Responsabilità AI studi professionali e PMI: cosa cambia nel 2026

Chi è il «deployer» AI e perché studi e PMI lo sono quasi sempre

L'AI Act distingue tre figure principali: il provider (chi sviluppa o mette sul mercato il sistema), il deployer (chi lo usa in un contesto professionale o aziendale) e l'importatore. La maggior parte degli studi professionali e delle PMI italiane ricade nella categoria deployer: acquistano o abbonano strumenti AI già pronti — assistenti per la redazione di documenti, software di analisi fiscale con motori predittivi, piattaforme HR che valutano candidature — e li mettono in esercizio sui propri clienti o dipendenti.

Essere deployer non è una posizione di minor responsabilità. L'AI Act stabilisce che il deployer deve verificare che il sistema sia usato secondo le istruzioni del provider, garantire la supervisione umana, formare il personale che interagisce con lo strumento e, per i sistemi ad alto rischio, tenere i log delle attività per almeno sei mesi. Se qualcosa va storto — una valutazione errata, un dato sbagliato comunicato a un cliente — la responsabilità non si trasferisce automaticamente al vendor: il deployer risponde delle proprie scelte operative.

La Legge 132/2025, che adatta l'impianto europeo al contesto italiano, aggiunge un livello ulteriore: per i professionisti iscritti a ordini (avvocati, commercialisti, consulenti del lavoro), l'uso di AI su dati coperti da segreto professionale richiede misure specifiche di protezione e, in molti casi, un'informativa esplicita al cliente. Non è una novità assoluta — il GDPR già imponeva logiche simili per il trattamento automatizzato — ma ora il perimetro si estende a qualsiasi sistema che produca output usato per decisioni significative.

Cosa significa avere la governance AI in ordine per uno studio o una PMI

«Governance AI» non è una parola d'ordine da convegno: è l'insieme delle risposte che uno studio o un'azienda deve saper dare quando qualcosa va storto. Chi ha deciso di usare quel sistema? Per quali decisioni? Chi lo controlla? Dove sono registrati gli output? Come si corregge un errore? Senza queste risposte documentate, il titolare dello studio o il legale rappresentante della PMI si trova esposto — verso il cliente, verso il Garante, verso un eventuale giudice.

In pratica, una governance AI minimale per uno studio professionale comprende quattro elementi. Il primo è l'inventario dei sistemi AI in uso: un elenco aggiornato di ogni strumento che produce output usati per decisioni, con indicazione del fornitore, dei dati trattati e del tipo di decisioni supportate. Il secondo è la classificazione del rischio: l'AI Act distingue sistemi proibiti, ad alto rischio, a rischio limitato e minimale — conoscere la categoria del proprio strumento determina gli obblighi applicabili. Il terzo è la procedura di supervisione umana: chi controlla l'output prima che produca effetti? Come viene documentato il controllo? Il quarto è la tracciabilità delle decisioni: se un cliente contesta una valutazione, lo studio deve poter ricostruire se e come l'AI ha contribuito a quella decisione.

Come ha analizzato AI4Business sul tema manifattura e AI Act, i tre pilastri della compliance per chi usa sistemi AI sono governance interna, gestione del rischio e documentazione continua. Non sono concetti riservati alle grandi imprese: si declinano in modo proporzionato, ma non si eliminano. Per uno studio con cinque persone, governance non significa un ufficio dedicato: significa una procedura scritta, applicata e verificabile.

