Guide · Avvocati

Un avvocato può usare ChatGPT o altre IA con i documenti dei clienti?

Gonzalo Sabater, avvocato · 28 ottobre 2026 · 7 minuti

L’IA generativa è già uno strumento di lavoro in molti studi: riassume atti, confronta versioni di un contratto, propone la struttura di una memoria. La domanda che si pone ogni avvocato prudente è se possa farlo con i documenti reali dei clienti. La risposta breve: con prudenza, condividendo il minimo indispensabile.

Questo articolo è un’informazione generale, non una consulenza legale per un caso concreto. Ogni studio deve valutare i propri obblighi, i contratti con i fornitori di IA e le indicazioni del proprio Ordine.

Due obblighi insieme

1. Il segreto professionale

L’avvocato deve mantenere il segreto e il massimo riserbo sull’attività prestata e su tutte le informazioni ricevute dal cliente (articolo 13 del Codice deontologico forense). La rivelazione di segreto professionale è punita dall’articolo 622 del Codice penale.

Inoltre, la legge italiana sull’intelligenza artificiale (legge 23 settembre 2025, n. 132) prevede che il professionista intellettuale informi il cliente dei sistemi di IA che utilizza, in modo chiaro, semplice ed esauriente.

2. Il GDPR

Un fascicolo contiene dati personali del cliente, della controparte, di testimoni o dipendenti. Inserirli in un servizio di IA è un trattamento soggetto al GDPR, con il principio di minimizzazione (articolo 5.1.c). Il fornitore agisce di norma come responsabile del trattamento (articolo 28) e possono esserci trasferimenti fuori dall’UE.

Ciò che cambia davvero il rischio: non inviare i dati

Per riassumere un atto o rivedere delle clausole, l’IA quasi mai ha bisogno dei nomi delle parti, del codice fiscale, dell’indirizzo o dell’IBAN. Sostituendoli prima dell’invio si condivide molto meno.

• Anonimizzare significa eliminare i dati in modo che la persona non sia più identificabile. I dati davvero anonimi sono fuori dal GDPR (considerando 26).
• Pseudonimizzare significa sostituire i dati con etichette (per esempio [PERSONA_1]) e conservare a parte la tabella di corrispondenza (articolo 4.5). I dati pseudonimizzati restano dati personali per chi ha la tabella, ma il rischio è molto minore, e il GDPR la indica come garanzia (articoli 25 e 32).

Un metodo ragionevole

1. Chiediti di cosa ha bisogno l’IA: quasi sempre del contenuto giuridico, non dell’identità delle persone.
2. Sostituisci i dati identificativi: nomi, codici fiscali, partite IVA, indirizzi, telefoni, e-mail, conti, numeri di ruolo.
3. Attenzione ai dati indiretti: un incarico raro, una data e un piccolo comune possono identificare qualcuno.
4. Rivedi il risultato prima di inviarlo.
5. Usa l’account giusto e verifica se il fornitore addestra i modelli con i tuoi dati.
6. Informa il cliente sull’uso dell’IA, come richiede la legge n. 132/2025.

Dove aiuta Maskwise

Maskwise è un’app per Mac che svolge i passaggi 2 e 4 senza che il documento esca dal computer: individua oltre 40 tipi di dati (nomi, codici fiscali con carattere di controllo, partite IVA, IBAN, indirizzi…), li sostituisce con etichette coerenti in Word, Excel, PowerPoint o testo conservando la formattazione e verifica la copia. Quando l’IA risponde, rimette i dati reali.