Sicurezza e segreto professionale fin dalla progettazione

Per generare le risposte, Amara usa modelli di OpenAI e di Anthropic tramite i loro servizi professionali: ricevono solo le informazioni necessarie per ciascuna attività e non le usano per addestrare modelli. Elenco dei sub-responsabili (in spagnolo).

• Accesso con il proprio account: email e password oppure account Google. Nessun utente condiviso.
• Permessi per studio, team e utente, applicati sul server e non solo sullo schermo.
• Studi isolati tra loro. In una rete, ogni studio condivide solo ciò che decide.
• Cifratura in transito (HTTPS obbligatorio) e cifratura della base di dati.
• Analisi di sicurezza automatica prima di pubblicare ogni nuova versione dell’applicazione.
• Infrastruttura protetta dalla rete di Cloudflare contro gli attacchi di negazione del servizio.
• Pseudonimizzazione e anonimizzazione dei documenti prima di inserirli nell’archivio.

In Italia il trattamento dei dati personali è disciplinato dal Regolamento (UE) 2016/679 (GDPR) e dal Codice in materia di protezione dei dati personali, il D.lgs. 30 giugno 2003, n. 196, adeguato al GDPR dal D.lgs. 10 agosto 2018, n. 101, in vigore dal 19 settembre 2018. L’autorità di controllo è il Garante per la protezione dei dati personali. Amara agisce come responsabile del trattamento e lo studio come titolare.

Il segreto professionale dell’avvocato è il punto di partenza. Il Codice deontologico forense lo enuncia come dovere all’art. 13 e lo disciplina all’art. 28 («Riserbo e segreto professionale»), che impone all’avvocato anche di farlo rispettare a dipendenti, praticanti, consulenti e collaboratori. La rivelazione del segreto professionale è inoltre punita dall’art. 622 del codice penale. Per questo Amara prepara e propone, l’avvocato rivede e decide, e nessun dato dello studio viene usato per addestrare modelli. La certificazione ISO/IEC 27001 è in corso e non la presentiamo come ottenuta.

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, dedica l’art. 13 alle professioni intellettuali. Il comma 1 limita l’uso dell’IA alle attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista. Il comma 2 chiede che le informazioni sui sistemi di intelligenza artificiale utilizzati siano comunicate al cliente «con linguaggio chiaro, semplice ed esaustivo».

Amara aiuta lo studio a preparare questa informazione, ma non la sostituisce: la responsabilità di comunicarla resta dell’avvocato.

• Sa quali sistemi intervengono: questa pagina e l’elenco pubblico dei sub-responsabili indicano i fornitori e il loro ruolo.
• Sa per cosa li usa: Amara prepara bozze, analisi e ricerche; la valutazione, la strategia e la firma restano all’avvocato.
• Può partire da una bozza: nella pagina degli strumenti gratuiti trova un prompt per redigere un’informativa al cliente, da adattare e verificare.

Approfondimento: Intelligenza artificiale e avvocati: cosa prevede la legge 132/2025.

No. Le pratiche, i documenti, le note e la memoria di Amara non vengono usati per addestrare modelli. I fornitori di modelli di IA ricevono, tramite i loro servizi professionali, solo le informazioni necessarie per ciascuna attività e non le usano a loro volta per l’addestramento. La base di dati e i file restano su Amazon Web Services, a Parigi.

Quando inserisce documenti nell’archivio dello studio, sceglie come trattare i dati personali:

• Pseudonimizzazione: nomi e dati identificativi vengono sostituiti da codici e solo chi possiede la chiave può reidentificare le persone. Secondo il GDPR restano dati personali.
• Anonimizzazione: i dati identificativi vengono eliminati in modo irreversibile e nessuno può più reidentificare le persone.

Approfondimento: Anonimizzare atti e sentenze: regole e strumenti.

Lo studio è il titolare del trattamento: decide quali dati dei propri clienti caricare in Amara e per quale finalità. Amara agisce come responsabile del trattamento ai sensi dell’art. 28 del GDPR: tratta quei dati per conto dello studio, nell’ambito di un accordo sul trattamento dei dati. I fornitori che intervengono nel servizio figurano nell’elenco pubblico dei sub-responsabili.

In pratica lo studio mantiene il controllo: ogni avvocato ha il proprio account, i permessi si assegnano per studio, team e utente, e lo studio decide quali pratiche e documenti condividere. In una rete di studi, ogni studio conserva le proprie informazioni e condivide solo ciò che decide.

Qualunque sia lo strumento, queste sono le domande che un avvocato dovrebbe porsi prima di affidargli informazioni coperte dal segreto professionale:

1. Dove sono i dati? Paese, fornitore ed elenco dei sub-responsabili. Con Amara: Unione europea, con l’elenco pubblicato.
2. I dati addestrano modelli? Chieda che sia messo per iscritto. Con Amara: no.
3. C’è un accordo sul trattamento dei dati? Con Amara: sì, conforme al GDPR.
4. Ogni avvocato ha il proprio account? Eviti gli utenti condivisi e verifichi che i permessi siano applicati sul server.
5. Le informazioni viaggiano cifrate? Con Amara: HTTPS obbligatorio e base di dati cifrata.
6. Può pseudonimizzare o anonimizzare? Lo faccia prima di condividere i documenti. Può usare anche gli strumenti gratuiti per anonimizzare i testi.
7. Ha informato il cliente? L’art. 13 della legge 132/2025 chiede di comunicargli quali sistemi di IA usa lo studio.
8. Chi rivede il risultato? Apra ogni fonte citata e la verifichi prima di usarla in un atto. La decisione e la firma sono sempre dell’avvocato.

Approfondimento: Segreto professionale, GDPR e ChatGPT nello studio legale.

Se individua una vulnerabilità, scriva a seguridad@amaralegal.ai indicando la descrizione, i passaggi per riprodurla e l’URL interessato. Rispondiamo per iscritto. Trova le stesse indicazioni in security.txt.