AI Act e studi professionali: cosa cambia per chi usa strumenti di intelligenza artificiale

L'AI Act — il Regolamento (UE) 2024/1689 — è pensato soprattutto per chi sviluppa o distribuisce sistemi di intelligenza artificiale, non per chi li usa per scrivere una lettera o riassumere una pratica. Ma anche chi li usa ha delle responsabilità, ed è un punto che negli studi professionali passa spesso inosservato: l'obbligo non riguarda solo chi costruisce il modello, riguarda anche l'organizzazione che lo mette al lavoro su dati reali.

Un impianto basato sul rischio

Il regolamento classifica i sistemi di IA per livello di rischio: inaccettabile (vietato), alto, limitato, minimo. Un sistema di scrittura assistita generica — come ChatGPT, Claude o Gemini usati per riformulare un testo — di norma non rientra fra i sistemi ad alto rischio. Ma il rischio non dipende solo dallo strumento: dipende anche da cosa gli si fa processare. Inviare un documento con dati sanitari, giudiziari o finanziari di un cliente a un servizio esterno è una decisione che va presa consapevolmente, a prescindere dalla classificazione del sistema.

Dove l'AI Act incontra il GDPR

I due regolamenti si parlano. L'AI Act non sostituisce gli obblighi del GDPR sul trattamento dei dati personali: li affianca. Un sistema di IA usato lecitamente dal punto di vista dell'AI Act può comunque comportare un trattamento di dati personali che va gestito secondo il GDPR — base giuridica, informativa, eventuale accordo con il fornitore. Le due valutazioni vanno fatte entrambe, non una al posto dell'altra.

Cosa può fare chi usa l'AI tutti i giorni, concretamente

• Sapere quali dati stanno davvero lasciando lo studio quando si incolla un testo in una chat AI, e verificarlo — non darlo per scontato.
• Preferire, quando possibile, l'invio di testo già privato dei dati identificativi: riduce sia il rischio GDPR sia l'esposizione se il fornitore dovesse subire un incidente.
• Tenere traccia di quando e come l'IA viene usata su documenti di clienti: è la base di qualunque valutazione successiva, interna o di un'autorità.

È esattamente il problema che obscurIA risolve a monte: prima di arrivare a ChatGPT, Claude o Gemini — dalla chat integrata o incollando a mano — il testo passa da un controllo che sostituisce i dati personali con segnaposto, e lo studio decide consapevolmente cosa esce e cosa resta sul computer.