Governance AI minima: cosa deve avere uno studio o una PMI nel 2026

• ✓
  Inventario dei sistemi AI in usoElenco aggiornato di ogni strumento AI con fornitore, dati trattati e tipo di decisioni supportate.
• ✓
  Classificazione del rischio AI ActOgni sistema classificato (alto rischio, rischio limitato, minimale) per determinare gli obblighi applicabili.
• ✓
  Procedura di supervisione umanaChi controlla l'output prima che produca effetti, con modalità di documentazione del controllo.
• ✓
  Tracciabilità delle decisioniRegistro degli output AI usati per decisioni significative su clienti, pratiche o personale.
• ✕
  Formazione AI literacy del personaleObbligo esplicito dell'AI Act (art. 4): il personale che usa sistemi AI deve conoscerne limiti e rischi.
• ✕
  Informativa ai clienti (Legge 132/2025)Per i professionisti iscritti a ordini, comunicazione esplicita dell'uso di AI su dati coperti da segreto.

Un codice di condotta basta a proteggersi da sanzioni e responsabilità?

La risposta breve è no. Un codice di condotta — come il primo promosso da Confcommercio Milano sull'uso dell'AI — è uno strumento utile per fissare principi condivisi, ma non sostituisce le procedure interne operative. La distinzione è importante: un codice dice «cosa non si deve fare» e «quali valori si perseguono»; una procedura dice «chi fa cosa, quando, come, e come si documenta».

Per uno studio professionale, affidarsi solo a un codice di condotta esterno crea un'illusione di conformità. Il Garante Privacy, in caso di accertamento, non chiede se lo studio ha sottoscritto un documento di principi: chiede se esiste una procedura di controllo degli output AI, se il personale è stato formato, se i log delle attività sono disponibili. Allo stesso modo, un cliente che subisce un danno a causa di un errore di un sistema AI non sarà soddisfatto dalla risposta «seguivamo un codice di condotta».

Il codice di condotta ha senso come punto di partenza: definisce il perimetro etico e normativo. Ma deve essere seguito da una procedura operativa interna, verificata periodicamente e aggiornata quando cambiano gli strumenti usati o le normative. La differenza tra chi è protetto e chi non lo è sta qui: nella capacità di dimostrare, con documenti datati e firmati, che il controllo esisteva prima che si verificasse il problema. Questo vale anche per i professionisti che si interrogano sulla responsabilità quando un agente AI sbaglia.

Attenzione: Un codice di condotta fissa principi, non procedure operative. Sottoscriverlo non esonera da responsabilità se mancano i registri delle decisioni AI, la formazione del personale documentata e le procedure di supervisione umana. In caso di accertamento da parte del Garante o di una contestazione in sede civile, conta ciò che è dimostrabile, non ciò che è dichiarato.

Le scadenze AI Act che studi e PMI devono rispettare entro fine 2026

L'AI Act è entrato in vigore il 1° agosto 2024 con un'applicazione progressiva. Le prime scadenze hanno riguardato i sistemi proibiti (febbraio 2025) e gli obblighi di governance per i modelli di uso generale (agosto 2025). Nel 2026 il quadro si completa con l'applicazione piena delle norme sui sistemi ad alto rischio — quelli che incidono su diritti fondamentali, occupazione, accesso a servizi — e con l'entrata in vigore degli obblighi di AI literacy per tutto il personale che interagisce con sistemi AI.

Per uno studio professionale o una PMI italiana, i sistemi che rischiano di ricadere nella categoria «alto rischio» includono strumenti usati per valutare l'affidabilità creditizia di un cliente, per scremare candidature in processi di selezione del personale, per analizzare la posizione di un contribuente in modo da orientare decisioni fiscali significative. Non è necessario che lo strumento faccia queste cose in autonomia: basta che il suo output sia determinante per la decisione.

La Legge 132/2025 aggiunge la dimensione italiana: per i professionisti iscritti a ordini, l'uso di AI su dati coperti da segreto professionale richiede misure di protezione specifiche già operative. Chi non ha ancora fatto un primo check sulla propria posizione rispetto all'AI Act ha ancora pochi mesi prima che le verifiche diventino sistematiche.

