Il metodo di integrazione dell’AI nell’attività professionale tra AI Act e legge n. 132/2025
Di Avv. Dott. Comm. Dario Carta — Carta & Partners · Luglio 2026
L’intelligenza artificiale generativa è entrata stabilmente negli studi professionali, ma il divario nei risultati non dipende dal modello impiegato: dipende dal metodo. Il contributo esamina le due competenze che qualificano un uso professionale dell’AI — il prompting strutturato (ruolo, contesto, compito, formato, controlli) e i sistemi agentici integrati nei processi dello studio tramite standard quali l’MCP — unitamente ai presidi contro le allucinazioni e al quadro regolatorio di riferimento: gli obblighi già operativi dell’AI Act (Reg. UE 2024/1689), a partire dall’alfabetizzazione ex art. 4, e l’art. 13 della legge n. 132/2025, che impone strumentalità dell’AI, prevalenza del lavoro intellettuale e informativa al cliente. Chiude l’analisi un percorso di implementazione in quattro fasi.
Indice
L’intelligenza artificiale generativa è ormai stabilmente presente nell’attività degli studi professionali: ricerca e sintesi documentale, prime stesure di pareri e contratti, analisi di bilanci e fascicoli. L’esperienza applicativa dei primi anni consegna però un dato che merita riflessione: a parità di strumenti, i risultati divergono in misura marcata. La variabile discriminante non è il modello linguistico adottato — le piattaforme di ultima generazione presentano capacità largamente sovrapponibili — bensì il metodo con cui lo strumento viene istruito, verificato e integrato nei processi dello studio.
Il tema ha assunto, peraltro, una dimensione squisitamente giuridica. Con l’applicazione progressiva del Regolamento (UE) 2024/1689 (AI Act) e l’entrata in vigore della legge 23 settembre 2025, n. 132, l’impiego dell’AI nelle professioni intellettuali è oggi un’attività regolata, che impone obblighi di formazione, trasparenza e presidio umano. Il presente contributo esamina le due competenze operative che qualificano un uso professionale dell’AI — la formulazione strutturata delle richieste (prompting) e l’integrazione nei processi mediante sistemi agentici — e il quadro di governance entro cui esse devono collocarsi.
L’AI Act adotta un approccio basato sul rischio, graduando gli obblighi in funzione della pericolosità dei sistemi. Per gli studi professionali, che tipicamente impiegano sistemi di AI generativa quali deployer (utilizzatori professionali), rilevano in particolare due profili già efficaci.
Il primo è l’obbligo di alfabetizzazione di cui all’art. 4, applicabile dal 2 febbraio 2025: chi utilizza sistemi di AI deve garantire al proprio personale un livello sufficiente di competenza, commisurato al contesto d’uso. Non si tratta di un adempimento formale: la Commissione europea ha chiarito che la formazione deve essere effettiva e documentabile, e la sua carenza può assumere rilievo aggravante nella valutazione di altre violazioni. Il secondo è l’apparato sanzionatorio: per le violazioni più gravi il regolamento prevede sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Sul punto si rinvia alla nostra guida alle sanzioni dell’AI Act.
Giova precisare la distinzione di ruoli su cui il regolamento è costruito. Il provider è chi sviluppa e immette sul mercato il sistema; il deployer è chi lo utilizza sotto la propria autorità nell’esercizio di un’attività professionale. Lo studio che adotta una piattaforma di AI generativa assume, di regola, la seconda veste: ne discendono obblighi proporzionati — alfabetizzazione, uso conforme alle istruzioni, sorveglianza umana — ma non per questo trascurabili, tanto più che l’applicazione del regolamento procede per scaglioni temporali: ai divieti delle pratiche inaccettabili e all’art. 4, già efficaci, sono seguiti nell’agosto 2025 gli obblighi per i modelli di AI per finalità generali (GPAI), mentre il grosso della disciplina sui sistemi ad alto rischio diverrà applicabile tra il 2026 e il 2027. Un assetto organizzativo costruito oggi evita, domani, adeguamenti affrettati.
