofessioni e consulenti del lavoro.

L’ossatura è la stessa: IA come supporto, verifica del professionista, responsabilità che resta sua. Solo la clausola dei commercialisti esclude le decisioni automatizzate dell’articolo 22 del GDPR e lascia al cliente la possibilità di chiedere che l’IA non si usi.

Tra i cinque, quello di Confprofessioni è il testo che preferisco: è l’unico che fa dire allo studio dove girano i sistemi. Peccato che al punto 5 rinvii al «D.Lgs.193/2006», che su Normattiva è il codice dei medicinali veterinari. Il Codice privacy è il 196/2003: correggilo prima di stampare.

Mandato, lettera d’incarico o foglio a parte: dove consegnarla

La legge non sceglie il documento. L’Ordine di Firenze lo lascia al professionista: lettera d’incarico, preventivo, mandato o informativa separata. La Guida operativa #3 dei commercialisti, al paragrafo 5.6, indica il momento: preferibilmente all’accettazione dell’incarico.

Per l’avvocato c’è già l’articolo 27 del codice deontologico forense, che chiede di informare la parte assistita, all’assunzione dell’incarico, sulle caratteristiche dell’incarico e sulle attività da svolgere. Il notaio informa le parti e non un cliente: il suo caso è nella pagina per i notai.

Per gli incarichi aperti prima del 10 ottobre 2025 non c’è una norma transitoria, quindi l’obbligo vale anche lì. A quei clienti manderei un foglio separato via PEC, chiedendo indietro la firma per presa visione: non è obbligatoria, ma risponde da sola alla domanda «gliel’hai detto?».

Informativa privacy (artt. 13 e 14 GDPR) e informativa sull’IA

Sono due fogli con due basi diverse. Quello sull’IA nasce dalla legge 132. Quello privacy nasce dal GDPR, che all’articolo 13 chiede di indicare i destinatari dei dati e l’eventuale trasferimento verso un paese terzo, con le garanzie che lo coprono.

Il fornitore dell’assistente che riceve i dati del cliente è un destinatario e va scritto nell’informativa privacy, anche se nomi e codici vengono sostituiti prima dell’invio: per lo studio quei dati restano personali. Dove conserva le chat il servizio più usato è ricostruito in ChatGPT e privacy.

Mi infastidisce la formula «nel rispetto del GDPR» messa al posto di una risposta. È un obbligo che il professionista ha comunque: scriverlo non informa nessuno. Il cliente vuole sapere se il suo nome finisce sul server di un’azienda americana.

Clausola sull’IA nel mandato professionale: il testo d’esempio

Il testo qui sotto riprende i punti già fissati da CNF e commercialisti, così un Ordine lo riconosce, e aggiunge al punto 3 la frase sui dati, in due versioni. Va nel mandato o nella lettera d’incarico. È un esempio: adattalo allo studio e fallo rileggere a chi segue i tuoi contratti.

Il punto 1 chiede di nominare gli strumenti. «Sistemi di intelligenza artificiale» senza un nome non mi pare esaustivo, e da un servizio all’altro le condizioni cambiano parecchio, come mostra il caso di Microsoft Copilot.

Rispetto alla clausola del CNDCEC, al punto 5 manca la parola «motivata». Pretendere che il cliente giustifichi il suo no all’IA è una scelta legittima, ma va fatta apposta e non ereditata da un modello.

La frase sui dati: versione A o versione B, quale puoi firmare

La versione A promette una cosa precisa, la sostituzione dei dati identificativi, e ammette il limite: dal contesto si può ancora risalire alle persone. Per questo tiene fuori i documenti integrali sanitari o penali. E un file caricato porta più del testo visibile: vedi i documenti caricati in ChatGPT.

La versione B è vera solo con un accordo di trattamento. Con l’account personale di un assistente generalista di solito non c’è, e l’addestramento dipende da un’impostazione, non da un contratto. La Guida dei commercialisti giudica i servizi consumer incompatibili con il segreto che grava sui professionisti.

La A è la più rassicurante per il cliente. Proprio per questo la firmerei solo con una procedura scritta alle spalle, seguita anche alle sette di sera con la scadenza addosso. Il paragrafo 5.5.2 della Guida chiede comunque di documentare sistema usato, verifiche, misure di riservatezza e comunicazioni al cliente.

Avvocati: procura alle liti, Tribunale di Ferrara e dati della controparte

Con un’ordinanza datata in calce 20 febbraio 2026 (la rivista che la pubblica la indica come del 4 marzo), il Tribunale di Ferrara ha dichiarato inammissibile un ricorso per consulenza tecnica preventiva. Una conversazione con ChatGPT prodotta come documento è stata considerata tamquam non esset: mancava perfino il quesito posto al chatbot.

Nella motivazione il giudice annota, quasi di passaggio, che dell’avvertimento dell’articolo 13 non c’era evidenza, «almeno nella procura conferita dal ricorrente». Non è una sanzione, ma indica dove un magistrato è andato a guardare. Una riga in procura che richiama l’informativa, con la sua data, costa poco.

Controparte, testimoni e consulenti finiscono negli atti senza aver firmato niente. Verso di loro l’articolo 14 del GDPR esonera dall’informativa quando i dati restano riservati per segreto professionale. Proprio perché nessuno li avvisa, i loro nomi li toglierei dal testo prima di qualunque prompt.

