Intelligenza artificiale in azienda: i rischi legali nascosti e come usarla in sicurezza
Di Avv. Dott. Comm. Dario Carta · Strategie Fiscali · Luglio 2026
Nella tua azienda — o nel tuo studio — qualcuno sta già usando ChatGPT, Claude o Gemini. Quasi certamente con un abbonamento personale, attivato con la carta di credito, senza che nessuno abbia letto le condizioni d’uso. Il problema è che dentro quelle chat finiscono contratti, dati di clienti, buste paga, bilanci: e la differenza tra un uso lecito e una violazione che può costare carissimo non sta nello strumento, ma nel come lo si usa. In questa guida: cosa rischi davvero (dal segreto professionale al GDPR), perché i piani «consumer» sono il vero pericolo, cosa dice la nuova legge sull’IA nelle professioni e la checklist per usare l’intelligenza artificiale senza esporre l’azienda.
Indice
- L’IA è già entrata in azienda (dalla porta sbagliata)
- Il punto che quasi tutti sbagliano: non conta lo strumento, conta il piano
- Primo rischio: il segreto professionale (art. 622 c.p.)
- Secondo rischio: il GDPR e il contratto che (non) c’è
- Terzo rischio: i tuoi dati addestrano i modelli
- Quarto rischio: i dati volano negli USA senza paracadute
- La legge 132/2025: se sei un professionista devi dirlo ai clienti
- La checklist: usare l’IA in sicurezza
- Domande frequenti
1. L’IA è già entrata in azienda (dalla porta sbagliata)
Il fenomeno ha perfino un nome: shadow AI, l’intelligenza artificiale usata in azienda all’insaputa dell’azienda stessa. Il commerciale che fa riscrivere le offerte, l’amministrazione che fa riassumere i contratti, il titolare che chiede un parere sul licenziamento di un dipendente incollando nomi e circostanze. Tutto comodo, tutto veloce — e tutto fuori controllo: nessuno sa quali dati escono, dove vanno, quanto ci restano e chi può riusarli.
Non è un motivo per vietare l’IA: è un motivo per governarla. Perché i rischi non sono teorici: si chiamano codice penale, GDPR con sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale, responsabilità verso i clienti. E si materializzano nel momento peggiore: un contenzioso, un data breach, un’ispezione.
2. Il punto che quasi tutti sbagliano: non conta lo strumento, conta il piano
La domanda che tutti fanno è «quale IA è a norma?». È la domanda sbagliata. Le principali piattaforme — ChatGPT, Claude, Gemini — hanno tutte una doppia anima: i piani consumer (gratuiti o in abbonamento individuale) e i piani business/enterprise (per organizzazioni, anche via API). Stesso motore, condizioni giuridiche opposte.
La differenza che cambia tutto
Nei piani consumer: niente contratto a tutela dei dati aziendali, conversazioni potenzialmente usate per addestrare i modelli, conservazione decisa dal fornitore, server negli USA senza garanzie negoziate. Nei piani business: uso dei dati per l’addestramento escluso per contratto, accordo sul trattamento dei dati (DPA) incluso, clausole per i trasferimenti. La stessa chat, con due abbonamenti diversi, passa da rischio grave a uso difendibile.
Morale: prima di chiederti «quale IA uso?», chiediti «con quale piano, con quali clausole e con quali regole interne?». È una valutazione giuridica, non informatica — ed è il motivo per cui va fatta prima di adottare lo strumento, non dopo il primo problema.
Tre scene quotidiane per capire dove si annida il problema. Scena uno: lo studio professionale incolla l’atto di un contenzioso in una chat AI per farne una sintesi — dentro ci sono nomi, vicende familiari, dati patrimoniali del cliente. Scena due: l’ufficio del personale carica l’elenco dei dipendenti con stipendi e valutazioni per farsi aiutare in una riorganizzazione — dati personali, in parte delicati, di decine di persone. Scena tre: il titolare fa analizzare all’IA il contratto con il principale fornitore, coperto da accordo di riservatezza — violandolo, potenzialmente, con un copia-incolla.
In tutti e tre i casi l’operazione è identica sul piano pratico e completamente diversa sul piano giuridico a seconda del piano in uso: su un account personale è una fuga di dati verso un terzo; su un piano aziendale ben configurato è un trattamento tracciato, contrattualizzato e difendibile. Vediamo i quattro rischi uno per uno.