Come dimostrare il controllo sui sistemi AI: cosa documentare davvero

La domanda pratica è: se il Garante bussa domani, o se un cliente contesta una decisione presa con il supporto dell'AI, cosa mostro? La risposta parte da un principio che vale anche per la sovranità digitale delle imprese: non si controlla ciò che non si conosce. Molte imprese e studi usano strumenti AI senza sapere esattamente quali dati elaborano, dove li archiviano, quali decisioni influenzano.

La documentazione minima che uno studio o una PMI deve essere in grado di esibire comprende: l'elenco aggiornato dei sistemi AI in uso con la loro classificazione di rischio; i contratti con i fornitori che specificano dove vengono elaborati i dati e chi ne è responsabile; i verbali o le registrazioni delle sessioni di formazione del personale; le procedure scritte di supervisione degli output AI, con l'indicazione di chi firma la validazione finale; i log o i registri delle decisioni significative in cui l'AI ha avuto un ruolo, conservati per il periodo previsto dalla normativa.

Non si tratta di un archivio burocratico fine a se stesso. È la struttura che permette di rispondere in modo credibile a tre domande: sapevamo cosa stavamo usando? Avevamo il controllo? Siamo in grado di dimostrarlo? Chi può rispondere sì a tutte e tre non ha solo meno rischi legali: ha un argomento concreto di fiducia da offrire ai clienti, in un mercato dove la responsabilità AI sta diventando un elemento di scelta del professionista o del fornitore.

Documentazione da avere pronta in caso di accertamento

• ✓
  Inventario sistemi AI con classificazione rischioElenco aggiornato, firmato dal responsabile, con data dell'ultimo aggiornamento.
• ✓
  Contratti con i fornitori AICon clausole esplicite su: dove vengono elaborati i dati, chi ne è titolare, tempi di conservazione.
• ✓
  Verbali di formazione AI literacyData, contenuto, partecipanti, firma. L'obbligo è già esigibile dal 2025.
• ✕
  Procedure di supervisione umana scritteChi controlla l'output AI, con quale criterio, come si documenta la validazione finale.
• ✕
  Registro delle decisioni AI-supportatePer sistemi ad alto rischio: log delle attività conservati almeno 6 mesi.
• ✕
  Informativa clienti (Legge 132/2025)Documento firmato dal cliente che attesta di essere stato informato dell'uso di AI sui propri dati.

Responsabilità AI negli studi professionali: chi risponde quando qualcosa va storto

La domanda che più spesso sentiamo da commercialisti, avvocati e consulenti del lavoro è: «Se il sistema AI sbaglia, rispondo io o risponde il fornitore del software?». La risposta è: dipende da cosa hai fatto prima. Il fornitore risponde della qualità e della sicurezza del sistema che ha messo sul mercato. Il professionista deployer risponde delle scelte operative: ha usato il sistema per il tipo di decisioni per cui era indicato? Ha controllato l'output prima di comunicarlo al cliente? Ha formato il personale? Ha documentato tutto questo?

Un errore del sistema AI che produce un danno al cliente può generare responsabilità su più livelli: civile (risarcimento del danno), disciplinare (procedimento davanti all'ordine professionale), amministrativa (sanzioni del Garante per violazione del GDPR o dell'AI Act). La Legge 132/2025 ha chiarito che il segreto professionale non copre automaticamente i dati trattati da sistemi AI di terze parti: il professionista deve adottare misure specifiche per mantenere quella copertura.

Il punto centrale — e questo è l'angolo strategico che spesso manca nel dibattito sulla compliance — non è «essere a posto con la legge». È costruire procedure che funzionino come protezione reale quando qualcosa va storto, e che siano credibili davanti a un cliente, a un giudice o a un'autorità di vigilanza. Chi aspetta che sia il Garante a chiedere la documentazione sta già perdendo tempo prezioso. Come già evidenziato nel caso degli errori silenziosi nell'uso dell'AI in studio, il rischio maggiore non è l'errore macroscopico — è quello che passa inosservato fino a quando costa caro.