Sul piano interno, la legge 23 settembre 2025, n. 132 — in vigore dal 10 ottobre 2025 — detta la prima disciplina organica nazionale in materia di intelligenza artificiale. Per i professionisti la disposizione centrale è l’art. 13, che fissa tre principi.
I tre principi dell’art. 13
(i) l’AI può essere impiegata nelle professioni intellettuali esclusivamente come strumento di supporto, per attività strumentali e ausiliarie rispetto alla prestazione; (ii) deve essere assicurata la prevalenza del lavoro intellettuale del professionista, che conserva l’apporto critico e decisionale; (iii) il professionista deve informare il cliente dell’utilizzo di sistemi di AI con linguaggio chiaro, semplice ed esauriente, a presidio del rapporto fiduciario.
Ne discende un corollario operativo di immediato rilievo: la delega integrale di una prestazione all’AI, oltre che tecnicamente imprudente, è normativamente preclusa. L’output del sistema costituisce materiale di lavoro che il professionista deve vagliare, correggere e fare proprio, nell’esercizio della diligenza qualificata richiesta dall’art. 1176, secondo comma, c.c. È in questa cornice che le tecniche di seguito esaminate assumono rilievo non solo organizzativo, ma di compliance.
Con prompting si designa la formulazione strutturata delle istruzioni impartite al sistema. Il principio operativo è elementare nella enunciazione e decisivo negli effetti: la qualità dell’output è funzione della qualità dell’input. Una richiesta generica produce una trattazione manualistica; una richiesta strutturata produce un elaborato di lavoro immediatamente utilizzabile.
La prassi ha consolidato una griglia di cinque componenti: il ruolo assegnato al sistema (che ne orienta registro e prospettiva); il contesto fattuale del caso (settore, dimensioni, dati rilevanti); il compito richiesto; il formato dell’elaborato (tabella, memorandum, schema); i controlli di qualità (citazione delle fonti, riferimento alla sola normativa vigente, dichiarazione espressa dei profili incerti).
Un esempio applicativo
La richiesta «illustra il regime di participation exemption» genera una trattazione manualistica. La richiesta strutturata — «nella veste di tributarista, esamina la sussistenza dei requisiti PEX ex art. 87 TUIR nella cessione descritta nei documenti allegati, con particolare riguardo alla commercialità della partecipata; redigi un memorandum con quadro normativo, criticità e punti da approfondire, citando esclusivamente fonti vigenti e segnalando i profili dubbi» — genera una base di lavoro professionale, con ipotesi esplicite e incertezze dichiarate, sulla quale il professionista innesta la propria valutazione.
A tale griglia si affianca l’ancoraggio documentale: allegare alla richiesta i testi normativi, la prassi e la giurisprudenza pertinenti, nonché i documenti del caso concreto, vincola il sistema a ragionare sul materiale fornito anziché sulla propria memoria statistica. L’elaborato che ne deriva è, oltre che più accurato, tracciabile e difendibile: ogni affermazione è riconducibile a una fonte identificata, e la catena che conduce dal documento alla conclusione può essere ricostruita e documentata — profilo tutt’altro che secondario ove l’operato dello studio sia oggetto di contestazione.
È noto che i modelli generativi possono produrre le c.d. allucinazioni: contenuti plausibili nella forma ma errati nella sostanza — precedenti giurisprudenziali inesistenti, riferimenti normativi inventati o non più vigenti, dati numerici inesatti. Il fenomeno è strutturale, derivando dalla natura probabilistica della generazione del testo, e le cronache giudiziarie — anche italiane — documentano atti difensivi censurati per citazioni inesistenti.
Il rischio si riduce drasticamente, pur senza azzerarsi, combinando quattro presidi: (i) richiedere l’esplicitazione del ragionamento passo-passo, che rende ispezionabile la catena argomentativa; (ii) imporre l’ancoraggio alle fonti allegate, con divieto di riferimenti non verificabili; (iii) prescrivere la ricerca aggiornata per i dati soggetti a variazione (aliquote, soglie, termini, vigenza); (iv) istruire il sistema a dichiarare l’incertezza in luogo di colmarla per congettura.