Per l’avvocato lo schema del CNF si può usare così com’è, con la clausola di questa pagina accanto per la frase sui dati. Le misure pensate per il lavoro sugli atti sono raccolte nella pagina per gli studi legali.

Commercialisti e consulenti del lavoro: codice deontologico e cedolini

Per il commercialista c’è anche il codice deontologico. Dal 21 novembre 2025 l’articolo 21, comma 10, vuole l’informazione «al cliente e alla parte assistita», con una menzione anche nella documentazione prodotta. Di tutto il comma, quale parte si salta per prima? La menzione nei pareri.

Buste paga e contabilità contengono i dati dei dipendenti del cliente, compresi quelli sensibili del cedolino. Per quei dati lo studio è spesso responsabile del trattamento, e l’articolo 28 del GDPR vieta di ricorrere a un altro responsabile senza l’autorizzazione scritta del titolare.

I consulenti del lavoro non hanno un modulo: la circolare del 6 ottobre 2025 chiede comunicazioni chiare e tracciabili e ricorda la responsabilità personale dell’articolo 2232 del codice civile. Se un cedolino è già partito senza autorizzazione, tocca allo studio avvisare subito il titolare.

Informativa mancante: cosa rischia lo studio e quando aggiornarla

L’articolo 13 non prevede una sanzione propria, e chi parla di multe per l’informativa mancata se le inventa. Le conseguenze però arrivano da altre norme. Conviene conoscerle prima di decidere quanto tempo dedicare a un foglio di una pagina.

Un’informativa invecchia anche se nessuno la tocca. Basta cambiare assistente, passare da un account personale a uno aziendale, aggiungere la trascrizione delle telefonate. Una volta all’anno confronterei il punto 1 della clausola con gli strumenti installati sui computer dello studio.

Dati del cliente fuori dal prompt: la versione A al lavoro

La sostituzione si fa anche a mano, con pazienza e una seconda lettura. Il punto debole è la fretta: il testo parte intero, con il codice fiscale dentro, e la clausola firmata diventa falsa senza rumore. Io non mi affiderei alla buona volontà di fine giornata.

Con più postazioni le occasioni di fretta si moltiplicano, e basta un praticante sotto scadenza. Per quel caso c’è l’estensione installata dall’IT, descritta nella pagina per le organizzazioni.

Nonimo fa questo passaggio con un tasto, sul tuo computer: nomi, codici fiscali, partite IVA e IBAN diventano etichette prima di arrivare all’assistente, e i valori veri tornano al loro posto nella risposta. È la misura che regge la versione A.

Come proteggiamo il testo è spiegato nella pagina sulla sicurezza. Nella clausola, però, descrivi la misura e non il marchio: se un giorno cambi strumento, la frase sui dati resta vera.

Fonti

• Legge 23 settembre 2025, n. 132, art. 13, Normattiva: i due commi; in vigore dal 10 ottobre 2025.
• Decreto legislativo 6 aprile 2006, n. 193, Normattiva: codice comunitario dei medicinali veterinari, il numero citato per errore dal modulo Confprofessioni.
• CNF, comunicazione ai COA del 13 ottobre 2025: prot. 7816, lo schema di informativa per gli avvocati.
• Codice deontologico forense, CNF: art. 27, informazione alla parte assistita all’assunzione dell’incarico.
• Schema di informativa IA del CNF, ripubblicato dall’Ordine degli avvocati di Milano: verifica «attenta e accurata», cliente «reso edotto».
• CNDCEC e FNC, Guida operativa di intelligenza artificiale #3: servizi consumer (par. 3.3), documentazione (5.5.2), momento della comunicazione (5.6), clausola in appendice D.
• CNDCEC, codice deontologico con le modifiche 2025: art. 21, commi 8-10; art. 45, comma 1 bis, in vigore dal 21 novembre 2025.
• Ordine degli avvocati di Firenze, comunicazione del 9 ottobre 2025: formule A, B e C, accettazione raccomandata ma non indispensabile, documento a scelta.
• Confprofessioni, modulo di informativa sull’utilizzo di strumenti di IA: tipo e provenienza dei sistemi, rinvio al «D.Lgs.193/2006».
• Consiglio nazionale dell’Ordine dei consulenti del lavoro, circolare del 6 ottobre 2025: comunicazioni chiare e tracciabili, art. 2232 c.c.
• COA di Roma, breve vademecum per avvocati sull’utilizzo dell’IA: dati da rendere anonimi, annotazione nel fascicolo, conseguenze disciplinari.
• Tribunale di Ferrara, ordinanza datata 20 febbraio 2026 (4.3.2026 per la rivista), in La Nuova Procedura Civile: conversazione con ChatGPT tamquam non esset, avvertimento dell’art. 13 non trovato nella procura.
• Regolamento (UE) 2016/679, EUR-Lex: artt. 13 e 14 (destinatari, trasferimenti, eccezione per segreto professionale), 22 e 28, par. 2.
• Regolamento (UE) 2024/1689, EUR-Lex: art. 50, obblighi di trasparenza per chatbot e contenuti sintetici.

Consultate il 10 novembre 2026.