3. Primo rischio: il segreto professionale (art. 622 c.p.)
Se sei un professionista — avvocato, commercialista, consulente del lavoro, medico — le informazioni dei tuoi clienti sono protette dal segreto professionale: l’art. 622 del codice penale punisce chi rivela senza giusta causa un segreto appreso nell’esercizio della professione. E incollare l’atto di un cliente in una chat AI su abbonamento personale significa consegnarlo a un soggetto estraneo, libero per contratto di conservarlo e utilizzarlo.
La buona notizia: quando il fornitore è inquadrato correttamente — nominato responsabile del trattamento con vincoli di riservatezza e sicurezza — non è un «terzo» a cui riveli il segreto, ma un ausiliario che lavora per tuo conto, esattamente come il servizio di posta elettronica o il gestionale di studio. La stessa operazione materiale cambia natura giuridica a seconda del contratto che c’è sotto: per questo il fai-da-te è così pericoloso.
La prima consulenza è orientativa e riservata. Nessun impegno, solo chiarezza.
Richiedi una consulenza gratuita →
info@strategiefiscali.it · strategiefiscali.it · Tel. 329 7413254
4. Secondo rischio: il GDPR e il contratto che (non) c’è
Per il GDPR, quando usi l’IA su dati di clienti, dipendenti o fornitori, la tua azienda è titolare del trattamento e risponde di dove finiscono quei dati. Il fornitore dell’IA deve essere un responsabile del trattamento, vincolato da un contratto specifico (il DPA, previsto dall’art. 28): istruzioni documentate, misure di sicurezza, regole sui sub-fornitori, cancellazione a fine rapporto.
Nei piani business questo contratto è incluso nelle condizioni: va verificato, scaricato e conservato. Nei piani consumer non esiste: usare l’abbonamento personale sui dati aziendali significa comunicare dati personali a terzi senza base contrattuale — una violazione da manuale, con sanzioni fino a 10 milioni di euro o al 2% del fatturato (e fino a 20 milioni o al 4% per le violazioni più gravi). Il Garante ha già mostrato i muscoli sull’IA generativa: a dicembre 2024 ha sanzionato OpenAI per 15 milioni di euro su base giuridica e trasparenza di ChatGPT (esecuzione poi sospesa dal giudice, ma il segnale è chiaro).
5. Terzo rischio: i tuoi dati addestrano i modelli
Il rischio irreversibile
Sui piani individuali, le conversazioni possono essere usate per addestrare i modelli — in base a impostazioni che quasi nessuno ha mai aperto — con conservazioni anche pluriennali. Un bilancio, un contratto o una lista clienti finiti nell’addestramento escono per sempre dal tuo controllo: nessuna cancellazione potrà più raggiungerli. Sui piani business l’uso per l’addestramento è escluso per contratto. Se in azienda si usano ancora account personali, la prima cosa da fare oggi è disattivare l’opzione di addestramento — la seconda è migrare a un piano aziendale.
6. Quarto rischio: i dati volano negli USA senza paracadute
Le grandi piattaforme AI sono statunitensi: usarle significa, di regola, trasferire dati personali fuori dall’Unione europea. Il GDPR lo consente solo a condizioni precise: una decisione di adeguatezza, oppure garanzie contrattuali (le clausole standard, SCC) accompagnate — dopo la sentenza Schrems II della Corte di Giustizia — da una valutazione documentata che la protezione sia davvero equivalente. Dal 2023 esiste anche il Data Privacy Framework UE-USA, ma vale solo per i fornitori certificati nell’apposito elenco: va verificato, non dato per scontato.
Tradotto: con un piano consumer il trasferimento avviene senza alcuna rete di protezione; con un piano business hai le clausole nel DPA, ma resta da fare la valutazione d’impatto e la verifica della certificazione. Anche qui: carta e penna prima, prompt dopo.
7. La legge 132/2025: se sei un professionista devi dirlo ai clienti
Dal 10 ottobre 2025 è in vigore l’art. 13 della legge n. 132/2025: nelle professioni intellettuali l’IA può essere usata solo come supporto — il lavoro intellettuale deve restare prevalentemente umano — e il professionista deve informare il cliente, con linguaggio chiaro e completo, dell’utilizzo di questi strumenti. Il Consiglio Nazionale Forense ha già pubblicato un modello di informativa. Non è una formalità: l’omissione tocca il rapporto di fiducia, la deontologia e la difendibilità del tuo operato.