Il presidio irrinunciabile
Nessuna tecnica sostituisce la verifica umana di ogni citazione, dato e conclusione. Tale verifica non è soltanto buona pratica: è il contenuto minimo della prevalenza del lavoro intellettuale imposta dall’art. 13 della legge n. 132/2025 e della diligenza professionale ex art. 1176, secondo comma, c.c.
Il profilo della responsabilità merita un cenno ulteriore. L’errore riconducibile alla mancata verifica dell’output — la citazione inesistente riversata nell’atto, il dato normativo non controllato — non attiene alla soluzione di problemi tecnici di speciale difficoltà, rispetto ai quali l’art. 2236 c.c. circoscrive la responsabilità del prestatore d’opera a dolo e colpa grave: attiene alla diligenza ordinaria della professione, e come tale è pienamente imputabile. L’adozione di un protocollo interno di verifica — chi controlla, che cosa, con quale evidenza documentale — costituisce dunque, al contempo, presidio di qualità e strumento di difesa.
Il secondo terreno evolutivo è quello dei sistemi agentici. L’agente non si limita a rispondere a una singola richiesta: persegue un obiettivo articolato in più passaggi — pianifica, interroga strumenti esterni, valuta i risultati intermedi, corregge la rotta — sino al completamento del mandato ricevuto. Il salto è reso possibile da standard di interconnessione quali il Model Context Protocol (MCP), che consente al sistema di dialogare in modo controllato e tracciabile con le risorse dello studio: banche dati, gestionale, archivio documentale, posta elettronica, agenda.
Le applicazioni professionali sono concrete: monitoraggio selettivo di normativa, prassi e scadenze; esame documentale in sede di due diligence; precompilazione dei modelli dichiarativi a partire dai dati contabili; riconciliazioni e quadrature; predisposizione di bozze di pareri e contratti con verifica automatizzata delle citazioni. In ciascuna ipotesi l’agente assorbe i passaggi ripetitivi; la valutazione, la scelta e la firma restano al professionista.
Rispetto all’uso conversazionale, l’architettura agentica presenta un vantaggio di sistema che merita sottolineatura: la tracciabilità. Ogni accesso, interrogazione e passaggio intermedio è registrato; il perimetro operativo dell’agente è definito ex ante (quali fonti può consultare, quali azioni può compiere, dove deve arrestarsi e richiedere l’intervento umano); l’esito è documentato. Ne risulta un flusso di lavoro che non solo produce di più, ma è in grado di dimostrare come ha prodotto — requisito coerente con la logica di accountability che percorre tanto l’AI Act quanto la disciplina in materia di protezione dei dati.
La progettazione di simili architetture eccede, tuttavia, le competenze ordinarie dello studio: richiede il concorso di ingegneria del software, sicurezza informatica e piena padronanza del merito professionale. È l’impostazione di realtà specializzate come Boezio AI, che riunisce nella medesima squadra avvocati, dottori commercialisti e ingegneri, così che chi costruisce il sistema comprenda tanto il codice quanto la pratica di studio; il perimetro degli interventi — agenti su misura, automazioni, knowledge base interne — è illustrato nella pagina dei servizi.
L’integrazione dell’AI nello studio richiede un assetto organizzativo minimo, che la disciplina vigente rende doveroso. Ne fanno parte: una policy d’uso che individui strumenti ammessi, finalità consentite e attività riservate alla persona; la formazione documentata del personale, in adempimento dell’art. 4 dell’AI Act; l’informativa al cliente ex art. 13 della legge n. 132/2025, opportunamente disciplinata nel mandato professionale; il presidio della protezione dei dati, con preferenza per piattaforme professionali assistite da garanzie contrattuali sul trattamento e con applicazione dei principi di minimizzazione, in coerenza con il Regolamento (UE) 2016/679 e con il segreto professionale.
Sotto il profilo dei dati, la scelta della piattaforma non è neutra. Le versioni consumer gratuite non offrono, di regola, garanzie contrattuali adeguate quanto a riservatezza, conservazione e riutilizzo dei contenuti conferiti; le versioni professionali ed enterprise consentono invece di regolare il trattamento con apposito accordo, di escludere l’impiego dei dati per l’addestramento dei modelli e di governare accessi e conservazione. Per il professionista vincolato al segreto, il conferimento di atti e documenti della clientela a sistemi privi di tali garanzie integra un rischio non giustificabile; in ogni caso, si impongono minimizzazione e, ove possibile, anonimizzazione dei dati personali.
