Segreto professionale, GDPR e ChatGPT nello studio legale

Quando un avvocato inserisce in uno strumento di IA fatti, documenti o dati di un cliente, entrano in gioco contemporaneamente più livelli di tutela:

L’art. 622 c.p., «Rivelazione di segreto professionale», punisce chi, avendo notizia per ragione del proprio stato o ufficio, o della propria professione o arte, di un segreto, lo rivela senza giusta causa oppure lo impiega a proprio o altrui profitto, se dal fatto può derivare nocumento. La pena è la reclusione fino a un anno o la multa; il delitto è punibile a querela della persona offesa.

Il punto rilevante per l’uso dell’IA è che la norma colpisce la rivelazione senza giusta causa. Caricare il contenuto riservato di una pratica su un servizio esterno, senza garanzie su chi possa accedervi e su come venga usato, è una scelta che va valutata con attenzione alla luce di questa norma e delle regole deontologiche.

Il Codice deontologico forense, pubblicato nella Gazzetta Ufficiale n. 241 del 16 ottobre 2014, affronta il tema in due articoli con funzioni diverse:

• Art. 13, «Dovere di segretezza e riservatezza»: enuncia il dovere dell’avvocato di osservare rigorosamente il segreto professionale e il massimo riserbo su fatti e circostanze appresi, nell’interesse del cliente e della parte assistita.
• Art. 28, «Riserbo e segreto professionale»: è la norma operativa e sanzionatoria. Qualifica il segreto come dovere, oltre che diritto, primario e fondamentale (comma 1); lo estende anche dopo la fine del mandato, la rinuncia o la mancata accettazione (comma 2); impone all’avvocato di adoperarsi perché sia rispettato da dipendenti, praticanti, consulenti e collaboratori (comma 3); elenca le eccezioni, tra cui le esigenze di difesa e la prevenzione di un reato di particolare gravità (comma 4); prevede la censura e, in caso di violazione del segreto, la sospensione da uno a tre anni (comma 5).

Il comma 3 dell’art. 28 merita attenzione: l’avvocato risponde anche del comportamento di chi lavora con lui. Se un collaboratore carica documenti di un cliente in uno strumento non controllato dallo studio, la questione riguarda anche il titolare.

Rispetto ai dati dei clienti lo studio è titolare del trattamento. Il fornitore del servizio di IA che tratta quei dati per conto dello studio è un responsabile del trattamento, e l’art. 28 GDPR stabilisce che il titolare «ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti» sulle misure tecniche e organizzative. Il rapporto deve essere regolato da un contratto o da un altro atto giuridico con i contenuti indicati dall’art. 28, paragrafo 3.

Il secondo tema sono i trasferimenti verso paesi terzi, disciplinati dal capo V del GDPR (artt. 44-49). In assenza di una decisione di adeguatezza, il trasferimento è possibile con garanzie adeguate ai sensi dell’art. 46, ad esempio le clausole tipo di protezione dei dati. Per gli Stati Uniti la Commissione ha adottato la decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023 sul Data Privacy Framework: prima di basarsi su di essa conviene verificare che sia ancora in vigore e che il fornitore vi abbia aderito.

In Italia il quadro si completa con il Codice in materia di protezione dei dati personali (D.lgs. 196/2003), adeguato al GDPR dal D.lgs. 101/2018, e con l’attività del Garante per la protezione dei dati personali.

La vicenda è spesso riassunta in modo impreciso. I passaggi documentati sul sito del Garante sono questi:

Dopo la sentenza, il Garante segnala sul proprio sito che il provvedimento n. 755 è stato temporaneamente rimosso. Non ci risultano, alla data di verifica, informazioni ufficiali su eventuali impugnazioni. Per questo è scorretto citare oggi la sanzione di 15 milioni come definitiva.

La lezione per lo studio non dipende dall’esito di quel giudizio: le regole sul segreto professionale e sul trattamento dei dati si applicano comunque all’avvocato che sceglie e usa lo strumento.

Prima di caricare dati di clienti in qualsiasi servizio di IA, compreso un chatbot generico, è utile rispondere a queste domande:

1. Esiste un accordo sul trattamento dei dati conforme all’art. 28 GDPR, firmato con lo studio?
2. Dove sono conservati i dati e ci sono trasferimenti fuori dall’Unione europea? Su quale base giuridica?
3. I dati inseriti vengono usati per addestrare i modelli? L’esclusione è prevista nel contratto o solo in un’impostazione modificabile?
4. Chi può accedere ai contenuti caricati e per quanto tempo vengono conservati?
5. Lo studio ha una regola interna su cosa si può caricare e chi rivede i risultati, valida anche per praticanti e collaboratori (art. 28, comma 3, Codice deontologico)?
6. Il cliente è stato informato sui sistemi di IA usati, come richiede l’art. 13 della legge 132/2025?

Quando lo strumento non offre garanzie adeguate, una misura di riduzione del rischio è togliere i dati identificativi prima di usarlo: ne parliamo nella guida su come anonimizzare atti e sentenze. Per il quadro sull’IA nella professione vedi anche la legge 132/2025 e gli avvocati.

Amara è pensata per lavorare con i dati dello studio: la base dati e i file sono conservati nell’Unione europea, i dati dei clienti non vengono usati per addestrare l’IA e i modelli impiegati (di OpenAI e di Anthropic) sono dichiarati. Amara propone; l’avvocato rivede, decide e firma. Il corpus del diritto dell’Unione europea è già disponibile, quello italiano è in preparazione. I dettagli sono nella pagina sicurezza e nelle funzionalità.

• Codice penale, art. 622 (Normattiva)
• Ordine degli Avvocati di Udine, parere deontologico del 3 luglio 2025 (artt. 13 e 28 del Codice deontologico forense)
• Regolamento (UE) 2016/679, GDPR (EUR-Lex)
• Decisione di esecuzione (UE) 2023/1795, Data Privacy Framework (EUR-Lex)
• D.lgs. 30 giugno 2003, n. 196 (Normattiva)
• Garante privacy: provv. 30 marzo 2023 · provv. 11 aprile 2023 · comunicato del 20 dicembre 2024, con l’avviso sulla sentenza del Tribunale di Roma
• Legge 132/2025, art. 13 (Normattiva)

Questa guida ha carattere informativo e non sostituisce la consulenza di un avvocato.