A livello europeo completa il quadro l’AI Act, con obblighi crescenti in base al rischio — ne abbiamo parlato nella guida all’AI Act e alle sanzioni fino al 7% del fatturato. E sull’uso corretto e produttivo dell’IA nel lavoro professionale trovi la nostra guida a prompting e organizzazione dello studio.
8. La checklist: usare l’IA in sicurezza
Il percorso per mettere in sicurezza l’uso dell’IA è concreto e ha priorità precise:
Subito (livello critico): censisci chi usa cosa in azienda; migra dagli account personali a un piano aziendale intestato all’organizzazione; verifica e conserva il DPA; se sei un professionista, predisponi l’informativa ai clienti ex legge 132/2025.
A stretto giro (livello alto): disattiva l’addestramento su ogni account residuo; aggiorna il registro dei trattamenti e l’elenco dei fornitori; fai la valutazione sui trasferimenti extra-UE; adotta una policy interna semplice e chiara: cosa si può inserire nei prompt, cosa mai (nomi, dati sanitari, dati giudiziari), chi autorizza cosa.
Poi (livello ordinario): valuta la DPIA per i trattamenti più delicati, coinvolgi il DPO se c’è (o verifica se devi nominarlo), forma le persone. L’IA usata così smette di essere un rischio nascosto e diventa quello che deve essere: un vantaggio competitivo difendibile.
Domande frequenti
Posso usare la versione gratuita di ChatGPT per lavoro?
Per testi generici senza dati personali o riservati, sì. Appena entrano in gioco nomi di clienti, dipendenti, contratti o numeri aziendali, no: serve un piano business con DPA e regole interne. La linea rossa non è lo strumento, è il dato che ci metti dentro.
Basta anonimizzare i dati prima di incollarli?
Aiuta molto, ma va fatto sul serio: togliere il nome non basta se il contesto rende la persona riconoscibile. La pseudonimizzazione è una buona pratica da inserire nella policy, non un sostituto del piano aziendale.
Sono una piccola impresa: vale anche per me?
Sì. Il GDPR non ha soglie dimensionali e l’errore più comune — l’account personale usato per dati aziendali — è proprio delle realtà piccole, dove nessuno ha ancora scritto una regola. La buona notizia: mettersi in sicurezza costa poco, se fatto prima.
Chi risponde se un dipendente usa l’IA in modo scorretto?
L’azienda, come titolare del trattamento — anche per le iniziative individuali non autorizzate, se non ha adottato regole, strumenti e formazione adeguati. È esattamente ciò che policy e piani aziendali servono a prevenire.
La firma che conta
Questo articolo è scritto da un Avvocato Tributarista e Dottore Commercialista. Sull’intelligenza artificiale in azienda il profilo legale, quello contrattuale e quello della responsabilità degli amministratori vanno governati insieme: il rischio non nasce dallo strumento, ma dall’assenza di regole su chi lo usa e come.
La tua azienda sta già usando l’IA. La sta usando in sicurezza?
Facciamo il check-up: censimento degli strumenti in uso, verifica di piani e contratti (DPA, trasferimenti), adeguamento privacy (registro, DPIA, informative), policy d’uso e formazione del team.
La prima consulenza è orientativa e riservata. Nessun impegno, solo chiarezza.
Richiedi una consulenza gratuita →
info@strategiefiscali.it · strategiefiscali.it · Tel. 329 7413254
L’autore
Avv. Dott. Comm. Dario Carta — Avvocato Tributarista e Dottore Commercialista, iscritto all’Albo dei Gestori della Crisi d’Impresa e all’Elenco degli Esperti nella Composizione Negoziata della Crisi. Managing Partner di Carta & Partners, con sedi a Roma e Milano. Si occupa di tax advisory, contenzioso tributario, ristrutturazione del debito e operazioni straordinarie per PMI e imprenditori.
Nota: il presente articolo ha finalità informativa e divulgativa e non costituisce parere professionale. Per una consulenza personalizzata, contattare un professionista qualificato.