Merita sottolineare che il divieto generalizzato non costituisce una politica di gestione del rischio: l’esperienza mostra che esso alimenta l’uso non governato di strumenti personali (c.d. shadow AI), che espone lo studio ai medesimi rischi privandolo di ogni controllo. La direzione corretta è l’opposta: strumenti selezionati, regole scritte, un registro degli impieghi rilevanti e verifiche periodiche dell’osservanza della policy, con revisione della stessa al mutare del quadro normativo e tecnologico.
Sul piano attuativo, l’esperienza dei progetti riusciti suggerisce un percorso in quattro fasi: (i) assessment dei processi, per individuare le attività ad alto assorbimento di tempo ripetitivo; (ii) selezione delle piattaforme, con priorità ai profili di riservatezza, controllo degli accessi e tracciabilità; (iii) progetto pilota su un processo circoscritto, con misurazione puntuale dei risultati (ore recuperate, errori intercettati, tempi di consegna); (iv) formazione operativa e presidio continuativo, condotti sui documenti reali dello studio.
Due cautele di metodo completano il quadro. La prima: la misurabilità non è un ornamento ma il criterio di decisione — il progetto pilota deve produrre numeri (tempo per pratica prima e dopo, tasso di errori intercettati, costo per elaborato) sui quali fondare l’estensione o l’abbandono dell’iniziativa. La seconda: l’acquisto di licenze in assenza di metodo è la forma più diffusa di investimento improduttivo in questo ambito; la spesa tecnologica, in sé, non modifica i processi, e senza formazione e presidio il tasso di adozione effettiva resta marginale.
La condizione di successo è che strategia e realizzazione appartengano alla medesima regia: la roadmap ha valore solo se chi la redige è in grado di costruire ciò che prospetta. È il modello descritto, per studi legali, commercialisti, funzioni aziendali interne e PMI — verso le quali il servizio è in corso di estensione — nella pagina “Per chi” di Boezio AI. Quanto ai profili agevolativi degli investimenti in tecnologie e beni digitali, si rinvia al nostro contributo sull’iperammortamento 2026-2028.
La competenza che distingue il professionista nell’era dell’AI generativa non è genericamente “usare l’intelligenza artificiale”, ma sapere istruirla — con richieste strutturate e contesto documentale adeguato —, governarla — definendo, in conformità all’AI Act e alla legge n. 132/2025, dove si arresta la macchina e dove subentra la persona — e sottoporla a critica, interrogandola con ipotesi alternative e ragionamenti controfattuali per condurla oltre la risposta statisticamente più probabile, verso quella più probabilmente corretta.
È in questo esercizio — selezione, verifica, giudizio — che si misura oggi il valore aggiunto della prestazione intellettuale. L’AI comprime i tempi delle attività esecutive e restituisce al professionista il tempo del pensiero: chi struttura per tempo metodo e governance ne trarrà un vantaggio organizzativo e competitivo durevole; chi rinvia opera già oggi in condizioni di svantaggio, in un mercato che ha mutato passo.
Carta & Partners — La competenza che conta
Lo Studio assiste professionisti e imprese nella definizione della governance per l’adozione dell’intelligenza artificiale — policy d’uso, informative, adempimenti ex AI Act e legge n. 132/2025 — e, per la progettazione e realizzazione di agenti e automazioni, opera in sinergia con Boezio AI. Per una valutazione del caso concreto è possibile contattare lo Studio all’indirizzo segreteria@cartaepartners.it — Tel. 06 23485903.
Avv. Dott. Comm. Dario Carta
Riferimenti normativi: Regolamento (UE) 2024/1689 (AI Act), in particolare art. 4 e disciplina sanzionatoria; legge 23 settembre 2025, n. 132, in particolare art. 13; art. 1176, secondo comma, c.c.; Regolamento (UE) 2016/679 (GDPR).
Il presente contributo ha finalità informativa e non costituisce parere professionale.
TELEFONO
+39 06 23485903
Developed by Dean&Vial